Links de e-mail por tenant

Objetivo: dizer qual e-mail leva para o endereço próprio da empresa e qual leva para o domínio da aplicação, e por quê.

O que faz: define, por tipo de e-mail, para onde o link aponta. O que NÃO faz: não descreve o bloqueio por tenant, que está em Ambiente da empresa e SSO.

Por que isso importa

Como toda empresa tem subdomínio, um link que sempre caísse na entrada genérica daria uma experiência quebrada: a pessoa clica, chega num lugar sem marca nenhuma e ainda precisa achar a empresa certa. Pior no caso de membros, que perderiam o caminho do SSO.

A regra que resolve isso é curta: e-mail que leva a área logada da empresa aponta para o ambiente dela.

Como o endereço é resolvido

Um único serviço decide o endereço base, tentando nesta ordem:

1. Pela empresa: usa o subdomínio da empresa dona do e-mail. É a forma preferida nos e-mails transacionais.
2. Pela origem: quando a ação partiu de uma requisição web, usa o subdomínio de onde a pessoa estava, para não tirá-la do ambiente.
3. Pelo subdomínio conhecido, quando ele já vem dado.

Se a empresa não tem subdomínio, o link cai na aplicação principal. Nenhum e-mail fica sem link válido.

Quais e-mails vão para o subdomínio

E-mail	O que o link abre
Recuperação de senha	Tela de nova senha no ambiente da empresa
Convite e primeiro acesso	Definição de senha e ativação, no ambiente da empresa
Desbloqueio de conta	Fluxo de desbloqueio no ambiente da empresa
Link de portfólio (import legado)	Portfólio importado, no ambiente da empresa

O comportamento de cada fluxo (validade, efeito) não muda. Só muda o endereço base.

Por que os portais públicos ficam fora

Os portais de contraparte continuam no domínio da aplicação, de propósito:

• Assinatura
• Revisão
• Negociação
• Onboarding
• Publicação de contrato

Três motivos:

• São autenticados por token, não por senha nem SSO. O link já identifica o recurso e a pessoa.
• Não devem carregar a marca da empresa: a contraparte muitas vezes não pertence a ela e não deve ser levada para o ambiente corporativo dela.
• Fronteira de sessão: manter esses portais na aplicação principal evita misturar a sessão pública com a sessão do tenant, que é presa ao ambiente.

O Portal do Cliente segue essa mesma lógica: o link mágico abre fora do subdomínio quando o cliente não tem conta, e manda para o login do tenant quando ele tem.

As regras

• RN-001 E-mail que leva a área logada da empresa usa o subdomínio dela.
• RN-002 A resolução do endereço é centralizada num serviço único, que tenta por empresa, por origem e por subdomínio, nessa ordem.
• RN-003 Sem subdomínio, o link usa a aplicação principal. Nenhum e-mail fica com link inválido.
• RN-004 Os portais públicos de contraparte permanecem no domínio da aplicação.
• RN-005 A troca do endereço base não altera nada no resto do fluxo.

Exemplos

• Feliz: João Exemplo, membro da Acme, pede recuperação de senha. O link chega em acme.contrasync.com e ele redefine a senha já no ambiente da empresa.
• Borda: uma empresa antiga ainda sem subdomínio convida um colaborador. O link cai na aplicação principal, pelo fallback, e o primeiro acesso funciona normalmente.
• Falha evitada: Maria Exemplo, contraparte da Acme, recebe o link de assinatura. Mesmo com a Acme tendo subdomínio, o link abre o portal público no domínio da aplicação, sem levá-la ao ambiente corporativo.

Métricas

• M-001: e-mails de área logada com link no subdomínio quando a empresa tem um, alvo 100%.
• M-002: portais públicos servidos no domínio da aplicação, alvo 100%.
• M-003: e-mails com link inválido por falta de base, alvo zero.

Compliance

• Segurança: manter os portais públicos fora do subdomínio preserva a fronteira entre a sessão pública e a corporativa, e reduz o risco de escalonamento de acesso.
• PII: esta página não usa dado real.
• Auditoria: os fluxos reaproveitam o registro de acesso existente. Só o endereço base muda.