Axuz Developers

Histórico de mudanças

O que mudou na plataforma e na API da Axuz que interessa a quem usa o produto ou integra com ele, organizado por data, a partir de 22 de outubro de 2026.

Este é o histórico do que realmente mudou, escrito a partir do histórico de commits dos serviços. A Axuz não publica números de versão da API: ela evolui continuamente e este registro é por data. Entram só mudanças relevantes para quem usa o produto ou integra com ele; refatorações internas, testes e ajustes de infraestrutura ficam de fora.

Cada item tem uma etiqueta: Novo, Mudança (comportamento que você pode notar), Correção ou Segurança. Quando uma mudança afeta o contrato, a referência da API já descreve o estado novo.

2026-10-22

  • Novo: sites de documentação. Entram no ar docs.axuz.net (guias do produto) e developers.axuz.net (API para quem integra), em português e inglês, com busca. O primeiro roteiro para desenvolvedores é o guia inicial; depois vêm Erros, Paginação e Limites de taxa.
  • Novo: especificação OpenAPI. A referência da API passa a ser gerada de uma especificação OpenAPI produzida a partir do inventário vivo das rotas dos serviços, com a classe de acesso de cada operação (pública, autenticada, membro da equipe, admin da equipe, por permissão ou escopo). Uma verificação automática barra a publicação se a spec divergir do código. Nesta primeira versão alguns parâmetros e corpos ainda não estão tipados na spec; a descrição da operação é a fonte nesses casos.
  • Novo: link público de board e responsáveis externos. O serviço de workspace ganha rotas para atribuir tarefas a responsáveis externos (quem não tem conta) e para compartilhar um board por link público, com rota pública sem login e limite por IP. O contrato está na spec; veja a página de integrações.
  • Novo: tarefas e posts, rotas restauradas no serviço de workspace. Reordenação, operações em lote, dependências, subtarefas, compartilhamento, etiquetas, campos personalizados, observadores, recorrência, preferências de visão, filtros salvos e templates de tarefa; registros de tempo por tarefa, candidatos a menção e resposta assistida por IA; versões, votos e revisões de posts de timeline. Uma tarefa recorrente agora é materializada por um worker próprio.
  • Novo: anexos em posts de Timeline. O serviço de arquivos permite anexar e desanexar arquivos de posts de Timeline.
  • Mudança: campos personalizados. Trocar o type de um campo personalizado que já tem valores incompatíveis agora é recusado com 409 e {"error": "field_has_values"}.
  • Mudança: eventos em tempo real. Mutações de tarefas, posts de canal, reações, enquetes, edições e remoções passam a registrar o evento de forma transacional (outbox) e a chegar ao WebSocket por uma ponte com número de sequência (seq) e deduplicação. Os eventos de tarefa e de feed carregam também board_id, timeline_id e feed_id.
  • Correção: listas vazias nunca mais saem como null. Os serviços principal, de workspace, autenticação, arquivos, calendário e formulários normalizam listas vazias para []. Mantenha, ainda assim, o tratamento defensivo de null no cliente (veja Paginação).
  • Correção: GET /me/dms passa a devolver os members de cada conversa direta.
  • Segurança: login social mais estrito. A validação do id_token do Google usa JWKS, o login pelo GitHub usa PKCE, só e-mail verificado é aceito, o state é de uso único e vincular uma conta social exige nova autenticação.
  • Segurança: IP permitido para operadores. As rotas de operador da plataforma passam a respeitar uma lista de IPs permitidos, respondendo 404 opaco a quem está fora dela. Não afeta clientes e integradores comuns.

2026-10-21

  • Segurança: senha em argon2id. Senhas novas usam argon2id e as antigas são regravadas no próximo login bem-sucedido. O tamanho máximo da senha passa a ser de 1024 bytes.
  • Correção: limite de envio do código por e-mail agora é contado por finalidade do código, e não mais num balde único.

2026-10-20

  • Segurança: papéis e escopos mais rígidos. Várias rotas passaram a exigir o escopo ou o papel correto, e você pode ver 403 onde antes a chamada passava: escrita em formulários exige forms:write; leitura e escrita de arquivos exigem files:read e files:write do papel; só o dono do recurso (ou admin) altera arquivo alheio e gere link público; só quem criou um evento adiciona convidados; convidado (guest) nunca aprova conta a pagar; a simulação de impostos exige tax:calculation:read; editar ou apagar página de wiki exige mais que leitura. Membros ganham o conjunto calendar:* e convidados, calendar:event:read.
  • Segurança: sessão revogada. Um token de acesso de uma sessão já revogada passa a ser rejeitado. Trocar a senha encerra as outras sessões.
  • Correção: erros do banco não são mais ecoados. O cadastro deixa de devolver o texto cru do driver em um 500.
  • Correção: webhook file.shared deixa de publicar o token do link compartilhado.
  • Mudança: domínio de e-mail interno reservado. Cadastro com um domínio interno reservado recebe 400 com internal_domain_reserved.

Em andamento

Estes itens estão sendo construídos e ainda não fazem parte do contrato estável. As páginas correspondentes, quando existem, trazem o selo “em breve”.

  • Integrações e bots. A API de integrações (instalações, tokens de integração axz_bot_... com escopo de equipe) está sendo concluída. O esquema de segurança já aparece na spec marcado como “em breve”.
  • Webhooks com identificador de entrega. Entrega assinada com um identificador por tentativa (Delivery-Id) para deduplicação do lado de quem recebe.
  • OAuth 2.1 com PKCE para aplicativos de terceiros. O fluxo “Entrar com Axuz” e os escopos por recurso estão descritos na spec, mas a abertura para terceiros ainda não foi concluída.
  • Tipagem completa da spec. Parte dos serviços ainda tem corpos e parâmetros descritos só em texto; a tipagem está sendo completada.

Atualizado em