[PBI] Segurança, autenticação Microsoft e fronteira BFF

[elson-vinicius-lopes]

Valor

Liberar o uso pelo time sem compartilhar credenciais do Windows Server e sem expor tokens ou API interna ao navegador.

Entregas

BFF Fastify, sessão criptografada, OIDC Authorization Code + PKCE/state/nonce, rate limits, headers defensivos, proxy sanitizado, certificado privado confiável e callback por IP.

Aceite

• Contas Microsoft suportadas conforme App Registration multitenant.
• Segredo e tokens nunca chegam ao React/API de domínio.
• /auth/login redireciona para login.microsoftonline.com.
• Callback é https://172.25.32.42/auth/callback.

Evidência

PRs #23, #75–#80 e deployment de produção do commit c0db33f.

---

Fechado retrospectivamente em 12/08/2026 com base nas evidências listadas e no estado implantado em produção.