- POST /api/auth/login (U_WEB_USER/U_WEB_PASS de EmployeesInfo), logout y me.
- Token opaco (32 bytes) en Authorization: Bearer; una sesión por usuario,
timeout deslizante configurable (SESSION_TIMEOUT_MINUTES, 30 por defecto).
- AuthGuard global con @Public(); /health/sap ahora exige sesión.
- Usuario inexistente y contraseña errónea devuelven el mismo mensaje;
comparación en tiempo constante; filtro OData escapado; se rechazan
U_WEB_USER duplicados.
- LoginAttemptsService: 429 tras 5 fallos por usuario o 20 por IP (15 min).
- Tests unitarios y e2e con SAP simulado.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
- SapSessionService: una sesión para todos; un solo login aunque lleguen
peticiones concurrentes o 401 simultáneos (loginInFlight); logout al apagar.
- SapClientService: proxy con reintento único ante 401, errores SAP
traducidos (SapHttpException) y fallos de red/TLS mapeados a 502/504.
Un login rechazado se informa como 502, nunca 401 (el frontend lo toma
como sesión web expirada).
- Confianza TLS: SAPB1_SL_CA_FILE opcional (autofirmado de SAP o CA de
firewall) sumado a las CA del sistema; VERIFY_SSL=true por defecto y no
se puede apagar en producción.
- SAPB1_SL_MAX_CONCURRENCY (default 1): medido en SAP10, más de ~2
peticiones en paralelo retrasan ~7 s cada una extra; en serie ~60 ms.
- GET /api/health/sap, tests unitarios (MockAgent) y e2e opcional contra
SAP real (SAP_LIVE=1). apps/api/certs documentado; *.pem/*.cer ignorados.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
Nest 12 (ESM, vitest, oxlint). El .env se valida con zod al arrancar;
prefijo global /api, CORS configurable y GET /api/health.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
Raíz con workspaces apps/* y libs/*, reglas del proyecto base y flujo
por branch de cliente en CLAUDE.md, y el mockup de Oferta de ventas.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
