# Endpoints /core

> As rotas HTTP fornecidas pelo backend do Core — status, autenticação, ativação, runtime local, metadata, acesso e e-mail transacional.

Os caminhos abaixo são os do backend. No navegador, prefixe com `/api` (ex.: `/api/core/metadata`).

## Status e saúde

| Rota | Descrição |
|---|---|
| `GET /` | Mensagem do serviço e estado do banco |
| `GET /health/live` | Liveness na imagem publicada: o Nginx encaminha para `GET /` do backend, sem exigir banco |
| `GET /health/ready` | Readiness — `503` se o banco não estiver pronto |
| `GET /health/version` | Versão do Core, commit, `releaseId`, build, ambiente e `runtimeMode` |
| `GET /ativacao/status` | Estado da instância (`ativa`, `ativa_local`, `suspensa`…) |

## Autenticação (`/auth`)

| Rota | Descrição |
|---|---|
| `POST /auth/autenticar` | Login direto |
| `POST /auth/launch/exchange` | Troca do código `oon_launch` por sessão |
| `GET /auth/validar-token` | Valida a sessão e devolve o usuário |
| `POST /auth/first-access/password` | Senha do primeiro acesso |

## Runtime local (`/auth/local`)

Disponível apenas com `OON_RUNTIME_MODE=local`.

| Rota | Descrição |
|---|---|
| `POST /auth/local/bootstrap` | Troca o código de uso único por sessão |
| `GET /auth/local/context` | Contexto local (perfil, prazo) |
| `POST /auth/local/role` | Troca de perfil declarado |
| `POST /auth/local/logout` | Revoga a sessão |

## Ativação (`/ativacao`, plataforma)

`GET /ativacao/status`, `GET /ativacao/configuracao`, `POST /ativacao/validar-codigo`, `POST /ativacao/concluir`, `POST /ativacao/tentar-novamente`, `POST /ativacao/ativar-root`.

## Metadata (`/core`)

| Rota | Descrição |
|---|---|
| `GET /core/metadata` | Serviço, models, coleções, documentos, esteiras, features, menus |
| `GET /core/models` | Resumo das models |
| `GET /core/models/:name` | Metadata de uma model |
| `GET /core/collections`, `/core/documents`, `/core/pipelines`, `/core/features`, `/core/menus`, `/core/actions`, `/core/permissions` | Registros declarados |
| `POST /core/dashboard/query` | Agregações dos dashboards (count, sum, groupCount, groupSum) |

## Acesso (`/core`)

| Rota | Permissão | Descrição |
|---|---|---|
| `GET /core/role-catalog` | pública | Catálogo de perfis (`schemaVersion: 1`) |
| `GET /core/rbac` | pública | Política resumida |
| `GET /core/usage-metrics` | pública | Métricas de uso declaradas |
| `GET /core/roles` | `roles.read` | Perfis completos |
| `GET /core/users` | `users.read` | Usuários e convites |
| `POST /core/users/invitations` | `users.invite` | Convida |
| `GET /core/users/invitations/:id/link` | `users.invite` | Link do convite |
| `POST /core/users/invitations/:id/regenerate` | `users.invite` | Novo link |
| `DELETE /core/users/invitations/:id` | `users.invite` | Revoga |
| `PATCH /core/users/:id` | `users.update` / `users.disable` | Perfil ou status |
| `POST /core/invitations/inspect` | pública | Inspeciona convite |
| `POST /core/invitations/accept` | pública | Aceita convite |

## E-mail transacional

Com a capability declarada, `/core/transactional-email/*` atende o painel `CoreTransactionalEmail` (configuração, templates, dispatches e retry), protegido pelas permissões `transactional-email.*`.

## CRUD das models

Para cada model com `basePath`: `GET /`, `GET /export`, `GET /:id`, `POST /`, `POST /import`, `PUT /:id`, `PATCH /:id`, `DELETE /:id`. Veja [Models e CRUD](/docs/backend/models-e-crud#rotas-geradas).

Fonte: https://sdk.oonapps.com/docs/referencia/endpoints