Conferir entrada com API e painel em origens diferentes

[edvaldoszy]

Visão geral

Painel e API não compartilham o mesmo site. Conferir no ambiente real (não só localhost same-origin) entrar, renovar e sair.

Fora de escopo

• Implementar login/refresh (issues anteriores)
• App móvel

Critérios de aceite

• Em origens distintas (prod ou staging): login, navegação após o access de 15 min expirar (com refresh válido) e logout
• Origem fora da allowlist não usa a sessão
• Dev local continua utilizável (CORS_ORIGINS)

Detalhes técnicos

Cookie: SameSite=None; Secure; HttpOnly. API: CORS credentials + lista explícita (não *). Conferir CORS_ORIGINS / CORS_ALLOWED_HEADERS (incluir o header CSRF, ex. X-Requested-With, e Authorization). Navegador precisa de HTTPS para Secure (exceto localhost).