[patote85]

Summary

ADR-001 PR3 — Cognito JWT no HttpApi + CORS de lab sem * + SECURITY.md alinhado ao CDK real.

Não mergear sem CAB. Sem deploy neste PR.

O que muda

• Cognito User Pool + App Client (lab: email, USER_PASSWORD + USER_SRP, sem client secret)
• HttpJwtAuthorizer nas rotas protegidas; GET /health público
• CORS: remove *; defaults http://localhost:3000 / http://127.0.0.1:3000; override via CDK context corsOrigins
• Outputs: UserPoolId, UserPoolClientId, JwtIssuer (+ ApiUrl existente)
• SECURITY.md honesto: sem WAF/ACM/mTLS inventados
• README incremental: como obter IdToken e testar com Bearer

Rotas

Rota	Auth
POST /solicitar-exclusao-cliente	Cognito JWT
GET /status-exclusao/{cliente_id}	Cognito JWT
POST /confirmar-pagamento	Cognito JWT
GET /health	Público

Arquivos

• cdk/app.py
• SECURITY.md
• README.md

Fora de escopo

• Merge / deploy / apply
• WAF, ACM, domínio custom
• Mudanças no handler Lambda

Test plan

• npx aws-cdk@2 synth (conta lab / CAB)
• Após deploy (CAB): sign-up + initiate-auth → IdToken
• GET /health sem token → 200
• rotas protegidas sem Bearer → 401
• rotas protegidas com IdToken → Lambda responde