# auth.md do Sirius CRM

Para apps de IA (Claude, ChatGPT, Cursor, n8n e outros) que agem em nome de uma pessoa com conta no Sirius CRM.

## Quem pode entrar

Um agente não cria conta nem se cadastra sozinho: não há identidade anônima nem registro de agente. A conta é da empresa e é criada por uma pessoa em https://siriuscrm.com.br/register. O agente recebe o acesso de uma pessoa da conta e enxerga só o que ela enxerga.

A conexão com IA faz parte dos planos Starter, Pro e Business e do teste. Sem ela, o servidor responde 403.

## OAuth 2.1 (o caminho padrão)

1. Chame `POST https://siriuscrm.com.br/api/mcp` sem token. A resposta é 401 com `WWW-Authenticate: Bearer resource_metadata="https://siriuscrm.com.br/.well-known/oauth-protected-resource/api/mcp"`.
2. Leia esse documento (RFC 9728) e o do servidor de autorização em `https://siriuscrm.com.br/.well-known/oauth-authorization-server` (RFC 8414).
3. Registre o app: `POST https://siriuscrm.com.br/api/mcp/oauth/register` (registro dinâmico, RFC 7591) ou use como `client_id` a URL de um documento de metadados do cliente.
4. Mande a pessoa para `https://siriuscrm.com.br/api/mcp/oauth/authorize` com PKCE (`S256`), `resource=https://siriuscrm.com.br/api/mcp` e os escopos. Ela entra no Sirius com a própria conta e aprova.
5. Troque o código em `POST https://siriuscrm.com.br/api/mcp/oauth/token`. O token de acesso vale 60 minutos; o de renovação, 60 dias, e cada renovação devolve um novo.
6. Revogue em `POST https://siriuscrm.com.br/api/mcp/oauth/revoke` quando a pessoa desconectar o app.

Escopos:

- `crm:read`: ler contatos, negócios, funis, atividades e conversas do WhatsApp
- `crm:write`: criar e atualizar contatos, negócios, notas e atividades, mover negócios e enviar mensagens no WhatsApp

A pessoa pode liberar só a leitura; nesse caso as ferramentas que escrevem nem aparecem na lista.

## Token pessoal

Para ferramentas que não abrem a tela de consentimento (n8n, um script), a pessoa cria um token em Configurações → Integrações → IA. Ele aparece uma vez, não vence e vale até ela desconectar.

## Como usar a credencial

Envie `Authorization: Bearer <token>` em cada `POST https://siriuscrm.com.br/api/mcp` (MCP por Streamable HTTP, respostas em JSON, sem sessão). O limite é de 120 chamadas por minuto por conexão; acima disso a resposta é 429 com `Retry-After`.

Mais sobre o uso: https://siriuscrm.com.br/.well-known/agent-skills/sirius-crm/SKILL.md