Sinais de saúde
Os quatro sinais que o desenho elegeu: partição DEFAULT não-vazia (job de partição morto), marca d'água atrasando (escrita travada), DLQ crescendo, e descarte na borda saindo de zero (o Provedor renomeou um campo).
Hoje
Métrica diária — escrita no Intake e na Distribuição, nunca derivada do bruto. Sobrevive ao descarte dos 7 dias.
Descartes na borda
O conjunto de chaves do objeto descartado — nunca os valores. Se Cpf virar CPF no Provedor, a causa aparece escrita aqui.
Novo Cliente
O modo de saída é exclusivo: Polling ou Webhook. A Cota é do Cliente, nunca da Chave.
Clientes
Inativar corta na autenticação (403 com motivo). Reativar retoma do momento da reativação, sem backlog — a perda durante a inatividade é definitiva.
Novo Provedor
O Provedor não é Cliente: não tem Cota, não tem modo de saída e nunca recebe nada. Só chama o Intake.
Provedores
Chaves de API
Uma mecânica, dois portadores. Várias Chaves vivas por Cliente é o que permite rotação sem downtime. A chave em claro aparece uma única vez — o banco guarda hash.
Consumo
A Cota conta Intakes, não CPFs. No Polling ela debita avanço de cursor — re-ler página é grátis.
Entregas por Webhook
O reenvio é o mecanismo oficial de recuperação de queda: quem está em Webhook não tem polling de reserva. Reenvio não debita Cota — o registro já debitou no enfileiramento.
Vestir a pele do Cliente
Aqui o painel deixa de ser admin e chama a API de saída de verdade, com a Chave do Cliente — mesma rota, mesmos headers, mesma Cota. O que acontecer aqui conta no consumo dele.
O laço de polling
Um cursor, uma página, e o mesmo código sempre — data vazia não é caso especial, é "alcancei a marca d'água, volto depois".
Diário das chamadas
O que chegou (envelopes)
nada puxado ainda
O mesmo, no terminal do Cliente
O empurrão por Webhook
Este Cliente não puxa: o hub bate na URL dele. Não há polling de reserva — se ele cair, a recuperação é o reenvio na aba de Entregas & DLQ.