Guia completo · passo a passo

Como montar o fluxo inteiro, com segurança.

Esta página separa a integração essencial da infraestrutura avançada e explicita os riscos antes de você colocar um número, dados pessoais e um modelo de IA em produção.

Nível 1 · integração essencial

Conectar, armazenar e responder

Comece aqui. Você consegue validar o produto sem administrar um servidor próprio: o Uazapi faz a ponte com o WhatsApp, o Supabase guarda o contexto e o provider de IA gera a resposta.

1. Uazapi

Crie uma instância, conecte o número pelo QR Code, configure o webhook e teste mensagens recebidas e enviadas.

Risco: sessão desconectada, exposição do token ou bloqueio do número por uso incompatível com as regras do WhatsApp. Use credenciais separadas e monitore falhas.

2. Supabase

Crie tabelas para contatos, conversas, mensagens, prompts e permissões. Ative RLS e use variáveis de ambiente para a chave.

Risco: dados pessoais vazados por tabela pública, política RLS ausente ou logs contendo conteúdo sensível. Colete o mínimo necessário.

3. Provider de IA

Configure a chave, escolha o modelo, defina limites de custo e envie somente o contexto necessário para cada resposta.

Risco: alucinação, envio de dados a terceiros, prompt injection e custo inesperado. A IA não deve decidir sozinha ações críticas.

4. Webhook e retorno

Valide a assinatura do webhook, normalize a mensagem, busque a memória, chame a IA e devolva a resposta pelo Uazapi.

Risco: replay, duplicidade e loops de webhook. Use idempotência, timeout, retry limitado e rastreabilidade.

Nível 2 · infraestrutura própria

Hospedar e operar com autonomia

Depois que o fluxo funciona, leve o backend para a sua própria máquina na Hostinger e administre tudo pela Termius.

5. Hostinger

Crie o servidor, configure domínio, firewall, HTTPS, processo de aplicação e backups antes do deploy.

Risco: servidor exposto, dependências vulneráveis, backup inexistente ou indisponibilidade. Atualize o sistema e tenha um plano de restauração.

6. Termius

Acesse por SSH com chave, usuário sem privilégio de root e comandos reproduzíveis para instalar e atualizar o serviço.

Risco: chave SSH compartilhada, senha no histórico ou comando destrutivo. Use cofre de segredos, menor privilégio e revisão.

7. Deploy e operação

Configure .env, gerenciador de processos, logs, health checks, monitoramento e rotação de credenciais.

Risco: segredo em Git, logs com PII ou processo parado sem alerta. Separe ambientes e teste restauração.

8. Governança

Defina retenção, consentimento, acesso humano, revisão de prompts e quando transferir a conversa para uma pessoa.

Risco: tratamento irregular de dados, resposta jurídica incorreta ou automação sem supervisão. Documente limites e mantenha canal humano.

Checklist antes de abrir ao público

O mínimo para uma primeira versão responsável

Tokens e chaves fora do código, com rotação definida.
RLS no Supabase e acesso mínimo por serviço.
Webhook autenticado, idempotente e com retry limitado.
Logs sem mensagens sensíveis e com alertas de erro.
Limite de custo e fallback quando a IA falhar.
Consentimento, retenção de dados e transferência para atendimento humano.