Vetor — Site Lead Intake Endpoint

Endpoint de captura de leads para mattosaeroportos.com.br. Aceita POST de qualquer plataforma de formulários (Webflow, WordPress, HTML puro, Typeform, etc.).

Endpoint

Método	Path	Descrição
`POST`	`/lead`	Registra um novo lead

Contrato de entrada — campos aceitos

Campo		Tipo	Descrição
`nome`	obrigatório	string	Nome ou razão social. Mín. 2 caracteres.
`email`	obrigatório	string	E-mail válido. Usado para dedup e contato.
`lgpd_consent`	obrigatório	boolean `true`	Consentimento explícito LGPD. Deve ser o literal `true`. Rejeitado se ausente ou `false`.
`telefone`	opcional	string	Telefone/WhatsApp. Formato livre, máx. 20 chars.
`empresa`	opcional	string	Nome da empresa. Máx. 100 chars.
`cnpj`	opcional	string	CNPJ (com ou sem formatação). Usado para dedup PJ — se 14 dígitos, chave principal de dedup.
`mensagem`	opcional	string	Mensagem livre do lead. Máx. 2000 chars.
`servico`	opcional	string	Serviço de interesse. Máx. 50 chars.
`segmento`	opcional	string	Hint de segmento. Valores aceitos: `piloto`, `arquiteto`, `construtora`, `condomínio de luxo`, `resort`, `hotel de luxo`, `hotel fazenda`, `vinícolas`, `náutica`, `shopping`, `loja de carro de luxo`, `empresas aéreas`, `empresa +10m/mês`. Valor desconhecido é ignorado (não rejeitado).
`utm_source`	opcional	string	UTM tracking. Máx. 100 chars cada.
`utm_medium`	opcional	string
`utm_campaign`	opcional	string
`utm_content`	opcional	string
`utm_term`	opcional	string

⚠️ Campos não listados acima são rejeitados com HTTP 400 — o endpoint não aceita campos desconhecidos. Configure o form para enviar exatamente esses campos.

Respostas

HTTP	Significado	Body JSON
201	Lead registrado	`{ site_lead_id, dimensions: { origem, segmento, relacao, setor_mercado, ... } }`
400	Payload inválido	`{ error: "validation_failed", details: [...] }`
409	Lead já existe (dedup)	`{ error: "already_exists", by: "email"\|"cnpj" }`
429	Rate limit (10 req/min/IP)	`{ error: "rate_limit", retry_after_s: 60 }`
405	Método não permitido	`{ error: "method_not_allowed" }`

Exemplo de POST (curl)

curl -s -X POST http://localhost:3456/lead \
  -H 'Content-Type: application/json' \
  -d '{
    "nome": "Matheus Mattos",
    "email": "matheus@empresa.com.br",
    "telefone": "+55 11 99999-0000",
    "empresa": "Empresa Exemplo Ltda",
    "cnpj": "12.345.678/0001-95",
    "servico": "hangar",
    "mensagem": "Quero conhecer os planos para hangar privativo.",
    "segmento": "empresas aéreas",
    "lgpd_consent": true,
    "utm_source": "google",
    "utm_medium": "cpc",
    "utm_campaign": "site-2026"
  }'

Configuração Webflow

Adicione um bloco Form com campos que mapeiem para os nomes acima. No Form Settings → Action, defina a URL do endpoint (após deploy). Use um Hidden Field para lgpd_consent com valor true.

O que foi provado (localmente)

PROVADO POST válido → HTTP 201 + 3 dimensões corretas no body
PROVADO Sem lgpd_consent → HTTP 400 rejeitado
PROVADO Sem nome → HTTP 400 rejeitado
PROVADO Email inválido → HTTP 400 rejeitado
PROVADO Campo desconhecido → HTTP 400 rejeitado
PROVADO Lead duplicado (por email) → HTTP 409
PROVADO Lead duplicado (por CNPJ) → HTTP 409
PROVADO Flood >10 req/min → HTTP 429
PROVADO Dimensões: segmento=construtora → relação=parceiro em potencial (regra L2)
PROVADO Dimensões: segmento=empresa (PJ genérico) → relação=null (indecidível, correto)
PROVADO Suite canônica: 2275 pass antes / 2296 pass depois (0 fail)

O que falta para o owner ativar em produção

Deploy do servidor — subir este processo (node scripts/site-lead-intake.cjs) na VPS com as credenciais de prod em .env (as mesmas que os outros scripts usam).
URL pública — apontar um domínio ou subdomínio (ex.: api.mattosaeroportos.com.br/lead) para a porta 3456 do servidor via nginx/Caddy. Ou usar um Supabase Edge Function como proxy se preferir serverless.
Plataforma do form — confirmar qual é a plataforma do mattosaeroportos.com.br e configurar o form action para a URL pública acima. Para Webflow: Form Settings → Action URL. Para WordPress: plugin de forms com Custom Action. Para HTML puro: action="URL" + method="POST".
CORS — se o form usa fetch/AJAX em vez de submit nativo, configurar o header Access-Control-Allow-Origin com o domínio do site (já incluído no endpoint — mudar de * para o domínio exato é boa prática em produção).
HTTPS — TLS obrigatório para formulários em produção (LGPD + OWASP).
Rate limit persistente — o rate limiter atual é in-memory (por processo). Se a VPS reiniciar, o contador zera. Para um rate limiter que sobrevive a restarts, usar Redis ou o próprio Supabase como backend de contagem.

Endpoint construído em 2026-08-24 · scripts/site-lead-intake.cjs