Etapa 8 — Personalização whitelabel e ajustes finais

Adiciona upload/remoção de logo e cor primária por tenant (módulo
tenant-profile, armazenamento local atrás de uma interface StorageService
trocável por object storage depois) e um endpoint público de tema para a
tela de login carregar antes da autenticação.

Revisão de segurança: Helmet e CORS explícito (extraídos para
security.util.ts, reutilizado pelos testes e2e que verificam os
cabeçalhos), Swagger em /docs cobrindo todos os módulos via o plugin
oficial, paginação em alert_templates. Corrige um achado real: o reset de
senha logava o token em texto puro desde a Etapa 2 — agora envia por
e-mail de verdade.

Build de produção do Docker validado (imagem sem devDependencies, app e
worker rodando contra Postgres/Redis reais) e README consolidado com o
processo de deploy. Fecha o backlog com um teste e2e do fluxo completo:
master cria tenant → login → customer/produto → venda com parcelas →
parcela paga → dashboard financeiro reflete o pagamento.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.env.example

@@ -83,3 +83,10 @@ ALERT_DIAS_ANTECEDENCIA_COBRANCA=3
 # do backoff exponencial (tentativa N espera ALERT_JOB_BACKOFF_MS * 2^(N-1))
 ALERT_JOB_MAX_ATTEMPTS=3
 ALERT_JOB_BACKOFF_MS=5000
+
+# --- CORS -----------------------------------------------------------
+# Origens (frontend) autorizadas a chamar a API via browser, separadas por
+# vírgula (sem espaço) — nunca "*". Vazio/ausente = nenhuma origem cross-site
+# autorizada (chamadas server-to-server e ferramentas como curl/Postman não
+# passam pelo CORS do browser, então não são afetadas).
+CORS_ORIGINS=http://localhost:5173,http://localhost:3001