Notas de cierre — Core + CMS (2026-08)

Documentación viva del trabajo entregado antes de continuar con SaaSCol CRM.

Criterio de cierre

Producto	Resultado
saas-col-core	Checklist P0–P3 ✔ · hardening anti-IDOR · Metadata PG · deals amount/contact
saas-col-cms	Producto completo: Next Admin → cms-api Go → Core

Fuera de alcance: código Colbot (solo guía) y satélite CRM (siguiente).

---

Core — entregado

1. Backend Go UAP — tenants, metadata, CRUD, BFF, health/ready.
2. Auth — JWKS/RS256 + test keys saascol_test_token_samisalud / _superadmin.
3. Anti-IDOR — requireTenantAccess; provision solo superadmin; orgs filtradas.
4. Event Bus — envelope v1 + product; workers RAG/CRM; HMAC webhooks.
5. ObjectStore / assets — MinIO + firma HMAC en public assets (products/cms/ abierto).
6. Metadata persistente — metadata_schemas + namespace real en Postgres.
7. CRM deals — amount/contact canónicos (alias value).
8. Site config, provision, pages, import-url, features custom_domain.

---

CMS — entregado

Pieza	Cómo
BFF Go	go run ./cmd/cms-api · CORE_API_URL=http://localhost:3001
Admin Next	apps/admin (dev :3003 o export en /admin/)
SSR público	RemoteHandler → APIs públicas Core
Embebido (tests)	cmd/cms-engine all-in-one

---

Siguiente: CRM

Patrón: Next CRM → Go CRM → Core. Ver Handoff CRM.