Back-end

export default async function handler(req, res) {
  if (req.method !== 'POST') {
    return res.status(405).json({ erro: 'Método não permitido' });
  }

  const { nome, email, mensagem } = req.body;

  if (!nome || !email) {
    return res.status(400).json({ erro: 'Nome e e-mail são obrigatórios' });
  }

  // a chave fica AQUI, no servidor — nunca no HTML
  const chave = process.env.CHAVE_EMAIL;

  // ... envia o e-mail ...

  res.status(200).json({ ok: true });
}

<form action="https://formspree.io/f/SEU_ID" method="POST">
  <label for="email">Seu e-mail</label>
  <input id="email" type="email" name="email" required>

  <label for="msg">Mensagem</label>
  <textarea id="msg" name="mensagem" required></textarea>

  <button type="submit">Enviar</button>
</form>

export default async function handler(req, res) {
  // 1. só aceita o método certo
  if (req.method !== 'POST') {
    return res.status(405).json({ erro: 'Método não permitido' });
  }

  // 2. valida a entrada — NUNCA confie no que chega
  const { nome, fone, mensagem } = req.body || {};
  if (!nome || !fone) {
    return res.status(400).json({ erro: 'Nome e telefone são obrigatórios' });
  }

  // 3. faz o trabalho
  try {
    await enviarEmail({ nome, fone, mensagem });
    return res.status(200).json({ ok: true });
  } catch (e) {
    console.error(e);                       // aparece nos logs da Vercel
    return res.status(500).json({ erro: 'Falha ao enviar' });
  }
}

const r = await fetch('/api/orcamento', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ nome, fone, mensagem })
});
const dados = await r.json();
if (!r.ok) throw new Error(dados.erro);

// ERRADO — qualquer visitante lê isso com Ctrl+U
const CHAVE = 're_abc123...';
fetch('https://api.resend.com/emails', { headers: { Authorization: 'Bearer ' + CHAVE }});

// CERTO — a chave só existe no servidor
// api/enviar.js
const CHAVE = process.env.RESEND_API_KEY;

RESEND_API_KEY=re_abc123...
DATABASE_URL=postgres://...

# na Vercel: Project Settings → Environment Variables
# e escolha os ambientes: Production, Preview, Development

const r = await fetch('https://api.resend.com/emails', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + process.env.RESEND_API_KEY,
    'Content-Type': 'application/json'
  },
  body: JSON.stringify({
    from: 'Site <site@vanessacarvalho.com.br>',   // domínio verificado
    to: 'contato@vanessacarvalho.com.br',
    reply_to: email,                                 // responder vai para o visitante
    subject: `Orçamento — ${nome}`,
    text: `Nome: ${nome}\nWhatsApp: ${fone}\n\n${mensagem}`
  })
});

// se a função está no MESMO domínio do site, não existe CORS. Use caminho relativo:
fetch('/api/orcamento')              // sem problema nenhum

// se realmente precisa liberar outro domínio, é na resposta da função:
res.setHeader('Access-Control-Allow-Origin', 'https://site-do-cliente.com.br');
res.setHeader('Access-Control-Allow-Methods', 'POST, OPTIONS');
res.setHeader('Access-Control-Allow-Headers', 'Content-Type');
if (req.method === 'OPTIONS') return res.status(200).end();   // o preflight

-- 1. uma tabela por "coisa" do mundo real
create table clientes (
  id          uuid primary key default gen_random_uuid(),
  nome        text not null,
  telefone    text not null,
  criado_em   timestamptz default now()
);

-- 2. relacionamento = guardar o id do outro
create table agendamentos (
  id          uuid primary key default gen_random_uuid(),
  cliente_id  uuid references clientes(id) on delete cascade,
  data        timestamptz not null,
  servico     text not null,
  status      text default 'pendente'
);

-- 3. índice no que você vai buscar
create index on agendamentos (data);

import { createClient } from '@supabase/supabase-js';

// chave de serviço: SÓ no servidor, nunca no navegador
const db = createClient(process.env.SUPABASE_URL, process.env.SUPABASE_SERVICE_KEY);

export default async function handler(req, res) {
  if (req.method !== 'POST') return res.status(405).end();

  const { nome, telefone, data, servico } = req.body || {};
  if (!nome || !telefone || !data) return res.status(400).json({ erro: 'Dados faltando' });

  const { data: linha, error } = await db
    .from('agendamentos')
    .insert({ nome, telefone, data, servico })
    .select()
    .single();

  if (error) { console.error(error); return res.status(500).json({ erro: 'Falha ao salvar' }); }
  return res.status(200).json({ ok: true, id: linha.id });
}

const { error } = await supabase.auth.signInWithOtp({
  email,
  options: { emailRedirectTo: 'https://site.com.br/painel' }
});
// pronto. sem senha, sem hash, sem recuperação para implementar.

res.setHeader('Set-Cookie', [
  `sessao=${token}`,
  'HttpOnly',      // JavaScript não lê
  'Secure',        // só por HTTPS
  'SameSite=Lax',  // não vai em requisição de outro site
  'Path=/',
  'Max-Age=604800' // 7 dias
].join('; '));

backend:
  name: github
  repo: JaumNf/site-vanessa
  branch: main

media_folder: "img/uploads"

collections:
  - name: "servicos"
    label: "Serviços"
    folder: "conteudo/servicos"
    create: true
    fields:
      - { name: titulo,  label: "Título",   widget: string }
      - { name: resumo,  label: "Resumo",   widget: text }
      - { name: foto,    label: "Foto",     widget: image }
      - { name: preco,   label: "A partir de", widget: number, required: false }

type Servico = { titulo: string; preco: number; ativo: boolean };

function formatar(s: Servico) {
  return `${s.titulo} — R$ ${s.preco.toFixed(2)}`;
}

formatar({ titulo: 'Reforma', preco: '8000', ativo: true });
//                            ^ erro apontado aqui, antes de rodar

import { expect, test } from 'vitest';
import { mascaraTelefone } from './mascaras.js';

test('formata celular com nove dígitos', () => {
  expect(mascaraTelefone('67999998888')).toBe('(67) 99999-8888');
});
test('ignora letras', () => {
  expect(mascaraTelefone('67abc99999')).toBe('(67) 9999-9');
});

<!-- uma URL por idioma, HTML servido pronto em cada uma -->
site.com.br/          → português
site.com.br/en/       → inglês
site.com.br/es/       → espanhol

<!-- e no head de TODAS elas, apontando umas para as outras -->
<link rel="alternate" hreflang="pt-BR" href="https://site.com.br/">
<link rel="alternate" hreflang="en"    href="https://site.com.br/en/">
<link rel="alternate" hreflang="x-default" href="https://site.com.br/">