BK-193 - Hardening de token Meta e preparacao do Meta Ads read-only

Objetivo

Separar duas frentes que hoje estao misturadas no RNT:

• token/painel de Facebook Page + Instagram
• credenciais reais de Meta Ads para leitura de Insights/ROI

Estado real confirmado

• existe fluxo admin para token long-lived de pagina em:
• admin/modulos/facebook/configure.php
• admin/modulos/facebook/token_exchange.php
• esse fluxo atende pagina/Instagram, nao fecha sozinho a frente de Ads Insights
• foi identificado token Meta hardcoded em:
• notifications.php
• isso deve sair do codigo e virar configuracao segura fora do Git

Entregue nesta rodada

• triagem tecnica da frente Meta Ads read-only
• confirmacao de que campanhas_aliases pode ser reutilizada com fonte='meta_ads'
• mapeamento minimo da Fase 1 do collector isolado meta_ads
• abertura deste BK para separar:
• hardening de segredo em codigo
• credenciais necessarias de Ads
• notifications.php deixou de usar token Meta hardcoded
• o webhook passou a ler:
• primeiro config_facebook.page_access_token
• depois fallback de env (META_CAPI_ACCESS_TOKEN, FACEBOOK_PAGE_ACCESS_TOKEN, FACEBOOK_ADS_ACCESS_TOKEN)
• META_ADS_AD_ACCOUNT_ID confirmado:
• act_346890636
• teste read-only direto na conta de anuncios respondeu HTTP 200
• collector isolado criado em:
• /opt/rnt-collectors/meta_ads/
• dry-run executado com sucesso:
• 2026-03-30 -> 0 linhas
• 2026-03-01 a 2026-03-30 -> 0 linhas
• carga retroativa realizada no banco:
• 2025-01-01 a 2025-12-31
• 6 linhas
• R$ 510,44 de gasto
• 145.849 impressoes
• 8.355 cliques
• 2024-01-01 a 2024-12-31
• 25 linhas
• R$ 1.978,65 de gasto
• 1.001.783 impressoes
• 38.593 cliques
• snapshots antigos com periodo_fim incorreto foram removidos apos a correcao do collector

Credenciais ainda faltantes para Meta Ads read-only

• nenhuma credencial adicional ficou pendente para o teste read-only atual
• o token ativo veio de config_facebook.page_access_token

Regra operacional

• nao usar heuristica frouxa para casar campanha Meta com utm_campaign
• usar match exato normalizado
• usar campanhas_aliases quando houver drift conhecido
• tratar token hardcoded em codigo como pendencia P1 de endurecimento

Proximos passos

1. validar se a conta realmente nao teve campanhas/insights no periodo testado
2. aprofundar a leitura historica das campanhas de 2024 e 2025 para analise de linguagem/criativo
3. quando houver novas campanhas em 2026, rodar o collector no periodo corrente
4. opcionalmente consolidar META_ADS_ACCESS_TOKEN em env dedicado fora do banco