Domínios customizados de app

Disponibilidade

Verificação de ownership de domínio customizado está implementada, mas tráfego e serving de certificado para domínio customizado não. Serviço atual pode armazenar pedido de domínio, retornar instruções DNS, consultar DNS público e permitir só nomes verificados pelo gate tls-ask planejado do Caddy.

Ainda não adiciona hostname verificado ao gateway, obtém certificado nem roteia pedidos para esse hostname. Não mova tráfego de produção para este feature ainda. Status verified prova só checagem de ownership DNS configurada.

Fluxo de verificação

Anexe hostname a slug de app.
Publique registros DNS retornados.
Peça ao serviço verificar contra resolvers públicos.
Inspecione status retornado e erro de checagem.
Continue usando URL de preview da plataforma; verificação não ativa hostname customizado.

Subdomínios usam checagem CNAME contra <slug>.apps.openfactory.tech. Nomes apex usam challenge TXT gerado mais presença de registro A. Registro A apex não é checado contra endereço de ingress particular; não é validação de rota.

Superfície REST

Method	Path	Current result
`POST`	`/api/app-gateway/domains`	Stores a pending domain and returns DNS instructions.
`GET`	`/api/app-gateway/domains?app_slug={slug}`	Lists domain records.
`GET`	`/api/app-gateway/domains/{domain}`	Gets one record.
`POST`	`/api/app-gateway/domains/{domain}/verify`	Performs an immediate public-DNS check.
`DELETE`	`/api/app-gateway/domains/{domain}`	Removes the stored record.
`GET`	`/api/app-gateway/tls-ask?domain={domain}`	Returns allow or deny for a verified record; intended for the future Caddy integration.

Exemplo de pedido attach:


POST /api/app-gateway/domains
Content-Type: application/json
 
{
  "app_slug": "my-app",
  "domain": "app.example.com"
}

Serviço rejeita zonas owned pela plataforma, ownership duplicado, hostnames inválidos e mais de cinco domínios por app.

O que falta antes da ativação

Uso em produção exige tudo concluído e testado:

configuração de gateway para cada hostname verificado;
caminho de ingress público decidido que pode terminar certificado do cliente;
emissão, renovação, inventário de expiração e alertas de certificado;
reconciliação imediata e periódica após mudanças DNS;
autorização de owner em todo caminho list, read, verify e delete; e
teste em domínio real cobrindo DNS, TLS, roteamento, renovação, remoção e rollback.

Até essa evidência existir, trate API de domínio como preview só de verificação DNS.