Deploy y entornos

Comandos

cd emaemi
npm install
npm run dev          # Wrangler dev server
npm run typecheck    # TypeScript check
npm test             # Vitest (unit + integration)
npm run deploy       # wrangler deploy

Hosting

Cloudflare Workers (single worker). Sin assets estáticos: emaemi expone sólo API. Custom domain emi.emahealth.io configurado.

Endpoints

POST /api/chat          # Endpoint principal (auth + access + audit + agent)
GET  /api/health        # { status, service, version }

Secrets requeridos (Wave 3)

Set vía wrangler secret put <NOMBRE>. Agrupados por propósito:

Anthropic

Secret	Para qué
ANTHROPIC_API_KEY	Llamadas a Claude (requerido)

App keys (1 por producto)

Secret	Producto
EMAHEALTH_API_KEY	emahealth.io
EMACLINIC_API_KEY	emaclinic
EMALAB_API_KEY	emalab
EMAVAULT_API_KEY	emavault
EMAPATH_API_KEY	emapath
EMAWELL_API_KEY	emawell

Aidbox per-tenant

Secret	Para qué
AIDBOX_BASE_URL	URL base del servidor Aidbox
AIDBOX_SECRET_KEY_V1	Master key AES-GCM (32 bytes base64) para decryptar credenciales per-tenant

Nota

Las credenciales OAuth (client_id/secret) por tenant no se pasan como secrets globales — viven encriptadas en emashared.tenant_aidbox_credentials. AIDBOX_SECRET_KEY_V1 es la master key que las desencripta.

Para rotar: agregar AIDBOX_SECRET_KEY_V2 y migrar gradualmente (F008-F009). El código resuelve la versión por fila.

Supabase emashared (catálogo + activación + audit)

Secret	Para qué
EMASHARED_SUPABASE_URL	Proyecto emahub donde viven las tablas Wave 3
EMASHARED_SUPABASE_SERVICE_KEY	Service role para escribir audit log y leer activación

Supabase Vault (analytics + sales lead management)

Secret	Para qué
VAULT_SUPABASE_URL	Mismo proyecto emahub, distinto schema
VAULT_SUPABASE_KEY	Service role para tools de AnalyticsAgent + lead upsert de SalesAgent

Deprecated (Wave 3 mantiene un release; Wave 4 los elimina)

FHIR_SERVER_URL, FHIR_CLIENT_ID, FHIR_CLIENT_SECRET, FHIR_TOKEN_URL. Reemplazados por el patrón per-tenant via tenant_aidbox_credentials.

Errores HTTP

Código	Causa
400	Body inválido o falta X-Tenant-Id requerido
401	API key inválida
403	App inactiva para el tenant / sin row en tenant_emi_access / rate limited
501	Agent no implementado (ej. WellnessCoach)
503	Error de servicio (Anthropic, Supabase, Aidbox)

Lecciones operativas (gotchas conocidos)

Gotcha	Solución
Wrangler secret put aplica al worker del directorio actual	Siempre cd emaemi/ antes de configurar secrets
@anthropic-ai/sdk falla en CF Workers (bundling)	Usar fetch nativo + wrapper en lib/claude.ts
Hardcodear URLs en build time complica OpenNext en consumidores	Pasar URLs por env vars de runtime
Frontend que llama directo a emaemi sin apiFetch no incluye token Supabase	Forzar uso de apiFetch para que el proxy del producto firme la request
Un audit fallido bloqueando la respuesta	logInvocation es fail-silent (F006); errors van al logger estructurado

Observabilidad

• Cloudflare Observability habilitado en wrangler.toml.
• Logger estructurado JSON (lib/logger.ts) para todas las invocaciones, errors y warnings.
• Cost tracking USD por invocación en emi_invocations.cost_usd.

Tests

Vitest. Estructura:

tests/
├── unit/
├── integration/        # gated por env vars (ver abajo)
└── fixtures/

npm test                  # unit + integration en una pasada
npm run test:integration  # solo integration suite

Integration tests requieren:

• TEST_API_URL (URL del worker en dev/staging)
• TEST_TENANT_ID
• TEST_EMASHARED_*

Si las env vars faltan, los integration tests se skippean silenciosamente (CI nunca depende de servicios externos vivos).