# 10 — APIs HTTP

APIs em `routes/api.php`. Prefixo padrão Laravel `/api`.

## Endpoints públicos (sem auth) — CONFIRMADO

### GET /api/brasil/cnpj/{cnpj}
- **Controller:** `BrasilApiController@cnpj`
- **Finalidade:** Proxy CNPJ
- **Consumidor:** front/admin e integrações internas
- **Risco:** endpoint aberto — ver achados

### GET /api/brasil/cep/{cep}
- **Controller:** `BrasilApiController@cep`
- **Finalidade:** Proxy CEP

### GET /api/gov/simples/{cnpj}
- **Controller:** `GovBrController@simples`
- **Finalidade:** Status Simples/MEI normalizado

## Endpoint autenticado Sanctum

### GET /api/user
- **Middleware:** `auth:sanctum`
- **Retorno:** usuário autenticado

## OpenAPI

Não há Swagger/OpenAPI no repositório — **CONFIRMADO ausência**. Este capítulo serve como inventário factual.

## APIs “web” JSON (não em api.php)

Várias rotas `admin/*/fetch` retornam JSON para listagens AJAX (simulacoes, clientes, pendencias, auditoria, depara, feedback). Exigem `auth` + `single.session`.