A conta do usuário final foi bloqueada ou desativada
Mesma assinatura (X-IDSAAS-Signature), mesmos headers e mesma escada de retentativas dos eventos de verificação; deduplique pelo id do evento. Chega no webhook do flow do cadastro do usuário, ou em todo destino ativo do ambiente quando o usuário não tem flow vivo.
Cabeçalhos
Assinatura HMAC (pode trazer mais de um v1 durante rotação de segredo).
Tipo do evento.
"user.locked"Corpo
Envelope dos eventos do usuário final. Mesma assinatura, headers e escada de retentativas dos eventos de verificação.
Id estável do evento (deduplique por ele): evt_aue__.
user.created, user.updated, user.deleted, user.locked, user.unlocked, auth.suspicious_sign_in, auth.refresh_reuse_detected, auth.compromised_password Um fato do usuário final da sua autenticação. Corpo mínimo: o id do usuário, o external_id lido da conta no envio, o status e, no login suspeito, as categorias. Nunca e-mail, telefone, IP ou metadado privado. Campo novo pode surgir sem subir schema_version: ignore chave desconhecida.
Resposta
Confirmação de recebimento. Qualquer 2xx conta; processar depois, responder já.