Troca os três identificadores que o CRM parceiro interpola na URL do iframe por um JWT de sessão.

Nenhum dos três é segredo. O que autentica é o servidor conseguir resolvê-los: cid e ha contra o registry de tenants, hu contra a API do CRM parceiro. As credenciais do tenant nunca saem do backend.

Rota pública — é a própria entrada de autenticação. Limitada a 30 tentativas por minuto por IP.