fix: domínio SIP único por tenant + grupo de captura + revelar senha do ramal

Achado real, detalhado pelo usuário testando o PABX de verdade: TenantsController
.create() gravava telephonyDomain="b2bcall.local" fixo pra TODO tenant novo —
b2bcall-fs-config decide qual tenant é dono de um REGISTER só pelo domínio
(Tenant.findFirst({telephonyDomain})), então com todo tenant no mesmo domínio o
isolamento de PABX (ramais, call groups, filas, IVR) não tinha como funcionar de
verdade. Investigado direto no container antes de mudar qualquer coisa: o sofia
profile "internal" (vanilla) já vem com <domain name="all" alias="true".../> — o
FreeSWITCH sempre aceitou domínio dinâmico por REGISTER, o bug era só a aplicação.
Nenhuma mudança de infra foi necessária.

Tenant.telephonyDomain agora é obrigatório e @unique (migration com backfill:
tenants existentes ganharam {code}.b2bcall.net, e os Extension.domain já criados
foram atualizados junto). Tela de criação de tenant sugere {code}.b2bcall.net ao
digitar o código, editável.

Extension.callGroup (novo) — ramais no mesmo grupo podem capturar a chamada um do
outro (*8), fora do grupo não. Vira a variable call-group no directory XML; a regra
de dialplan do *8 em si fica pra configurar em Telefonia > Dialplan (editor já
existe). Editável na criação e depois (PATCH /extensions/:id, novo).

POST /extensions/:id/reveal-password (novo) — achado real: "show once" puro não
funciona no dia a dia (reconfigurar um telefone/softphone precisa da senha de novo;
forçar reset toda vez derruba outro aparelho já configurado). sipPasswordEnc sempre
foi criptografia reversível, nunca hash — só não estava exposto. Auditado
(EXTENSION_PASSWORD_REVEALED) por ser sensível mesmo sem escrita.

apps/freeswitch-config reconstruído e reiniciado. Testado ponta a ponta contra o
container REAL via docker exec: senha revelada bate com a gerada na criação,
call-group aparece no XML, e o mesmo número de ramal em domínios diferentes nunca
se confunde (isolamento cross-tenant confirmado de verdade).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BFaBaBSQGhyXGEgtTYZGV8

docs/EXTENSIONS.md

@@ -71,18 +71,29 @@ user/1500 &park()` falhava com `MANDATORY_IE_MISSING` em vez do
 pro endpoint `user/`. Corrigido copiando o mesmo template de `dial-string` da
 config vanilla.
 
-## `$${domain}` fixo
+## `$${domain}` fixo (só o valor default do container, não uma restrição)
 
 `Tenant.telephonyDomain` precisa bater com o que o FreeSWITCH manda como
 `domain` no POST do xml_curl. Por padrão, a config vanilla usa
 `domain=$${local_ip_v4}` — o IP do container, que muda a cada restart e
 nunca seria estável o suficiente pra configurar em um tenant. Corrigido no
 `Dockerfile` do FreeSWITCH com um `sed` fixando `$${domain}` pra
-`b2bcall.local` (configurável via `ARG DEFAULT_SIP_DOMAIN`). Multi-domínio
-real por tenant (múltiplos domínios simultâneos, um por tenant) ainda não
-está resolvido — hoje só suporta um domínio fixo pra todos; isso é uma
-limitação genuína a resolver quando existir gestão de domínio por tenant de
-verdade (fora do escopo desta fase).
+`b2bcall.local` (configurável via `ARG DEFAULT_SIP_DOMAIN`) — isso é só o
+valor usado como REFERÊNCIA/fallback em `vars.xml`, não uma restrição de
+quais domínios o profile aceita.
+
+**Multi-domínio real por tenant — resolvido na PHASE 50** (achado real
+reportado pelo usuário testando): o profile `internal` (vanilla, não
+sobrescrito) já vem com `<domain name="all" alias="true" parse="false"/>`
+— aceita REGISTER de qualquer domínio dinamicamente, sempre dependeu só do
+`section=directory` do `mod_xml_curl` resolver o domínio certo (que já
+funciona por request, olhando o `domain` que o UA manda). O bug de verdade
+era só a camada de aplicação: `TenantsController.create()` gravava o mesmo
+`telephonyDomain` fixo ("b2bcall.local") pra todo tenant novo. Corrigido:
+`telephonyDomain` agora é obrigatório e único na criação do tenant
+(constraint no banco), sugerido como `{code}.b2bcall.net` na tela mas
+editável. Nenhuma mudança de infra (Dockerfile/sofia profile) foi
+necessária — só era preciso um domínio de verdade por tenant.
 
 ## Verificado ponta a ponta
 
@@ -113,9 +124,34 @@ reais, deixou de ser opcional): HTTP Basic, credenciais em `FS_CONFIG_USER`/
 sem credenciais recebe 401; o FreeSWITCH (com `gateway-credentials`
 configurado) continua funcionando normalmente.
 
+## Senha SIP: "ver de novo" além do "show once" (PHASE 51)
+
+Achado real reportado pelo usuário: "show once" puro não funciona no dia a
+dia — reconfigurar um telefone físico ou softphone precisa da senha de
+novo, e forçar reset toda vez (`POST /:id/reset-password`) derruba o
+registro de qualquer aparelho já configurado com a senha antiga.
+`sipPasswordEnc` sempre foi criptografia reversível (AES-256-GCM), nunca
+hash — só não estava exposto. `POST /extensions/:id/reveal-password` (novo)
+decifra e devolve a senha ATUAL sem trocar nada, auditado
+(`EXTENSION_PASSWORD_REVEALED`) por ser uma ação sensível mesmo sem
+escrita nenhuma.
+
+## Grupo de captura (call group, PHASE 51)
+
+Achado real: sem isso, qualquer ramal conseguia capturar a chamada de
+qualquer outro (o PBX não tinha noção de "grupo"). `Extension.callGroup`
+(nullable) vira a variable `call-group` no directory XML — o FreeSWITCH já
+resolve `*8` (group pickup) comparando essa variable entre canais. A
+extensão de dialplan pro `*8` em si fica pra configurar em Telefonia >
+Dialplan (já é um editor de regras por tenant), não precisa de código
+novo — só precisava existir o dado.
+
 ## O que falta
 
 - ~~Quota de ramais~~ — implementada na fase Plans/Entitlements (ver
   docs/ENTITLEMENTS.md), `assertQuota` chamado antes de criar.
 - Tela "Telefonia → Ramais" (frontend) — fase Frontend, bem mais adiante.
-- Multi-domínio real por tenant (ver acima).
+- ~~Multi-domínio real por tenant~~ — resolvido na PHASE 50 (ver acima).
+- Extensão de dialplan padrão pro `*8` de group pickup — o dado
+  (`callGroup`) já existe, falta só alguém configurar a regra em
+  Telefonia > Dialplan (ou decidir seedar uma default por tenant).