refatoração de segurança e logs

README.md

@@ -341,13 +341,18 @@ curl -sS -X PATCH http://localhost:8080/api/e-li.nps/elicencie_gov/<id> \
 - O nome **exibido ao usuário** é o original informado e fica salvo em `produto_nome` na tabela do produto.
 - O controle de exibição (regras 45 dias / 10 dias) é baseado em: **produto + inquilino_codigo + usuario_codigo**.
 
-## Recomendações (para prompts / manutenção)
+### Observabilidade (logs)
 
-Alguns cuidados:
+O servidor registra **uma linha por requisição** com:
+
+- `metodo`, `path`, `status`
+- `dur_ms` (tempo de execução)
+- `request_id` (quando disponível)
+- `ip_real` (após `middleware.RealIP`)
+
+Regra importante (segurança): o projeto **não** deve logar segredos (senha, tokens,
+cookies, Authorization, DSN).
 
-- Nomes de variáveis ou arquivos preferencialmente em português
-- Sempre adicionar comentários em português que ajudem humanos e IAs na manutenção
-- Se a mudança for importante, atualizar `README.md`
 
 ---