OWNER SMS readiness — 2026-08-14

Domain: D-AUTH · WP: WP-AUTH-SMS-01 Surfaces: API · CON Agent: VPS env presence only — không gửi OTP SĐT thật (stop-gate chi phí / spam)

VPS readiness

Key	Status
`SMS_PROVIDER`	esms
`ESMS_API_KEY` / `ESMS_SECRET_KEY`	SET (len 17 / 20)
`ESMS_BRAND_NAME`	`WELIFE`
`ESMS_SMS_TYPE`	`2`
`OTP_CHANNEL`	`email` (chỉ ảnh hưởng email OTP flow; phone `POST /auth/otp/send` vẫn gọi `SmsService`)
Feature `smsLive`	true (`SMS_PROVIDER ≠ console`)

Agent không làm

Không POST /auth/otp/send với SĐT thật (trừ khi OWNER cung cấp số test + xác nhận blast).
Không in secret ESMS.

OWNER e2e (1 bước)

Cài CON APK hoặc Expo → màn login SĐT.
Nhập SĐT thật (VN) → Gửi OTP.
Xác nhận tin nhắn eSMS brand WELIFE đến máy.
Nhập OTP → login OK.
Nhắn agent SMS done (kèm smsProvider/smsSent nếu thấy trong response debug).

Endpoint: POST /api/v1/auth/otp/send · POST /api/v1/auth/otp/verify (deprecated label trên Swagger nhưng vẫn live).

Ghi chú

Twilio keys cũng SET trên VPS nhưng không preferred (SMS_PROVIDER=esms). Code Twilio cần TWILIO_FROM_NUMBER (không phải TWILIO_PHONE_NUMBER) nếu đổi provider sau này.
Pay VNPay create vẫn PASS; e2e Pay vẫn chờ OWNER mở payUrl.