-- Live Secret Key por organización Facturapi (modo Live multi-RFC).
-- Cada organización Facturapi (1:1 con contribuyente del despacho) tiene su
-- propia sk_live_xxx generada vía PUT /v2/organizations/{id}/apikeys/live.
-- La key se cifra con AES-256-GCM (misma derivación que FIEL_ENCRYPTION_KEY)
-- y se guarda con IV + auth tag por componente, igual que las credenciales FIEL.
ALTER TABLE facturapi_orgs
  ADD COLUMN IF NOT EXISTS api_key_enc bytea,
  ADD COLUMN IF NOT EXISTS api_key_iv  bytea,
  ADD COLUMN IF NOT EXISTS api_key_tag bytea;

INSERT INTO tenant_migrations (scope, version, name)
VALUES ('vertical-contable', 41, '041_facturapi_orgs_api_key_enc')
ON CONFLICT (scope, version) DO NOTHING;
