permissoes corretas no /api/userpublic/object