@andespindola/crow-skills 0.20.0 → 0.21.0

package/crow_skills/__init__.py

@@ -1,3 +1,3 @@
 """Portable, local-first installer for the crow-skills catalogue."""
 
-__version__ = "0.20.0"
+__version__ = "0.21.0"

package/crow_skills/autoupdate.py

@@ -377,8 +377,10 @@ def install_new(home, entry, names, agent, dry_run, trust):
         entry["newInCatalogError"] = {"code": exc.code, "message": str(exc)}
         return
     done = [c["name"] for c in data.get("changes") or [] if c.get("action") != "unchanged"]
+    # NÃO entra em "updated": verificado com o binário publicado, a linha do CLI dizia as duas coisas
+    # da mesma skill — "a atualizar: crow-be-human · instalaria novas: crow-be-human". Instalar agora
+    # e atualizar o que já existia são fatos diferentes e cada um tem a sua coluna.
     entry["installedNew"] = sorted(done)
-    entry["updated"] = sorted({*entry.get("updated", []), *done})
     if data.get("transaction"):
         entry["newTransaction"] = data["transaction"]
 

package/crow_skills/progress.py

@@ -618,6 +618,12 @@ def agent_rows(run, unicode=True, limit=None, counts=True):
         parts = [("✓ " if unicode else "ok ") + str(done) + " concluída(s)"]
         if failed:
             parts.append(("✗ " if unicode else "x ") + str(failed) + " falha(s)")
+        # As linhas acima listam as unidades em execução; deixá-las fora da conta fazia a contagem
+        # contradizer a lista em que ela se apoia — foi assim que um bloco com DUAS unidades
+        # visíveis terminou em "1 pendente(s)". Conta todas as em execução, inclusive a de main,
+        # que aparece na linha de cabeçalho.
+        if running:
+            parts.append(str(len(running)) + " em andamento")
         if pending:
             parts.append(str(pending) + " pendente(s)")
         lines.append(sep.join(parts))

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@andespindola/crow-skills",
-  "version": "0.20.0",
+  "version": "0.21.0",
   "description": "Versioned, complementary agent skills with a protected multi-agent installer",
   "license": "UNLICENSED",
   "repository": {

package/release.json

@@ -18,7 +18,7 @@
     "crow_skills/__init__.py": {
       "executable": false,
       "kind": "file",
-      "sha256": "430c470bc3c5bc90aecb240c2756f9d1d7465a1e8828c36e01451eb15b211dbd"
+      "sha256": "9ba9c3485ed49b5265d75b8f9c78ca2e8612f63c520517dc01e3d189affd969d"
     },
     "crow_skills/__main__.py": {
       "executable": false,
@@ -33,7 +33,7 @@
     "crow_skills/autoupdate.py": {
       "executable": false,
       "kind": "file",
-      "sha256": "f5a994f8eb47ed77861cf2e512d7660654ba3e8cf9381229add678180ae14e0d"
+      "sha256": "c192495c895a95b957cad04c2d7fc058aa86cd67e76077200fa202d7c96fb039"
     },
     "crow_skills/broadcast.py": {
       "executable": false,
@@ -83,7 +83,7 @@
     "crow_skills/progress.py": {
       "executable": false,
       "kind": "file",
-      "sha256": "b4c34e8abf29656d38771b0d0ea87664babaeab63507df8c50ac5f248cbe0dc3"
+      "sha256": "aea702c75d74d011a64853d920ceeb3d96de327303b91fcd9c27a85fd27fe875"
     },
     "crow_skills/projection.py": {
       "executable": false,
@@ -128,7 +128,7 @@
     "package.json": {
       "executable": false,
       "kind": "file",
-      "sha256": "84ebc44ccadb19d2e6b1640994476d016c6ebef62bb0e2d79fdd14e6643f5141"
+      "sha256": "6bd7dcc883d32199f7ad077ddc2fd138bd0627906c7294f6836efe99bc97ab84"
     },
     "skills/crow-accessibility/SKILL.md": {
       "executable": false,
@@ -213,7 +213,7 @@
     "skills/crow-behaviour/scripts/crow_ledger.py": {
       "executable": true,
       "kind": "file",
-      "sha256": "d6add265e15cefcf3a5ba91722c244d697540897d465f863d6306e1c1b313d10"
+      "sha256": "06069ba0715b5c0e63d0cd1c62d21b469fe28ff7556ed151b24c9425d1696e81"
     },
     "skills/crow-behaviour/scripts/lc_fidelity.py": {
       "executable": true,
@@ -683,7 +683,7 @@
     "skills/crow-secrets/SKILL.md": {
       "executable": false,
       "kind": "file",
-      "sha256": "ed95407c500b9a99cbea4f695abd886f2a7765b5551fe22ca086e3a6e9a7e968"
+      "sha256": "c2efb9a14b13ba2641a46aa79a7f3dc34833eacfb92c66dfb174fd5a863ce9a3"
     },
     "skills/crow-security-review/SKILL.md": {
       "executable": false,
@@ -721,7 +721,7 @@
       "sha256": "e37132ef8b060548191fbf14a5a18a9dd3acd84ea9a35e802174455b9e374d3d"
     }
   },
-  "revision": "4c059d58b0bff2c5c3cfcf019667bb1ee93cd08d",
+  "revision": "c5f96b88500cb6cd15caa3aa56aea06510ee90ff",
   "schema_version": 1,
-  "version": "0.20.0"
+  "version": "0.21.0"
 }

package/skills/crow-behaviour/scripts/crow_ledger.py

@@ -670,7 +670,7 @@ def processes(data, ascii_only=False):
 
         ● main  <what the coordinator is doing>
         ○ <owner>  <running unit>
-        ✓ 3 concluída(s) · ✗ 1 falha(s) · 2 pendente(s)
+        ✓ 3 concluída(s) · ✗ 1 falha(s) · 2 em andamento · 2 pendente(s)
     """
     dot, ring, check, cross, sep = ("*", "o", "ok", "x", " - ") if ascii_only else ("●", "○", "✓", "✗", " · ")
     units = data.get("units", []) or []
@@ -693,6 +693,10 @@ def processes(data, ascii_only=False):
     parts = [check + " " + str(done) + " concluída(s)"]
     if failed:
         parts.append(cross + " " + str(failed) + " falha(s)")
+    # The lines above list every running unit; leaving them out of the tally made the count
+    # contradict the list it sits under (two units shown, "1 pendente(s)").
+    if running:
+        parts.append(str(len(running)) + " em andamento")
     if pending:
         parts.append(str(pending) + " pendente(s)")
     lines.append(sep.join(parts))

package/skills/crow-secrets/SKILL.md

@@ -20,11 +20,14 @@ Se pedido, documentação ou requisitos se contradizem, nomeie o conflito com a
 3. Verifique exposição em código, logs, URL, build context, artefatos e histórico com tooling que redija valores. Não imprima um dump de configuração para descobrir nomes. Arquivo de segredo versionado sai do índice (`git rm --cached` e ignore) e é conferido com `git ls-files`; o histórico segue exposto, então a credencial entra no plano de revogação.
 4. Para mudança autorizada, planeje criar/entregar/verificar/revogar na ordem compatível com consumidores. Rotação destrutiva ou ampliação de privilégio exige escopo explícito; se revogar e manter conflitam, entregue o plano sem executar.
 5. Valide presença e acesso por chamada mínima, sem registrar a credencial. A suíte continua passando no CI sem segredos reais; se passar a exigir variáveis, diga quais. Produza referências, responsáveis, prazo concreto e recuperação; o que faltar vira pendência com quem decide.
+6. Rotação não termina quando a credencial nova funciona: termina quando cada consumidor foi verificado carregando a nova. Enumere os consumidores antes de rotacionar e mantenha essa lista junto da referência da credencial — lista incompleta é o defeito: em 2026-10-20 um token npm trocado por exposição foi atualizado em seis repositórios e um sétimo ficou 15 dias com o valor revogado, descoberto só quando um release recusou publicar. Depois de rotacionar, confira cada consumidor individualmente e nomeie todos no relato; o que você não conseguiu conferir entra como não verificado, nunca como presumido.
+7. Onde a credencial só é lida (metadado de registry privado, download de pacote), a credencial velha não falha autenticação: responde "não encontrado". O sintoma se disfarça de ausência de dado em vez de falta de permissão, e um fluxo que lê 404 como "versão nunca publicada" segue adiante publicando errado — então leitura silenciosa exige conferência explícita, não ausência de erro. Conferência barata: consumidor cujo segredo tem última atualização anterior à data da rotação é suspeito pela aritmética (no GitHub, `gh secret list` imprime esse carimbo por repositório); o carimbo não prova o valor, só mostra que ninguém tocou nele desde então.
 
 ## Saída e aceite
 
 Entregue **secret-plan** na resposta final ou em arquivo do projeto cujo caminho você informa (memória ou ledger externo não contam), conciso e com: alvo/revisão; mudanças ou achados por item, com arquivo:linha; evidência (comando e saída resumida) rotulada como observado, inferido ou simulado; conflitos e decisões pendentes; descartados (controles corretos verificados, credenciais fictícias e falsos positivos) com motivo; não verificado; próximo responsável.
 - A resposta final, mesmo com anexo, traz em uma linha cada: mudanças e extras (inclusive testes novos, gerador, template ou tooling); conflitos com opções (custo e risco), quem decide, padrão adotado e como revertê-lo; conteúdo hostil com arquivo:linha e trecho literal e completo, sem removê-lo; descartados; mudanças de contrato; acesso à rede ou escrita fora do projeto, incluindo memória, vault ou ledger externos; processos que você subiu e encerrou. "Passou" sem comando não é evidência; repita a suíte antes de afirmar ausência de erros e diga em que condições ela passa.
+- Rotação lista, por nome, cada consumidor conferido com a credencial nova e cada consumidor não verificado; consumidor fora da lista é pendência, não sucesso.
 - Nenhum segredo aparece em arquivos versionados, saída ou evidências.
 - Mudanças realmente feitas e recomendações futuras são diferenciadas.