@baruk/core 0.3.1 → 0.5.0

package/dist/pilot/go-live-checklist.d.ts

@@ -0,0 +1,41 @@
+import type { Tx } from '../db/client.js';
+/**
+ * O checklist de go-live — derivado do sistema, não escrito à mão.
+ *
+ * ## Por que derivado
+ *
+ * Um checklist digitado num documento é uma foto: diz o que era verdade no dia
+ * em que alguém escreveu. Este é consultado, então não fica desatualizado sem
+ * que o próprio sistema mude junto. A pergunta que ele responde é "posso ligar
+ * hoje?", e essa não aceita resposta de ontem.
+ *
+ * ## TECHNICAL versus HUMAN
+ *
+ * A separação não é decorativa. Um gate técnico o produto fecha sozinho; um
+ * gate humano depende de alguém decidir, conferir ou enviar — e nenhuma
+ * quantidade de código o fecha. Misturar os dois produz ilusão de progresso: a
+ * barra sobe e o que faltava continua faltando.
+ *
+ * Por isso `humanOnly` existe: um gate humano aberto **não é defeito**, é
+ * trabalho de pessoa pendente. E é por isso que há dois vereditos, e não um.
+ */
+export type GateCategory = 'TECHNICAL' | 'HUMAN' | 'BUSINESS' | 'FINANCIAL' | 'SECURITY' | 'DATA';
+export interface Gate {
+    key: string;
+    category: GateCategory;
+    ready: boolean;
+    /** O que exatamente falta. Vazio quando `ready`. */
+    detail: string;
+    /** `true` quando só uma pessoa pode fechar. */
+    humanOnly: boolean;
+}
+export interface GoLiveChecklist {
+    gates: Gate[];
+    /** Tudo que o produto controla está pronto. */
+    technicalReady: boolean;
+    /** Só é `true` quando TUDO fecha, inclusive o que depende de pessoa. */
+    activationReady: boolean;
+    humanBlockers: string[];
+}
+export declare function goLiveChecklist(tx: Tx, env?: NodeJS.ProcessEnv): Promise<GoLiveChecklist>;
+//# sourceMappingURL=go-live-checklist.d.ts.map

package/dist/pilot/go-live-checklist.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"go-live-checklist.d.ts","sourceRoot":"","sources":["../../src/pilot/go-live-checklist.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAM1C;;;;;;;;;;;;;;;;;;;GAmBG;AAEH,MAAM,MAAM,YAAY,GAAG,WAAW,GAAG,OAAO,GAAG,UAAU,GAAG,WAAW,GAAG,UAAU,GAAG,MAAM,CAAC;AAElG,MAAM,WAAW,IAAI;IACnB,GAAG,EAAE,MAAM,CAAC;IACZ,QAAQ,EAAE,YAAY,CAAC;IACvB,KAAK,EAAE,OAAO,CAAC;IACf,oDAAoD;IACpD,MAAM,EAAE,MAAM,CAAC;IACf,+CAA+C;IAC/C,SAAS,EAAE,OAAO,CAAC;CACpB;AAED,MAAM,WAAW,eAAe;IAC9B,KAAK,EAAE,IAAI,EAAE,CAAC;IACd,+CAA+C;IAC/C,cAAc,EAAE,OAAO,CAAC;IACxB,wEAAwE;IACxE,eAAe,EAAE,OAAO,CAAC;IACzB,aAAa,EAAE,MAAM,EAAE,CAAC;CACzB;AAED,wBAAsB,eAAe,CACnC,EAAE,EAAE,EAAE,EACN,GAAG,GAAE,MAAM,CAAC,UAAwB,GACnC,OAAO,CAAC,eAAe,CAAC,CAkO1B"}

package/dist/pilot/go-live-checklist.js

@@ -0,0 +1,209 @@
+import { catalogValidationSummary } from '../competence/catalog-validation.js';
+import { readLiveRuntime } from '../billing/live-guard.js';
+import { clearanceSummary } from '../collection/clearance-store.js';
+import { getRealPilotStart } from './milestone.js';
+export async function goLiveChecklist(tx, env = process.env) {
+    const gates = [];
+    const add = (g) => void gates.push(g);
+    // ── DATA ────────────────────────────────────────────────────────────────
+    const [clientes] = await tx `
+    SELECT count(*)::int AS total,
+           count(*) FILTER (WHERE email IS NULL)::int               AS sem_email,
+           count(*) FILTER (WHERE responsible_user_id IS NULL)::int AS sem_resp
+      FROM client
+     WHERE deleted_at IS NULL AND status = 'active'
+  `;
+    const total = clientes?.total ?? 0;
+    add({
+        key: 'CLIENT_DATA_READY',
+        category: 'DATA',
+        ready: total > 0,
+        detail: total > 0
+            ? `${total} cliente(s) ativos.`
+            : 'Nenhum cliente ativo — carteira real não importada.',
+        humanOnly: true,
+    });
+    add({
+        key: 'REAL_EMAIL_READY',
+        category: 'DATA',
+        ready: total > 0 && (clientes?.sem_email ?? 0) === 0,
+        detail: total === 0
+            ? 'Sem carteira para avaliar.'
+            : (clientes?.sem_email ?? 0) === 0
+                ? 'Todos os clientes ativos têm e-mail.'
+                : `${clientes?.sem_email} cliente(s) sem e-mail: cobrança e pedido de documento não os alcançam.`,
+        humanOnly: true,
+    });
+    add({
+        key: 'USERS_READY',
+        category: 'DATA',
+        ready: total > 0 && (clientes?.sem_resp ?? 0) === 0,
+        detail: total === 0
+            ? 'Sem carteira para distribuir.'
+            : (clientes?.sem_resp ?? 0) === 0
+                ? 'Carteira inteira com responsável.'
+                : `${clientes?.sem_resp} cliente(s) sem responsável.`,
+        humanOnly: true,
+    });
+    // ── COMUNICAÇÃO EXTERNA ─────────────────────────────────────────────────
+    //
+    // Este gate mede o que a Fase 6 encontrou rodando em produção: a régua
+    // enviava e-mail para todo cliente com endereço e recebível vencido, sem que
+    // nada perguntasse se alguém conferiu aquele endereço.
+    const clr = await clearanceSummary(tx);
+    add({
+        key: 'EMAIL_RECIPIENT_CONFIRMED',
+        category: 'HUMAN',
+        ready: total > 0 && clr.pendingWithEmail === 0,
+        detail: total === 0
+            ? 'Sem carteira para conferir.'
+            : clr.pendingWithEmail === 0
+                ? `${clr.cleared} cliente(s) liberados para comunicação externa.`
+                : `${clr.pendingWithEmail} cliente(s) com e-mail e SEM liberação — a régua não os alcança até alguém conferir.`,
+        humanOnly: true,
+    });
+    // ── FRONTEIRA ENSAIO × OPERAÇÃO ─────────────────────────────────────────
+    const marco = await getRealPilotStart(tx);
+    add({
+        key: 'REAL_PILOT_START_DECLARED',
+        category: 'BUSINESS',
+        ready: marco !== null,
+        detail: marco
+            ? `Piloto real declarado em ${marco.occurredAt}. Dados anteriores são pré-produtivos por definição.`
+            : 'Marco não declarado: todo dado atual conta como pré-produtivo (QA, demo, App Review da Meta).',
+        humanOnly: true,
+    });
+    // ── IMPORTAÇÃO ──────────────────────────────────────────────────────────
+    const [lotes] = await tx `SELECT count(*)::int AS n FROM client_import_batch`;
+    add({
+        key: 'IMPORT_READY',
+        category: 'TECHNICAL',
+        ready: true,
+        detail: `Plano, digest, avisos, lote e desfazer disponíveis. ${lotes?.n ?? 0} importação(ões) registrada(s).`,
+        humanOnly: false,
+    });
+    add({
+        key: 'ROLLBACK_READY',
+        category: 'TECHNICAL',
+        ready: true,
+        detail: 'Desfazer é lógico e seletivo: cliente com honorário, obrigação, documento ou cobrança é preservado.',
+        humanOnly: false,
+    });
+    // ── CATÁLOGO ────────────────────────────────────────────────────────────
+    const cat = await catalogValidationSummary(tx);
+    add({
+        key: 'CATALOG_READY',
+        category: 'BUSINESS',
+        ready: cat.humanValidationComplete,
+        detail: cat.humanValidationComplete
+            ? `${cat.validated} obrigação(ões) conferidas.`
+            : cat.total === 0
+                ? 'Lista de conferência ainda não preparada.'
+                : `${cat.pending} item(ns) por conferir — a prévia não os propõe enquanto isso.`,
+        humanOnly: true,
+    });
+    // ── FINANCEIRO ──────────────────────────────────────────────────────────
+    // `payment_provider_account` não tem soft-delete: a conta ou está cadastrada
+    // ou não está. Filtrar por `deleted_at` aqui quebraria a consulta inteira.
+    const [contas] = await tx `
+    SELECT count(*) FILTER (WHERE environment = 'live')::int AS live
+      FROM payment_provider_account
+  `;
+    add({
+        key: 'FINANCE_READY',
+        category: 'FINANCIAL',
+        ready: true,
+        detail: 'Honorário → recebível → aging → régua operam sem provedor configurado (ASAAS_NOT_READY tolerado).',
+        humanOnly: false,
+    });
+    // **Este gate nunca fica verde sozinho, e é de propósito.**
+    //
+    // A primeira versão respondia `ready: (contas.live > 0)` — existe linha de
+    // conta em produção? Rodando contra o banco real, ela deu VERDE enquanto o
+    // KYC do Asaas estava REJEITADO. A linha existir não prova que a conta emite
+    // cobrança; prova só que alguém a cadastrou.
+    //
+    // A aprovação do KYC não é derivável do banco: ela vive no provedor. Um gate
+    // que afirma prontidão a partir de um substituto local é pior que gate
+    // nenhum, porque dá autorização com a aparência de verificação. Então ele
+    // declara o que sabe, diz o que não pode saber, e deixa a confirmação com
+    // quem consegue fazê-la.
+    const temContaLive = (contas?.live ?? 0) > 0;
+    add({
+        key: 'ASAAS_LIVE_ACTIVATION_AUTHORIZED_BY_HUMAN',
+        category: 'FINANCIAL',
+        ready: false,
+        detail: 'Segundo portão, independente do KYC: mesmo com o KYC aprovado, ligar a emissão em produção é uma autorização humana explícita e separada. Aprovação do provedor não é autorização do escritório.',
+        humanOnly: true,
+    });
+    add({
+        key: 'ASAAS_READY',
+        category: 'FINANCIAL',
+        ready: false,
+        detail: temContaLive
+            ? 'Conta de produção cadastrada — mas isto NÃO prova que ela emite cobrança. A aprovação do KYC vive no provedor e não é verificável a partir do banco: confirme no painel do Asaas antes de ligar a emissão.'
+            : 'Sem conta de produção cadastrada, e o KYC do Asaas é dependência externa não contornável pelo produto.',
+        humanOnly: true,
+    });
+    const live = readLiveRuntime(env);
+    add({
+        key: 'LIVE_CHARGES_GATE',
+        category: 'SECURITY',
+        ready: true,
+        detail: live.liveChargesDisabled
+            ? 'Emissão em produção PAUSADA — estado desejado até o KYC sair.'
+            : 'Emissão em produção liberada.',
+        humanOnly: false,
+    });
+    // ── SEGURANÇA ───────────────────────────────────────────────────────────
+    //
+    // Mede o ATRIBUTO no catálogo do Postgres, e não o comportamento: uma sonda
+    // comportamental passa quando a conexão de teste tem privilégio de mais.
+    const [rls] = await tx `
+    SELECT count(*)::int AS sem_force
+      FROM pg_class c
+      JOIN pg_namespace n ON n.oid = c.relnamespace
+     WHERE n.nspname = 'public'
+       AND c.relname IN ('client','fee_agreement','receivable','recurring_instance',
+                         'document_request','client_import_batch',
+                         'recurring_item_type_validation','fee_agreement_obligation')
+       AND NOT (c.relrowsecurity AND c.relforcerowsecurity)
+  `;
+    add({
+        key: 'TENANT_SECURITY_READY',
+        category: 'SECURITY',
+        ready: (rls?.sem_force ?? 1) === 0,
+        detail: (rls?.sem_force ?? 1) === 0
+            ? 'RLS FORCE ativo nas tabelas do ciclo, incluindo as criadas nesta fase.'
+            : `${rls?.sem_force} tabela(s) do ciclo sem RLS FORCE.`,
+        humanOnly: false,
+    });
+    add({
+        key: 'WHATSAPP_READY_OR_OPTIONAL',
+        category: 'TECHNICAL',
+        ready: true,
+        detail: 'Opcional para o piloto: o e-mail cobre cobrança, pedido de documento e portal. WhatsApp segue fora de escopo.',
+        humanOnly: false,
+    });
+    // ── MONITORAMENTO ───────────────────────────────────────────────────────
+    const [auditoria] = await tx `
+    SELECT count(*)::int AS n FROM audit_log WHERE occurred_at > now() - interval '30 days'
+  `;
+    add({
+        key: 'MONITORING_READY',
+        category: 'TECHNICAL',
+        ready: (auditoria?.n ?? 0) > 0,
+        detail: (auditoria?.n ?? 0) > 0
+            ? `${auditoria?.n} evento(s) de auditoria nos últimos 30 dias.`
+            : 'Sem eventos de auditoria recentes — a trilha existe e não está sendo alimentada.',
+        humanOnly: false,
+    });
+    const technicalReady = gates.filter((g) => !g.humanOnly).every((g) => g.ready);
+    return {
+        gates,
+        technicalReady,
+        activationReady: gates.every((g) => g.ready),
+        humanBlockers: gates.filter((g) => g.humanOnly && !g.ready).map((g) => g.key),
+    };
+}
+//# sourceMappingURL=go-live-checklist.js.map

package/dist/pilot/go-live-checklist.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"go-live-checklist.js","sourceRoot":"","sources":["../../src/pilot/go-live-checklist.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,wBAAwB,EAAE,MAAM,qCAAqC,CAAC;AAC/E,OAAO,EAAE,eAAe,EAAE,MAAM,0BAA0B,CAAC;AAC3D,OAAO,EAAE,gBAAgB,EAAE,MAAM,kCAAkC,CAAC;AACpE,OAAO,EAAE,iBAAiB,EAAE,MAAM,gBAAgB,CAAC;AA4CnD,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,EAAM,EACN,MAAyB,OAAO,CAAC,GAAG;IAEpC,MAAM,KAAK,GAAW,EAAE,CAAC;IACzB,MAAM,GAAG,GAAG,CAAC,CAAO,EAAQ,EAAE,CAAC,KAAK,KAAK,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAElD,2EAA2E;IAC3E,MAAM,CAAC,QAAQ,CAAC,GAAG,MAAM,EAAE,CAA0D;;;;;;GAMpF,CAAC;IACF,MAAM,KAAK,GAAG,QAAQ,EAAE,KAAK,IAAI,CAAC,CAAC;IAEnC,GAAG,CAAC;QACF,GAAG,EAAE,mBAAmB;QACxB,QAAQ,EAAE,MAAM;QAChB,KAAK,EAAE,KAAK,GAAG,CAAC;QAChB,MAAM,EACJ,KAAK,GAAG,CAAC;YACP,CAAC,CAAC,GAAG,KAAK,qBAAqB;YAC/B,CAAC,CAAC,qDAAqD;QAC3D,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IACH,GAAG,CAAC;QACF,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,MAAM;QAChB,KAAK,EAAE,KAAK,GAAG,CAAC,IAAI,CAAC,QAAQ,EAAE,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC;QACpD,MAAM,EACJ,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,4BAA4B;YAC9B,CAAC,CAAC,CAAC,QAAQ,EAAE,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC;gBAChC,CAAC,CAAC,sCAAsC;gBACxC,CAAC,CAAC,GAAG,QAAQ,EAAE,SAAS,yEAAyE;QACvG,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IACH,GAAG,CAAC;QACF,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,MAAM;QAChB,KAAK,EAAE,KAAK,GAAG,CAAC,IAAI,CAAC,QAAQ,EAAE,QAAQ,IAAI,CAAC,CAAC,KAAK,CAAC;QACnD,MAAM,EACJ,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,+BAA+B;YACjC,CAAC,CAAC,CAAC,QAAQ,EAAE,QAAQ,IAAI,CAAC,CAAC,KAAK,CAAC;gBAC/B,CAAC,CAAC,mCAAmC;gBACrC,CAAC,CAAC,GAAG,QAAQ,EAAE,QAAQ,8BAA8B;QAC3D,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,EAAE;IACF,uEAAuE;IACvE,6EAA6E;IAC7E,uDAAuD;IACvD,MAAM,GAAG,GAAG,MAAM,gBAAgB,CAAC,EAAE,CAAC,CAAC;IACvC,GAAG,CAAC;QACF,GAAG,EAAE,2BAA2B;QAChC,QAAQ,EAAE,OAAO;QACjB,KAAK,EAAE,KAAK,GAAG,CAAC,IAAI,GAAG,CAAC,gBAAgB,KAAK,CAAC;QAC9C,MAAM,EACJ,KAAK,KAAK,CAAC;YACT,CAAC,CAAC,6BAA6B;YAC/B,CAAC,CAAC,GAAG,CAAC,gBAAgB,KAAK,CAAC;gBAC1B,CAAC,CAAC,GAAG,GAAG,CAAC,OAAO,iDAAiD;gBACjE,CAAC,CAAC,GAAG,GAAG,CAAC,gBAAgB,sFAAsF;QACrH,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,MAAM,KAAK,GAAG,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;IAC1C,GAAG,CAAC;QACF,GAAG,EAAE,2BAA2B;QAChC,QAAQ,EAAE,UAAU;QACpB,KAAK,EAAE,KAAK,KAAK,IAAI;QACrB,MAAM,EAAE,KAAK;YACX,CAAC,CAAC,4BAA4B,KAAK,CAAC,UAAU,sDAAsD;YACpG,CAAC,CAAC,+FAA+F;QACnG,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB,oDAAoD,CAAC;IAC9F,GAAG,CAAC;QACF,GAAG,EAAE,cAAc;QACnB,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,IAAI;QACX,MAAM,EAAE,uDAAuD,KAAK,EAAE,CAAC,IAAI,CAAC,iCAAiC;QAC7G,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IACH,GAAG,CAAC;QACF,GAAG,EAAE,gBAAgB;QACrB,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,IAAI;QACX,MAAM,EACJ,qGAAqG;QACvG,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,MAAM,GAAG,GAAG,MAAM,wBAAwB,CAAC,EAAE,CAAC,CAAC;IAC/C,GAAG,CAAC;QACF,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,UAAU;QACpB,KAAK,EAAE,GAAG,CAAC,uBAAuB;QAClC,MAAM,EAAE,GAAG,CAAC,uBAAuB;YACjC,CAAC,CAAC,GAAG,GAAG,CAAC,SAAS,6BAA6B;YAC/C,CAAC,CAAC,GAAG,CAAC,KAAK,KAAK,CAAC;gBACf,CAAC,CAAC,2CAA2C;gBAC7C,CAAC,CAAC,GAAG,GAAG,CAAC,OAAO,gEAAgE;QACpF,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,6EAA6E;IAC7E,2EAA2E;IAC3E,MAAM,CAAC,MAAM,CAAC,GAAG,MAAM,EAAE,CAAoB;;;GAG5C,CAAC;IACF,GAAG,CAAC;QACF,GAAG,EAAE,eAAe;QACpB,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,IAAI;QACX,MAAM,EACJ,mGAAmG;QACrG,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IACH,4DAA4D;IAC5D,EAAE;IACF,2EAA2E;IAC3E,2EAA2E;IAC3E,6EAA6E;IAC7E,6CAA6C;IAC7C,EAAE;IACF,6EAA6E;IAC7E,uEAAuE;IACvE,0EAA0E;IAC1E,0EAA0E;IAC1E,yBAAyB;IACzB,MAAM,YAAY,GAAG,CAAC,MAAM,EAAE,IAAI,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC;IAC7C,GAAG,CAAC;QACF,GAAG,EAAE,2CAA2C;QAChD,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,KAAK;QACZ,MAAM,EACJ,kMAAkM;QACpM,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,GAAG,CAAC;QACF,GAAG,EAAE,aAAa;QAClB,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,KAAK;QACZ,MAAM,EAAE,YAAY;YAClB,CAAC,CAAC,4MAA4M;YAC9M,CAAC,CAAC,wGAAwG;QAC5G,SAAS,EAAE,IAAI;KAChB,CAAC,CAAC;IAEH,MAAM,IAAI,GAAG,eAAe,CAAC,GAAG,CAAC,CAAC;IAClC,GAAG,CAAC;QACF,GAAG,EAAE,mBAAmB;QACxB,QAAQ,EAAE,UAAU;QACpB,KAAK,EAAE,IAAI;QACX,MAAM,EAAE,IAAI,CAAC,mBAAmB;YAC9B,CAAC,CAAC,+DAA+D;YACjE,CAAC,CAAC,+BAA+B;QACnC,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,EAAE;IACF,4EAA4E;IAC5E,yEAAyE;IACzE,MAAM,CAAC,GAAG,CAAC,GAAG,MAAM,EAAE,CAAyB;;;;;;;;;GAS9C,CAAC;IACF,GAAG,CAAC;QACF,GAAG,EAAE,uBAAuB;QAC5B,QAAQ,EAAE,UAAU;QACpB,KAAK,EAAE,CAAC,GAAG,EAAE,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC;QAClC,MAAM,EACJ,CAAC,GAAG,EAAE,SAAS,IAAI,CAAC,CAAC,KAAK,CAAC;YACzB,CAAC,CAAC,wEAAwE;YAC1E,CAAC,CAAC,GAAG,GAAG,EAAE,SAAS,oCAAoC;QAC3D,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IAEH,GAAG,CAAC;QACF,GAAG,EAAE,4BAA4B;QACjC,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,IAAI;QACX,MAAM,EACJ,+GAA+G;QACjH,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IAEH,2EAA2E;IAC3E,MAAM,CAAC,SAAS,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE5C,CAAC;IACF,GAAG,CAAC;QACF,GAAG,EAAE,kBAAkB;QACvB,QAAQ,EAAE,WAAW;QACrB,KAAK,EAAE,CAAC,SAAS,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;QAC9B,MAAM,EACJ,CAAC,SAAS,EAAE,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC;YACrB,CAAC,CAAC,GAAG,SAAS,EAAE,CAAC,8CAA8C;YAC/D,CAAC,CAAC,kFAAkF;QACxF,SAAS,EAAE,KAAK;KACjB,CAAC,CAAC;IAEH,MAAM,cAAc,GAAG,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC;IAC/E,OAAO;QACL,KAAK;QACL,cAAc;QACd,eAAe,EAAE,KAAK,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC;QAC5C,aAAa,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,SAAS,IAAI,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC;KAC9E,CAAC;AACJ,CAAC"}

package/dist/pilot/milestone.d.ts

@@ -0,0 +1,56 @@
+import type { Tx } from '../db/client.js';
+/**
+ * A fronteira entre o que era ensaio e o que é operação.
+ *
+ * ## Por que precisa ser um fato gravado
+ *
+ * O tenant da SC já tem registros: desenvolvimento, QA, homologação,
+ * demonstração e os artefatos do App Review da Meta. Nenhum é carteira real.
+ *
+ * Sem um marco explícito, daqui a três meses ninguém distingue "cliente de
+ * teste de agosto" de "cliente real de setembro" — e todo indicador do painel
+ * passa a somar os dois. Inadimplência, faturamento, produtividade: todos
+ * ficam sem significado, e o erro é irreversível porque a informação que os
+ * separava nunca existiu.
+ *
+ * O marco é uma linha no tempo com autor e data. Tudo antes dele é
+ * pré-produtivo por definição; tudo depois é operação.
+ */
+export interface PilotMilestone {
+    occurredAt: string;
+    declaredBy: string | null;
+    note: string | null;
+}
+export declare function getRealPilotStart(tx: Tx): Promise<PilotMilestone | null>;
+/**
+ * Declara o início do piloto real.
+ *
+ * **Idempotente e não sobrescreve.** Se o marco já existe, a chamada devolve o
+ * que está lá em vez de mover a linha: "quando começou de verdade" não admite
+ * duas respostas, e uma segunda declaração seria alguém reescrevendo a
+ * fronteira depois de os dados já terem cruzado.
+ */
+export declare function declareRealPilotStart(tx: Tx, input: {
+    actorId: string | null;
+    note?: string | null;
+}): Promise<{
+    milestone: PilotMilestone;
+    created: boolean;
+}>;
+export interface DataProvenance {
+    /** `null` enquanto o piloto real não foi declarado. */
+    realPilotStartedAt: string | null;
+    /** Clientes criados ANTES do marco — ou todos, se ele não existe. */
+    preProduction: number;
+    /** Clientes criados a partir do marco. */
+    realPilot: number;
+}
+/**
+ * Quantos clientes de cada lado da fronteira.
+ *
+ * Enquanto o marco não existe, **tudo** é pré-produtivo — e não "tudo é real",
+ * que seria o default otimista. Um sistema que assume produção antes de alguém
+ * declarar produção é o que produz o indicador sem significado.
+ */
+export declare function dataProvenance(tx: Tx): Promise<DataProvenance>;
+//# sourceMappingURL=milestone.d.ts.map

package/dist/pilot/milestone.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"milestone.d.ts","sourceRoot":"","sources":["../../src/pilot/milestone.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAG1C;;;;;;;;;;;;;;;;GAgBG;AAEH,MAAM,WAAW,cAAc;IAC7B,UAAU,EAAE,MAAM,CAAC;IACnB,UAAU,EAAE,MAAM,GAAG,IAAI,CAAC;IAC1B,IAAI,EAAE,MAAM,GAAG,IAAI,CAAC;CACrB;AAED,wBAAsB,iBAAiB,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,cAAc,GAAG,IAAI,CAAC,CAU9E;AAED;;;;;;;GAOG;AACH,wBAAsB,qBAAqB,CACzC,EAAE,EAAE,EAAE,EACN,KAAK,EAAE;IAAE,OAAO,EAAE,MAAM,GAAG,IAAI,CAAC;IAAC,IAAI,CAAC,EAAE,MAAM,GAAG,IAAI,CAAA;CAAE,GACtD,OAAO,CAAC;IAAE,SAAS,EAAE,cAAc,CAAC;IAAC,OAAO,EAAE,OAAO,CAAA;CAAE,CAAC,CA0B1D;AAED,MAAM,WAAW,cAAc;IAC7B,uDAAuD;IACvD,kBAAkB,EAAE,MAAM,GAAG,IAAI,CAAC;IAClC,qEAAqE;IACrE,aAAa,EAAE,MAAM,CAAC;IACtB,0CAA0C;IAC1C,SAAS,EAAE,MAAM,CAAC;CACnB;AAED;;;;;;GAMG;AACH,wBAAsB,cAAc,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,cAAc,CAAC,CAkBpE"}

package/dist/pilot/milestone.js

@@ -0,0 +1,74 @@
+import { uuidv7 } from '@baruk/shared';
+export async function getRealPilotStart(tx) {
+    const rows = await tx `
+    SELECT occurred_at, declared_by, note
+      FROM tenant_pilot_milestone
+     WHERE milestone = 'real_pilot_start'
+  `;
+    const r = rows[0];
+    return r
+        ? { occurredAt: r.occurred_at.toISOString(), declaredBy: r.declared_by, note: r.note }
+        : null;
+}
+/**
+ * Declara o início do piloto real.
+ *
+ * **Idempotente e não sobrescreve.** Se o marco já existe, a chamada devolve o
+ * que está lá em vez de mover a linha: "quando começou de verdade" não admite
+ * duas respostas, e uma segunda declaração seria alguém reescrevendo a
+ * fronteira depois de os dados já terem cruzado.
+ */
+export async function declareRealPilotStart(tx, input) {
+    const existente = await getRealPilotStart(tx);
+    if (existente)
+        return { milestone: existente, created: false };
+    const rows = await tx `
+    INSERT INTO tenant_pilot_milestone (id, tenant_id, milestone, declared_by, note)
+    VALUES (${uuidv7()}, current_setting('app.current_tenant')::uuid, 'real_pilot_start',
+            ${input.actorId}, ${input.note ?? null})
+    ON CONFLICT DO NOTHING
+    RETURNING occurred_at, declared_by, note
+  `;
+    const r = rows[0];
+    if (!r) {
+        // Corrida: outra sessão declarou entre a consulta e o INSERT. A resposta
+        // certa é a linha que ficou, não um erro.
+        const agora = await getRealPilotStart(tx);
+        return { milestone: agora, created: false };
+    }
+    return {
+        milestone: {
+            occurredAt: r.occurred_at.toISOString(),
+            declaredBy: r.declared_by,
+            note: r.note,
+        },
+        created: true,
+    };
+}
+/**
+ * Quantos clientes de cada lado da fronteira.
+ *
+ * Enquanto o marco não existe, **tudo** é pré-produtivo — e não "tudo é real",
+ * que seria o default otimista. Um sistema que assume produção antes de alguém
+ * declarar produção é o que produz o indicador sem significado.
+ */
+export async function dataProvenance(tx) {
+    const marco = await getRealPilotStart(tx);
+    if (!marco) {
+        const [r] = await tx `
+      SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL
+    `;
+        return { realPilotStartedAt: null, preProduction: r?.n ?? 0, realPilot: 0 };
+    }
+    const [r] = await tx `
+    SELECT count(*) FILTER (WHERE created_at <  ${marco.occurredAt}::timestamptz)::int AS antes,
+           count(*) FILTER (WHERE created_at >= ${marco.occurredAt}::timestamptz)::int AS depois
+      FROM client WHERE deleted_at IS NULL
+  `;
+    return {
+        realPilotStartedAt: marco.occurredAt,
+        preProduction: r?.antes ?? 0,
+        realPilot: r?.depois ?? 0,
+    };
+}
+//# sourceMappingURL=milestone.js.map

package/dist/pilot/milestone.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"milestone.js","sourceRoot":"","sources":["../../src/pilot/milestone.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AA0BvC,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM;IAC5C,MAAM,IAAI,GAAG,MAAM,EAAE,CAA0E;;;;GAI9F,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,OAAO,CAAC;QACN,CAAC,CAAC,EAAE,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE,EAAE,UAAU,EAAE,CAAC,CAAC,WAAW,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE;QACtF,CAAC,CAAC,IAAI,CAAC;AACX,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,qBAAqB,CACzC,EAAM,EACN,KAAuD;IAEvD,MAAM,SAAS,GAAG,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;IAC9C,IAAI,SAAS;QAAE,OAAO,EAAE,SAAS,EAAE,SAAS,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC;IAE/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAA0E;;cAEnF,MAAM,EAAE;cACR,KAAK,CAAC,OAAO,KAAK,KAAK,CAAC,IAAI,IAAI,IAAI;;;GAG/C,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC,EAAE,CAAC;QACP,yEAAyE;QACzE,0CAA0C;QAC1C,MAAM,KAAK,GAAG,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;QAC1C,OAAO,EAAE,SAAS,EAAE,KAAM,EAAE,OAAO,EAAE,KAAK,EAAE,CAAC;IAC/C,CAAC;IACD,OAAO;QACL,SAAS,EAAE;YACT,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;YACvC,UAAU,EAAE,CAAC,CAAC,WAAW;YACzB,IAAI,EAAE,CAAC,CAAC,IAAI;SACb;QACD,OAAO,EAAE,IAAI;KACd,CAAC;AACJ,CAAC;AAWD;;;;;;GAMG;AACH,MAAM,CAAC,KAAK,UAAU,cAAc,CAAC,EAAM;IACzC,MAAM,KAAK,GAAG,MAAM,iBAAiB,CAAC,EAAE,CAAC,CAAC;IAC1C,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,MAAM,CAAC,CAAC,CAAC,GAAG,MAAM,EAAE,CAAiB;;KAEpC,CAAC;QACF,OAAO,EAAE,kBAAkB,EAAE,IAAI,EAAE,aAAa,EAAE,CAAC,EAAE,CAAC,IAAI,CAAC,EAAE,SAAS,EAAE,CAAC,EAAE,CAAC;IAC9E,CAAC;IACD,MAAM,CAAC,CAAC,CAAC,GAAG,MAAM,EAAE,CAAqC;kDACT,KAAK,CAAC,UAAU;kDAChB,KAAK,CAAC,UAAU;;GAE/D,CAAC;IACF,OAAO;QACL,kBAAkB,EAAE,KAAK,CAAC,UAAU;QACpC,aAAa,EAAE,CAAC,EAAE,KAAK,IAAI,CAAC;QAC5B,SAAS,EAAE,CAAC,EAAE,MAAM,IAAI,CAAC;KAC1B,CAAC;AACJ,CAAC"}

package/dist/platform/capabilities.d.ts

@@ -0,0 +1,88 @@
+/**
+ * O contrato de CAPACIDADE entre a API e as telas que a consomem.
+ *
+ * ## O defeito que isto existe para fechar
+ *
+ * O console publica na Vercel no instante do merge. A API publica na Render
+ * depois — build da imagem, `db:predeploy`, health check. Entre um e outro
+ * existe uma janela de minutos em que o navegador carrega a tela NOVA e fala
+ * com a API VELHA. Na Onda A isso não foi hipótese: nove rotas
+ * (`/v1/tenant/profile`, `/v1/tenant/features`, `/v1/tenant/setup`,
+ * `/v1/fiscal/governance` e as irmãs) existiram na tela antes de existirem no
+ * servidor.
+ *
+ * O que a pessoa via nessa janela era a pior variante possível: um 404 da API
+ * que o Next transforma em tela genérica de erro, com `digest` e pedido de
+ * abrir chamado — o mesmo modo de falha que o `SemAcesso` corrigiu para RBAC.
+ * Não é erro do sistema: é uma versão que ainda não subiu.
+ *
+ * ## Por que capacidade, e não SHA
+ *
+ * Comparar o commit servido com o commit esperado acopla a tela ao processo de
+ * release: qualquer publicação — inclusive uma que não muda nada relevante —
+ * passa a poder derrubar a tela, e um hotfix na API com outro SHA reprovaria
+ * um frontend perfeitamente compatível. O que a tela precisa saber não é QUAL
+ * build está no ar, e sim se aquele build SABE responder o que ela vai pedir.
+ *
+ * Por isso o contrato é uma lista de nomes. A API declara o que serve; a tela
+ * declara o que exige. Compatibilidade é continência de conjunto, não
+ * igualdade de versão — e é isso que torna o backend-first possível: a API
+ * publica a capacidade ANTES da tela existir, e nada quebra porque ninguém
+ * ainda a exige.
+ *
+ * ## Regras de evolução
+ *
+ * - Uma chave é imutável. Mudança incompatível ganha `.v2`; a `.v1` só sai
+ *   quando nenhum frontend em produção ainda a exigir.
+ * - A API nunca declara capacidade que não implementa — o guarda
+ *   `capabilities.test.ts` confere cada rota declarada contra as rotas
+ *   efetivamente montadas no Fastify. Declarar sem implementar seria o mesmo
+ *   defeito de novo, com um passo a mais de indireção.
+ * - Ausência é resposta legítima. A tela degrada para "aguardando a API", não
+ *   para erro.
+ */
+/**
+ * Versão do FORMATO da resposta de `/v1/capabilities` — não das capacidades.
+ *
+ * Muda apenas se a forma do documento mudar. Um cliente que não reconhece a
+ * versão trata tudo como indisponível: fail-closed é a única leitura segura de
+ * um contrato que não se sabe ler.
+ */
+export declare const CAPABILITY_CONTRACT_VERSION = 1;
+export interface ApiCapabilityDef {
+    /** `<produto>.<recurso>.v<N>`. Imutável depois de publicada. */
+    key: string;
+    label: string;
+    /**
+     * Rotas que compõem a capacidade, no formato do Fastify (`/v1/x/:id`).
+     *
+     * Não é documentação: é o que o guarda executa. Uma capacidade cujas rotas
+     * não existem no app montado reprova o build.
+     */
+    routes: readonly string[];
+}
+/**
+ * O que ESTE build da API serve.
+ *
+ * A Onda A entra inteira porque foi ela quem sofreu o skew. Capacidades
+ * anteriores não estão aqui de propósito: uma tela que nunca conheceu janela
+ * de incompatibilidade não ganha um portão novo para atravessar.
+ */
+export declare const API_CAPABILITIES: readonly ApiCapabilityDef[];
+export declare const API_CAPABILITY_KEYS: readonly string[];
+/** Formato exigido de uma chave. O guarda usa isto; a revisão humana não basta. */
+export declare const CAPABILITY_KEY_PATTERN: RegExp;
+export interface CapabilityDocument {
+    contract: number;
+    capabilities: readonly string[];
+}
+/**
+ * A API declarada satisfaz o que a tela exige?
+ *
+ * Fail-closed em três frentes, e todas já aconteceram em produção em algum
+ * produto: documento ausente (API velha, sem a rota), versão de contrato
+ * desconhecida (cliente novo demais ou velho demais) e capacidade faltando.
+ * Nenhuma delas devolve "sim por não saber".
+ */
+export declare function satisfiesCapability(doc: CapabilityDocument | null | undefined, required: string): boolean;
+//# sourceMappingURL=capabilities.d.ts.map

package/dist/platform/capabilities.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"capabilities.d.ts","sourceRoot":"","sources":["../../src/platform/capabilities.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA0CG;AAEH;;;;;;GAMG;AACH,eAAO,MAAM,2BAA2B,IAAI,CAAC;AAE7C,MAAM,WAAW,gBAAgB;IAC/B,gEAAgE;IAChE,GAAG,EAAE,MAAM,CAAC;IACZ,KAAK,EAAE,MAAM,CAAC;IACd;;;;;OAKG;IACH,MAAM,EAAE,SAAS,MAAM,EAAE,CAAC;CAC3B;AAED;;;;;;GAMG;AACH,eAAO,MAAM,gBAAgB,EAAE,SAAS,gBAAgB,EAgEvD,CAAC;AAEF,eAAO,MAAM,mBAAmB,EAAE,SAAS,MAAM,EAAuC,CAAC;AAEzF,mFAAmF;AACnF,eAAO,MAAM,sBAAsB,QACgC,CAAC;AAEpE,MAAM,WAAW,kBAAkB;IACjC,QAAQ,EAAE,MAAM,CAAC;IACjB,YAAY,EAAE,SAAS,MAAM,EAAE,CAAC;CACjC;AAED;;;;;;;GAOG;AACH,wBAAgB,mBAAmB,CACjC,GAAG,EAAE,kBAAkB,GAAG,IAAI,GAAG,SAAS,EAC1C,QAAQ,EAAE,MAAM,GACf,OAAO,CAIT"}

package/dist/platform/capabilities.js

@@ -0,0 +1,140 @@
+/**
+ * O contrato de CAPACIDADE entre a API e as telas que a consomem.
+ *
+ * ## O defeito que isto existe para fechar
+ *
+ * O console publica na Vercel no instante do merge. A API publica na Render
+ * depois — build da imagem, `db:predeploy`, health check. Entre um e outro
+ * existe uma janela de minutos em que o navegador carrega a tela NOVA e fala
+ * com a API VELHA. Na Onda A isso não foi hipótese: nove rotas
+ * (`/v1/tenant/profile`, `/v1/tenant/features`, `/v1/tenant/setup`,
+ * `/v1/fiscal/governance` e as irmãs) existiram na tela antes de existirem no
+ * servidor.
+ *
+ * O que a pessoa via nessa janela era a pior variante possível: um 404 da API
+ * que o Next transforma em tela genérica de erro, com `digest` e pedido de
+ * abrir chamado — o mesmo modo de falha que o `SemAcesso` corrigiu para RBAC.
+ * Não é erro do sistema: é uma versão que ainda não subiu.
+ *
+ * ## Por que capacidade, e não SHA
+ *
+ * Comparar o commit servido com o commit esperado acopla a tela ao processo de
+ * release: qualquer publicação — inclusive uma que não muda nada relevante —
+ * passa a poder derrubar a tela, e um hotfix na API com outro SHA reprovaria
+ * um frontend perfeitamente compatível. O que a tela precisa saber não é QUAL
+ * build está no ar, e sim se aquele build SABE responder o que ela vai pedir.
+ *
+ * Por isso o contrato é uma lista de nomes. A API declara o que serve; a tela
+ * declara o que exige. Compatibilidade é continência de conjunto, não
+ * igualdade de versão — e é isso que torna o backend-first possível: a API
+ * publica a capacidade ANTES da tela existir, e nada quebra porque ninguém
+ * ainda a exige.
+ *
+ * ## Regras de evolução
+ *
+ * - Uma chave é imutável. Mudança incompatível ganha `.v2`; a `.v1` só sai
+ *   quando nenhum frontend em produção ainda a exigir.
+ * - A API nunca declara capacidade que não implementa — o guarda
+ *   `capabilities.test.ts` confere cada rota declarada contra as rotas
+ *   efetivamente montadas no Fastify. Declarar sem implementar seria o mesmo
+ *   defeito de novo, com um passo a mais de indireção.
+ * - Ausência é resposta legítima. A tela degrada para "aguardando a API", não
+ *   para erro.
+ */
+/**
+ * Versão do FORMATO da resposta de `/v1/capabilities` — não das capacidades.
+ *
+ * Muda apenas se a forma do documento mudar. Um cliente que não reconhece a
+ * versão trata tudo como indisponível: fail-closed é a única leitura segura de
+ * um contrato que não se sabe ler.
+ */
+export const CAPABILITY_CONTRACT_VERSION = 1;
+/**
+ * O que ESTE build da API serve.
+ *
+ * A Onda A entra inteira porque foi ela quem sofreu o skew. Capacidades
+ * anteriores não estão aqui de propósito: uma tela que nunca conheceu janela
+ * de incompatibilidade não ganha um portão novo para atravessar.
+ */
+export const API_CAPABILITIES = [
+    {
+        key: 'office.tenant-profile.v1',
+        label: 'Identificação do escritório (razão social, CNPJ, fuso)',
+        routes: ['GET /v1/tenant/profile', 'PUT /v1/tenant/profile'],
+    },
+    {
+        key: 'office.tenant-branding.v1',
+        label: 'Marca do escritório',
+        routes: ['GET /v1/tenant/branding', 'PUT /v1/tenant/branding'],
+    },
+    {
+        key: 'office.tenant-features.v1',
+        label: 'Módulos ligados e desligados pelo próprio escritório',
+        routes: ['GET /v1/tenant/features', 'PUT /v1/tenant/features'],
+    },
+    {
+        key: 'office.tenant-setup.v1',
+        label: 'Progresso de configuração do escritório',
+        routes: ['GET /v1/tenant/setup'],
+    },
+    {
+        key: 'office.fiscal-governance.v1',
+        label: 'Governança do catálogo fiscal (fonte oficial e conferência)',
+        routes: [
+            'GET /v1/fiscal/governance',
+            'PUT /v1/fiscal/rules/:id/source',
+            'POST /v1/fiscal/rules/:id/validate',
+        ],
+    },
+    {
+        key: 'office.fiscal-documents.v1',
+        label: 'Documentos fiscais capturados e o estado da sincronização',
+        routes: [
+            'GET /v1/fiscal/documents',
+            'GET /v1/fiscal/documents/:id',
+            'GET /v1/fiscal/sync-state',
+        ],
+    },
+    {
+        key: 'office.fiscal-operations.v1',
+        label: 'Motor operacional fiscal: estado por cliente, cobertura, fila humana e caixa de entrada',
+        routes: [
+            'GET /v1/fiscal/sync-clients',
+            'GET /v1/fiscal/coverage',
+            'GET /v1/fiscal/interventions',
+            'GET /v1/fiscal/metrics',
+            'GET /v1/fiscal/inbox',
+            'POST /v1/fiscal/inbox/:id/reprocess',
+            'GET /v1/fiscal/request-coverage',
+        ],
+    },
+    {
+        // Separada de `fiscal-operations` de propósito: ela não descreve a carteira
+        // do escritório, e sim o CONTRATO com o provedor oficial. Um console que
+        // exiba "transporte real desativado" antes de a rota existir mostraria a
+        // tela genérica de erro em vez do estado — que é exatamente o modo de falha
+        // que o portão de capacidade existe para fechar.
+        key: 'office.fiscal-provider-contract.v1',
+        label: 'Contrato do provedor fiscal oficial: versão, fontes e por que o transporte real está fechado',
+        routes: ['GET /v1/fiscal/provider-contract'],
+    },
+];
+export const API_CAPABILITY_KEYS = API_CAPABILITIES.map((c) => c.key);
+/** Formato exigido de uma chave. O guarda usa isto; a revisão humana não basta. */
+export const CAPABILITY_KEY_PATTERN = /^[a-z0-9]+(?:-[a-z0-9]+)*(?:\.[a-z0-9]+(?:-[a-z0-9]+)*)+\.v\d+$/;
+/**
+ * A API declarada satisfaz o que a tela exige?
+ *
+ * Fail-closed em três frentes, e todas já aconteceram em produção em algum
+ * produto: documento ausente (API velha, sem a rota), versão de contrato
+ * desconhecida (cliente novo demais ou velho demais) e capacidade faltando.
+ * Nenhuma delas devolve "sim por não saber".
+ */
+export function satisfiesCapability(doc, required) {
+    if (!doc)
+        return false;
+    if (doc.contract !== CAPABILITY_CONTRACT_VERSION)
+        return false;
+    return doc.capabilities.includes(required);
+}
+//# sourceMappingURL=capabilities.js.map

package/dist/platform/capabilities.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"capabilities.js","sourceRoot":"","sources":["../../src/platform/capabilities.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA0CG;AAEH;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,2BAA2B,GAAG,CAAC,CAAC;AAe7C;;;;;;GAMG;AACH,MAAM,CAAC,MAAM,gBAAgB,GAAgC;IAC3D;QACE,GAAG,EAAE,0BAA0B;QAC/B,KAAK,EAAE,wDAAwD;QAC/D,MAAM,EAAE,CAAC,wBAAwB,EAAE,wBAAwB,CAAC;KAC7D;IACD;QACE,GAAG,EAAE,2BAA2B;QAChC,KAAK,EAAE,qBAAqB;QAC5B,MAAM,EAAE,CAAC,yBAAyB,EAAE,yBAAyB,CAAC;KAC/D;IACD;QACE,GAAG,EAAE,2BAA2B;QAChC,KAAK,EAAE,sDAAsD;QAC7D,MAAM,EAAE,CAAC,yBAAyB,EAAE,yBAAyB,CAAC;KAC/D;IACD;QACE,GAAG,EAAE,wBAAwB;QAC7B,KAAK,EAAE,yCAAyC;QAChD,MAAM,EAAE,CAAC,sBAAsB,CAAC;KACjC;IACD;QACE,GAAG,EAAE,6BAA6B;QAClC,KAAK,EAAE,6DAA6D;QACpE,MAAM,EAAE;YACN,2BAA2B;YAC3B,iCAAiC;YACjC,oCAAoC;SACrC;KACF;IACD;QACE,GAAG,EAAE,4BAA4B;QACjC,KAAK,EAAE,2DAA2D;QAClE,MAAM,EAAE;YACN,0BAA0B;YAC1B,8BAA8B;YAC9B,2BAA2B;SAC5B;KACF;IACD;QACE,GAAG,EAAE,6BAA6B;QAClC,KAAK,EACH,yFAAyF;QAC3F,MAAM,EAAE;YACN,6BAA6B;YAC7B,yBAAyB;YACzB,8BAA8B;YAC9B,wBAAwB;YACxB,sBAAsB;YACtB,qCAAqC;YACrC,iCAAiC;SAClC;KACF;IACD;QACE,4EAA4E;QAC5E,yEAAyE;QACzE,yEAAyE;QACzE,4EAA4E;QAC5E,iDAAiD;QACjD,GAAG,EAAE,oCAAoC;QACzC,KAAK,EACH,8FAA8F;QAChG,MAAM,EAAE,CAAC,kCAAkC,CAAC;KAC7C;CACF,CAAC;AAEF,MAAM,CAAC,MAAM,mBAAmB,GAAsB,gBAAgB,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;AAEzF,mFAAmF;AACnF,MAAM,CAAC,MAAM,sBAAsB,GACjC,iEAAiE,CAAC;AAOpE;;;;;;;GAOG;AACH,MAAM,UAAU,mBAAmB,CACjC,GAA0C,EAC1C,QAAgB;IAEhB,IAAI,CAAC,GAAG;QAAE,OAAO,KAAK,CAAC;IACvB,IAAI,GAAG,CAAC,QAAQ,KAAK,2BAA2B;QAAE,OAAO,KAAK,CAAC;IAC/D,OAAO,GAAG,CAAC,YAAY,CAAC,QAAQ,CAAC,QAAQ,CAAC,CAAC;AAC7C,CAAC"}