@baruk/core 0.3.1 → 0.5.0

package/dist/cjs/contacts/phone.js

@@ -0,0 +1,192 @@
+"use strict";
+/**
+ * Telefone brasileiro em formato canônico.
+ *
+ * Existe UMA vez, e não uma por canal, porque WhatsApp e SMS discordariam no
+ * primeiro caso de borda — e discordar aqui significa uma mensagem chegar e a
+ * outra não, para o mesmo cliente, sem que nada no sistema explique por quê.
+ *
+ * O que este módulo NÃO faz: dizer se o número existe, se está ativo, ou se tem
+ * WhatsApp. Nada disso é derivável do formato. Ele responde uma pergunta só —
+ * "isto tem a FORMA de um número brasileiro discável?" — e a resposta negativa
+ * é confiável, enquanto a positiva é apenas necessária, nunca suficiente.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.parseBrazilPhone = parseBrazilPhone;
+exports.isMessagingCapable = isMessagingCapable;
+exports.toE164OrNull = toE164OrNull;
+exports.maskPhone = maskPhone;
+/**
+ * DDDs válidos no Plano Nacional de Numeração.
+ *
+ * Lista explícita, e não `[1-9][1-9]`, porque a faixa admite combinações que não
+ * existem (20, 23, 25, 26, 29, 30, 36, 39, 40, 50, 52, 56, 57, 58, 59, 60, 70,
+ * 72, 76, 78, 80, 90). Aceitar um DDD inexistente produz um E.164 bem formado
+ * que o provider aceita, cobra e nunca entrega — a pior combinação possível,
+ * porque falha silenciosa custa dinheiro e parece sucesso.
+ */
+const VALID_AREA_CODES = new Set([
+    '11',
+    '12',
+    '13',
+    '14',
+    '15',
+    '16',
+    '17',
+    '18',
+    '19',
+    '21',
+    '22',
+    '24',
+    '27',
+    '28',
+    '31',
+    '32',
+    '33',
+    '34',
+    '35',
+    '37',
+    '38',
+    '41',
+    '42',
+    '43',
+    '44',
+    '45',
+    '46',
+    '47',
+    '48',
+    '49',
+    '51',
+    '53',
+    '54',
+    '55',
+    '61',
+    '62',
+    '63',
+    '64',
+    '65',
+    '66',
+    '67',
+    '68',
+    '69',
+    '71',
+    '73',
+    '74',
+    '75',
+    '77',
+    '79',
+    '81',
+    '82',
+    '83',
+    '84',
+    '85',
+    '86',
+    '87',
+    '88',
+    '89',
+    '91',
+    '92',
+    '93',
+    '94',
+    '95',
+    '96',
+    '97',
+    '98',
+    '99',
+]);
+/**
+ * Normaliza um telefone digitado por gente.
+ *
+ * Aceita o que o operador realmente digita: `(62) 99999-8888`, `62999998888`,
+ * `+55 62 99999 8888`, `55 62 9999-8888`, com espaço, ponto, barra ou traço.
+ *
+ * A ambiguidade real é o `55`: ele é DDI (Brasil) e também DDD (Rio Grande do
+ * Sul). `5551999998888` tem 13 dígitos e é `+55 51 99999-8888`; `5599998888`
+ * tem 10 e é `(55) 9999-8888`, um fixo gaúcho. O tamanho resolve — e é por isso
+ * que a decisão é tomada pelo COMPRIMENTO antes de olhar o prefixo, nunca ao
+ * contrário.
+ */
+function parseBrazilPhone(raw) {
+    if (!raw)
+        return { ok: false, reason: 'empty' };
+    // Um `+` em qualquer posição só importa no começo; o resto é ruído de
+    // digitação. Guardamos a intenção de DDI antes de descartar tudo que não é
+    // dígito, porque depois disso `+55…` e `55…` seriam indistinguíveis.
+    const trimmed = raw.trim();
+    const hadPlus = trimmed.startsWith('+');
+    const digits = trimmed.replace(/\D/g, '');
+    if (!digits)
+        return { ok: false, reason: 'empty' };
+    // Com `+` explícito, o DDI é o que veio. `+1` não é problema nosso: recusar é
+    // honesto, adivinhar seria inventar um número.
+    if (hadPlus && !digits.startsWith('55'))
+        return { ok: false, reason: 'foreign' };
+    let national;
+    if (digits.length === 12 || digits.length === 13) {
+        // DDI + DDD + 8 ou 9 dígitos.
+        if (!digits.startsWith('55'))
+            return { ok: false, reason: 'foreign' };
+        national = digits.slice(2);
+    }
+    else if (digits.length === 10 || digits.length === 11) {
+        // DDD + 8 ou 9 dígitos, sem DDI.
+        national = digits;
+    }
+    else {
+        return { ok: false, reason: 'length' };
+    }
+    const areaCode = national.slice(0, 2);
+    if (!VALID_AREA_CODES.has(areaCode))
+        return { ok: false, reason: 'ddd' };
+    const subscriber = national.slice(2);
+    if (subscriber.length === 9) {
+        // Celular: nono dígito é sempre 9, e o dígito seguinte nunca é 0 nem 1.
+        if (subscriber[0] !== '9')
+            return { ok: false, reason: 'not_dialable' };
+        if (subscriber[1] === '0' || subscriber[1] === '1') {
+            return { ok: false, reason: 'not_dialable' };
+        }
+        return { ok: true, e164: `+55${national}`, kind: 'mobile', areaCode, national };
+    }
+    // Oito dígitos: fixo. Celular de 8 dígitos não existe mais desde a
+    // implantação do nono dígito, e RECUSAR é melhor do que completar com um `9`
+    // — completar significa mandar mensagem para um número que o escritório nunca
+    // digitou, e que pode pertencer a outra pessoa.
+    const first = subscriber[0];
+    if (first === '0' || first === '1')
+        return { ok: false, reason: 'not_dialable' };
+    return { ok: true, e164: `+55${national}`, kind: 'landline', areaCode, national };
+}
+/**
+ * O número serve para WhatsApp/SMS?
+ *
+ * Só celular. Fixo é discável e válido — e é exatamente por isso que precisa de
+ * uma checagem própria: ele passa em `parseBrazilPhone`, o provider aceita a
+ * requisição, e a mensagem nunca chega. Um "erro" que não aparece em lugar
+ * nenhum, mês após mês.
+ */
+function isMessagingCapable(parsed) {
+    return parsed.ok && parsed.kind === 'mobile';
+}
+/** Conveniência para gravar em `client.phone_e164`. `null` quando não dá. */
+function toE164OrNull(raw) {
+    const parsed = parseBrazilPhone(raw);
+    return parsed.ok ? parsed.e164 : null;
+}
+/**
+ * Versão para log e tela: `+55 (62) 9****-**88`.
+ *
+ * A trilha precisa provar PARA ONDE foi, e um telefone inteiro em log é PII que
+ * vaza em screenshot, exportação e print de suporte. Os quatro caracteres
+ * visíveis bastam para o operador reconhecer o número que ele mesmo cadastrou,
+ * e não bastam para discar.
+ */
+function maskPhone(e164) {
+    const digits = e164.replace(/\D/g, '');
+    if (digits.length < 6)
+        return '***';
+    const tail = digits.slice(-2);
+    const areaCode = digits.startsWith('55') ? digits.slice(2, 4) : digits.slice(0, 2);
+    return `+55 (${areaCode}) *****-**${tail}`;
+}
+//# sourceMappingURL=phone.js.map

package/dist/cjs/contacts/phone.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"phone.js","sourceRoot":"","sources":["../../../src/contacts/phone.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;GAWG;;AAkHH,4CAiDC;AAUD,gDAEC;AAGD,oCAGC;AAUD,8BAMC;AA9KD;;;;;;;;GAQG;AACH,MAAM,gBAAgB,GAAG,IAAI,GAAG,CAAC;IAC/B,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;CACL,CAAC,CAAC;AAEH;;;;;;;;;;;GAWG;AACH,SAAgB,gBAAgB,CAAC,GAA8B;IAC7D,IAAI,CAAC,GAAG;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAEhD,sEAAsE;IACtE,2EAA2E;IAC3E,qEAAqE;IACrE,MAAM,OAAO,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC;IAC3B,MAAM,OAAO,GAAG,OAAO,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC;IACxC,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IAE1C,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAEnD,8EAA8E;IAC9E,+CAA+C;IAC/C,IAAI,OAAO,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAEjF,IAAI,QAAgB,CAAC;IACrB,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,EAAE,CAAC;QACjD,8BAA8B;QAC9B,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC;YAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;QACtE,QAAQ,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC7B,CAAC;SAAM,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,EAAE,CAAC;QACxD,iCAAiC;QACjC,QAAQ,GAAG,MAAM,CAAC;IACpB,CAAC;SAAM,CAAC;QACN,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC;IACzC,CAAC;IAED,MAAM,QAAQ,GAAG,QAAQ,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IACtC,IAAI,CAAC,gBAAgB,CAAC,GAAG,CAAC,QAAQ,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC;IAEzE,MAAM,UAAU,GAAG,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAErC,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC5B,wEAAwE;QACxE,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG;YAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;QACxE,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG,EAAE,CAAC;YACnD,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;QAC/C,CAAC;QACD,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,QAAQ,EAAE,EAAE,IAAI,EAAE,QAAQ,EAAE,QAAQ,EAAE,QAAQ,EAAE,CAAC;IAClF,CAAC;IAED,mEAAmE;IACnE,6EAA6E;IAC7E,8EAA8E;IAC9E,gDAAgD;IAChD,MAAM,KAAK,GAAG,UAAU,CAAC,CAAC,CAAE,CAAC;IAC7B,IAAI,KAAK,KAAK,GAAG,IAAI,KAAK,KAAK,GAAG;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IACjF,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,QAAQ,EAAE,EAAE,IAAI,EAAE,UAAU,EAAE,QAAQ,EAAE,QAAQ,EAAE,CAAC;AACpF,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,kBAAkB,CAAC,MAAkB;IACnD,OAAO,MAAM,CAAC,EAAE,IAAI,MAAM,CAAC,IAAI,KAAK,QAAQ,CAAC;AAC/C,CAAC;AAED,6EAA6E;AAC7E,SAAgB,YAAY,CAAC,GAA8B;IACzD,MAAM,MAAM,GAAG,gBAAgB,CAAC,GAAG,CAAC,CAAC;IACrC,OAAO,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;AACxC,CAAC;AAED;;;;;;;GAOG;AACH,SAAgB,SAAS,CAAC,IAAY;IACpC,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IACvC,IAAI,MAAM,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACpC,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC;IAC9B,MAAM,QAAQ,GAAG,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IACnF,OAAO,QAAQ,QAAQ,aAAa,IAAI,EAAE,CAAC;AAC7C,CAAC"}

package/dist/cjs/dashboard/pilot-panel.js

@@ -0,0 +1,90 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.getPilotPanel = getPilotPanel;
+const ar_repository_js_1 = require("../billing/ar-repository.js");
+const milestone_js_1 = require("../pilot/milestone.js");
+/**
+ * Uma consulta por bloco, não uma por número.
+ *
+ * `count(*) FILTER (WHERE …)` faz o Postgres varrer a tabela uma vez e devolver
+ * todos os recortes. Doze `SELECT count(*)` separados dariam o mesmo resultado
+ * com doze varreduras — e, pior, com doze instantes diferentes: dois números do
+ * mesmo painel poderiam discordar entre si.
+ */
+async function getPilotPanel(tx) {
+    const [clientes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE c.status = 'active')::int                        AS ativos,
+      count(*) FILTER (WHERE c.status = 'prospect')::int                      AS onboarding,
+      count(*) FILTER (WHERE c.status = 'active' AND c.email IS NULL)::int    AS sem_canal,
+      count(*) FILTER (WHERE c.status = 'active'
+                        AND c.responsible_user_id IS NULL)::int               AS sem_resp,
+      count(*) FILTER (WHERE c.status = 'active'
+                        AND c.email IS NOT NULL
+                        AND c.communication_cleared_at IS NULL)::int          AS sem_liberacao
+    FROM client c
+   WHERE c.deleted_at IS NULL
+  `;
+    const [obrigacoes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE due_date = current_date)::int                    AS hoje,
+      count(*) FILTER (WHERE due_date > current_date
+                        AND due_date <= current_date + 7)::int                AS sete,
+      count(*) FILTER (WHERE due_date < current_date)::int                    AS atraso,
+      count(*) FILTER (WHERE responsible_user_id IS NULL)::int                AS sem_resp,
+      count(*) FILTER (WHERE status = 'awaiting_client')::int                 AS aguardando
+    FROM recurring_instance
+   WHERE deleted_at IS NULL
+     AND status NOT IN ('done', 'not_applicable', 'canceled')
+  `;
+    const [documentos] = await tx `
+    SELECT
+      count(*) FILTER (WHERE status = 'requested')::int                       AS pendentes,
+      count(*) FILTER (WHERE status = 'requested'
+                        AND due_date IS NOT NULL AND due_date < current_date)::int AS vencidos,
+      count(*) FILTER (WHERE status = 'received')::int                        AS validar
+    FROM document_request
+   WHERE deleted_at IS NULL
+  `;
+    const [solicitacoes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE status IN ('sent', 'viewed', 'awaiting_client'))::int AS cliente,
+      count(*) FILTER (WHERE status IN ('answered', 'in_review'))::int             AS equipe
+    FROM service_request
+   WHERE deleted_at IS NULL
+  `;
+    const financeiro = await (0, ar_repository_js_1.financialSummary)(tx);
+    const provenance = await (0, milestone_js_1.dataProvenance)(tx);
+    return {
+        provenance,
+        clientes: {
+            ativos: clientes?.ativos ?? 0,
+            emOnboarding: clientes?.onboarding ?? 0,
+            semCanalAutomatico: clientes?.sem_canal ?? 0,
+            semResponsavel: clientes?.sem_resp ?? 0,
+            aguardandoLiberacao: clientes?.sem_liberacao ?? 0,
+        },
+        obrigacoes: {
+            venceHoje: obrigacoes?.hoje ?? 0,
+            venceEm7Dias: obrigacoes?.sete ?? 0,
+            atrasadas: obrigacoes?.atraso ?? 0,
+            semResponsavel: obrigacoes?.sem_resp ?? 0,
+            aguardandoCliente: obrigacoes?.aguardando ?? 0,
+        },
+        documentos: {
+            pendentes: documentos?.pendentes ?? 0,
+            vencidos: documentos?.vencidos ?? 0,
+            aguardandoValidacao: documentos?.validar ?? 0,
+        },
+        solicitacoes: {
+            aguardandoCliente: solicitacoes?.cliente ?? 0,
+            aguardandoEquipe: solicitacoes?.equipe ?? 0,
+        },
+        financeiro: {
+            recebiveisVencidos: financeiro.overdueCount,
+            valorVencido: financeiro.totalOverdue,
+            aVencerEm7Dias: financeiro.totalDueSoon,
+        },
+    };
+}
+//# sourceMappingURL=pilot-panel.js.map

package/dist/cjs/dashboard/pilot-panel.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"pilot-panel.js","sourceRoot":"","sources":["../../../src/dashboard/pilot-panel.ts"],"names":[],"mappings":";;AAqGA,sCA0FC;AA9LD,kEAA+D;AAC/D,wDAA4E;AA2F5E;;;;;;;GAOG;AACI,KAAK,UAAU,aAAa,CAAC,EAAM;IACxC,MAAM,CAAC,QAAQ,CAAC,GAAG,MAAM,EAAE,CAQ1B;;;;;;;;;;;;GAYA,CAAC;IAEF,MAAM,CAAC,UAAU,CAAC,GAAG,MAAM,EAAE,CAE5B;;;;;;;;;;;GAWA,CAAC;IAEF,MAAM,CAAC,UAAU,CAAC,GAAG,MAAM,EAAE,CAA4D;;;;;;;;GAQxF,CAAC;IAEF,MAAM,CAAC,YAAY,CAAC,GAAG,MAAM,EAAE,CAAuC;;;;;;GAMrE,CAAC;IAEF,MAAM,UAAU,GAAG,MAAM,IAAA,mCAAgB,EAAC,EAAE,CAAC,CAAC;IAC9C,MAAM,UAAU,GAAG,MAAM,IAAA,6BAAc,EAAC,EAAE,CAAC,CAAC;IAE5C,OAAO;QACL,UAAU;QACV,QAAQ,EAAE;YACR,MAAM,EAAE,QAAQ,EAAE,MAAM,IAAI,CAAC;YAC7B,YAAY,EAAE,QAAQ,EAAE,UAAU,IAAI,CAAC;YACvC,kBAAkB,EAAE,QAAQ,EAAE,SAAS,IAAI,CAAC;YAC5C,cAAc,EAAE,QAAQ,EAAE,QAAQ,IAAI,CAAC;YACvC,mBAAmB,EAAE,QAAQ,EAAE,aAAa,IAAI,CAAC;SAClD;QACD,UAAU,EAAE;YACV,SAAS,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC;YAChC,YAAY,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC;YACnC,SAAS,EAAE,UAAU,EAAE,MAAM,IAAI,CAAC;YAClC,cAAc,EAAE,UAAU,EAAE,QAAQ,IAAI,CAAC;YACzC,iBAAiB,EAAE,UAAU,EAAE,UAAU,IAAI,CAAC;SAC/C;QACD,UAAU,EAAE;YACV,SAAS,EAAE,UAAU,EAAE,SAAS,IAAI,CAAC;YACrC,QAAQ,EAAE,UAAU,EAAE,QAAQ,IAAI,CAAC;YACnC,mBAAmB,EAAE,UAAU,EAAE,OAAO,IAAI,CAAC;SAC9C;QACD,YAAY,EAAE;YACZ,iBAAiB,EAAE,YAAY,EAAE,OAAO,IAAI,CAAC;YAC7C,gBAAgB,EAAE,YAAY,EAAE,MAAM,IAAI,CAAC;SAC5C;QACD,UAAU,EAAE;YACV,kBAAkB,EAAE,UAAU,CAAC,YAAY;YAC3C,YAAY,EAAE,UAAU,CAAC,YAAY;YACrC,cAAc,EAAE,UAAU,CAAC,YAAY;SACxC;KACF,CAAC;AACJ,CAAC"}

package/dist/cjs/dashboard/repository.js

@@ -2,8 +2,18 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.getCoreStats = getCoreStats;
 async function getCoreStats(tx) {
+    // "Clientes ativos" precisa contar clientes ATIVOS.
+    //
+    // Contava todo registro não removido, inativos inclusive — e o card se chama
+    // "Clientes ativos". Com dois clientes inativados, a mesma tela mostrava
+    // `Carteira → Clientes ativos = 0` e `Resumo geral → Clientes ativos = 2`,
+    // porque o painel de carteira filtra por `status` e este não filtrava.
+    //
+    // Duas consultas respondendo à mesma pergunta com definições diferentes é
+    // como um painel perde a confiança de quem o lê: não há como saber qual dos
+    // dois números está certo sem abrir o código.
     const [clients] = await tx `
-    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL
+    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL AND status = 'active'
   `;
     const [users] = await tx `
     SELECT count(*)::int AS n FROM membership WHERE status = 'active' AND deleted_at IS NULL

package/dist/cjs/dashboard/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../../src/dashboard/repository.ts"],"names":[],"mappings":";;AAeA,oCAkCC;AAlCM,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../../src/dashboard/repository.ts"],"names":[],"mappings":";;AAeA,oCA4CC;AA5CM,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,oDAAoD;IACpD,EAAE;IACF,6EAA6E;IAC7E,yEAAyE;IACzE,2EAA2E;IAC3E,uEAAuE;IACvE,EAAE;IACF,0EAA0E;IAC1E,4EAA4E;IAC5E,8CAA8C;IAC9C,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}

package/dist/cjs/db/client.js

@@ -3,24 +3,30 @@ var __importDefault = (this && this.__importDefault) || function (mod) {
     return (mod && mod.__esModule) ? mod : { "default": mod };
 };
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.resolveTls = resolveTls;
 exports.createDb = createDb;
 const postgres_1 = __importDefault(require("postgres"));
-/**
- * Cria um cliente Postgres (postgres.js). Duas instâncias são usadas no
- * ecossistema (05-security §7.1, defesa em profundidade):
- *  - OWNER: roda migrations/seed (cria schema).
- *  - APP (baruk_app): runtime da aplicação — NOSUPERUSER, NOBYPASSRLS, sujeito à RLS.
- */
+const LOCAL_HOST = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/;
+const SSL_DISABLED = /[?&]sslmode=disable(&|$)/;
+function resolveTls(connectionString, env = process.env) {
+    if (LOCAL_HOST.test(connectionString))
+        return { ssl: undefined, reason: 'local' };
+    if (SSL_DISABLED.test(connectionString)) {
+        return { ssl: undefined, reason: 'explicitly-disabled' };
+    }
+    const ca = env['PGSSLROOTCERT_PEM']?.trim();
+    return {
+        ssl: ca ? { rejectUnauthorized: true, ca } : { rejectUnauthorized: true },
+        reason: 'verified',
+    };
+}
 function createDb(connectionString, opts = {}) {
-    // SSL obrigatório em provedores gerenciados (Render/Neon/etc.); desligado em
-    // Postgres local. Detecta pelo host/flag da URL.
-    const isLocal = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/.test(connectionString);
-    const wantsSsl = !isLocal && /sslmode=require|render\.com|neon\.tech|supabase|amazonaws|\.cloud/.test(connectionString);
+    const { ssl } = resolveTls(connectionString);
     return (0, postgres_1.default)(connectionString, {
         max: opts.max ?? 10,
         // UUIDs são gerados na aplicação (uuidv7); datas em UTC.
         prepare: true,
-        ssl: wantsSsl ? { rejectUnauthorized: false } : undefined,
+        ssl,
         onnotice: () => { }, // silencia NOTICEs verbosos de DO-blocks/IF EXISTS
     });
 }

package/dist/cjs/db/client.js.map

@@ -1 +1 @@
-{"version":3,"file":"client.js","sourceRoot":"","sources":["../../../src/db/client.ts"],"names":[],"mappings":";;;;;AAoBA,4BAgBC;AApCD,wDAAgC;AAchC;;;;;GAKG;AACH,SAAgB,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,6EAA6E;IAC7E,iDAAiD;IACjD,MAAM,OAAO,GAAG,gEAAgE,CAAC,IAAI,CACnF,gBAAgB,CACjB,CAAC;IACF,MAAM,QAAQ,GACZ,CAAC,OAAO,IAAI,mEAAmE,CAAC,IAAI,CAAC,gBAAgB,CAAC,CAAC;IAEzG,OAAO,IAAA,kBAAQ,EAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG,EAAE,QAAQ,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS;QACzD,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}
+{"version":3,"file":"client.js","sourceRoot":"","sources":["../../../src/db/client.ts"],"names":[],"mappings":";;;;;AAiEA,gCAaC;AAED,4BAUC;AA1FD,wDAAgC;AA8DhC,MAAM,UAAU,GAAG,gEAAgE,CAAC;AACpF,MAAM,YAAY,GAAG,0BAA0B,CAAC;AAEhD,SAAgB,UAAU,CACxB,gBAAwB,EACxB,MAAyB,OAAO,CAAC,GAAG;IAEpC,IAAI,UAAU,CAAC,IAAI,CAAC,gBAAgB,CAAC;QAAE,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAClF,IAAI,YAAY,CAAC,IAAI,CAAC,gBAAgB,CAAC,EAAE,CAAC;QACxC,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAC3D,CAAC;IACD,MAAM,EAAE,GAAG,GAAG,CAAC,mBAAmB,CAAC,EAAE,IAAI,EAAE,CAAC;IAC5C,OAAO;QACL,GAAG,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE;QACzE,MAAM,EAAE,UAAU;KACnB,CAAC;AACJ,CAAC;AAED,SAAgB,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,MAAM,EAAE,GAAG,EAAE,GAAG,UAAU,CAAC,gBAAgB,CAAC,CAAC;IAE7C,OAAO,IAAA,kBAAQ,EAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG;QACH,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}

package/dist/cjs/db/provision-e2e-identity.js

@@ -0,0 +1,111 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+/**
+ * Provisiona a identidade de automação E2E de um escritório.
+ *
+ * ## Por que é um script, e não uma rota
+ *
+ * Criar a identidade que valida o produto é ato de PROVISIONAMENTO, não de
+ * operação. Expor isso como rota daria a alguém dentro do produto o poder de
+ * fabricar uma conta de automação — e o valor de uma identidade de privilégio
+ * mínimo desaparece se qualquer administrador puder criar outra.
+ *
+ * ## O que ele garante
+ *
+ * - `user_type = 'service'` — reconhecível como não-humana em toda consulta;
+ * - papel `e2e_automation` e nada além: quatro permissões, tenant único;
+ * - idempotente: rodar de novo não duplica nem escala privilégio;
+ * - a senha vem do ambiente e **nunca** é impressa, ecoada ou gravada em log.
+ *
+ * ## Uso
+ *
+ *   OFFICE_MIGRATION_DATABASE_URL=… \
+ *   E2E_IDENTITY_EMAIL=… E2E_IDENTITY_PASSWORD=… \
+ *   pnpm --filter @baruk/core provision:e2e --tenant sc
+ *
+ * Revogar é o caminho inverso e existe na interface: Administração → Usuários →
+ * situação "revogado". Rotacionar é rodar de novo com `--rotate` e uma senha
+ * nova.
+ */
+const client_js_1 = require("./client.js");
+const context_js_1 = require("./context.js");
+const provisioning_js_1 = require("../tenancy/provisioning.js");
+const service_js_1 = require("../auth/service.js");
+const ROLE = 'e2e_automation';
+function arg(nome, padrao) {
+    const i = process.argv.indexOf(`--${nome}`);
+    return i >= 0 ? (process.argv[i + 1] ?? padrao) : padrao;
+}
+async function main() {
+    const url = process.env.OFFICE_MIGRATION_DATABASE_URL ?? process.env.DATABASE_URL;
+    const email = process.env.E2E_IDENTITY_EMAIL;
+    const senha = process.env.E2E_IDENTITY_PASSWORD;
+    const tenantCode = arg('tenant', 'sc');
+    const rotate = process.argv.includes('--rotate');
+    if (!url)
+        throw new Error('OFFICE_MIGRATION_DATABASE_URL ausente.');
+    if (!email)
+        throw new Error('E2E_IDENTITY_EMAIL ausente.');
+    if (!senha || senha.length < 24) {
+        throw new Error('E2E_IDENTITY_PASSWORD ausente ou curta demais (mínimo 24 caracteres).');
+    }
+    const db = (0, client_js_1.createDb)(url, { role: 'owner', max: 2 });
+    try {
+        const [tenant] = await db `
+      SELECT id FROM tenant WHERE code = ${tenantCode} AND deleted_at IS NULL
+    `;
+        if (!tenant)
+            throw new Error(`Organização "${tenantCode}" não encontrada.`);
+        // `user_type: 'service'` é o que separa esta conta de uma pessoa. O tipo já
+        // existe no domínio e na constraint do banco desde a identidade do Core —
+        // não é campo inventado para este caso.
+        const user = await (0, service_js_1.upsertUserWithPassword)(db, {
+            email,
+            fullName: 'Automação de teste (E2E)',
+            password: senha,
+            userType: 'service',
+            overwritePassword: rotate,
+        });
+        await (0, provisioning_js_1.ensureMembership)(db, tenant.id, user.id);
+        await (0, provisioning_js_1.assignSystemRole)(db, tenant.id, user.id, ROLE);
+        // Conferência de saída: o que foi concedido é exatamente o esperado.
+        const permissoes = await (0, context_js_1.withContext)(db, { tenantId: tenant.id, userId: user.id }, async (tx) => {
+            const rows = await tx `
+        SELECT p.key
+          FROM user_role ur
+          JOIN role r ON r.id = ur.role_id
+          JOIN role_permission rp ON rp.role_id = r.id
+          JOIN permission p ON p.id = rp.permission_id
+         WHERE ur.user_id = ${user.id} AND ur.deleted_at IS NULL
+         ORDER BY p.key
+      `;
+            return rows.map((r) => r.key);
+        });
+        // Nada de e-mail, id ou senha na saída: só o que se precisa conferir.
+        console.log(`✓ identidade E2E provisionada em "${tenantCode}"`);
+        console.log(`  tipo: service`);
+        console.log(`  papel: ${ROLE}`);
+        console.log(`  permissões (${permissoes.length}): ${permissoes.join(', ')}`);
+        console.log(`  senha definida nesta execução: ${user.passwordWasSet ? 'sim' : 'não (já existia)'}`);
+        if (permissoes.length !== 4) {
+            throw new Error(`Esperava 4 permissões e encontrei ${permissoes.length}. Abortando: uma identidade de automação com privilégio a mais não deve ficar de pé.`);
+        }
+    }
+    finally {
+        await db.end({ timeout: 5 });
+    }
+}
+/**
+ * Erro de driver de banco costuma trazer a connection string inteira dentro da
+ * mensagem. Quem redige tem de ser a ferramenta: confiar em quem chama é
+ * confiar que ninguém vai esquecer o filtro uma vez.
+ */
+function semSegredo(err) {
+    const bruto = err instanceof Error ? err.message : String(err);
+    return bruto.replace(/postgres(?:ql)?:\/\/\S+/gi, '[connection string redigida]');
+}
+main().catch((err) => {
+    console.error('✗ provisionamento falhou:', semSegredo(err));
+    process.exit(1);
+});
+//# sourceMappingURL=provision-e2e-identity.js.map

package/dist/cjs/db/provision-e2e-identity.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"provision-e2e-identity.js","sourceRoot":"","sources":["../../../src/db/provision-e2e-identity.ts"],"names":[],"mappings":";;AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;GA0BG;AACH,2CAAuC;AACvC,6CAA2C;AAC3C,gEAAgF;AAChF,mDAA4D;AAE5D,MAAM,IAAI,GAAG,gBAAgB,CAAC;AAE9B,SAAS,GAAG,CAAC,IAAY,EAAE,MAAc;IACvC,MAAM,CAAC,GAAG,OAAO,CAAC,IAAI,CAAC,OAAO,CAAC,KAAK,IAAI,EAAE,CAAC,CAAC;IAC5C,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC,IAAI,MAAM,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC;AAC3D,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,MAAM,GAAG,GAAG,OAAO,CAAC,GAAG,CAAC,6BAA6B,IAAI,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAClF,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,kBAAkB,CAAC;IAC7C,MAAM,KAAK,GAAG,OAAO,CAAC,GAAG,CAAC,qBAAqB,CAAC;IAChD,MAAM,UAAU,GAAG,GAAG,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC;IACvC,MAAM,MAAM,GAAG,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,UAAU,CAAC,CAAC;IAEjD,IAAI,CAAC,GAAG;QAAE,MAAM,IAAI,KAAK,CAAC,wCAAwC,CAAC,CAAC;IACpE,IAAI,CAAC,KAAK;QAAE,MAAM,IAAI,KAAK,CAAC,6BAA6B,CAAC,CAAC;IAC3D,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,GAAG,EAAE,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,uEAAuE,CAAC,CAAC;IAC3F,CAAC;IAED,MAAM,EAAE,GAAG,IAAA,oBAAQ,EAAC,GAAG,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACpD,IAAI,CAAC;QACH,MAAM,CAAC,MAAM,CAAC,GAAG,MAAM,EAAE,CAAkB;2CACJ,UAAU;KAChD,CAAC;QACF,IAAI,CAAC,MAAM;YAAE,MAAM,IAAI,KAAK,CAAC,gBAAgB,UAAU,mBAAmB,CAAC,CAAC;QAE5E,4EAA4E;QAC5E,0EAA0E;QAC1E,wCAAwC;QACxC,MAAM,IAAI,GAAG,MAAM,IAAA,mCAAsB,EAAC,EAAE,EAAE;YAC5C,KAAK;YACL,QAAQ,EAAE,0BAA0B;YACpC,QAAQ,EAAE,KAAK;YACf,QAAQ,EAAE,SAAS;YACnB,iBAAiB,EAAE,MAAM;SAC1B,CAAC,CAAC;QAEH,MAAM,IAAA,kCAAgB,EAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,IAAA,kCAAgB,EAAC,EAAE,EAAE,MAAM,CAAC,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,IAAI,CAAC,CAAC;QAErD,qEAAqE;QACrE,MAAM,UAAU,GAAG,MAAM,IAAA,wBAAW,EAClC,EAAE,EACF,EAAE,QAAQ,EAAE,MAAM,CAAC,EAAE,EAAE,MAAM,EAAE,IAAI,CAAC,EAAE,EAAE,EACxC,KAAK,EAAE,EAAE,EAAE,EAAE;YACX,MAAM,IAAI,GAAG,MAAM,EAAE,CAAmB;;;;;;8BAMlB,IAAI,CAAC,EAAE;;OAE9B,CAAC;YACA,OAAO,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,GAAa,CAAC,CAAC;QAC1C,CAAC,CACF,CAAC;QAEF,sEAAsE;QACtE,OAAO,CAAC,GAAG,CAAC,qCAAqC,UAAU,GAAG,CAAC,CAAC;QAChE,OAAO,CAAC,GAAG,CAAC,iBAAiB,CAAC,CAAC;QAC/B,OAAO,CAAC,GAAG,CAAC,YAAY,IAAI,EAAE,CAAC,CAAC;QAChC,OAAO,CAAC,GAAG,CAAC,iBAAiB,UAAU,CAAC,MAAM,MAAM,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,EAAE,CAAC,CAAC;QAC7E,OAAO,CAAC,GAAG,CACT,oCAAoC,IAAI,CAAC,cAAc,CAAC,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,kBAAkB,EAAE,CACvF,CAAC;QAEF,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YAC5B,MAAM,IAAI,KAAK,CACb,qCAAqC,UAAU,CAAC,MAAM,sFAAsF,CAC7I,CAAC;QACJ,CAAC;IACH,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED;;;;GAIG;AACH,SAAS,UAAU,CAAC,GAAY;IAC9B,MAAM,KAAK,GAAG,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC;IAC/D,OAAO,KAAK,CAAC,OAAO,CAAC,2BAA2B,EAAE,8BAA8B,CAAC,CAAC;AACpF,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,2BAA2B,EAAE,UAAU,CAAC,GAAG,CAAC,CAAC,CAAC;IAC5D,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}

package/dist/cjs/db/seed-catalog.js

@@ -0,0 +1,48 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.seedCatalogs = seedCatalogs;
+/**
+ * Catálogos globais — RBAC, produtos do ecossistema e planos do SaaS.
+ *
+ * Isto NÃO é seed de dados de exemplo. São tabelas de configuração sem as quais
+ * o produto não opera: sem o catálogo de planos, `GET /v1/plans` responde uma
+ * lista vazia e ninguém consegue assinar. É schema lógico, não fixture.
+ *
+ * Por isso vive separado de `seed.ts`, que materializa o tenant fundador e um
+ * usuário administrador de desenvolvimento. Aquele seed usa
+ * `upsertUserWithPassword`, que faz `ON CONFLICT DO UPDATE SET password_hash` —
+ * rodá-lo contra um banco em uso redefine a senha de quem já existe. Este aqui
+ * não toca em `user`, `user_credential`, `tenant` nem `membership`.
+ *
+ * Idempotente e seguro para rodar a cada boot. Uso: `pnpm db:seed:catalog`.
+ */
+const index_js_1 = require("../index.js");
+const client_js_1 = require("./client.js");
+const load_env_js_1 = require("./load-env.js");
+async function seedCatalogs(db) {
+    await (0, index_js_1.ensureRbacCatalog)(db);
+    await (0, index_js_1.ensureProductCatalog)(db);
+    await (0, index_js_1.seedSaasPlans)(db);
+}
+async function main() {
+    (0, load_env_js_1.loadEnv)();
+    const ownerUrl = process.env.DATABASE_URL;
+    if (!ownerUrl)
+        throw new Error('DATABASE_URL (papel owner) não definida.');
+    const db = (0, client_js_1.createDb)(ownerUrl, { role: 'owner', max: 1 });
+    try {
+        await seedCatalogs(db);
+        console.log('✓ Catálogos garantidos: RBAC, produtos do ecossistema e planos SaaS.');
+    }
+    finally {
+        await db.end({ timeout: 5 });
+    }
+}
+// Só executa quando chamado direto — permite importar `seedCatalogs` de outro seed.
+if (process.argv[1]?.endsWith('seed-catalog.ts') || process.argv[1]?.endsWith('seed-catalog.js')) {
+    main().catch((error) => {
+        console.error('✗ Falha ao garantir os catálogos:', error instanceof Error ? error.message : error);
+        process.exit(1);
+    });
+}
+//# sourceMappingURL=seed-catalog.js.map

package/dist/cjs/db/seed-catalog.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"seed-catalog.js","sourceRoot":"","sources":["../../../src/db/seed-catalog.ts"],"names":[],"mappings":";;AAmBA,oCAIC;AAvBD;;;;;;;;;;;;;;GAcG;AACH,0CAAqF;AACrF,2CAAuC;AACvC,+CAAwC;AAEjC,KAAK,UAAU,YAAY,CAAC,EAA2C;IAC5E,MAAM,IAAA,4BAAiB,EAAC,EAAE,CAAC,CAAC;IAC5B,MAAM,IAAA,+BAAoB,EAAC,EAAE,CAAC,CAAC;IAC/B,MAAM,IAAA,wBAAa,EAAC,EAAE,CAAC,CAAC;AAC1B,CAAC;AAED,KAAK,UAAU,IAAI;IACjB,IAAA,qBAAO,GAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAE3E,MAAM,EAAE,GAAG,IAAA,oBAAQ,EAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,MAAM,YAAY,CAAC,EAAE,CAAC,CAAC;QACvB,OAAO,CAAC,GAAG,CAAC,sEAAsE,CAAC,CAAC;IACtF,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,oFAAoF;AACpF,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,QAAQ,CAAC,iBAAiB,CAAC,IAAI,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,QAAQ,CAAC,iBAAiB,CAAC,EAAE,CAAC;IACjG,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,KAAK,EAAE,EAAE;QACrB,OAAO,CAAC,KAAK,CACX,mCAAmC,EACnC,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,KAAK,CAC/C,CAAC;QACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC,CAAC,CAAC;AACL,CAAC"}

package/dist/cjs/db/seed.js

@@ -12,6 +12,7 @@ Object.defineProperty(exports, "__esModule", { value: true });
  *
  * Idempotente. Uso: `pnpm db:seed`.
  */
+const seed_catalog_js_1 = require("./seed-catalog.js");
 const index_js_1 = require("../index.js");
 async function main() {
     (0, index_js_1.loadEnv)();
@@ -24,9 +25,9 @@ async function main() {
     const db = (0, index_js_1.createDb)(ownerUrl, { role: 'owner', max: 1 });
     try {
         // 1) Catálogos globais: RBAC + produtos do ecossistema.
-        await (0, index_js_1.ensureRbacCatalog)(db);
-        await (0, index_js_1.ensureProductCatalog)(db);
-        console.log('✓ Catálogos garantidos (RBAC + produtos do ecossistema).');
+        // Delegado a seed-catalog.ts — mesma fonte usada no boot da API.
+        await (0, seed_catalog_js_1.seedCatalogs)(db);
+        console.log('✓ Catálogos garantidos (RBAC, produtos e planos SaaS).');
         // 2) Tenant fundador SC — dados legais não confirmados ficam NULOS.
         const tenantId = await (0, index_js_1.ensureTenant)(db, {
             code: 'sc',
@@ -41,21 +42,28 @@ async function main() {
         await (0, index_js_1.ensureTenantProduct)(db, tenantId, 'contabil');
         console.log('✓ Entitlement do produto Baruk Contábil concedido à SC.');
         // 4) Usuário administrador de DESENVOLVIMENTO (não é dado real de sócio).
+        //
+        // A senha só é gravada se a conta ainda não tiver credencial. Rodar este
+        // seed contra um ambiente já inicializado NÃO troca a senha de quem
+        // administra — ver a nota em `upsertUserWithPassword`. Para redefinir de
+        // propósito, use `SEED_OVERWRITE_ADMIN_PASSWORD=1`, que obriga quem executa
+        // a declarar a intenção no comando.
         const adminEmail = 'admin@sc.baruk.dev';
+        const overwritePassword = process.env.SEED_OVERWRITE_ADMIN_PASSWORD === '1';
         const admin = await (0, index_js_1.upsertUserWithPassword)(db, {
             email: adminEmail,
             fullName: 'Administrador SC (dev)',
             password: adminPassword,
             userType: 'staff',
+            overwritePassword,
         });
-        console.log(`✓ Usuário admin (dev) garantido: ${admin.email}`);
+        console.log(admin.passwordWasSet
+            ? `✓ Usuário admin (dev) garantido: ${admin.email} (senha ${overwritePassword ? 'REDEFINIDA' : 'definida'})`
+            : `✓ Usuário admin (dev) já existia: ${admin.email} (senha PRESERVADA — use SEED_OVERWRITE_ADMIN_PASSWORD=1 para redefinir)`);
         // 5) Vínculo + papel Owner.
         await (0, index_js_1.ensureMembership)(db, tenantId, admin.id);
         await (0, index_js_1.assignSystemRole)(db, tenantId, admin.id, 'owner');
         console.log('✓ Membership + papel Owner atribuídos ao admin no tenant SC.');
-        // 6) Catálogo de planos do SaaS (BILL-01) — idempotente.
-        await (0, index_js_1.seedSaasPlans)(db);
-        console.log('✓ Catálogo de planos SaaS garantido (starter/pro/enterprise/pro-anual).');
         console.log('\n✓ Seed concluído. Login dev: admin@sc.baruk.dev / (SEED_ADMIN_PASSWORD)');
     }
     finally {

package/dist/cjs/db/seed.js.map

@@ -1 +1 @@
-{"version":3,"file":"seed.js","sourceRoot":"","sources":["../../../src/db/seed.ts"],"names":[],"mappings":";;AAAA;;;;;;;;;;;GAWG;AACH,0CAYqB;AAErB,KAAK,UAAU,IAAI;IACjB,IAAA,kBAAO,GAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,aAAa,GAAG,OAAO,CAAC,GAAG,CAAC,mBAAmB,CAAC;IACtD,IAAI,CAAC,aAAa;QAAE,MAAM,IAAI,KAAK,CAAC,mCAAmC,CAAC,CAAC;IAEzE,MAAM,EAAE,GAAG,IAAA,mBAAQ,EAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,wDAAwD;QACxD,MAAM,IAAA,4BAAiB,EAAC,EAAE,CAAC,CAAC;QAC5B,MAAM,IAAA,+BAAoB,EAAC,EAAE,CAAC,CAAC;QAC/B,OAAO,CAAC,GAAG,CAAC,0DAA0D,CAAC,CAAC;QAExE,oEAAoE;QACpE,MAAM,QAAQ,GAAG,MAAM,IAAA,uBAAY,EAAC,EAAE,EAAE;YACtC,IAAI,EAAE,IAAI;YACV,WAAW,EAAE,yBAAyB;YACtC,SAAS,EAAE,IAAI,EAAE,uDAAuD;YACxE,MAAM,EAAE,QAAQ;YAChB,cAAc,EAAE,UAAU;SAC3B,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,0BAA0B,QAAQ,EAAE,CAAC,CAAC;QAElD,oEAAoE;QACpE,MAAM,IAAA,6BAAkB,EAAC,EAAE,EAAE,QAAQ,EAAE,QAAQ,CAAC,CAAC;QACjD,MAAM,IAAA,8BAAmB,EAAC,EAAE,EAAE,QAAQ,EAAE,UAAU,CAAC,CAAC;QACpD,OAAO,CAAC,GAAG,CAAC,yDAAyD,CAAC,CAAC;QAEvE,0EAA0E;QAC1E,MAAM,UAAU,GAAG,oBAAoB,CAAC;QACxC,MAAM,KAAK,GAAG,MAAM,IAAA,iCAAsB,EAAC,EAAE,EAAE;YAC7C,KAAK,EAAE,UAAU;YACjB,QAAQ,EAAE,wBAAwB;YAClC,QAAQ,EAAE,aAAa;YACvB,QAAQ,EAAE,OAAO;SAClB,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,oCAAoC,KAAK,CAAC,KAAK,EAAE,CAAC,CAAC;QAE/D,4BAA4B;QAC5B,MAAM,IAAA,2BAAgB,EAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,IAAA,2BAAgB,EAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,EAAE,OAAO,CAAC,CAAC;QACxD,OAAO,CAAC,GAAG,CAAC,8DAA8D,CAAC,CAAC;QAE5E,yDAAyD;QACzD,MAAM,IAAA,wBAAa,EAAC,EAAE,CAAC,CAAC;QACxB,OAAO,CAAC,GAAG,CAAC,yEAAyE,CAAC,CAAC;QAEvF,OAAO,CAAC,GAAG,CAAC,2EAA2E,CAAC,CAAC;IAC3F,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,kBAAkB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAC5E,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}
+{"version":3,"file":"seed.js","sourceRoot":"","sources":["../../../src/db/seed.ts"],"names":[],"mappings":";;AAAA;;;;;;;;;;;GAWG;AACH,uDAAiD;AACjD,0CASqB;AAErB,KAAK,UAAU,IAAI;IACjB,IAAA,kBAAO,GAAE,CAAC;IACV,MAAM,QAAQ,GAAG,OAAO,CAAC,GAAG,CAAC,YAAY,CAAC;IAC1C,IAAI,CAAC,QAAQ;QAAE,MAAM,IAAI,KAAK,CAAC,0CAA0C,CAAC,CAAC;IAC3E,MAAM,aAAa,GAAG,OAAO,CAAC,GAAG,CAAC,mBAAmB,CAAC;IACtD,IAAI,CAAC,aAAa;QAAE,MAAM,IAAI,KAAK,CAAC,mCAAmC,CAAC,CAAC;IAEzE,MAAM,EAAE,GAAG,IAAA,mBAAQ,EAAC,QAAQ,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,GAAG,EAAE,CAAC,EAAE,CAAC,CAAC;IACzD,IAAI,CAAC;QACH,wDAAwD;QACxD,iEAAiE;QACjE,MAAM,IAAA,8BAAY,EAAC,EAAE,CAAC,CAAC;QACvB,OAAO,CAAC,GAAG,CAAC,wDAAwD,CAAC,CAAC;QAEtE,oEAAoE;QACpE,MAAM,QAAQ,GAAG,MAAM,IAAA,uBAAY,EAAC,EAAE,EAAE;YACtC,IAAI,EAAE,IAAI;YACV,WAAW,EAAE,yBAAyB;YACtC,SAAS,EAAE,IAAI,EAAE,uDAAuD;YACxE,MAAM,EAAE,QAAQ;YAChB,cAAc,EAAE,UAAU;SAC3B,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CAAC,0BAA0B,QAAQ,EAAE,CAAC,CAAC;QAElD,oEAAoE;QACpE,MAAM,IAAA,6BAAkB,EAAC,EAAE,EAAE,QAAQ,EAAE,QAAQ,CAAC,CAAC;QACjD,MAAM,IAAA,8BAAmB,EAAC,EAAE,EAAE,QAAQ,EAAE,UAAU,CAAC,CAAC;QACpD,OAAO,CAAC,GAAG,CAAC,yDAAyD,CAAC,CAAC;QAEvE,0EAA0E;QAC1E,EAAE;QACF,yEAAyE;QACzE,oEAAoE;QACpE,yEAAyE;QACzE,4EAA4E;QAC5E,oCAAoC;QACpC,MAAM,UAAU,GAAG,oBAAoB,CAAC;QACxC,MAAM,iBAAiB,GAAG,OAAO,CAAC,GAAG,CAAC,6BAA6B,KAAK,GAAG,CAAC;QAC5E,MAAM,KAAK,GAAG,MAAM,IAAA,iCAAsB,EAAC,EAAE,EAAE;YAC7C,KAAK,EAAE,UAAU;YACjB,QAAQ,EAAE,wBAAwB;YAClC,QAAQ,EAAE,aAAa;YACvB,QAAQ,EAAE,OAAO;YACjB,iBAAiB;SAClB,CAAC,CAAC;QACH,OAAO,CAAC,GAAG,CACT,KAAK,CAAC,cAAc;YAClB,CAAC,CAAC,oCAAoC,KAAK,CAAC,KAAK,WAAW,iBAAiB,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,UAAU,GAAG;YAC5G,CAAC,CAAC,qCAAqC,KAAK,CAAC,KAAK,0EAA0E,CAC/H,CAAC;QAEF,4BAA4B;QAC5B,MAAM,IAAA,2BAAgB,EAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,CAAC,CAAC;QAC/C,MAAM,IAAA,2BAAgB,EAAC,EAAE,EAAE,QAAQ,EAAE,KAAK,CAAC,EAAE,EAAE,OAAO,CAAC,CAAC;QACxD,OAAO,CAAC,GAAG,CAAC,8DAA8D,CAAC,CAAC;QAE5E,OAAO,CAAC,GAAG,CAAC,2EAA2E,CAAC,CAAC;IAC3F,CAAC;YAAS,CAAC;QACT,MAAM,EAAE,CAAC,GAAG,CAAC,EAAE,OAAO,EAAE,CAAC,EAAE,CAAC,CAAC;IAC/B,CAAC;AACH,CAAC;AAED,IAAI,EAAE,CAAC,KAAK,CAAC,CAAC,GAAG,EAAE,EAAE;IACnB,OAAO,CAAC,KAAK,CAAC,kBAAkB,EAAE,GAAG,YAAY,KAAK,CAAC,CAAC,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC;IAC5E,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC,CAAC,CAAC"}