@baruk/core 0.3.1 → 0.5.0

package/dist/contacts/phone.d.ts

@@ -0,0 +1,70 @@
+/**
+ * Telefone brasileiro em formato canônico.
+ *
+ * Existe UMA vez, e não uma por canal, porque WhatsApp e SMS discordariam no
+ * primeiro caso de borda — e discordar aqui significa uma mensagem chegar e a
+ * outra não, para o mesmo cliente, sem que nada no sistema explique por quê.
+ *
+ * O que este módulo NÃO faz: dizer se o número existe, se está ativo, ou se tem
+ * WhatsApp. Nada disso é derivável do formato. Ele responde uma pergunta só —
+ * "isto tem a FORMA de um número brasileiro discável?" — e a resposta negativa
+ * é confiável, enquanto a positiva é apenas necessária, nunca suficiente.
+ */
+/** Como o provider quer receber: `+55DDNNNNNNNNN`, sem separador. */
+export type E164 = string;
+export type PhoneKind = 'mobile' | 'landline';
+export type PhoneRejection = 
+/** Vazio ou só separadores. */
+'empty'
+/** Dígitos de menos ou de mais para qualquer formato brasileiro. */
+ | 'length'
+/** DDD que não existe no plano de numeração. */
+ | 'ddd'
+/** DDI presente e diferente de 55 — fora do escopo desta normalização. */
+ | 'foreign'
+/** Nono dígito ausente ou inicial inválida para celular. */
+ | 'not_dialable';
+export type PhoneParse = {
+    ok: true;
+    e164: E164;
+    kind: PhoneKind;
+    areaCode: string;
+    national: string;
+} | {
+    ok: false;
+    reason: PhoneRejection;
+};
+/**
+ * Normaliza um telefone digitado por gente.
+ *
+ * Aceita o que o operador realmente digita: `(62) 99999-8888`, `62999998888`,
+ * `+55 62 99999 8888`, `55 62 9999-8888`, com espaço, ponto, barra ou traço.
+ *
+ * A ambiguidade real é o `55`: ele é DDI (Brasil) e também DDD (Rio Grande do
+ * Sul). `5551999998888` tem 13 dígitos e é `+55 51 99999-8888`; `5599998888`
+ * tem 10 e é `(55) 9999-8888`, um fixo gaúcho. O tamanho resolve — e é por isso
+ * que a decisão é tomada pelo COMPRIMENTO antes de olhar o prefixo, nunca ao
+ * contrário.
+ */
+export declare function parseBrazilPhone(raw: string | null | undefined): PhoneParse;
+/**
+ * O número serve para WhatsApp/SMS?
+ *
+ * Só celular. Fixo é discável e válido — e é exatamente por isso que precisa de
+ * uma checagem própria: ele passa em `parseBrazilPhone`, o provider aceita a
+ * requisição, e a mensagem nunca chega. Um "erro" que não aparece em lugar
+ * nenhum, mês após mês.
+ */
+export declare function isMessagingCapable(parsed: PhoneParse): boolean;
+/** Conveniência para gravar em `client.phone_e164`. `null` quando não dá. */
+export declare function toE164OrNull(raw: string | null | undefined): E164 | null;
+/**
+ * Versão para log e tela: `+55 (62) 9****-**88`.
+ *
+ * A trilha precisa provar PARA ONDE foi, e um telefone inteiro em log é PII que
+ * vaza em screenshot, exportação e print de suporte. Os quatro caracteres
+ * visíveis bastam para o operador reconhecer o número que ele mesmo cadastrou,
+ * e não bastam para discar.
+ */
+export declare function maskPhone(e164: string): string;
+//# sourceMappingURL=phone.d.ts.map

package/dist/contacts/phone.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"phone.d.ts","sourceRoot":"","sources":["../../src/contacts/phone.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAEH,qEAAqE;AACrE,MAAM,MAAM,IAAI,GAAG,MAAM,CAAC;AAE1B,MAAM,MAAM,SAAS,GAAG,QAAQ,GAAG,UAAU,CAAC;AAE9C,MAAM,MAAM,cAAc;AACxB,+BAA+B;AAC7B,OAAO;AACT,oEAAoE;GAClE,QAAQ;AACV,gDAAgD;GAC9C,KAAK;AACP,0EAA0E;GACxE,SAAS;AACX,4DAA4D;GAC1D,cAAc,CAAC;AAEnB,MAAM,MAAM,UAAU,GAClB;IAAE,EAAE,EAAE,IAAI,CAAC;IAAC,IAAI,EAAE,IAAI,CAAC;IAAC,IAAI,EAAE,SAAS,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAC;IAAC,QAAQ,EAAE,MAAM,CAAA;CAAE,GAC7E;IAAE,EAAE,EAAE,KAAK,CAAC;IAAC,MAAM,EAAE,cAAc,CAAA;CAAE,CAAC;AAiF1C;;;;;;;;;;;GAWG;AACH,wBAAgB,gBAAgB,CAAC,GAAG,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,GAAG,UAAU,CAiD3E;AAED;;;;;;;GAOG;AACH,wBAAgB,kBAAkB,CAAC,MAAM,EAAE,UAAU,GAAG,OAAO,CAE9D;AAED,6EAA6E;AAC7E,wBAAgB,YAAY,CAAC,GAAG,EAAE,MAAM,GAAG,IAAI,GAAG,SAAS,GAAG,IAAI,GAAG,IAAI,CAGxE;AAED;;;;;;;GAOG;AACH,wBAAgB,SAAS,CAAC,IAAI,EAAE,MAAM,GAAG,MAAM,CAM9C"}

package/dist/contacts/phone.js

@@ -0,0 +1,186 @@
+/**
+ * Telefone brasileiro em formato canônico.
+ *
+ * Existe UMA vez, e não uma por canal, porque WhatsApp e SMS discordariam no
+ * primeiro caso de borda — e discordar aqui significa uma mensagem chegar e a
+ * outra não, para o mesmo cliente, sem que nada no sistema explique por quê.
+ *
+ * O que este módulo NÃO faz: dizer se o número existe, se está ativo, ou se tem
+ * WhatsApp. Nada disso é derivável do formato. Ele responde uma pergunta só —
+ * "isto tem a FORMA de um número brasileiro discável?" — e a resposta negativa
+ * é confiável, enquanto a positiva é apenas necessária, nunca suficiente.
+ */
+/**
+ * DDDs válidos no Plano Nacional de Numeração.
+ *
+ * Lista explícita, e não `[1-9][1-9]`, porque a faixa admite combinações que não
+ * existem (20, 23, 25, 26, 29, 30, 36, 39, 40, 50, 52, 56, 57, 58, 59, 60, 70,
+ * 72, 76, 78, 80, 90). Aceitar um DDD inexistente produz um E.164 bem formado
+ * que o provider aceita, cobra e nunca entrega — a pior combinação possível,
+ * porque falha silenciosa custa dinheiro e parece sucesso.
+ */
+const VALID_AREA_CODES = new Set([
+    '11',
+    '12',
+    '13',
+    '14',
+    '15',
+    '16',
+    '17',
+    '18',
+    '19',
+    '21',
+    '22',
+    '24',
+    '27',
+    '28',
+    '31',
+    '32',
+    '33',
+    '34',
+    '35',
+    '37',
+    '38',
+    '41',
+    '42',
+    '43',
+    '44',
+    '45',
+    '46',
+    '47',
+    '48',
+    '49',
+    '51',
+    '53',
+    '54',
+    '55',
+    '61',
+    '62',
+    '63',
+    '64',
+    '65',
+    '66',
+    '67',
+    '68',
+    '69',
+    '71',
+    '73',
+    '74',
+    '75',
+    '77',
+    '79',
+    '81',
+    '82',
+    '83',
+    '84',
+    '85',
+    '86',
+    '87',
+    '88',
+    '89',
+    '91',
+    '92',
+    '93',
+    '94',
+    '95',
+    '96',
+    '97',
+    '98',
+    '99',
+]);
+/**
+ * Normaliza um telefone digitado por gente.
+ *
+ * Aceita o que o operador realmente digita: `(62) 99999-8888`, `62999998888`,
+ * `+55 62 99999 8888`, `55 62 9999-8888`, com espaço, ponto, barra ou traço.
+ *
+ * A ambiguidade real é o `55`: ele é DDI (Brasil) e também DDD (Rio Grande do
+ * Sul). `5551999998888` tem 13 dígitos e é `+55 51 99999-8888`; `5599998888`
+ * tem 10 e é `(55) 9999-8888`, um fixo gaúcho. O tamanho resolve — e é por isso
+ * que a decisão é tomada pelo COMPRIMENTO antes de olhar o prefixo, nunca ao
+ * contrário.
+ */
+export function parseBrazilPhone(raw) {
+    if (!raw)
+        return { ok: false, reason: 'empty' };
+    // Um `+` em qualquer posição só importa no começo; o resto é ruído de
+    // digitação. Guardamos a intenção de DDI antes de descartar tudo que não é
+    // dígito, porque depois disso `+55…` e `55…` seriam indistinguíveis.
+    const trimmed = raw.trim();
+    const hadPlus = trimmed.startsWith('+');
+    const digits = trimmed.replace(/\D/g, '');
+    if (!digits)
+        return { ok: false, reason: 'empty' };
+    // Com `+` explícito, o DDI é o que veio. `+1` não é problema nosso: recusar é
+    // honesto, adivinhar seria inventar um número.
+    if (hadPlus && !digits.startsWith('55'))
+        return { ok: false, reason: 'foreign' };
+    let national;
+    if (digits.length === 12 || digits.length === 13) {
+        // DDI + DDD + 8 ou 9 dígitos.
+        if (!digits.startsWith('55'))
+            return { ok: false, reason: 'foreign' };
+        national = digits.slice(2);
+    }
+    else if (digits.length === 10 || digits.length === 11) {
+        // DDD + 8 ou 9 dígitos, sem DDI.
+        national = digits;
+    }
+    else {
+        return { ok: false, reason: 'length' };
+    }
+    const areaCode = national.slice(0, 2);
+    if (!VALID_AREA_CODES.has(areaCode))
+        return { ok: false, reason: 'ddd' };
+    const subscriber = national.slice(2);
+    if (subscriber.length === 9) {
+        // Celular: nono dígito é sempre 9, e o dígito seguinte nunca é 0 nem 1.
+        if (subscriber[0] !== '9')
+            return { ok: false, reason: 'not_dialable' };
+        if (subscriber[1] === '0' || subscriber[1] === '1') {
+            return { ok: false, reason: 'not_dialable' };
+        }
+        return { ok: true, e164: `+55${national}`, kind: 'mobile', areaCode, national };
+    }
+    // Oito dígitos: fixo. Celular de 8 dígitos não existe mais desde a
+    // implantação do nono dígito, e RECUSAR é melhor do que completar com um `9`
+    // — completar significa mandar mensagem para um número que o escritório nunca
+    // digitou, e que pode pertencer a outra pessoa.
+    const first = subscriber[0];
+    if (first === '0' || first === '1')
+        return { ok: false, reason: 'not_dialable' };
+    return { ok: true, e164: `+55${national}`, kind: 'landline', areaCode, national };
+}
+/**
+ * O número serve para WhatsApp/SMS?
+ *
+ * Só celular. Fixo é discável e válido — e é exatamente por isso que precisa de
+ * uma checagem própria: ele passa em `parseBrazilPhone`, o provider aceita a
+ * requisição, e a mensagem nunca chega. Um "erro" que não aparece em lugar
+ * nenhum, mês após mês.
+ */
+export function isMessagingCapable(parsed) {
+    return parsed.ok && parsed.kind === 'mobile';
+}
+/** Conveniência para gravar em `client.phone_e164`. `null` quando não dá. */
+export function toE164OrNull(raw) {
+    const parsed = parseBrazilPhone(raw);
+    return parsed.ok ? parsed.e164 : null;
+}
+/**
+ * Versão para log e tela: `+55 (62) 9****-**88`.
+ *
+ * A trilha precisa provar PARA ONDE foi, e um telefone inteiro em log é PII que
+ * vaza em screenshot, exportação e print de suporte. Os quatro caracteres
+ * visíveis bastam para o operador reconhecer o número que ele mesmo cadastrou,
+ * e não bastam para discar.
+ */
+export function maskPhone(e164) {
+    const digits = e164.replace(/\D/g, '');
+    if (digits.length < 6)
+        return '***';
+    const tail = digits.slice(-2);
+    const areaCode = digits.startsWith('55') ? digits.slice(2, 4) : digits.slice(0, 2);
+    return `+55 (${areaCode}) *****-**${tail}`;
+}
+//# sourceMappingURL=phone.js.map

package/dist/contacts/phone.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"phone.js","sourceRoot":"","sources":["../../src/contacts/phone.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;GAWG;AAuBH;;;;;;;;GAQG;AACH,MAAM,gBAAgB,GAAG,IAAI,GAAG,CAAC;IAC/B,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;IACJ,IAAI;CACL,CAAC,CAAC;AAEH;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,gBAAgB,CAAC,GAA8B;IAC7D,IAAI,CAAC,GAAG;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAEhD,sEAAsE;IACtE,2EAA2E;IAC3E,qEAAqE;IACrE,MAAM,OAAO,GAAG,GAAG,CAAC,IAAI,EAAE,CAAC;IAC3B,MAAM,OAAO,GAAG,OAAO,CAAC,UAAU,CAAC,GAAG,CAAC,CAAC;IACxC,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IAE1C,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAEnD,8EAA8E;IAC9E,+CAA+C;IAC/C,IAAI,OAAO,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;IAEjF,IAAI,QAAgB,CAAC;IACrB,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,EAAE,CAAC;QACjD,8BAA8B;QAC9B,IAAI,CAAC,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC;YAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,EAAE,CAAC;QACtE,QAAQ,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAC7B,CAAC;SAAM,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,IAAI,MAAM,CAAC,MAAM,KAAK,EAAE,EAAE,CAAC;QACxD,iCAAiC;QACjC,QAAQ,GAAG,MAAM,CAAC;IACpB,CAAC;SAAM,CAAC;QACN,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC;IACzC,CAAC;IAED,MAAM,QAAQ,GAAG,QAAQ,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IACtC,IAAI,CAAC,gBAAgB,CAAC,GAAG,CAAC,QAAQ,CAAC;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC;IAEzE,MAAM,UAAU,GAAG,QAAQ,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC;IAErC,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC5B,wEAAwE;QACxE,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG;YAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;QACxE,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG,IAAI,UAAU,CAAC,CAAC,CAAC,KAAK,GAAG,EAAE,CAAC;YACnD,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;QAC/C,CAAC;QACD,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,QAAQ,EAAE,EAAE,IAAI,EAAE,QAAQ,EAAE,QAAQ,EAAE,QAAQ,EAAE,CAAC;IAClF,CAAC;IAED,mEAAmE;IACnE,6EAA6E;IAC7E,8EAA8E;IAC9E,gDAAgD;IAChD,MAAM,KAAK,GAAG,UAAU,CAAC,CAAC,CAAE,CAAC;IAC7B,IAAI,KAAK,KAAK,GAAG,IAAI,KAAK,KAAK,GAAG;QAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,EAAE,CAAC;IACjF,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,QAAQ,EAAE,EAAE,IAAI,EAAE,UAAU,EAAE,QAAQ,EAAE,QAAQ,EAAE,CAAC;AACpF,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,kBAAkB,CAAC,MAAkB;IACnD,OAAO,MAAM,CAAC,EAAE,IAAI,MAAM,CAAC,IAAI,KAAK,QAAQ,CAAC;AAC/C,CAAC;AAED,6EAA6E;AAC7E,MAAM,UAAU,YAAY,CAAC,GAA8B;IACzD,MAAM,MAAM,GAAG,gBAAgB,CAAC,GAAG,CAAC,CAAC;IACrC,OAAO,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,CAAC;AACxC,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,UAAU,SAAS,CAAC,IAAY;IACpC,MAAM,MAAM,GAAG,IAAI,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IACvC,IAAI,MAAM,CAAC,MAAM,GAAG,CAAC;QAAE,OAAO,KAAK,CAAC;IACpC,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC;IAC9B,MAAM,QAAQ,GAAG,MAAM,CAAC,UAAU,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IACnF,OAAO,QAAQ,QAAQ,aAAa,IAAI,EAAE,CAAC;AAC7C,CAAC"}

package/dist/dashboard/pilot-panel.d.ts

@@ -0,0 +1,100 @@
+import type { Tx } from '../db/client.js';
+import { type DataProvenance } from '../pilot/milestone.js';
+/**
+ * O painel do piloto — as perguntas que o responsável faz todo dia.
+ *
+ * ## O critério de inclusão
+ *
+ * Cada número aqui existe porque alguém precisa decidir algo com ele hoje de
+ * manhã. Um painel decorativo não é neutro: ele ocupa a tela onde deveria estar
+ * o que importa, e ensina a não olhar.
+ *
+ * Tudo é derivado de dado real do sistema, na consulta. Nada é gravado como
+ * contador — um contador é um segundo lugar para a verdade morar, e ele fica
+ * errado exatamente quando ninguém está olhando.
+ *
+ * ## O que este arquivo NÃO responde
+ *
+ * "Quantos clientes estão sem regime tributário?" e "quais certificados
+ * digitais vencem?" são perguntas de contabilidade, e as tabelas que as
+ * respondem (`accounting_regime`, `digital_certificate`) pertencem à vertical.
+ * O Core não as consulta — nem por import, nem por SQL. O teste de fronteira
+ * só enxerga imports, mas uma consulta SQL a tabela de vertical seria a mesma
+ * violação, e quebraria de verdade num tenant que não tem o produto contábil.
+ * Essas duas seções vêm de `@baruk/contabil` e são compostas na borda, como
+ * `getCoreStats` já fazia.
+ *
+ * ## As duas colunas que costumam faltar
+ *
+ * `clientesSemCanalAutomatico` e `obrigacoesSemResponsavel` existem porque são
+ * ausências, e ausência não aparece em lista: um cliente sem e-mail nunca vira
+ * linha na fila de cobrança, e uma obrigação sem responsável nunca vira tarefa
+ * de ninguém. Sem um número que as conte, elas somem — que é exatamente o que
+ * aconteceu na carteira de QA da Fase 3.
+ */
+export interface PilotPanel {
+    /**
+     * De que lado da fronteira estão os números deste painel.
+     *
+     * Enquanto o piloto real não é declarado, **tudo** é pré-produtivo — QA,
+     * demonstração, App Review. Um painel que anuncia "2 clientes ativos" sem
+     * dizer isso convida a ler indicador de teste como indicador de operação, e
+     * o erro é irreversível: depois de misturados, ninguém separa.
+     */
+    provenance: DataProvenance;
+    clientes: {
+        ativos: number;
+        emOnboarding: number;
+        semCanalAutomatico: number;
+        semResponsavel: number;
+        /**
+         * Têm e-mail e ninguém liberou ainda.
+         *
+         * É a terceira ausência que não aparece em fila nenhuma: estes clientes
+         * parecem alcançáveis (têm endereço) e a régua não os toca. Sem o número,
+         * o escritório concluiria que a cobrança está rodando quando ela está
+         * parada — que é o modo de falha oposto ao dos 81 e-mails, e igualmente
+         * silencioso.
+         */
+        aguardandoLiberacao: number;
+    };
+    obrigacoes: {
+        venceHoje: number;
+        venceEm7Dias: number;
+        atrasadas: number;
+        semResponsavel: number;
+        aguardandoCliente: number;
+    };
+    documentos: {
+        pendentes: number;
+        vencidos: number;
+        aguardandoValidacao: number;
+    };
+    solicitacoes: {
+        aguardandoCliente: number;
+        aguardandoEquipe: number;
+    };
+    /**
+     * Delegado a `financialSummary`, e não recalculado aqui.
+     *
+     * A régua do financeiro desconta pagamentos confirmados e usa o status
+     * EFETIVO (derivado da data), não o gravado. Uma segunda consulta escrita
+     * neste arquivo responderia a mesma pergunta com outro número — e o painel
+     * discordaria da tela de recebíveis sem que nada explicasse por quê.
+     */
+    financeiro: {
+        recebiveisVencidos: number;
+        valorVencido: number;
+        aVencerEm7Dias: number;
+    };
+}
+/**
+ * Uma consulta por bloco, não uma por número.
+ *
+ * `count(*) FILTER (WHERE …)` faz o Postgres varrer a tabela uma vez e devolver
+ * todos os recortes. Doze `SELECT count(*)` separados dariam o mesmo resultado
+ * com doze varreduras — e, pior, com doze instantes diferentes: dois números do
+ * mesmo painel poderiam discordar entre si.
+ */
+export declare function getPilotPanel(tx: Tx): Promise<PilotPanel>;
+//# sourceMappingURL=pilot-panel.d.ts.map

package/dist/dashboard/pilot-panel.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"pilot-panel.d.ts","sourceRoot":"","sources":["../../src/dashboard/pilot-panel.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C,OAAO,EAAkB,KAAK,cAAc,EAAE,MAAM,uBAAuB,CAAC;AAE5E;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA+BG;AACH,MAAM,WAAW,UAAU;IACzB;;;;;;;OAOG;IACH,UAAU,EAAE,cAAc,CAAC;IAC3B,QAAQ,EAAE;QACR,MAAM,EAAE,MAAM,CAAC;QACf,YAAY,EAAE,MAAM,CAAC;QACrB,kBAAkB,EAAE,MAAM,CAAC;QAC3B,cAAc,EAAE,MAAM,CAAC;QACvB;;;;;;;;WAQG;QACH,mBAAmB,EAAE,MAAM,CAAC;KAC7B,CAAC;IACF,UAAU,EAAE;QACV,SAAS,EAAE,MAAM,CAAC;QAClB,YAAY,EAAE,MAAM,CAAC;QACrB,SAAS,EAAE,MAAM,CAAC;QAClB,cAAc,EAAE,MAAM,CAAC;QACvB,iBAAiB,EAAE,MAAM,CAAC;KAC3B,CAAC;IACF,UAAU,EAAE;QACV,SAAS,EAAE,MAAM,CAAC;QAClB,QAAQ,EAAE,MAAM,CAAC;QACjB,mBAAmB,EAAE,MAAM,CAAC;KAC7B,CAAC;IACF,YAAY,EAAE;QACZ,iBAAiB,EAAE,MAAM,CAAC;QAC1B,gBAAgB,EAAE,MAAM,CAAC;KAC1B,CAAC;IACF;;;;;;;OAOG;IACH,UAAU,EAAE;QACV,kBAAkB,EAAE,MAAM,CAAC;QAC3B,YAAY,EAAE,MAAM,CAAC;QACrB,cAAc,EAAE,MAAM,CAAC;KACxB,CAAC;CACH;AAED;;;;;;;GAOG;AACH,wBAAsB,aAAa,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,UAAU,CAAC,CA0F/D"}

package/dist/dashboard/pilot-panel.js

@@ -0,0 +1,87 @@
+import { financialSummary } from '../billing/ar-repository.js';
+import { dataProvenance } from '../pilot/milestone.js';
+/**
+ * Uma consulta por bloco, não uma por número.
+ *
+ * `count(*) FILTER (WHERE …)` faz o Postgres varrer a tabela uma vez e devolver
+ * todos os recortes. Doze `SELECT count(*)` separados dariam o mesmo resultado
+ * com doze varreduras — e, pior, com doze instantes diferentes: dois números do
+ * mesmo painel poderiam discordar entre si.
+ */
+export async function getPilotPanel(tx) {
+    const [clientes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE c.status = 'active')::int                        AS ativos,
+      count(*) FILTER (WHERE c.status = 'prospect')::int                      AS onboarding,
+      count(*) FILTER (WHERE c.status = 'active' AND c.email IS NULL)::int    AS sem_canal,
+      count(*) FILTER (WHERE c.status = 'active'
+                        AND c.responsible_user_id IS NULL)::int               AS sem_resp,
+      count(*) FILTER (WHERE c.status = 'active'
+                        AND c.email IS NOT NULL
+                        AND c.communication_cleared_at IS NULL)::int          AS sem_liberacao
+    FROM client c
+   WHERE c.deleted_at IS NULL
+  `;
+    const [obrigacoes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE due_date = current_date)::int                    AS hoje,
+      count(*) FILTER (WHERE due_date > current_date
+                        AND due_date <= current_date + 7)::int                AS sete,
+      count(*) FILTER (WHERE due_date < current_date)::int                    AS atraso,
+      count(*) FILTER (WHERE responsible_user_id IS NULL)::int                AS sem_resp,
+      count(*) FILTER (WHERE status = 'awaiting_client')::int                 AS aguardando
+    FROM recurring_instance
+   WHERE deleted_at IS NULL
+     AND status NOT IN ('done', 'not_applicable', 'canceled')
+  `;
+    const [documentos] = await tx `
+    SELECT
+      count(*) FILTER (WHERE status = 'requested')::int                       AS pendentes,
+      count(*) FILTER (WHERE status = 'requested'
+                        AND due_date IS NOT NULL AND due_date < current_date)::int AS vencidos,
+      count(*) FILTER (WHERE status = 'received')::int                        AS validar
+    FROM document_request
+   WHERE deleted_at IS NULL
+  `;
+    const [solicitacoes] = await tx `
+    SELECT
+      count(*) FILTER (WHERE status IN ('sent', 'viewed', 'awaiting_client'))::int AS cliente,
+      count(*) FILTER (WHERE status IN ('answered', 'in_review'))::int             AS equipe
+    FROM service_request
+   WHERE deleted_at IS NULL
+  `;
+    const financeiro = await financialSummary(tx);
+    const provenance = await dataProvenance(tx);
+    return {
+        provenance,
+        clientes: {
+            ativos: clientes?.ativos ?? 0,
+            emOnboarding: clientes?.onboarding ?? 0,
+            semCanalAutomatico: clientes?.sem_canal ?? 0,
+            semResponsavel: clientes?.sem_resp ?? 0,
+            aguardandoLiberacao: clientes?.sem_liberacao ?? 0,
+        },
+        obrigacoes: {
+            venceHoje: obrigacoes?.hoje ?? 0,
+            venceEm7Dias: obrigacoes?.sete ?? 0,
+            atrasadas: obrigacoes?.atraso ?? 0,
+            semResponsavel: obrigacoes?.sem_resp ?? 0,
+            aguardandoCliente: obrigacoes?.aguardando ?? 0,
+        },
+        documentos: {
+            pendentes: documentos?.pendentes ?? 0,
+            vencidos: documentos?.vencidos ?? 0,
+            aguardandoValidacao: documentos?.validar ?? 0,
+        },
+        solicitacoes: {
+            aguardandoCliente: solicitacoes?.cliente ?? 0,
+            aguardandoEquipe: solicitacoes?.equipe ?? 0,
+        },
+        financeiro: {
+            recebiveisVencidos: financeiro.overdueCount,
+            valorVencido: financeiro.totalOverdue,
+            aVencerEm7Dias: financeiro.totalDueSoon,
+        },
+    };
+}
+//# sourceMappingURL=pilot-panel.js.map

package/dist/dashboard/pilot-panel.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"pilot-panel.js","sourceRoot":"","sources":["../../src/dashboard/pilot-panel.ts"],"names":[],"mappings":"AACA,OAAO,EAAE,gBAAgB,EAAE,MAAM,6BAA6B,CAAC;AAC/D,OAAO,EAAE,cAAc,EAAuB,MAAM,uBAAuB,CAAC;AA2F5E;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,EAAM;IACxC,MAAM,CAAC,QAAQ,CAAC,GAAG,MAAM,EAAE,CAQ1B;;;;;;;;;;;;GAYA,CAAC;IAEF,MAAM,CAAC,UAAU,CAAC,GAAG,MAAM,EAAE,CAE5B;;;;;;;;;;;GAWA,CAAC;IAEF,MAAM,CAAC,UAAU,CAAC,GAAG,MAAM,EAAE,CAA4D;;;;;;;;GAQxF,CAAC;IAEF,MAAM,CAAC,YAAY,CAAC,GAAG,MAAM,EAAE,CAAuC;;;;;;GAMrE,CAAC;IAEF,MAAM,UAAU,GAAG,MAAM,gBAAgB,CAAC,EAAE,CAAC,CAAC;IAC9C,MAAM,UAAU,GAAG,MAAM,cAAc,CAAC,EAAE,CAAC,CAAC;IAE5C,OAAO;QACL,UAAU;QACV,QAAQ,EAAE;YACR,MAAM,EAAE,QAAQ,EAAE,MAAM,IAAI,CAAC;YAC7B,YAAY,EAAE,QAAQ,EAAE,UAAU,IAAI,CAAC;YACvC,kBAAkB,EAAE,QAAQ,EAAE,SAAS,IAAI,CAAC;YAC5C,cAAc,EAAE,QAAQ,EAAE,QAAQ,IAAI,CAAC;YACvC,mBAAmB,EAAE,QAAQ,EAAE,aAAa,IAAI,CAAC;SAClD;QACD,UAAU,EAAE;YACV,SAAS,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC;YAChC,YAAY,EAAE,UAAU,EAAE,IAAI,IAAI,CAAC;YACnC,SAAS,EAAE,UAAU,EAAE,MAAM,IAAI,CAAC;YAClC,cAAc,EAAE,UAAU,EAAE,QAAQ,IAAI,CAAC;YACzC,iBAAiB,EAAE,UAAU,EAAE,UAAU,IAAI,CAAC;SAC/C;QACD,UAAU,EAAE;YACV,SAAS,EAAE,UAAU,EAAE,SAAS,IAAI,CAAC;YACrC,QAAQ,EAAE,UAAU,EAAE,QAAQ,IAAI,CAAC;YACnC,mBAAmB,EAAE,UAAU,EAAE,OAAO,IAAI,CAAC;SAC9C;QACD,YAAY,EAAE;YACZ,iBAAiB,EAAE,YAAY,EAAE,OAAO,IAAI,CAAC;YAC7C,gBAAgB,EAAE,YAAY,EAAE,MAAM,IAAI,CAAC;SAC5C;QACD,UAAU,EAAE;YACV,kBAAkB,EAAE,UAAU,CAAC,YAAY;YAC3C,YAAY,EAAE,UAAU,CAAC,YAAY;YACrC,cAAc,EAAE,UAAU,CAAC,YAAY;SACxC;KACF,CAAC;AACJ,CAAC"}

package/dist/dashboard/repository.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C;;;;GAIG;AACH,MAAM,WAAW,kBAAkB;IACjC,OAAO,EAAE,MAAM,CAAC;IAChB,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;IACrB,eAAe,EAAE,MAAM,CAAC;IACxB,cAAc,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,YAAY,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAA;KAAE,EAAE,CAAC;CAChF;AAED,wBAAsB,YAAY,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,kBAAkB,CAAC,CAkCtE"}
+{"version":3,"file":"repository.d.ts","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,EAAE,EAAE,MAAM,iBAAiB,CAAC;AAE1C;;;;GAIG;AACH,MAAM,WAAW,kBAAkB;IACjC,OAAO,EAAE,MAAM,CAAC;IAChB,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;IACrB,eAAe,EAAE,MAAM,CAAC;IACxB,cAAc,EAAE;QAAE,MAAM,EAAE,MAAM,CAAC;QAAC,YAAY,EAAE,MAAM,CAAC;QAAC,UAAU,EAAE,MAAM,CAAA;KAAE,EAAE,CAAC;CAChF;AAED,wBAAsB,YAAY,CAAC,EAAE,EAAE,EAAE,GAAG,OAAO,CAAC,kBAAkB,CAAC,CA4CtE"}

package/dist/dashboard/repository.js

@@ -1,6 +1,16 @@
 export async function getCoreStats(tx) {
+    // "Clientes ativos" precisa contar clientes ATIVOS.
+    //
+    // Contava todo registro não removido, inativos inclusive — e o card se chama
+    // "Clientes ativos". Com dois clientes inativados, a mesma tela mostrava
+    // `Carteira → Clientes ativos = 0` e `Resumo geral → Clientes ativos = 2`,
+    // porque o painel de carteira filtra por `status` e este não filtrava.
+    //
+    // Duas consultas respondendo à mesma pergunta com definições diferentes é
+    // como um painel perde a confiança de quem o lê: não há como saber qual dos
+    // dois números está certo sem abrir o código.
     const [clients] = await tx `
-    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL
+    SELECT count(*)::int AS n FROM client WHERE deleted_at IS NULL AND status = 'active'
   `;
     const [users] = await tx `
     SELECT count(*)::int AS n FROM membership WHERE status = 'active' AND deleted_at IS NULL

package/dist/dashboard/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAeA,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/dashboard/repository.ts"],"names":[],"mappings":"AAeA,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,EAAM;IACvC,oDAAoD;IACpD,EAAE;IACF,6EAA6E;IAC7E,yEAAyE;IACzE,2EAA2E;IAC3E,uEAAuE;IACvE,EAAE;IACF,0EAA0E;IAC1E,4EAA4E;IAC5E,8CAA8C;IAC9C,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAE1C,CAAC;IACF,MAAM,CAAC,KAAK,CAAC,GAAG,MAAM,EAAE,CAAiB;;GAExC,CAAC;IACF,MAAM,CAAC,IAAI,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;GAIvC,CAAC;IACF,MAAM,CAAC,OAAO,CAAC,GAAG,MAAM,EAAE,CAAiB;;;;;;GAM1C,CAAC;IACF,MAAM,MAAM,GAAG,MAAM,EAAE,CAAgE;;;GAGtF,CAAC;IACF,OAAO;QACL,OAAO,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QACxB,WAAW,EAAE,KAAK,EAAE,CAAC,IAAI,CAAC;QAC1B,YAAY,EAAE,IAAI,EAAE,CAAC,IAAI,CAAC;QAC1B,eAAe,EAAE,OAAO,EAAE,CAAC,IAAI,CAAC;QAChC,cAAc,EAAE,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACjC,MAAM,EAAE,CAAC,CAAC,MAAM;YAChB,YAAY,EAAE,CAAC,CAAC,aAAa;YAC7B,UAAU,EAAE,CAAC,CAAC,WAAW,CAAC,WAAW,EAAE;SACxC,CAAC,CAAC;KACJ,CAAC;AACJ,CAAC"}

package/dist/db/client.d.ts

@@ -15,5 +15,50 @@ export interface DbOptions {
  *  - OWNER: roda migrations/seed (cria schema).
  *  - APP (baruk_app): runtime da aplicação — NOSUPERUSER, NOBYPASSRLS, sujeito à RLS.
  */
+/**
+ * Política de TLS da conexão.
+ *
+ * ## O que mudou, e por quê
+ *
+ * A versão anterior decidia por uma **allowlist de host**:
+ *
+ *   ssl = /sslmode=require|render\.com|neon\.tech|supabase|amazonaws|\.cloud/
+ *         ? { rejectUnauthorized: false } : undefined
+ *
+ * Dois defeitos, medidos em 2026-09-05:
+ *
+ * 1. **`rejectUnauthorized: false` desliga a validação do certificado.** A
+ *    conexão fica cifrada e não autenticada — um MITM ativo entre a aplicação e
+ *    o banco passa despercebido. Não havia necessidade técnica: uma sonda contra
+ *    o provedor real conectou com `verify-full`, com `rejectUnauthorized: true`
+ *    e com a validação padrão do Node. Era receita copiada.
+ *
+ * 2. **A allowlist decidia o lado errado do fail.** Um host gerenciado FORA da
+ *    lista — Azure, GCP, um domínio próprio sem `sslmode` na string — caía em
+ *    `ssl: undefined`, ou seja **sem TLS nenhum**, em silêncio. A produção de
+ *    hoje não é afetada (a URL casa por dois motivos), mas trocar o host
+ *    quebraria a cifra sem quebrar a conexão, que é o pior desfecho possível.
+ *
+ * ## A política agora
+ *
+ * **TLS validado é o padrão.** Fica de fora apenas o que é comprovadamente
+ * local, ou o que declara `sslmode=disable` — o mecanismo do próprio Postgres
+ * para dizer "esta conexão não usa TLS", e não uma invenção nossa. Host novo
+ * entra seguro sem ninguém precisar lembrar de adicioná-lo a uma lista.
+ *
+ * CA privada entra por `PGSSLROOTCERT`, a variável padrão do libpq — mesmo nome
+ * que `psql` e todo o ecossistema já usam, para que não exista um segundo jeito
+ * de configurar a mesma coisa.
+ */
+export interface TlsDecision {
+    /** O que vai para o driver. `undefined` = conexão em texto claro. */
+    ssl: {
+        rejectUnauthorized: boolean;
+        ca?: string;
+    } | undefined;
+    /** Por que — usado por diagnóstico e teste. Nunca contém a connection string. */
+    reason: 'local' | 'explicitly-disabled' | 'verified';
+}
+export declare function resolveTls(connectionString: string, env?: NodeJS.ProcessEnv): TlsDecision;
 export declare function createDb(connectionString: string, opts?: DbOptions): Db;
 //# sourceMappingURL=client.d.ts.map

package/dist/db/client.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"client.d.ts","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAEhC,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AACrD,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,cAAc,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AAChE,gEAAgE;AAChE,MAAM,MAAM,SAAS,GAAG,EAAE,GAAG,EAAE,CAAC;AAEhC,MAAM,WAAW,SAAS;IACxB,kCAAkC;IAClC,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,yDAAyD;IACzD,IAAI,CAAC,EAAE,OAAO,GAAG,KAAK,CAAC;CACxB;AAED;;;;;GAKG;AACH,wBAAgB,QAAQ,CAAC,gBAAgB,EAAE,MAAM,EAAE,IAAI,GAAE,SAAc,GAAG,EAAE,CAgB3E"}
+{"version":3,"file":"client.d.ts","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAEhC,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,GAAG,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AACrD,MAAM,MAAM,EAAE,GAAG,QAAQ,CAAC,cAAc,CAAC,MAAM,CAAC,MAAM,EAAE,KAAK,CAAC,CAAC,CAAC;AAChE,gEAAgE;AAChE,MAAM,MAAM,SAAS,GAAG,EAAE,GAAG,EAAE,CAAC;AAEhC,MAAM,WAAW,SAAS;IACxB,kCAAkC;IAClC,GAAG,CAAC,EAAE,MAAM,CAAC;IACb,yDAAyD;IACzD,IAAI,CAAC,EAAE,OAAO,GAAG,KAAK,CAAC;CACxB;AAED;;;;;GAKG;AACH;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAkCG;AACH,MAAM,WAAW,WAAW;IAC1B,qEAAqE;IACrE,GAAG,EAAE;QAAE,kBAAkB,EAAE,OAAO,CAAC;QAAC,EAAE,CAAC,EAAE,MAAM,CAAA;KAAE,GAAG,SAAS,CAAC;IAC9D,iFAAiF;IACjF,MAAM,EAAE,OAAO,GAAG,qBAAqB,GAAG,UAAU,CAAC;CACtD;AAKD,wBAAgB,UAAU,CACxB,gBAAgB,EAAE,MAAM,EACxB,GAAG,GAAE,MAAM,CAAC,UAAwB,GACnC,WAAW,CAUb;AAED,wBAAgB,QAAQ,CAAC,gBAAgB,EAAE,MAAM,EAAE,IAAI,GAAE,SAAc,GAAG,EAAE,CAU3E"}

package/dist/db/client.js

@@ -1,20 +1,25 @@
 import postgres from 'postgres';
-/**
- * Cria um cliente Postgres (postgres.js). Duas instâncias são usadas no
- * ecossistema (05-security §7.1, defesa em profundidade):
- *  - OWNER: roda migrations/seed (cria schema).
- *  - APP (baruk_app): runtime da aplicação — NOSUPERUSER, NOBYPASSRLS, sujeito à RLS.
- */
+const LOCAL_HOST = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/;
+const SSL_DISABLED = /[?&]sslmode=disable(&|$)/;
+export function resolveTls(connectionString, env = process.env) {
+    if (LOCAL_HOST.test(connectionString))
+        return { ssl: undefined, reason: 'local' };
+    if (SSL_DISABLED.test(connectionString)) {
+        return { ssl: undefined, reason: 'explicitly-disabled' };
+    }
+    const ca = env['PGSSLROOTCERT_PEM']?.trim();
+    return {
+        ssl: ca ? { rejectUnauthorized: true, ca } : { rejectUnauthorized: true },
+        reason: 'verified',
+    };
+}
 export function createDb(connectionString, opts = {}) {
-    // SSL obrigatório em provedores gerenciados (Render/Neon/etc.); desligado em
-    // Postgres local. Detecta pelo host/flag da URL.
-    const isLocal = /@(localhost|127\.0\.0\.1|host\.docker\.internal|\[?::1\]?)[:/]/.test(connectionString);
-    const wantsSsl = !isLocal && /sslmode=require|render\.com|neon\.tech|supabase|amazonaws|\.cloud/.test(connectionString);
+    const { ssl } = resolveTls(connectionString);
     return postgres(connectionString, {
         max: opts.max ?? 10,
         // UUIDs são gerados na aplicação (uuidv7); datas em UTC.
         prepare: true,
-        ssl: wantsSsl ? { rejectUnauthorized: false } : undefined,
+        ssl,
         onnotice: () => { }, // silencia NOTICEs verbosos de DO-blocks/IF EXISTS
     });
 }

package/dist/db/client.js.map

@@ -1 +1 @@
-{"version":3,"file":"client.js","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AAchC;;;;;GAKG;AACH,MAAM,UAAU,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,6EAA6E;IAC7E,iDAAiD;IACjD,MAAM,OAAO,GAAG,gEAAgE,CAAC,IAAI,CACnF,gBAAgB,CACjB,CAAC;IACF,MAAM,QAAQ,GACZ,CAAC,OAAO,IAAI,mEAAmE,CAAC,IAAI,CAAC,gBAAgB,CAAC,CAAC;IAEzG,OAAO,QAAQ,CAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG,EAAE,QAAQ,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,SAAS;QACzD,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}
+{"version":3,"file":"client.js","sourceRoot":"","sources":["../../src/db/client.ts"],"names":[],"mappings":"AAAA,OAAO,QAAQ,MAAM,UAAU,CAAC;AA8DhC,MAAM,UAAU,GAAG,gEAAgE,CAAC;AACpF,MAAM,YAAY,GAAG,0BAA0B,CAAC;AAEhD,MAAM,UAAU,UAAU,CACxB,gBAAwB,EACxB,MAAyB,OAAO,CAAC,GAAG;IAEpC,IAAI,UAAU,CAAC,IAAI,CAAC,gBAAgB,CAAC;QAAE,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,OAAO,EAAE,CAAC;IAClF,IAAI,YAAY,CAAC,IAAI,CAAC,gBAAgB,CAAC,EAAE,CAAC;QACxC,OAAO,EAAE,GAAG,EAAE,SAAS,EAAE,MAAM,EAAE,qBAAqB,EAAE,CAAC;IAC3D,CAAC;IACD,MAAM,EAAE,GAAG,GAAG,CAAC,mBAAmB,CAAC,EAAE,IAAI,EAAE,CAAC;IAC5C,OAAO;QACL,GAAG,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,kBAAkB,EAAE,IAAI,EAAE;QACzE,MAAM,EAAE,UAAU;KACnB,CAAC;AACJ,CAAC;AAED,MAAM,UAAU,QAAQ,CAAC,gBAAwB,EAAE,OAAkB,EAAE;IACrE,MAAM,EAAE,GAAG,EAAE,GAAG,UAAU,CAAC,gBAAgB,CAAC,CAAC;IAE7C,OAAO,QAAQ,CAAC,gBAAgB,EAAE;QAChC,GAAG,EAAE,IAAI,CAAC,GAAG,IAAI,EAAE;QACnB,yDAAyD;QACzD,OAAO,EAAE,IAAI;QACb,GAAG;QACH,QAAQ,EAAE,GAAG,EAAE,GAAE,CAAC,EAAE,mDAAmD;KACxE,CAAC,CAAC;AACL,CAAC"}

package/dist/db/migrate.d.ts

@@ -1,2 +1,37 @@
-export {};
+import { type Db } from './client.js';
+/**
+ * Extrai os nomes de tabela criados pelas migrations do Office.
+ *
+ * Esta é a ALLOWLIST de privilégio do runtime. Ela nasce da mesma fonte que cria
+ * as tabelas — o próprio SQL das migrations — e não de um manifesto paralelo, que
+ * alguém esqueceria de atualizar ao criar a tabela seguinte.
+ *
+ * Por que existe: até 0044 o runner concedia `ON ALL TABLES IN SCHEMA public`.
+ * Em um banco onde o schema do Office coabita com o de outro produto — o caso do
+ * `neondb` em produção, que carrega 187 tabelas de um schema Prisma anterior —
+ * "ALL TABLES" entrega ao papel de runtime do Office SELECT/INSERT/UPDATE/DELETE
+ * sobre dados que não são dele. O escopo do GRANT tem de ser o schema que este
+ * repositório cria, não o schema que este banco por acaso contém.
+ */
+export declare function officeTablesFromSql(sqls: readonly string[]): string[];
+export interface LeastPrivilegeResult {
+    /** Tabelas fora do Office das quais o privilégio de `baruk_app` foi revogado. */
+    revoked: string[];
+    /** Papéis cujo DEFAULT PRIVILEGES para `baruk_app` foi removido. */
+    defaultsCleared: string[];
+    /** Papéis cujo DEFAULT PRIVILEGES não pôde ser removido com o papel atual. */
+    defaultsResidual: string[];
+}
+/**
+ * Aplica least privilege ao papel de runtime.
+ *
+ * Concede DML nas tabelas do Office, revoga em tudo o que não é do Office, e
+ * remove o DEFAULT PRIVILEGES que faria a próxima tabela criada no schema nascer
+ * alcançável. Idempotente: em banco limpo não há estrangeiras e a função é um
+ * no-op além do GRANT.
+ *
+ * Recebe a allowlist em vez de descobri-la para que o teste possa exercitar a
+ * contenção sem depender do conteúdo real das migrations.
+ */
+export declare function enforceRuntimeLeastPrivilege(sql: Db, officeTables: readonly string[]): Promise<LeastPrivilegeResult>;
 //# sourceMappingURL=migrate.d.ts.map

package/dist/db/migrate.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"migrate.d.ts","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":""}
+{"version":3,"file":"migrate.d.ts","sourceRoot":"","sources":["../../src/db/migrate.ts"],"names":[],"mappings":"AAgBA,OAAO,EAAY,KAAK,EAAE,EAAE,MAAM,aAAa,CAAC;AAmDhD;;;;;;;;;;;;;GAaG;AACH,wBAAgB,mBAAmB,CAAC,IAAI,EAAE,SAAS,MAAM,EAAE,GAAG,MAAM,EAAE,CAwCrE;AAOD,MAAM,WAAW,oBAAoB;IACnC,iFAAiF;IACjF,OAAO,EAAE,MAAM,EAAE,CAAC;IAClB,oEAAoE;IACpE,eAAe,EAAE,MAAM,EAAE,CAAC;IAC1B,8EAA8E;IAC9E,gBAAgB,EAAE,MAAM,EAAE,CAAC;CAC5B;AAED;;;;;;;;;;GAUG;AACH,wBAAsB,4BAA4B,CAChD,GAAG,EAAE,EAAE,EACP,YAAY,EAAE,SAAS,MAAM,EAAE,GAC9B,OAAO,CAAC,oBAAoB,CAAC,CAoG/B"}