@baruk/core 0.5.0 → 0.6.0

package/dist/vault/repository.js

@@ -7,6 +7,7 @@ function mapMeta(r) {
         name: r.name,
         category: r.category,
         provider: r.provider,
+        exposure: r.exposure ?? 'revealable',
         keyVersion: r.key_version,
         metadata: r.metadata ?? {},
         expiresAt: r.expires_at ? r.expires_at.toISOString() : null,
@@ -16,26 +17,43 @@ function mapMeta(r) {
     };
 }
 const META_COLUMNS = `
-  id, client_id, name, category, provider, key_version, metadata,
+  id, client_id, name, category, provider, exposure, key_version, metadata,
   expires_at, rotated_at, created_at, updated_at
 `;
+/**
+ * A classe de exposição de uma categoria.
+ *
+ * Material de certificado NUNCA é revelável, e a regra vive nos dois lugares de
+ * propósito: aqui, para que a gravação nasça certa, e no CHECK da 0060, para que
+ * um caminho que ninguém escreveu ainda também nasça certo.
+ *
+ * Sem esta função, `createCredential` — a porta genérica do cofre, usada por
+ * rotas e seeds — gravaria `revealable` e receberia uma violação de constraint.
+ * O comportamento seria seguro e a mensagem, incompreensível: um 500 de
+ * constraint onde deveria haver uma gravação correta.
+ */
+export function exposureFor(category) {
+    return category === 'certificate' ? 'write_only' : 'revealable';
+}
 export async function createCredential(tx, keyring, tenantId, input) {
     const enc = encryptSecret(keyring, tenantId, input.secret);
+    const category = input.category ?? 'generic';
     const rows = await tx `
     INSERT INTO vault_credential (
       id, tenant_id, client_id, name, category, provider,
-      ciphertext, iv, auth_tag, key_version, metadata, expires_at, created_by
+      ciphertext, iv, auth_tag, key_version, metadata, expires_at, created_by, exposure
     ) VALUES (
       ${uuidv7()},
       current_setting('app.current_tenant')::uuid,
       ${input.clientId ?? null},
       ${input.name},
-      ${input.category ?? 'generic'},
+      ${category},
       ${input.provider ?? null},
       ${enc.ciphertext}, ${enc.iv}, ${enc.authTag}, ${enc.keyVersion},
       ${tx.json((input.metadata ?? {}))},
       ${input.expiresAt ?? null},
-      ${input.createdBy ?? null}
+      ${input.createdBy ?? null},
+      ${exposureFor(category)}
     )
     RETURNING ${tx.unsafe(META_COLUMNS)}
   `;
@@ -60,11 +78,76 @@ export async function getCredentialMeta(tx, id) {
         throw new NotFoundError('Credencial não encontrada');
     return mapMeta(rows[0]);
 }
-/** Decifra e retorna o segredo em claro. A ROTA deve exigir `vault.credential.decrypt` e auditar. */
+/**
+ * Erro de quem pede para ver um segredo que não tem caminho de volta.
+ *
+ * Nomeado, e não um `NotFoundError`, porque a diferença importa para quem opera:
+ * "não existe" manda procurar; "não é revelável" manda substituir. Não carrega
+ * nome nem ponteiro — só a classe.
+ */
+export class SecretNotRevealableError extends Error {
+    constructor() {
+        super('Esta credencial é write-only: não existe caminho de leitura para humano.');
+        this.name = 'SecretNotRevealableError';
+    }
+}
+/**
+ * Decifra e retorna o segredo em claro. A ROTA deve exigir
+ * `vault.credential.decrypt` e auditar.
+ *
+ * ## O portão que faltava
+ *
+ * Esta função era o caminho ÚNICO de saída do cofre, e ela não perguntava que
+ * tipo de segredo estava devolvendo. Para uma chave de API isso é o
+ * comportamento desejado. Para o envelope de um certificado digital — que
+ * carrega a CHAVE PRIVADA do cliente em base64 — era a porta dos fundos: um
+ * `POST .../reveal` devolvia o material inteiro para a tela, e o papel
+ * `accountant` do catálogo já carregava a permissão.
+ *
+ * A recusa acontece DEPOIS de ler a linha e ANTES de decifrar: nem o custo da
+ * decifração é pago, e o texto em claro nunca chega a existir em memória.
+ */
 export async function revealSecret(tx, keyring, tenantId, id) {
     const rows = await tx `
     SELECT ${tx.unsafe(META_COLUMNS)}, ciphertext, iv, auth_tag
     FROM vault_credential WHERE id = ${id} AND deleted_at IS NULL
+  `;
+    if (!rows[0])
+        throw new NotFoundError('Credencial não encontrada');
+    const r = rows[0];
+    if ((r.exposure ?? 'revealable') === 'write_only')
+        throw new SecretNotRevealableError();
+    const secret = decryptSecret(keyring, tenantId, {
+        ciphertext: r.ciphertext,
+        iv: r.iv,
+        authTag: r.auth_tag,
+        keyVersion: r.key_version,
+    });
+    return { meta: mapMeta(r), secret };
+}
+/**
+ * O caminho de PROCESSO para um segredo write-only.
+ *
+ * ## Por que ela precisa existir, e por que não é exportada
+ *
+ * `revealSecret` passou a recusar `write_only` — o que fecha a rota humana e,
+ * sem esta função, quebraria o motor fiscal: `loadFiscalTlsMaterial` também
+ * decifra o mesmo envelope, e ele é justamente quem deve conseguir.
+ *
+ * A diferença entre os dois chamadores não é a permissão de quem pediu; é o
+ * DESTINO do texto em claro. Em `revealSecret` ele vira corpo de resposta HTTP e
+ * chega a uma tela. Aqui ele vira `Buffer` dentro de um `https.Agent`, é usado
+ * num handshake e é zerado — nunca atravessa a fronteira do processo.
+ *
+ * O nome grita o que a função faz porque é o único aviso que sobrevive a um
+ * autocomplete. E ela NÃO é reexportada pelo `index` do pacote: fora de
+ * `@baruk/core` não existe caminho para chamá-la, do mesmo modo que
+ * `grantFiscalSecretAccess` não existe fora daqui.
+ */
+export async function revealWriteOnlySecretForProcess(tx, keyring, tenantId, id) {
+    const rows = await tx `
+    SELECT ${tx.unsafe(META_COLUMNS)}, ciphertext, iv, auth_tag
+    FROM vault_credential WHERE id = ${id} AND deleted_at IS NULL
   `;
     if (!rows[0])
         throw new NotFoundError('Credencial não encontrada');

package/dist/vault/repository.js.map

@@ -1 +1 @@
-{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEtD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAgB,MAAM,aAAa,CAAC;AAiDzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaF,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,MAAM,EAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,KAAK,CAAC,QAAQ,IAAI,SAAS;QAC3B,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;;gBAEf,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED,qGAAqG;AACrG,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAsBD;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;sDAEkB,IAAI;GACvD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAEpB,MAAM,IAAI,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;QACzD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACrC,CAAC;IAED,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;AACxC,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AAC5F,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,KAAK,UAAU,0BAA0B,CAC9C,EAAM,EACN,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2C;;uDAEX,IAAI;;GAExD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,SAAS,CAAC;IACzB,OAAO,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,IAAY;IAC/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;uDAEc,IAAI;;GAExD,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}
+{"version":3,"file":"repository.js","sourceRoot":"","sources":["../../src/vault/repository.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,aAAa,EAAE,MAAM,EAAE,MAAM,eAAe,CAAC;AAEtD,OAAO,EAAE,aAAa,EAAE,aAAa,EAAgB,MAAM,aAAa,CAAC;AA0DzE,SAAS,OAAO,CAAC,CAAU;IACzB,OAAO;QACL,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,QAAQ,EAAE,CAAC,CAAC,SAAS;QACrB,IAAI,EAAE,CAAC,CAAC,IAAI;QACZ,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ;QACpB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,YAAY;QACpC,UAAU,EAAE,CAAC,CAAC,WAAW;QACzB,QAAQ,EAAE,CAAC,CAAC,QAAQ,IAAI,EAAE;QAC1B,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI;QAC3D,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;QACrC,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE;KACtC,CAAC;AACJ,CAAC;AAED,MAAM,YAAY,GAAG;;;CAGpB,CAAC;AAaF;;;;;;;;;;;GAWG;AACH,MAAM,UAAU,WAAW,CAAC,QAAuB;IACjD,OAAO,QAAQ,KAAK,aAAa,CAAC,CAAC,CAAC,YAAY,CAAC,CAAC,CAAC,YAAY,CAAC;AAClE,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,gBAAgB,CACpC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,KAA4B;IAE5B,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3D,MAAM,QAAQ,GAAG,KAAK,CAAC,QAAQ,IAAI,SAAS,CAAC;IAC7C,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;;;;;QAK1B,MAAM,EAAE;;QAER,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,KAAK,CAAC,IAAI;QACV,QAAQ;QACR,KAAK,CAAC,QAAQ,IAAI,IAAI;QACtB,GAAG,CAAC,UAAU,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,CAAC,OAAO,KAAK,GAAG,CAAC,UAAU;QAC5D,EAAE,CAAC,IAAI,CAAC,CAAC,KAAK,CAAC,QAAQ,IAAI,EAAE,CAAU,CAAC;QACxC,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,KAAK,CAAC,SAAS,IAAI,IAAI;QACvB,WAAW,CAAC,QAAQ,CAAC;;gBAEb,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;GACpC,CAAC;IACF,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAE,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,EAAM,EAAE,QAAiB;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;aAGvB,QAAQ,IAAI,IAAI,gCAAgC,QAAQ,IAAI,IAAI;;GAE1E,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,iBAAiB,CAAC,EAAM,EAAE,EAAU;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,OAAO,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;AAC1B,CAAC;AAED;;;;;;GAMG;AACH,MAAM,OAAO,wBAAyB,SAAQ,KAAK;IACjD;QACE,KAAK,CAAC,0EAA0E,CAAC,CAAC;QAClF,IAAI,CAAC,IAAI,GAAG,0BAA0B,CAAC;IACzC,CAAC;CACF;AAED;;;;;;;;;;;;;;;GAeG;AACH,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC,CAAC,QAAQ,IAAI,YAAY,CAAC,KAAK,YAAY;QAAE,MAAM,IAAI,wBAAwB,EAAE,CAAC;IACxF,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAED;;;;;;;;;;;;;;;;;;GAkBG;AACH,MAAM,CAAC,KAAK,UAAU,+BAA+B,CACnD,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU;IAEV,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;uCACG,EAAE;GACtC,CAAC;IACF,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;QAAE,MAAM,IAAI,aAAa,CAAC,2BAA2B,CAAC,CAAC;IACnE,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,IAAI,EAAE,OAAO,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;AACtC,CAAC;AAsBD;;;;;;;;;;GAUG;AACH,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAAoE;aAC9E,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;sDAEkB,IAAI;GACvD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,IAAI,CAAC;IAEpB,MAAM,IAAI,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IACxB,IAAI,CAAC,CAAC,UAAU,IAAI,CAAC,CAAC,UAAU,CAAC,OAAO,EAAE,IAAI,IAAI,CAAC,GAAG,EAAE,EAAE,CAAC;QACzD,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACrC,CAAC;IAED,MAAM,MAAM,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE;QAC9C,UAAU,EAAE,CAAC,CAAC,UAAU;QACxB,EAAE,EAAE,CAAC,CAAC,EAAE;QACR,OAAO,EAAE,CAAC,CAAC,QAAQ;QACnB,UAAU,EAAE,CAAC,CAAC,WAAW;KAC1B,CAAC,CAAC;IACH,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,IAAI,EAAE,MAAM,EAAE,CAAC;AACxC,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,EAAM,EACN,OAAgB,EAChB,QAAgB,EAChB,EAAU,EACV,SAAiB,EACjB,SAAyB;IAEzB,MAAM,GAAG,GAAG,aAAa,CAAC,OAAO,EAAE,QAAQ,EAAE,SAAS,CAAC,CAAC;IACxD,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;qBAEF,GAAG,CAAC,UAAU,UAAU,GAAG,CAAC,EAAE,gBAAgB,GAAG,CAAC,OAAO;sBACxD,GAAG,CAAC,UAAU;qBACf,SAAS,IAAI,IAAI;iBACrB,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,oBAAoB,CAAC,EAAM,EAAE,EAAU;IAC3D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAA;;iBAEN,EAAE;;GAEhB,CAAC;IACF,OAAO,IAAI,CAAC,KAAK,CAAC;AACpB,CAAC;AAED,4FAA4F;AAC5F,MAAM,CAAC,KAAK,UAAU,uBAAuB,CAAC,EAAM,EAAE,IAAI,GAAG,EAAE;IAC7D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAW;aACrB,EAAE,CAAC,MAAM,CAAC,YAAY,CAAC;;;mCAGD,IAAI;;GAEpC,CAAC;IACF,OAAO,IAAI,CAAC,GAAG,CAAC,OAAO,CAAC,CAAC;AAC3B,CAAC;AAED;;;;;;;;;;;GAWG;AACH;;;;;;;;;;;;;;GAcG;AACH,MAAM,CAAC,KAAK,UAAU,0BAA0B,CAC9C,EAAM,EACN,IAAY;IAEZ,MAAM,IAAI,GAAG,MAAM,EAAE,CAA2C;;uDAEX,IAAI;;GAExD,CAAC;IACF,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,IAAI,CAAC,CAAC;QAAE,OAAO,SAAS,CAAC;IACzB,OAAO,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,SAAS,EAAE,CAAC,CAAC,UAAU,CAAC,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC;AACnF,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,EAAM,EAAE,IAAY;IAC/D,MAAM,IAAI,GAAG,MAAM,EAAE,CAAkB;;uDAEc,IAAI;;GAExD,CAAC;IACF,OAAO,IAAI,CAAC,CAAC,CAAC,EAAE,EAAE,IAAI,IAAI,CAAC;AAC7B,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@baruk/core",
-  "version": "0.5.0",
+  "version": "0.6.0",
   "type": "module",
   "main": "./dist/cjs/index.js",
   "module": "./dist/index.js",
@@ -68,6 +68,7 @@
     "seed": "tsx src/db/seed.ts",
     "clean": "node -e \"require('fs').rmSync('dist',{recursive:true,force:true})\"",
     "seed:catalog": "tsx src/db/seed-catalog.ts",
-    "provision:e2e": "tsx src/db/provision-e2e-identity.ts"
+    "provision:e2e": "tsx src/db/provision-e2e-identity.ts",
+    "audit:fiscal-onboarding": "node scripts/audit-fiscal-credential-onboarding.mjs"
   }
 }

package/src/db/migrations/0060_fiscal_credential_vault_and_run_authorization.sql

@@ -0,0 +1,321 @@
+-- 0060 — o cofre fiscal ganha classe de exposição, o certificado ganha
+-- identidade, e a primeira consulta real ganha um portão que se consome.
+--
+-- ═══ O defeito que a primeira seção existe para tornar indizível ══════════
+--
+-- `vault_credential` (0012) guarda todo segredo do escritório sob uma única
+-- regra de leitura: quem tem `vault.credential.decrypt` chama
+-- `POST /v1/vault/credentials/:id/reveal` e recebe o texto em claro. Para uma
+-- chave de API isso é o comportamento desejado — o operador precisa colá-la
+-- noutro sistema.
+--
+-- Para o material de um certificado digital, é a porta dos fundos do cofre. O
+-- envelope que a Fase 2 definiu carrega a CHAVE PRIVADA do cliente em base64;
+-- revelá-lo numa tela é entregá-la, e "não faça isso" não é um controle. Pior:
+-- o papel `accountant` do catálogo já carrega `vault.credential.decrypt`, de
+-- modo que a porta estava aberta para todo contador do escritório.
+--
+-- A correção não é tirar o botão da tela. É dizer no BANCO que existem duas
+-- classes de segredo, e que a segunda não tem caminho de saída:
+--
+--   revealable   pode voltar ao humano que o guardou (chave de API, token).
+--   write_only   entra, é usado pelo processo, e NUNCA volta.
+--
+-- E é uma RESTRIÇÃO, não uma convenção, que amarra `certificate` à segunda: um
+-- certificado gravado por qualquer caminho — rota nova, script, seed — nasce
+-- irrecuperável, inclusive num caminho que ainda não foi escrito.
+
+ALTER TABLE vault_credential ADD COLUMN IF NOT EXISTS exposure text NOT NULL DEFAULT 'revealable';
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT FROM pg_constraint WHERE conname = 'vault_credential_exposure_values') THEN
+    ALTER TABLE vault_credential ADD CONSTRAINT vault_credential_exposure_values
+      CHECK (exposure IN ('revealable', 'write_only'));
+  END IF;
+END $$;
+
+-- Backfill ANTES da restrição de coerência: uma credencial de certificado já
+-- gravada sob a regra antiga tornaria o CHECK inválido, e um `NOT VALID`
+-- silencioso deixaria exatamente as linhas antigas — as que já correram risco —
+-- fora da garantia.
+UPDATE vault_credential SET exposure = 'write_only'
+ WHERE category = 'certificate' AND exposure <> 'write_only';
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT FROM pg_constraint WHERE conname = 'vault_credential_certificate_is_write_only') THEN
+    ALTER TABLE vault_credential ADD CONSTRAINT vault_credential_certificate_is_write_only
+      CHECK (category <> 'certificate' OR exposure = 'write_only');
+  END IF;
+END $$;
+
+COMMENT ON COLUMN vault_credential.exposure IS
+  'write_only = não existe caminho de leitura para humano, por nenhuma rota. Material de certificado é write_only por RESTRIÇÃO, não por disciplina da camada de rota.';
+COMMENT ON CONSTRAINT vault_credential_certificate_is_write_only ON vault_credential IS
+  'Remover esta restrição é a decisão consciente de permitir que a chave privada de um cliente volte para uma tela.';
+
+-- ═══ 2 · A autorização de execução única ═════════════════════════════════
+--
+-- O motor da Fase 2 tem três desligamentos (flag de ambiente, elegibilidade,
+-- cadência) e todos são ESTADO: ligados, ficam ligados. Para a primeira
+-- consulta real contra um ambiente oficial, em nome de um contribuinte que não
+-- pediu nada, estado permanente é a forma errada de autorização — o titular
+-- autorizou UMA leitura, não um regime.
+--
+-- Esta tabela é um portão que se gasta. Quatro propriedades, todas no schema:
+--
+--   `max_runs = 1`          CHECK literal. "Uma execução" não é configuração.
+--   `operation = 'READ_ONLY'` idem. Mutação é INGRAVÁVEL nesta fase.
+--   `expires_at`            uma autorização esquecida morre sozinha.
+--   `runs_consumed`         nunca ultrapassa `max_runs`, e o CHECK é quem diz.
+--
+-- O período vem por EXTENSO — `period_start` e `period_end` além do par
+-- ano/mês. O relato humano que originou esta frente continha exemplos de datas
+-- inconsistentes entre si, e transformar "mês anterior" em regra implícita
+-- produziria uma coleta cuja janela ninguém confirmou. Aqui a janela é dado
+-- gravado, e a tela mostra as duas datas antes de qualquer execução.
+CREATE TABLE IF NOT EXISTS fiscal_run_authorization (
+  id                 uuid PRIMARY KEY,
+  tenant_id          uuid NOT NULL REFERENCES tenant(id),
+  client_id          uuid NOT NULL,
+
+  document_type      text NOT NULL CHECK (document_type IN ('nfse', 'nfe', 'cte', 'nfce')),
+  environment        text NOT NULL CHECK (environment IN ('synthetic', 'homologation', 'production')),
+  -- Slug da fonte, o mesmo vocabulário que governa cursor, disjuntor e
+  -- prontidão (`fiscal_sync_cursor.source`). Uma autorização emitida para uma
+  -- fonte não vale para outra.
+  source             text NOT NULL,
+  credential_kind    text NOT NULL DEFAULT 'certificate_a1'
+                       CHECK (credential_kind IN ('certificate_a1', 'certificate_a3', 'municipal_portal')),
+
+  operation          text NOT NULL DEFAULT 'READ_ONLY' CHECK (operation IN ('READ_ONLY', 'MUTATING')),
+
+  competence_year    int  NOT NULL CHECK (competence_year BETWEEN 2000 AND 2100),
+  competence_month   int  NOT NULL CHECK (competence_month BETWEEN 1 AND 12),
+  period_start       date NOT NULL,
+  period_end         date NOT NULL,
+
+  max_runs           int  NOT NULL DEFAULT 1,
+  runs_consumed      int  NOT NULL DEFAULT 0,
+
+  authorized_by      uuid NOT NULL REFERENCES "user"(id),
+  authorized_at      timestamptz NOT NULL DEFAULT now(),
+  -- Responsável contábil DECLARADO para esta execução. Texto, e não FK para
+  -- `user`: o profissional responsável pode não ter login no produto, e exigir
+  -- que tivesse forçaria a criação de uma identidade que ninguém pediu.
+  responsible_name   text,
+  expires_at         timestamptz NOT NULL,
+
+  consumed_at        timestamptz,
+  consumed_by_run_id uuid,
+  revoked_at         timestamptz,
+  revoked_by         uuid REFERENCES "user"(id),
+  revoke_reason      text,
+
+  created_at         timestamptz NOT NULL DEFAULT now(),
+  updated_at         timestamptz NOT NULL DEFAULT now(),
+
+  CONSTRAINT fiscal_run_authorization_tenant_id_uq UNIQUE (tenant_id, id),
+  FOREIGN KEY (tenant_id, client_id) REFERENCES client (tenant_id, id),
+
+  CONSTRAINT fiscal_run_authorization_one_shot CHECK (max_runs = 1),
+  CONSTRAINT fiscal_run_authorization_read_only CHECK (operation = 'READ_ONLY'),
+  CONSTRAINT fiscal_run_authorization_budget CHECK (runs_consumed >= 0 AND runs_consumed <= max_runs),
+  CONSTRAINT fiscal_run_authorization_consumption_coherent
+    CHECK ((consumed_at IS NULL) = (runs_consumed = 0)),
+  CONSTRAINT fiscal_run_authorization_window CHECK (period_end >= period_start),
+  CONSTRAINT fiscal_run_authorization_expiry CHECK (expires_at > authorized_at),
+  CONSTRAINT fiscal_run_authorization_revocation_coherent
+    CHECK ((revoked_at IS NULL) = (revoked_by IS NULL))
+);
+
+COMMENT ON CONSTRAINT fiscal_run_authorization_one_shot ON fiscal_run_authorization IS
+  'Uma execução. Não é configuração: é restrição. Um segundo run real exige uma segunda autorização.';
+COMMENT ON CONSTRAINT fiscal_run_authorization_read_only ON fiscal_run_authorization IS
+  'Mutação em sistema fiscal externo é ingravável nesta fase. Remover esta restrição é a decisão consciente de permitir escrita.';
+
+-- Uma autorização VIVA por (cliente, fonte, ambiente, competência). Sem isto,
+-- emitir duas e consumir as duas devolve na prática o regime permanente que a
+-- tabela existe para impedir.
+CREATE UNIQUE INDEX IF NOT EXISTS fiscal_run_authorization_live_uq
+  ON fiscal_run_authorization (tenant_id, client_id, source, environment,
+                               competence_year, competence_month)
+  WHERE consumed_at IS NULL AND revoked_at IS NULL;
+
+CREATE INDEX IF NOT EXISTS fiscal_run_authorization_client_idx
+  ON fiscal_run_authorization (tenant_id, client_id, authorized_at DESC);
+
+ALTER TABLE fiscal_run_authorization ENABLE ROW LEVEL SECURITY;
+ALTER TABLE fiscal_run_authorization FORCE ROW LEVEL SECURITY;
+CREATE POLICY fiscal_run_authorization_tenant_isolation ON fiscal_run_authorization
+  USING (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid)
+  WITH CHECK (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid);
+
+-- ═══ 3 · A cobrança da PLATAFORMA, separada da cobrança do escritório ═════
+--
+-- Há duas cobranças neste produto e confundi-las custa caro nas duas direções:
+--
+--   plataforma   Baruk → escritório (assinatura do Office). `saas_subscription`.
+--   escritório   escritório → clientes dele (honorários). `receivable`.
+--
+-- O escritório fundador não paga a primeira. A forma ERRADA de implementar isso
+-- é desligar o financeiro dele — que apagaria a segunda, que é o produto
+-- inteiro. A forma errada seguinte é `if (tenant.code === 'sc')`, que faz o
+-- segundo escritório fundador virar um deploy.
+--
+-- Esta tabela é a forma certa: um fato do tenant, com quem concedeu, quando, e
+-- por quê. O motor de billing lê a linha; ele não conhece nenhum código de
+-- escritório.
+--
+-- ═══ Quem escreve não é quem é cobrado ═══════════════════════════════════
+--
+-- Um controle escrito pelo controlado não é controle. Se o tenant pudesse
+-- gravar a própria isenção, todo escritório seria fundador na primeira tarde.
+-- As políticas abaixo são POR COMANDO: o tenant LÊ a própria linha; só o
+-- operador da plataforma (a GUC `app.platform_operator`, que apenas as rotas de
+-- backoffice setam) INSERE, ATUALIZA ou APAGA.
+CREATE TABLE IF NOT EXISTS tenant_platform_billing (
+  tenant_id        uuid PRIMARY KEY REFERENCES tenant(id),
+  billing_mode     text NOT NULL DEFAULT 'standard' CHECK (billing_mode IN ('standard', 'exempt')),
+  exemption_reason text CHECK (exemption_reason IS NULL OR
+                               exemption_reason IN ('founding_tenant', 'internal', 'partner')),
+  founding_tenant  boolean NOT NULL DEFAULT false,
+  granted_by       uuid REFERENCES "user"(id),
+  granted_at       timestamptz,
+  -- Isenção com prazo é possível; a do fundador não tem, e `NULL` diz isso.
+  expires_on       date,
+  notes            text,
+  created_at       timestamptz NOT NULL DEFAULT now(),
+  updated_at       timestamptz NOT NULL DEFAULT now(),
+
+  -- Isentar custa motivo e data. `standard` é o estado gratuito — e o correto
+  -- para todo tenant sobre o qual ninguém decidiu nada.
+  CONSTRAINT tenant_platform_billing_exemption_needs_reason
+    CHECK (billing_mode = 'standard' OR (exemption_reason IS NOT NULL AND granted_at IS NOT NULL))
+);
+
+COMMENT ON TABLE tenant_platform_billing IS
+  'Cobrança da PLATAFORMA (Baruk → escritório). Não governa a cobrança do escritório aos clientes dele, que é outro domínio e continua ativa.';
+COMMENT ON CONSTRAINT tenant_platform_billing_exemption_needs_reason ON tenant_platform_billing IS
+  'Isentar exige motivo e data. Ausência de linha significa cobrança padrão, nunca isenção por omissão.';
+
+ALTER TABLE tenant_platform_billing ENABLE ROW LEVEL SECURITY;
+ALTER TABLE tenant_platform_billing FORCE ROW LEVEL SECURITY;
+
+-- Leitura: o próprio tenant, ou o operador.
+CREATE POLICY tenant_platform_billing_read ON tenant_platform_billing
+  FOR SELECT
+  USING (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid
+         OR current_setting('app.platform_operator', true) = 'true');
+
+-- Escrita: SÓ o operador. Uma política por comando — `WITH CHECK` não governa
+-- DELETE, e uma política única deixaria o apagamento da própria isenção (ou da
+-- de outro) fora de qualquer regra.
+CREATE POLICY tenant_platform_billing_insert ON tenant_platform_billing
+  FOR INSERT WITH CHECK (current_setting('app.platform_operator', true) = 'true');
+CREATE POLICY tenant_platform_billing_update ON tenant_platform_billing
+  FOR UPDATE
+  USING (current_setting('app.platform_operator', true) = 'true')
+  WITH CHECK (current_setting('app.platform_operator', true) = 'true');
+CREATE POLICY tenant_platform_billing_delete ON tenant_platform_billing
+  FOR DELETE USING (current_setting('app.platform_operator', true) = 'true');
+
+-- ═══ 4 · O registry municipal deixa de responder só "não sabemos" ════════
+--
+-- `fiscal_coverage` (0058) já traz status, método, credencial exigida, fallback,
+-- fonte e data. Faltavam duas respostas que a política API-first exige ANTES de
+-- alguém cogitar automação de navegador:
+--
+--   `official_api_available`  existe caminho estruturado oficial?
+--   `supported_operations`    o que ele faz — listar, baixar, consultar evento?
+--
+-- Sem a primeira, "não achei API" e "não procurei" são o mesmo registro, e o
+-- segundo é o que costuma virar um Playwright logando num portal de prefeitura.
+ALTER TABLE fiscal_coverage ADD COLUMN IF NOT EXISTS official_api_available text NOT NULL DEFAULT 'unknown';
+ALTER TABLE fiscal_coverage ADD COLUMN IF NOT EXISTS supported_operations text[] NOT NULL DEFAULT '{}';
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT FROM pg_constraint WHERE conname = 'fiscal_coverage_official_api_values') THEN
+    ALTER TABLE fiscal_coverage ADD CONSTRAINT fiscal_coverage_official_api_values
+      CHECK (official_api_available IN ('yes', 'no', 'unknown'));
+  END IF;
+END $$;
+
+COMMENT ON COLUMN fiscal_coverage.official_api_available IS
+  '"no" é uma medição; "unknown" é a ausência dela. Só a primeira autoriza sequer discutir fallback por navegador.';
+
+-- ═══ Backfill: as linhas que já afirmavam cobertura ══════════════════════
+--
+-- A 0058 criou quatro linhas `SUPPORTED_OFFICIAL` — NF-e, CT-e e NFS-e nacional
+-- —, todas com a norma citada em `source_reference`. Com a coluna nova nascendo
+-- `unknown`, elas passariam a AFIRMAR cobertura sem ter respondido "existe
+-- caminho oficial?", que é justamente a pergunta que a coluna existe para fazer.
+--
+-- Uma coluna nova sem backfill deixa de fora exatamente as linhas antigas — as
+-- que já estavam em uso. O mesmo raciocínio do `exposure` acima.
+UPDATE fiscal_coverage SET
+  official_api_available = 'yes',
+  supported_operations = CASE
+    WHEN automation_method = 'dfe_nsu_soap' THEN ARRAY['dist_nsu', 'cons_nsu', 'cons_chave']
+    WHEN automation_method = 'dfe_nsu_rest' THEN ARRAY['list_by_nsu', 'fetch_document', 'fetch_events']
+    ELSE supported_operations
+  END
+WHERE coverage_status LIKE 'SUPPORTED%'
+  AND official_api_available = 'unknown'
+  AND automation_method IN ('dfe_nsu_soap', 'dfe_nsu_rest');
+
+-- As linhas dos três municípios do piloto. `SUPPORTED_OFFICIAL` aqui significa
+-- o que já significava na linha nacional do ADN: existe caminho oficial
+-- documentado — e não "já funcionou". Quem responde "já funcionou" é
+-- `digital_certificate.verified_at` somado a um `fiscal_sync_run` completo, e
+-- ambos continuam vazios.
+INSERT INTO fiscal_coverage (
+  id, document_type, jurisdiction_scope, jurisdiction_code, provider, coverage_status,
+  automation_method, credential_requirement, environments, fallback_type,
+  official_api_available, supported_operations,
+  last_verified_at, source_reference, notes
+) VALUES
+  (gen_random_uuid(), 'nfse', 'municipal', '5208707', 'nfse_adn', 'SUPPORTED_OFFICIAL',
+   'dfe_nsu_rest', 'icp_brasil_mtls', ARRAY['homologation', 'production'], 'manual_upload',
+   'yes', ARRAY['list_by_nsu', 'fetch_document', 'fetch_events'],
+   DATE '2026-09-08',
+   'Prefeitura de Goiânia — comunicado oficial de ajuste da NFS-e à Reforma Tributária (vigência 01/01/2026); LC 214/2025 art. 62; Manual dos Contribuintes — APIs do ADN v1.0',
+   'Goiânia MANTÉM emissor próprio (Sistema ISS Goiânia, provedor ISSNet) e o compartilhamento com o ADN é feito pela própria administração tributária. Logo o caminho de COLETA é o ADN nacional, por certificado — não o portal municipal. Nenhuma chamada autenticada foi feita a partir deste produto.'),
+
+  (gen_random_uuid(), 'nfse', 'municipal', '5201405', 'nfse_adn', 'SUPPORTED_OFFICIAL',
+   'dfe_nsu_rest', 'icp_brasil_mtls', ARRAY['homologation', 'production'], 'manual_upload',
+   'yes', ARRAY['list_by_nsu', 'fetch_document', 'fetch_events'],
+   DATE '2026-09-08',
+   'Portal oficial da Prefeitura de Aparecida de Goiânia (sistema NFS-e em issnetonline.com.br/aparecida); LC 214/2025 art. 62; Manual dos Contribuintes — APIs do ADN v1.0',
+   'Emissor municipal é ISSNet (mesmo provedor de Goiânia e Anápolis). Nenhuma API pública do ISSNet foi verificada; a via oficial de coleta é o ADN. Adesão específica do município ao compartilhamento NÃO foi confirmada em fonte municipal — apenas pela obrigação legal geral.'),
+
+  (gen_random_uuid(), 'nfse', 'municipal', '5201108', 'nfse_adn', 'SUPPORTED_OFFICIAL',
+   'dfe_nsu_rest', 'icp_brasil_mtls', ARRAY['homologation', 'production'], 'manual_upload',
+   'yes', ARRAY['list_by_nsu', 'fetch_document', 'fetch_events'],
+   DATE '2026-09-08',
+   'Prefeitura de Anápolis — Decreto nº 52.525 (03/03/2026, efeitos retroativos a 01/01/2026); LC 214/2025 art. 62; Manual dos Contribuintes — APIs do ADN v1.0',
+   'Anápolis mantém emissor municipal próprio (ISS.NET) com webservice local; o comunicado NÃO menciona o ADN. Simples Nacional migra ao emissor nacional a partir de 01/11/2026. A coleta pelo ADN depende do compartilhamento obrigatório, que este produto não verificou.'),
+
+  -- Estadual GO. A pergunta humana era "notas de entrada e saída"; a resposta
+  -- oficial separa as duas, e é essa separação que decide se um conector novo é
+  -- necessário — ou se o que falta não tem conector nenhum.
+  (gen_random_uuid(), 'nfe', 'state', 'GO', 'sefaz_dfe', 'SUPPORTED_OFFICIAL',
+   'dfe_nsu_soap', 'icp_brasil_mtls', ARRAY['homologation', 'production'], 'issuer_export',
+   'yes', ARRAY['dist_nsu', 'cons_nsu', 'cons_chave'],
+   DATE '2026-09-08',
+   'Secretaria da Economia de Goiás — Documentos Fiscais (nfeweb.sefaz.go.gov.br, arquivo XML por certificado digital); NT 2014.002 v1.02c',
+   'ENTRADAS: cobertas pela distribuição nacional NFeDistribuicaoDFe, autenticada por certificado ICP-Brasil — nenhuma credencial humana. SAÍDAS: o DF-e não distribui o que a própria empresa emitiu; a origem é o emissor do cliente. O login CPF/senha do portal da SEFAZ-GO NÃO é caminho de coleta estruturada e por isso não é modelado como credencial deste produto.')
+ON CONFLICT DO NOTHING;
+
+-- ═══ 5 · A capacidade ════════════════════════════════════════════════════
+--
+-- Chave NOVA, e não bump de `contract_version` — a versão do contrato é global
+-- (0055) e subi-la para exigir schema novo obrigaria todo worker a reconhecer a
+-- versão maior, inclusive os que nada têm a ver com cofre fiscal.
+INSERT INTO platform_capability (key, label, contract_version, declared_by_migration) VALUES
+  ('office.fiscal-credential-vault.v1',
+   'Cofre fiscal: certificado write-only, identidade conferida e autorização de execução única',
+   1, '0060')
+ON CONFLICT (key) DO NOTHING;