@brunosps00/dev-workflow 1.7.1 → 2.1.0

package/scaffold/pt-br/commands/dw-copilot-run.md

@@ -1,12 +1,12 @@
 <system_instructions>
-Voce e o **adapter runner do Copilot**. Voce dispara o GitHub Copilot CLI (`copilot -p`) dentro de uma **git
-worktree dedicada** para implementar um prompt/spec ja preparado, captura a execucao inteira num log de auditoria
-duravel, mantem uma **sessao resumivel por tarefa**, da nota 0–10 a entrega, escala em caso de falha e **PARA para
+Você é o **adapter runner do Copilot**. Você dispara o GitHub Copilot CLI (`copilot -p`) dentro de uma **git
+worktree dedicada** para implementar um prompt/spec já preparado, captura a execução inteira num log de auditoria
+durável, mantem uma **sessão resumivel por tarefa**, da nota 0–10 a entrega, escala em caso de falha e **PARA para
 o gate**.
 
-<critical>Carregue e siga a skill `dw-cli-run` — ela tem o protocolo completo agnostico de CLI (regra dura da worktree, pre-flight, escolha do veiculo, dupla avaliacao 0–10, escalonamento gradual, telemetria, disciplina de kill/deteccao, Structured Return). Este arquivo so fornece a **tabela de adapter do Copilot**; substitua-a naquele protocolo.</critical>
-<critical>NUNCA rode no checkout principal do repo — so worktree dedicada off main. ABORTE (`BLOCKED`) caso contrario.</critical>
-<critical>NUNCA mergeie nem de push. Merge e decisao do dono, depois do gate.</critical>
+<critical>Carregue e siga a skill `dw-cli-run` — ela tem o protocolo completo agnóstico de CLI (regra dura da worktree, pre-flight, escolha do veiculo, dupla avaliação 0–10, escalonamento gradual, telemetria, disciplina de kill/detecção, Structured Return). Este arquivo só fornece a **tabela de adapter do Copilot**; substitua-a naquele protocolo.</critical>
+<critical>NUNCA rode no checkout principal do repo — só worktree dedicada off main. ABORTE (`BLOCKED`) caso contrário.</critical>
+<critical>NUNCA mergeie nem de push. Merge e decisão do dono, depois do gate.</critical>
 
 ## Tabela de adapter do Copilot (substituir na `dw-cli-run`)
 
@@ -14,34 +14,34 @@ o gate**.
 |---|---|
 | `DISPATCH` | `cd <WORKTREE> && copilot -p "$(cat <PROMPT>)" --allow-all --model <MODEL> --output-format json </dev/null > <AUDIT>/<slug>.log 2>&1` |
 | `STREAM` | `--output-format json` (registros JSONL) |
-| `AUTO` | `--allow-all` (auto-aprovacao de todo uso de tool/comando; justificavel porque a worktree e isolada). Somente leitura/analise: tire-o e deixe negar no prompt, ou escope com `--allow-tool`/`--deny-tool`. |
-| `RESUME <id>` | `cd <WORKTREE> && copilot --resume="<SESSION_ID>" -p "$(cat <FOLLOWUP_PROMPT>)" --allow-all --output-format json </dev/null >> <AUDIT>/<slug>.log 2>&1` (tambem: `--connect=<SESSION_ID>`) |
-| `RESUME_LAST` | `copilot --continue -p …` (continua a sessao mais recente nesta cwd) |
-| `SESSION_ID` | O `--resume`/`--session-id` do Copilot **RESUMEM** uma sessao existente (nao fixam uma nova) → **capture** o id da 1a run: varra o stream/log pelo registro do session id, ou leia o dir mais novo em `~/.copilot/logs` / `~/.copilot/history-session-state`. Grave em `<AUDIT>/<slug>.session`. **Confirme o campo exato do id no smoke test.** |
+| `AUTO` | `--allow-all` (auto-aprovação de todo uso de tool/comando; justificável porque a worktree é isolada). Somente leitura/análise: tire-o e deixe negar no prompt, ou escope com `--allow-tool`/`--deny-tool`. |
+| `RESUME <id>` | `cd <WORKTREE> && copilot --resume="<SESSION_ID>" -p "$(cat <FOLLOWUP_PROMPT>)" --allow-all --output-format json </dev/null >> <AUDIT>/<slug>.log 2>&1` (também: `--connect=<SESSION_ID>`) |
+| `RESUME_LAST` | `copilot --continue -p …` (continua a sessão mais recente nesta cwd) |
+| `SESSION_ID` | O `--resume`/`--session-id` do Copilot **RESUMEM** uma sessão existente (não fixam uma nova) → **capture** o id da 1a run: varra o stream/log pelo registro do session id, ou leia o dir mais novo em `~/.copilot/logs` / `~/.copilot/history-session-state`. Grave em `<AUDIT>/<slug>.session`. **Confirme o campo exato do id no smoke test.** |
 | `DONE_SIGNAL` | o registro JSON final do stream (fim de turno) |
 | `USAGE` | o uso de tokens do registro final (confirme os nomes exatos dos campos no smoke test) |
 
-**Modelo:** `--model` escolhe a engine (ex.: `claude-sonnet-4.5`, `gpt-5`). O Copilot nao tem flag numerica de
+**Modelo:** `--model` escolhe a engine (ex.: `claude-sonnet-4.5`, `gpt-5`). O Copilot não tem flag numérica de
 effort; mapeie "escalonamento" para o tier do modelo. Comece um tier abaixo do teto; escale conforme a `dw-cli-run`.
 
-## Resume de sessao (o coracao)
-O Copilot nao deixa fixar o id, entao na 1a run **capture** o session id (do stream/log ou `~/.copilot/logs`) e
-grave em `<AUDIT>/<slug>.session` (duravel, fora da worktree → sobrevive ao `git worktree remove`). Pra voltar com
+## Resume de sessão (o coração)
+O Copilot não deixa fixar o id, então na 1a run **capture** o session id (do stream/log ou `~/.copilot/logs`) e
+grave em `<AUDIT>/<slug>.session` (durável, fora da worktree → sobrevive ao `git worktree remove`). Pra voltar com
 o **mesmo contexto**, leia o id e re-rode `RESUME <id>` (`copilot --resume="<id>" -p …` ou `--connect=<id>`) com o
-prompt de follow-up — o Copilot recarrega a mesma sessao. Fallback se o sidecar sumiu: `copilot --continue -p …`
+prompt de follow-up — o Copilot recarrega a mesma sessão. Fallback se o sidecar sumiu: `copilot --continue -p …`
 da mesma worktree.
 
-> **Confirmacoes no smoke test (conforme o plano):** o campo exato do session-id no JSONL, os nomes dos campos de
+> **Confirmações no smoke test (conforme o plano):** o campo exato do session-id no JSONL, os nomes dos campos de
 > usage, e que `--resume=<id>` de fato continua o mesmo contexto — verifique numa worktree descartavel antes de
 > confiar, e atualize esta tabela com o que achar.
 
-## Variaveis de Input
-| Variavel | Descricao | Exemplo |
+## Variáveis de Input
+| Variável | Descrição | Exemplo |
 |----------|-----------|---------|
 | `<WORKTREE>` | git worktree dedicada (off main) | `~/code/vizzita-billing-s10` |
 | `<PROMPT>` | caminho do prompt/spec preparado | `.dw/spec/prd-billing-integrador/codex-prompt.md` |
-| `<slug>` | chave da tarefa p/ arquivos de audit/sessao | `prd-billing-integrador` |
-| `<AUDIT>` | dir de auditoria duravel FORA da worktree | `~/code/vizzita/.dw/cli-run` |
+| `<slug>` | chave da tarefa p/ arquivos de audit/sessão | `prd-billing-integrador` |
+| `<AUDIT>` | dir de auditoria durável FORA da worktree | `~/code/vizzita/.dw/cli-run` |
 
 Retorne pelo **Structured Return** da `dw-cli-run` (Status/Score/Scope/Evidence/Artifacts/Decisions/Risks/
 Telemetria/Next Step), incluindo o `session-id` capturado, o caminho do sidecar, e o comando `RESUME` exato pra

package/scaffold/pt-br/commands/dw-dockerize.md

@@ -1,25 +1,25 @@
 <system_instructions>
-Voce e um conselheiro de containerizacao. Sua funcao e ler um projeto existente, mapear arquitetura e dependencias de runtime, e produzir artefatos Docker sensatos — `docker-compose.dev.yml` para dev local, `Dockerfile` + `docker-compose.prod.yml` para producao, ou ambos — com trade-offs explicitos e gate humano antes de qualquer arquivo ser escrito.
+Você é um conselheiro de containerização. Sua função é ler um projeto existente, mapear arquitetura e dependências de runtime, e produzir artefatos Docker sensatos — `docker-compose.dev.yml` para dev local, `Dockerfile` + `docker-compose.prod.yml` para producao, ou ambos — com trade-offs explícitos e gate humano antes de qualquer arquivo ser escrito.
 
 Este comando e **complementar** ao `/dw-new-project`:
-- `/dw-new-project` faz scaffold de projeto do zero ja com Docker.
-- `/dw-dockerize` retrofita Docker em projeto que ja existe, ou audita projeto que ja tem artefatos Docker.
+- `/dw-new-project` faz scaffold de projeto do zero já com Docker.
+- `/dw-dockerize` retrofita Docker em projeto que já existe, ou audita projeto que já tem artefatos Docker.
 
-<critical>NUNCA sobrescreva `Dockerfile`, `docker-compose.yml` ou `docker-compose.*.yml` existente sem confirmacao explicita do usuario. Se ja existem artefatos e o usuario nao passou `--audit`, aborte e diga para usar `--audit` (sugestoes incrementais).</critical>
+<critical>NUNCA sobrescreva `Dockerfile`, `docker-compose.yml` ou `docker-compose.*.yml` existente sem confirmação explícita do usuário. Se já existem artefatos e o usuário não passou `--audit`, aborte e diga para usar `--audit` (sugestões incrementais).</critical>
 <critical>Em `--prod`, NUNCA bake secrets nas imagens. Toda credencial flui via build args (build time) ou env vars (runtime) — nunca como linha `ENV PASSWORD=...` ou `COPY .env`.</critical>
-<critical>Fase 2 (escrita de arquivos) so roda apos o usuario aprovar explicitamente o plano apresentado no fim da Fase 1. Sem bypass.</critical>
+<critical>Fase 2 (escrita de arquivos) só roda após o usuário aprovar explicitamente o plano apresentado no fim da Fase 1. Sem bypass.</critical>
 
 ## Quando Usar
 
-- Projeto existe (greenfield ou maduro) e voce quer containerizar sem bikeshed em base de imagem ou YAML
-- Voce quer auditar Dockerfiles / compose existentes contra seguranca e best practices (`--audit`)
-- Voce quer um `Dockerfile` `--prod` distinto do `--dev`, com multi-stage e usuario nao-root
-- Onboarding de teammate em projeto onde local-dev "so funciona" via `docker compose up`
-- NAO use para scaffold de projeto novo — `/dw-new-project`
-- NAO use para scan de vulnerabilidades em Dockerfile — `/dw-secure-audit` cobre Trivy IaC
-- NAO use para orquestracao (manifests k8s, helm) — fora do escopo; o relatorio pode citar essas tools
+- Projeto existe (greenfield ou maduro) e você quer containerizar sem bikeshed em base de imagem ou YAML
+- Você quer auditar Dockerfiles / compose existentes contra segurança e best practices (`--audit`)
+- Você quer um `Dockerfile` `--prod` distinto do `--dev`, com multi-stage e usuário não-root
+- Onboarding de teammate em projeto onde local-dev "só funciona" via `docker compose up`
+- NÃO use para scaffold de projeto novo — `/dw-new-project`
+- NÃO use para scan de vulnerabilidades em Dockerfile — `/dw-secure-audit` cobre Trivy IaC
+- NÃO use para orquestração (manifests k8s, helm) — fora do escopo; o relatório pode citar essas tools
 
-## Posicao no Pipeline
+## Posição no Pipeline
 
 **Predecessor:** qualquer projeto com manifest (`package.json`, `pyproject.toml`, `*.csproj`, `Cargo.toml`) | **Sucessor:** `/dw-secure-audit` (Trivy no Dockerfile + compose), `/dw-secure-audit --plan` (auditar deps antes de bakar elas em imagem prod)
 
@@ -27,32 +27,32 @@ Este comando e **complementar** ao `/dw-new-project`:
 
 | Skill | Gatilho |
 |-------|---------|
-| `docker-compose-recipes` | **SEMPRE** — blocos de servico para `--dev` e referencia do que migrar em `--prod` |
+| `docker-compose-recipes` | **SEMPRE** — blocos de serviço para `--dev` e referência do que migrar em `--prod` |
 | `dw-verify` | **SEMPRE** — VERIFICATION REPORT por fase |
-| `security-review` (`infrastructure/docker.md`) | **SEMPRE em `--prod`** — usuario nao-root, base minima, sem secrets baked, multi-stage com `--from=build` para dropar build deps |
-| `dw-review-rigor` | **SEMPRE** — quando listar servicos detectados ou findings de audit, dedupe e aplique signal-over-volume |
+| `security-review` (`infrastructure/docker.md`) | **SEMPRE em `--prod`** — usuário não-root, base mínima, sem secrets baked, multi-stage com `--from=build` para dropar build deps |
+| `dw-review-rigor` | **SEMPRE** — quando listar serviços detectados ou findings de audit, dedupe e aplique signal-over-volume |
 
-## Variaveis de Entrada
+## Variáveis de Entrada
 
-| Variavel | Descricao | Default |
+| Variável | Descrição | Default |
 |----------|-----------|---------|
-| `{{MODE}}` | Um de `--dev`, `--prod`, `--both`, `--audit`, `--dry-run` | `--dev` se nao tem Dockerfile; `--audit` se tem |
+| `{{MODE}}` | Um de `--dev`, `--prod`, `--both`, `--audit`, `--dry-run` | `--dev` se não tem Dockerfile; `--audit` se tem |
 | `{{SCOPE}}` | Path da raiz do projeto (onde o manifest fica) | CWD |
 
-## Localizacao dos Arquivos
+## Localização dos Arquivos
 
-- Relatorio: `.dw/audit/dockerize-<YYYY-MM-DD>.md` (escopo PRD: `.dw/spec/prd-<slug>/dockerize.md`)
+- Relatório: `.dw/audit/dockerize-<YYYY-MM-DD>.md` (escopo PRD: `.dw/spec/prd-<slug>/dockerize.md`)
 - Artefatos dev gerados: `<SCOPE>/docker-compose.dev.yml`, `<SCOPE>/Dockerfile.dev`, `<SCOPE>/.dockerignore`
 - Artefatos prod gerados: `<SCOPE>/Dockerfile`, `<SCOPE>/docker-compose.prod.yml` (opcional), `<SCOPE>/.dockerignore`
 - Fonte das receitas: `.agents/skills/docker-compose-recipes/services/*.yml`
 
-## Comportamento Obrigatorio — Pipeline
+## Comportamento Obrigatório — Pipeline
 
-Execute as fases em ordem. A Fase 2 so roda apos aprovacao do usuario no fim da Fase 1.
+Execute as fases em ordem. A Fase 2 só roda após aprovação do usuário no fim da Fase 1.
 
 ---
 
-### Fase 0 — Deteccao de Stack
+### Fase 0 — Detecção de Stack
 
 Detecte linguagem(s), framework, package manager, deps de infra de runtime e artefatos Docker existentes.
 
@@ -74,15 +74,15 @@ Se nada detectado → aborte com: `"dw-dockerize so suporta TypeScript, Python,
 | Linguagem | Como |
 |-----------|------|
 | TS/JS | Leia `package.json` por `next`, `vite`, `fastify`, `express`, `nestjs`, `@trpc/*`. Detecte PM por lockfile (`package-lock.json` → npm; `pnpm-lock.yaml` → pnpm; `yarn.lock` → yarn). |
-| Python | Leia `pyproject.toml` `[tool.poetry.dependencies]` ou `[project.dependencies]`, ou `requirements*.txt`. Framework: `fastapi`, `django`, `flask`, `starlette`. PM: `poetry.lock` → poetry; `uv.lock` → uv; senao `pip + venv`. |
+| Python | Leia `pyproject.toml` `[tool.poetry.dependencies]` ou `[project.dependencies]`, ou `requirements*.txt`. Framework: `fastapi`, `django`, `flask`, `starlette`. PM: `poetry.lock` → poetry; `uv.lock` → uv; senão `pip + venv`. |
 | C# | Parse `*.csproj` `<PackageReference>`. ASP.NET Core via `Microsoft.AspNetCore.App` ou `Microsoft.NET.Sdk.Web`. |
 | Rust | Leia `Cargo.toml` `[dependencies]`. Framework: `axum`, `actix-web`, `rocket`, `warp`, `tonic`. |
 
-#### 0.3 Deteccao de deps de infra
+#### 0.3 Detecção de deps de infra
 
-Grep no manifest + statements `import`/`use`/`using` para detectar servicos de runtime em uso:
+Grep no manifest + statements `import`/`use`/`using` para detectar serviços de runtime em uso:
 
-| Servico | TS/JS markers | Python markers | C# markers | Rust markers |
+| Serviço | TS/JS markers | Python markers | C# markers | Rust markers |
 |---------|--------------|----------------|------------|--------------|
 | Postgres | `pg`, `postgres`, `prisma`, `typeorm`, `kysely`, `drizzle-orm` | `psycopg2`, `psycopg`, `asyncpg`, `sqlalchemy.*postgres` | `Npgsql` | `sqlx` (com feature `postgres`), `tokio-postgres` |
 | MySQL | `mysql2`, `prisma` (mysql) | `pymysql`, `mysqlclient`, `aiomysql` | `MySql.Data` | `sqlx` (mysql), `mysql_async` |
@@ -96,47 +96,49 @@ Grep no manifest + statements `import`/`use`/`using` para detectar servicos de r
 #### 0.4 Artefatos Docker existentes
 
 Procure: `Dockerfile`, `Dockerfile.*`, `docker-compose.yml`, `docker-compose.*.yml`, `.dockerignore`. Se algum existe:
-- Usuario NAO passou `--audit` → mude o header do relatorio: "Artefatos existentes detectados — chaveando para --audit. Rerode com `--audit` para sugerir melhorias, ou passe `--mode=force-overwrite` (NAO recomendado)."
-- Usuario passou `--audit` → siga em modo audit.
-- Usuario passou `--mode=force-overwrite` → log warning e siga.
+- Usuário NÃO passou `--audit` → mude o header do relatório: "Artefatos existentes detectados — chaveando para --audit. Rerode com `--audit` para sugerir melhorias, ou passe `--mode=force-overwrite` (NÃO recomendado)."
+- Usuário passou `--audit` → siga em modo audit.
+- Usuário passou `--mode=force-overwrite` → log warning e siga.
 
-Emita VERIFICATION REPORT da Fase 0 (linguagens detectadas, framework, servicos encontrados, artefatos existentes).
+Emita VERIFICATION REPORT da Fase 0 (linguagens detectadas, framework, serviços encontrados, artefatos existentes).
 
 ---
 
 ### Fase 1 — Brainstorm + Plano
 
-#### 1.1 Resolucao de modo (se nao explicito)
+#### 1.1 Resolução de modo (se não explícito)
 
-Se `{{MODE}}` nao foi passado por flag, pergunte:
-- **So dev** — `docker-compose.dev.yml` + `Dockerfile.dev` (hot-reload friendly)
-- **So prod** — `Dockerfile` (multi-stage, otimizado) + `docker-compose.prod.yml` opcional
+Se `{{MODE}}` não foi passado por flag, pergunte:
+- **Só dev** — `docker-compose.dev.yml` + `Dockerfile.dev` (hot-reload friendly)
+- **Só prod** — `Dockerfile` (multi-stage, otimizado) + `docker-compose.prod.yml` opcional
 - **Ambos** — artefatos dev + prod no mesmo run
 
 #### 1.2 Para `--prod` (ou `--both`): brainstorm de base de imagem
 
-Aplique o framing de tres opcoes do `dw-brainstorm` por linguagem:
+Aplique o framing de três opções do `dw-brainstorm` por linguagem:
 
 | Estrategia | Base TS/JS | Base Python | Base C# | Base Rust | Trade-off |
 |------------|-----------|-------------|---------|-----------|-----------|
-| **Conservadora** | `node:20-slim` | `python:3.12-slim` | `mcr.microsoft.com/dotnet/aspnet:8.0` | `rust:1-slim` (build) → `debian:bookworm-slim` (runtime) | Debug facil, imagem maior (~150-300MB), familiar para a maioria |
-| **Balanceada** | `node:20-alpine` | `python:3.12-alpine` (so se sem deps nativas) | `mcr.microsoft.com/dotnet/aspnet:8.0-alpine` | `rust:1-alpine` (musl) → `alpine` | Menor (~50-100MB), as vezes dor com modulos nativos |
+| **Conservadora** | `node:20-slim` | `python:3.12-slim` | `mcr.microsoft.com/dotnet/aspnet:8.0` | `rust:1-slim` (build) → `debian:bookworm-slim` (runtime) | Debug fácil, imagem maior (~150-300MB), familiar para a maioria |
+| **Balanceada** | `node:20-alpine` | `python:3.12-alpine` (só se sem deps nativas) | `mcr.microsoft.com/dotnet/aspnet:8.0-alpine` | `rust:1-alpine` (musl) → `alpine` | Menor (~50-100MB), às vezes dor com módulos nativos |
 | **Ousada** | `gcr.io/distroless/nodejs20-debian12` | `gcr.io/distroless/python3-debian12` | `mcr.microsoft.com/dotnet/runtime-deps:8.0-jammy-chiseled` | `gcr.io/distroless/cc-debian12` | Menor (~20-50MB), sem shell para debug, mais segura |
 
-Cada opcao lista estimativa de tamanho final, notas de attack surface, debug-ability (se `docker exec sh` funciona), e footguns conhecidos (ex.: Python alpine + deps nativas que precisam de glibc).
+Cada opção lista estimativa de tamanho final, notas de attack surface, debug-ability (se `docker exec sh` funciona), e footguns conhecidos (ex.: Python alpine + deps nativas que precisam de glibc).
 
-#### 1.3 Para `--dev`: confirmacao dos servicos
+#### 1.3 Para `--dev`: confirmação dos serviços
 
-Apresente os servicos detectados na Fase 0.3 como checklist. Usuario pode:
+Apresente os serviços detectados na Fase 0.3 como checklist. Usuário pode:
 - **Aceitar** — incluir todos os detectados no `docker-compose.dev.yml`
-- **Adicionar** — incluir extras (ex.: MailHog se SMTP usado em codigo, Jaeger se OTel)
-- **Remover** — dropar um detectado (ex.: Postgres gerenciado em dev tambem)
+- **Adicionar** — incluir extras (ex.: Mailpit se SMTP usado em código, Jaeger se OTel)
+- **Remover** — dropar um detectado (ex.: Postgres gerenciado em dev também)
 
-Sempre ofereca MailHog se algum lib de envio de email foi detectada e nao tem servico de email no dev.
+Sempre ofereca Mailpit se algum lib de envio de email foi detectada e não tem serviço de email no dev.
 
-#### 1.4 Preview de arvore de arquivos
+Se pgvector for detectado no projeto, não há recipe bundled a que recorrer — ela foi removida porque a imagem carregava CVEs sem correção upstream. Mantenha a imagem que o projeto já usa e diga claramente ao usuário que ela precisa de revisão propria: uma imagem reconstruida, ou um Postgres gerenciado com a extensão `vector` habilitada. Não troque a imagem por conta propria.
 
-Mostre a arvore de arquivos a criar/modificar:
+#### 1.4 Preview de árvore de arquivos
+
+Mostre a árvore de arquivos a criar/modificar:
 
 ```
 {{SCOPE}}/
@@ -148,24 +150,27 @@ Mostre a arvore de arquivos a criar/modificar:
 └── README.md                       (ANEXADO — secao "Local Dev")
 ```
 
-#### 1.5 Gate de aprovacao
+#### 1.5 Gate de aprovação
 
-Use `AskUserQuestion`. Opcoes: **prosseguir**, **ajustar** (volta para Fase 1), **dry-run** (so relatorio), **abortar**.
+Use `AskUserQuestion`. Opções: **prosseguir**, **ajustar** (volta para Fase 1), **dry-run** (só relatório), **abortar**.
 
-Sem aprovacao: escreve relatorio (Fase 3 com `status: PLANNED`) e para.
+Sem aprovação: escreve relatório (Fase 3 com `status: PLANNED`) e para.
 
 ---
 
-### Fase 2 — Geracao
+### Fase 2 — Geração
 
 #### 2.1 Artefatos `--dev`
 
 **`docker-compose.dev.yml`**:
 - Componha blocos de `.agents/skills/docker-compose-recipes/services/*.yml` segundo `references/compose-composition.md`.
 - Adicione service(s) do app no fim: `build: { context: ., dockerfile: Dockerfile.dev }`, `volumes` para hot reload (bind mount do source, anonymous volume para `node_modules`/`__pycache__`), `env_file: .env`, `depends_on` com `condition: service_healthy` segundo `references/healthcheck-patterns.md`.
+- Preserve a tag da imagem de cada recipe (NÃO converta nenhuma para digest — digest congela a base e nunca alcanca um rebuild de segurança), as vars de credencial obrigatórias e os binds em `127.0.0.1`. As portas loopback mantem intencionalmente a topologia `apps no host` funcionando.
 - Header: `# Generated by /dw-dockerize on YYYY-MM-DD`.
 
-**`Dockerfile.dev`** (multi-stage NAO obrigatorio em dev — single stage tudo bem):
+**`.env.example`**: emita toda var de credencial sem valor funcional (as recipes usam `${VAR:?}`, então o Compose recusa subir sem valor). Depois da copia para `.env`, exija que o usuário defina valores locais únicos e gerados antes de rodar Compose. URLs das apps usam `localhost` quando apps rodam no host e DNS do serviço quando rodam no Compose.
+
+**`Dockerfile.dev`** (multi-stage NÃO obrigatório em dev — single stage tudo bem):
 
 | Stack | Forma |
 |-------|-------|
@@ -176,11 +181,11 @@ Sem aprovacao: escreve relatorio (Fase 3 com `status: PLANNED`) e para.
 
 **`.dockerignore`** dev: exclua `.git`, `node_modules`, `target`, `dist`, `.dw`, `.agents`, `*.md` (exceto README.md).
 
-**README.md secao "Local Dev"** (anexada): tabela de portas dos servicos, credenciais default do `.env.example`, os 4 comandos `dev:*`.
+**README.md seção "Local Dev"** (anexada): tabela de portas dos serviços, requisitos de credenciais do `.env.example` sem senhas funcionais, os 4 comandos `dev:*`.
 
 #### 2.2 Artefatos `--prod`
 
-**`Dockerfile`** (multi-stage, especifico por linguagem):
+**`Dockerfile`** (multi-stage, específico por linguagem):
 
 ```dockerfile
 # Exemplo: Node TS com base conservadora
@@ -206,42 +211,44 @@ CMD ["node", "dist/server.js"]
 ```
 
 Requisitos chave (toda linguagem):
-- Multi-stage: build deps NAO podem ficar no runtime
-- `USER` nao-root no runtime
+- Multi-stage: build deps NÃO podem ficar no runtime
+- `USER` não-root no runtime
 - `HEALTHCHECK` (delegue para endpoint `/health` ou check de processo)
-- `EXPOSE` so a porta de runtime
+- `EXPOSE` só a porta de runtime
 - Sem secrets baked — use `ARG` para build-time + `ENV` referenciando que resolve em runtime
 
-**`docker-compose.prod.yml`** (opcional, so se usuario quer compose em prod):
-- Sem bind mounts. So named volumes.
+**`docker-compose.prod.yml`** (opcional, só se usuário quer compose em prod):
+- Sem bind mounts. Só named volumes.
 - `restart: always`.
-- Network interna. SEM portas publicas exceto via reverse proxy.
+- Network interna. SEM portas públicas exceto via reverse proxy.
 - Secrets via bloco `secrets:` ou manager externo.
-- Drope servicos so-de-dev (sem MailHog, Mailpit, smtp4dev, LocalStack, MinIO a menos que explicitamente preciso em prod).
+- Drope serviços só-de-dev (sem Mailpit, Mailpit, smtp4dev, LocalStack, MinIO a menos que explicitamente preciso em prod).
+- Para busca vetorial, use imagem revisada separadamente ou serviço Postgres gerenciado com a extensão `vector`; este projeto não distribui imagem pgvector validada.
 
-**`.dockerignore`** prod: mais restritivo que dev. Exclua testes, `tests/`, `.github/`, `.dw/`, `.agents/`, todo markdown exceto licenca.
+**`.dockerignore`** prod: mais restritivo que dev. Exclua testes, `tests/`, `.github/`, `.dw/`, `.agents/`, todo markdown exceto licença.
 
 #### 2.3 Modo `--audit`
 
 Leia `Dockerfile` e composes existentes. Aplique checks de `security-review/infrastructure/docker.md`:
-- Multi-stage? (sim/nao)
-- Usuario nao-root? (sim/nao)
+- Multi-stage? (sim/não)
+- Usuário não-root? (sim/não)
 - Tag `:latest`? (flag)
 - Secrets em linhas `ENV`? (flag CRITICAL)
 - Healthcheck presente? (flag se faltar)
-- `.dockerignore` presente e exclui ruido obvio? (flag se faltar)
-- Compose: portas publicas em servicos data-tier? (flag)
-- Compose: servicos sem healthcheck? (flag)
-- Compose: servicos sem `restart` policy? (flag)
+- `.dockerignore` presente e exclui ruído óbvio? (flag se faltar)
+- Compose: portas públicas em serviços data-tier? (flag)
+- Compose: serviços sem healthcheck? (flag)
+- Compose: serviços sem `restart` policy? (flag)
 - Compose: bind mounts em compose prod? (flag CRITICAL se `prod` no nome do arquivo)
+- Compose: alguma imagem pinada por digest, ou credencial com default funcional? (flag CRITICAL — ambos bloqueiam rebuild da base ou distribuem credencial usavel)
 
-Aplique `dw-review-rigor`: dedupe padroes repetidos, signal-over-volume em nits de estilo.
+Aplique `dw-review-rigor`: dedupe padrões repetidos, signal-over-volume em nits de estilo.
 
-Modo audit produz SUGESTOES no relatorio — NAO modifica arquivos. Usuario age manualmente, ou roda `/dw-dockerize --mode=force-overwrite` para regerar.
+Modo audit produz SUGESTÕES no relatório — NÃO modifica arquivos. Usuário age manualmente, ou roda `/dw-dockerize --mode=force-overwrite` para regerar.
 
 ---
 
-### Fase 3 — Relatorio
+### Fase 3 — Relatório
 
 Path: `.dw/audit/dockerize-<YYYY-MM-DD>.md` (ou `<SCOPE>/dockerize.md` se escopo PRD).
 
@@ -257,22 +264,22 @@ mode: <dev|prod|both|audit|dry-run>
 languages: [...]
 frameworks: { web: '...', api: '...' }
 services_detected: [postgres, redis, ...]
-services_added: [mailhog, ...]
+services_added: [mailpit, ...]
 base_image_strategy: <conservative|balanced|bold>
 ---
 ```
 
-Secoes:
+Seções:
 
 1. **VERIFICATION REPORT** — por fase: comandos rodados, exit codes, arquivos criados ou auditados.
 2. **Stack Detection** — tabela de linguagem, framework, package manager, deps de infra detectadas (com markers da Fase 0.3).
 3. **Existing Docker Artifacts** — lista de arquivos encontrados antes do run; "nenhum" se Docker greenfield.
-4. **Brainstorm** — opcoes de base apresentadas (so `--prod` e `--both`), confirmacao de servicos (so `--dev` e `--both`).
-5. **Approval** — o que o usuario escolheu (modo, estrategia base, servicos a incluir/excluir).
+4. **Brainstorm** — opções de base apresentadas (só `--prod` e `--both`), confirmação de serviços (só `--dev` e `--both`).
+5. **Approval** — o que o usuário escolheu (modo, estrategia base, serviços a incluir/excluir).
 6. **Files Created** — tabela com path + bytes + papel.
-7. **Audit Findings** (so `--audit`) — tabela de issues com severidade, file:line, recomendacao.
+7. **Audit Findings** (só `--audit`) — tabela de issues com severidade, file:line, recomendação.
 8. **Next Steps:**
-   - Para `--dev`: `cp .env.example .env` (se faltar), `docker compose -f docker-compose.dev.yml up -d`, depois smoke test do app.
+   - Para `--dev`: `cp .env.example .env` (se faltar), defina cada secret obrigatório como `POSTGRES_PASSWORD` com valor local único, rode `docker compose -f docker-compose.dev.yml up -d`, depois smoke test do app.
    - Para `--prod`: build local primeiro (`docker build -t <name>:dev .`), rode `/dw-secure-audit` no Dockerfile e compose, depois push pro registry.
    - Para `--audit`: aplique fixes manualmente ou rode com `--mode=force-overwrite`.
    - Sempre: rode `/dw-secure-audit --plan` antes de promover a imagem para prod.
@@ -281,41 +288,41 @@ Secoes:
 
 | Flag | Comportamento |
 |------|---------------|
-| `--dev` (default se nao tem Dockerfile) | Fases 0 → 3, gera `docker-compose.dev.yml` + `Dockerfile.dev` + `.dockerignore` |
+| `--dev` (default se não tem Dockerfile) | Fases 0 → 3, gera `docker-compose.dev.yml` + `Dockerfile.dev` + `.dockerignore` |
 | `--prod` | Fases 0 → 3, gera `Dockerfile` multi-stage + `docker-compose.prod.yml` opcional |
 | `--both` | Fases 0 → 3, gera artefatos dev + prod |
-| `--audit` (default se Docker artifacts ja existem) | Fases 0 → 3, sem escrita; produz relatorio de sugestoes |
-| `--dry-run` | Fases 0 → 1, so plano, sem escrever |
-| `--mode=force-overwrite` | Permite sobrescrever artefatos existentes (CUIDADO; usuario tem que confirmar na Fase 1.5) |
+| `--audit` (default se Docker artifacts já existem) | Fases 0 → 3, sem escrita; produz relatório de sugestões |
+| `--dry-run` | Fases 0 → 1, só plano, sem escrever |
+| `--mode=force-overwrite` | Permite sobrescrever artefatos existentes (CUIDADO; usuário tem que confirmar na Fase 1.5) |
 
-## Regras Criticas
+## Regras Críticas
 
-- <critical>Nunca sobrescreva em silencio. Se `Dockerfile`/`docker-compose.*.yml`/`.dockerignore` existe, default para `--audit`.</critical>
-- <critical>Imagens prod NUNCA incluem secrets, tooling SDK de dev, source nao compilado, ou fixtures de teste.</critical>
-- <critical>Imagens prod SEMPRE rodam como usuario nao-root.</critical>
-- <critical>Compose prod NUNCA inclui MailHog, Mailpit, smtp4dev, LocalStack, ou servicos so-de-dev.</critical>
-- <critical>Se `--audit` acha CRITICAL (secrets em ENV, root user, portas publicas em data tier), Next Steps lista o fix como REQUIRED antes de deploy.</critical>
-- NAO use tag `:latest` em lugar nenhum.
-- NAO execute comandos compose deste comando — gere arquivos, o usuario roda `docker compose up`.
-- NAO mande `Dockerfile.dev` para producao. Dev Dockerfile e so para hot reload.
+- <critical>Nunca sobrescreva em silêncio. Se `Dockerfile`/`docker-compose.*.yml`/`.dockerignore` existe, default para `--audit`.</critical>
+- <critical>Imagens prod NUNCA incluem secrets, tooling SDK de dev, source não compilado, ou fixtures de teste.</critical>
+- <critical>Imagens prod SEMPRE rodam como usuário não-root.</critical>
+- <critical>Compose prod NUNCA inclui Mailpit, Mailpit, smtp4dev, LocalStack, ou serviços só-de-dev.</critical>
+- <critical>Se `--audit` acha CRITICAL (secrets em ENV, root user, portas públicas em data tier), Next Steps lista o fix como REQUIRED antes de deploy.</critical>
+- NÃO use tag `:latest` em lugar nenhum.
+- NÃO execute comandos compose deste comando — gere arquivos, o usuário roda `docker compose up`.
+- NÃO mande `Dockerfile.dev` para producao. Dev Dockerfile e só para hot reload.
 
 ## Tratamento de Erros
 
 - Manifest faltando → aborte com mensagem da matriz de linguagens.
-- Linguagens misturadas (poliglota) → pergunte qual app/folder dockerizar; nao chute.
-- Recipe de servico detectado nao bundled (ex.: MongoDB) → anote no relatorio, sugira o usuario adicionar uma recipe na skill bundled ou ligar manualmente.
+- Linguagens misturadas (poliglota) → pergunte qual app/folder dockerizar; não chute.
+- Recipe de serviço detectado não bundled (ex.: MongoDB) → anote no relatório, sugira o usuário adicionar uma recipe na skill bundled ou ligar manualmente.
 - Dockerfile existente invalido/unparseable → audit reporta como CRITICAL "unparseable Dockerfile" e propoe regenerar.
-- Usuario passa `--mode=force-overwrite` mas o gate da Fase 1.5 nega → aborte sem escrita.
+- Usuário passa `--mode=force-overwrite` mas o gate da Fase 1.5 nega → aborte sem escrita.
 
-## Integracao com Outros dw-* Commands
+## Integração com Outros dw-* Commands
 
-- **`/dw-secure-audit`** — rode APOS geracao `--prod` para escanear o novo Dockerfile + compose com Trivy IaC.
-- **`/dw-secure-audit --plan`** — rode ANTES da geracao `--prod` para garantir que nenhuma dep vulneravel vai pra imagem.
-- **`/dw-new-project`** — comando irmao. `/dw-new-project` ja inclui Docker do dia 1; `/dw-dockerize` retrofita. Compartilham a skill `docker-compose-recipes`.
-- **`/dw-qa --fix`** — se um `Dockerfile.dev` gerado quebra o hot-reload, `/dw-qa --fix` itera fixes com o usuario.
+- **`/dw-secure-audit`** — rode APÓS geração `--prod` para escanear o novo Dockerfile + compose com Trivy IaC.
+- **`/dw-secure-audit --plan`** — rode ANTES da geração `--prod` para garantir que nenhuma dep vulnerável vai pra imagem.
+- **`/dw-new-project`** — comando irmão. `/dw-new-project` já inclui Docker do dia 1; `/dw-dockerize` retrofita. Compartilham a skill `docker-compose-recipes`.
+- **`/dw-qa --fix`** — se um `Dockerfile.dev` gerado quebra o hot-reload, `/dw-qa --fix` itera fixes com o usuário.
 
 ## Inspirado em
 
-`dw-dockerize` e dev-workflow-native. A camada de deteccao reusa a matriz de linguagens de `/dw-secure-audit` e `/dw-secure-audit --plan`. A camada de brainstorm pega a disciplina das tres opcoes (Conservadora/Balanceada/Ousada) emprestada do `/dw-brainstorm` e aplica em escolha de base. A camada de audit reusa `security-review/infrastructure/docker.md` para checks alinhados com OWASP. A composicao de compose esta delegada para a skill bundled `docker-compose-recipes` (compartilhada com `/dw-new-project`).
+`dw-dockerize` é dev-workflow-native. A camada de detecção reusa a matriz de linguagens de `/dw-secure-audit` e `/dw-secure-audit --plan`. A camada de brainstorm pega a disciplina das três opções (Conservadora/Balanceada/Ousada) emprestada do `/dw-brainstorm` e aplica em escolha de base. A camada de audit reusa `security-review/infrastructure/docker.md` para checks alinhados com OWASP. A composição de compose está delegada para a skill bundled `docker-compose-recipes` (compartilhada com `/dw-new-project`).
 
 </system_instructions>