@hed-hog/core 0.0.399 → 0.0.400

package/hedhog/frontend/messages/pt.json

@@ -1,4 +1,29 @@
 {
+  "DateRangePicker": {
+    "placeholder": "Selecionar período",
+    "apply": "Aplicar",
+    "clear": "Limpar",
+    "clearTooltip": "Limpar período",
+    "otherYears": "Outros anos",
+    "fromLabel": "De",
+    "toLabel": "Até",
+    "datePlaceholder": "dd/mm/aaaa",
+    "invalidDate": "Data inválida",
+    "previousDecade": "Década anterior",
+    "nextDecade": "Próxima década",
+    "presets": {
+      "today": "Hoje",
+      "yesterday": "Ontem",
+      "last7Days": "Últimos 7 dias",
+      "thisWeek": "Esta semana",
+      "lastWeek": "Semana passada",
+      "thisMonth": "Este mês",
+      "lastMonth": "Mês passado",
+      "last30Days": "Últimos 30 dias",
+      "last90Days": "Últimos 90 dias",
+      "thisYear": "Este ano"
+    }
+  },
   "TagSelectorSheet": {
     "addTag": "Adicionar tag",
     "sheetTitle": "Gerenciar tags",
@@ -23,6 +48,16 @@
     "btnBuscar": "Buscar",
     "filterPlaceholder": "Filtrar"
   },
+  "TableSort": {
+    "sortAscending": "Ordenar crescente",
+    "sortDescending": "Ordenar decrescente"
+  },
+  "ColumnsMenu": {
+    "trigger": "Colunas",
+    "label": "Exibir colunas",
+    "reset": "Restaurar padrão",
+    "dragHandle": "Arraste para reordenar a coluna"
+  },
   "Sheet": {
     "close": "Fechar"
   },
@@ -574,6 +609,8 @@
     "tableVariables": "Variáveis",
     "tableUpdated": "Atualizado",
     "tableActions": "Ações",
+    "moreVariables": "+{count} variáveis",
+    "allVariablesTitle": "Todas as variáveis",
     "editTemplate": "Editar Template",
     "newTemplateTitle": "Novo Template",
     "editTemplateDescription": "Edite as informações do template de e-mail",
@@ -976,7 +1013,8 @@
     "nameLabel": "Nome",
     "mfaNameAriaLabel": "Nome da MFA",
     "cancel": "Cancelar",
-    "save": "Salvar"
+    "save": "Salvar",
+    "removeMfa": "Remover método"
   },
   "RecoveryCodes": {
     "title": "Códigos de Recuperação",
@@ -994,7 +1032,8 @@
     "allCodesCopyFailed": "Falha ao copiar códigos",
     "noCodesAvailable": "Nenhum código de recuperação disponível para download",
     "codesDownloaded": "Códigos de recuperação baixados",
-    "downloadFailed": "Falha ao baixar códigos"
+    "downloadFailed": "Falha ao baixar códigos",
+    "copyCode": "Copiar código"
   },
   "RegenerateRecoveryCodes": {
     "title": "Regenerar Códigos de Recuperação",
@@ -1413,44 +1452,99 @@
     "byteUnitGB": "GB",
     "byteUnitTB": "TB",
     "selectOption": "Selecione uma opção",
-    "selectMailProfile": "Selecione um perfil de email",
-    "mailProfileEmptyState": "Nenhum perfil de email encontrado.",
-    "selectWhatsAppProfile": "Selecione um perfil de WhatsApp",
-    "selectStorageProfile": "Selecione um perfil de armazenamento",
-    "storageProfileEmptyState": "Nenhum perfil de armazenamento encontrado.",
-    "selectAiProfile": "Selecione um perfil de IA",
-    "aiProfileEmptyState": "Nenhum perfil de IA encontrado.",
-    "selectOAuthProfile": "Selecione um perfil OAuth",
-    "oauthProfileEmptyState": "Nenhum perfil OAuth encontrado.",
-    "selectPaymentProfile": "Selecione um perfil de pagamento",
-    "paymentProfileEmptyState": "Nenhum perfil de pagamento encontrado.",
-    "whatsappProfileEmptyState": "Nenhum perfil de WhatsApp encontrado.",
-    "selectIntegrationProfile": "Selecione um perfil de integração",
-    "integrationProfileEmptyState": "Nenhum perfil de integração encontrado.",
+    "profileTypes": {
+      "ai": {
+        "placeholder": "Selecione um perfil de IA",
+        "emptyState": "Nenhum perfil de IA encontrado.",
+        "name": "perfil de IA"
+      },
+      "email": {
+        "placeholder": "Selecione um perfil de e-mail",
+        "emptyState": "Nenhum perfil de e-mail encontrado.",
+        "name": "perfil de e-mail"
+      },
+      "whatsapp": {
+        "placeholder": "Selecione um perfil de WhatsApp",
+        "emptyState": "Nenhum perfil de WhatsApp encontrado.",
+        "name": "perfil de WhatsApp"
+      },
+      "storage": {
+        "placeholder": "Selecione um perfil de armazenamento",
+        "emptyState": "Nenhum perfil de armazenamento encontrado.",
+        "name": "perfil de armazenamento"
+      },
+      "oauth": {
+        "placeholder": "Selecione um perfil OAuth",
+        "emptyState": "Nenhum perfil OAuth encontrado.",
+        "name": "perfil OAuth"
+      },
+      "payment": {
+        "placeholder": "Selecione um perfil de pagamento",
+        "emptyState": "Nenhum perfil de pagamento encontrado.",
+        "name": "perfil de pagamento"
+      },
+      "infrastructure": {
+        "placeholder": "Selecione o perfil de infraestrutura",
+        "emptyState": "Nenhum perfil de infraestrutura encontrado. Crie um perfil DigitalOcean ou Kubernetes primeiro.",
+        "name": "perfil de infraestrutura"
+      },
+      "shipping": {
+        "placeholder": "Selecione um perfil de frete",
+        "emptyState": "Nenhum perfil de frete encontrado. Crie um perfil da Melhor Envio primeiro.",
+        "name": "perfil de frete"
+      },
+      "captcha": {
+        "placeholder": "Selecione um perfil de captcha",
+        "emptyState": "Nenhum perfil de captcha encontrado.",
+        "name": "perfil de captcha"
+      },
+      "video": {
+        "placeholder": "Selecione um perfil de vídeo",
+        "emptyState": "Nenhum perfil de vídeo encontrado.",
+        "name": "perfil de vídeo"
+      },
+      "fiscal": {
+        "placeholder": "Selecione um perfil fiscal",
+        "emptyState": "Nenhum perfil fiscal encontrado.",
+        "name": "perfil fiscal"
+      },
+      "generic": {
+        "placeholder": "Selecione um perfil de integração",
+        "emptyState": "Nenhum perfil de integração encontrado.",
+        "name": "perfil de integração"
+      }
+    },
+    "profileProviders": {
+      "kubernetes": "perfil Kubernetes"
+    },
     "editProfileAria": "Editar {profile}",
     "createProfileAria": "Criar {profile}",
-    "profileTypeNames": {
-      "ai": "perfil de IA",
-      "email": "perfil de e-mail",
-      "whatsapp": "perfil de WhatsApp",
-      "storage": "perfil de armazenamento",
-      "oauth": "perfil OAuth",
-      "payment": "perfil de pagamento",
-      "infrastructure": "perfil de infraestrutura",
-      "kubernetes": "perfil Kubernetes",
-      "generic": "perfil de integração"
-    },
-    "selectInfraProfile": "Selecione o perfil de infraestrutura",
-    "infraProfileEmptyState": "Nenhum perfil de infraestrutura encontrado. Crie um perfil DigitalOcean ou Kubernetes primeiro.",
-    "selectK8sInfraProfile": "Selecione o perfil Kubernetes",
-    "k8sInfraProfileEmptyState": "Nenhum perfil de infraestrutura Kubernetes encontrado. Crie um primeiro.",
     "openLink": "Abrir",
     "settingOptions": {
       "commerce-android-checkout-mode": {
         "web": "Checkout no site",
         "play_billing": "Google Play Billing (compra no app)"
+      },
+      "commerce-store-interest-mode": {
+        "buyer_pays": "Comprador paga os juros",
+        "merchant_absorbs": "Loja absorve os juros"
       }
-    }
+    },
+    "imageOptimization": {
+      "title": "Reprocessar imagens já armazenadas",
+      "description": "As configurações acima valem para uploads novos. Use esta ação para reaplicá-las às imagens que já estão no storage — o arquivo é regravado no lugar, mantendo o mesmo id, e só é substituído quando o resultado fica menor ou muda de formato.",
+      "preview": "{count, plural, =0 {Nenhuma imagem acima desse tamanho.} one {# imagem acima desse tamanho, somando {size}.} other {# imagens acima desse tamanho, somando {size}.}}",
+      "previewLoading": "Calculando…",
+      "previewFailed": "Não foi possível calcular a prévia.",
+      "refresh": "Recalcular",
+      "queueAction": "Reprocessar",
+      "queueHint": "O reprocessamento roda em segundo plano; acompanhe em <link>Fila de Jobs</link>.",
+      "queuedSuccess": "{count, plural, =0 {Nenhum job enfileirado.} one {# imagem enfileirada para reprocessamento.} other {# imagens enfileiradas para reprocessamento.}}",
+      "queuedRemaining": "{count, plural, one {Resta # imagem: repita a ação para enfileirar o restante.} other {Restam # imagens: repita a ação para enfileirar o restante.}}",
+      "queueFailed": "Falha ao enfileirar o reprocessamento das imagens."
+    },
+    "menuActions": "Mais ações",
+    "uploadFile": "Enviar arquivo"
   },
   "AddWidgetDialog": {
     "title": "Selecionar Componentes do Dashboard",
@@ -1668,6 +1762,7 @@
       "description": "Dispositivos conectados à sua conta",
       "moreInfo": "Mais Informações",
       "thisSession": "Esta sessão",
+      "moreActions": "Mais ações",
       "terminateSession": "Encerrar sessão",
       "activeNow": "Ativo agora",
       "minutesAgo": "{count}min atrás",
@@ -1764,7 +1859,8 @@
       "darkPalette": "Paleta escura",
       "primary": "Primária",
       "notSet": "Não definido"
-    }
+    },
+    "removeWidget": "Remover widget"
   },
   "WidgetRenderer": {
     "saveWidgetPreview": "Salvar preview do widget",
@@ -1942,7 +2038,11 @@
     "componentSlugPlaceholder": "total-users",
     "componentNamePlaceholder": "Total de Usuários",
     "addItemError": "Erro ao adicionar item",
-    "deleteItemError": "Erro ao excluir item"
+    "deleteItemError": "Erro ao excluir item",
+    "goToFirstPage": "Ir para primeira página",
+    "goToPreviousPage": "Ir para página anterior",
+    "goToNextPage": "Ir para próxima página",
+    "goToLastPage": "Ir para última página"
   },
   "DashboardComponent": {
     "title": "Componentes do Dashboard",
@@ -2258,7 +2358,13 @@
     "logRetryError": "Falha ao tentar reexecutar a chamada do webhook",
     "logRetryFailedAgain": "A reexecução rodou, mas a chamada falhou novamente",
     "logRetryConfirmTitle": "Tentar novamente esta chamada?",
-    "logRetryConfirmDescription": "Todas as actions ativas deste webhook serão executadas de novo usando o payload original. Actions que já tinham dado certo (ex.: e-mails ou mensagens de WhatsApp) podem ser reenviadas."
+    "logRetryConfirmDescription": "Todas as actions ativas deste webhook serão executadas de novo usando o payload original. Actions que já tinham dado certo (ex.: e-mails ou mensagens de WhatsApp) podem ser reenviadas.",
+    "duplicate": "Duplicar",
+    "removeIp": "Remover IP",
+    "editSelectedMailProfile": "Editar perfil de e-mail selecionado",
+    "editSelectedMailTemplate": "Editar template de e-mail selecionado",
+    "editAction": "Editar ação",
+    "deleteAction": "Excluir ação"
   },
   "McpChatPage": {
     "title": "Chat MCP",
@@ -2365,7 +2471,10 @@
     "mcpUsageExampleLabel": "Exemplo (Claude Desktop / Cursor):",
     "apiUsageDesc": "Use este token para autenticar requisições à API REST passando-o como Bearer token no header Authorization.",
     "apiUsageHeader": "Adicione este header em cada requisição:",
-    "apiUsageExampleLabel": "Exemplo (curl):"
+    "apiUsageExampleLabel": "Exemplo (curl):",
+    "copy": "Copiar",
+    "copyToken": "Copiar token",
+    "revoke": "Revogar token"
   },
   "McpFloatingChat": {
     "title": "Chat MCP",
@@ -2484,6 +2593,8 @@
     "rawUserAgent": "User Agent",
     "simulated": "Simulado",
     "simulatedBy": "Simulado por {name}",
+    "connectedApp": "Aplicativo conectado",
+    "viaConnector": "Pelo conector",
     "simulatedAccess": "Acesso simulado",
     "filterBySimulated": "Simulação",
     "simulatedAll": "Todos os acessos",
@@ -2678,6 +2789,7 @@
     "paymentGooglePlayStep3": "Conceda à service account de publicação do Play permissão para publicar no tópico.",
     "paymentGooglePlayStep4": "Envie uma notificação de teste e confirme que ela chega.",
     "paymentWebhookSecretRequiredNote": "Em modo produção, configure o Webhook Secret do provedor — sem ele, os webhooks de produção são rejeitados (requisições sem assinatura não são processadas).",
+    "paymentWebhookSecretMissingInProduction": "Este perfil está em produção sem Webhook Secret: nesse estado todo webhook do gateway é rejeitado com 401 e o pedido nunca sai de pendente. Cadastre a URL acima no painel do provedor, copie a chave secreta gerada e cole no campo Webhook Secret.",
     "paymentGooglePlayNote": "O RTDN do Google Play é autenticado pelo Pub/Sub (push OIDC); não há webhook secret para configurar. O estado da assinatura é sempre reconsultado na Play Developer API.",
     "fieldBasePath": "Caminho Base",
     "fieldBucket": "Bucket",
@@ -2704,6 +2816,7 @@
     "fieldModeSandbox": "Sandbox",
     "fieldModeProduction": "Produção",
     "fieldSiteKey": "Chave do Site",
+    "fieldHostnames": "Hostnames permitidos",
     "fieldHmacKey": "Chave HMAC",
     "fieldScoreThreshold": "Limiar de Pontuação",
     "fieldApiUrl": "URL da API",
@@ -2719,6 +2832,8 @@
     "addCallbackUrl": "Adicionar URL",
     "noCallbackUrls": "Nenhuma URL de callback configurada.",
     "callbackUrlPlaceholder": "https://seudominio.com/callback/...",
+    "copyUrl": "Copiar URL",
+    "removeCallbackUrl": "Remover URL",
     "showPassword": "Mostrar valor",
     "hidePassword": "Ocultar valor",
     "leaveBlankToKeep": "Deixe em branco para manter o valor atual",
@@ -2730,6 +2845,8 @@
     "fieldApiServer": "URL do API Server",
     "fieldCaCert": "Certificado CA (PEM)",
     "fieldNamespace": "Namespace",
+    "fieldUserAgent": "User-Agent (e-mail de contato)",
+    "fieldSandbox": "Ambiente de testes (sandbox)",
     "fieldVideoNodePool": "Node Pool de Vídeo",
     "nodePoolSectionTitle": "Node Pool de Vídeo",
     "nodePoolSectionDescription": "Pool onde os pods de conversão de vídeo rodam. Carregue os pools da DigitalOcean e escolha um pelo nome.",
@@ -2923,6 +3040,7 @@
     "columnInList": "Na listagem",
     "columnInFilters": "Como filtro",
     "addColumn": "Adicionar coluna",
+    "removeColumn": "Remover coluna",
     "generateBackend": "Gerar backend",
     "generateBackendHint": "Cria table YAML, migration, DTO, service, controller e módulo NestJS.",
     "menuParent": "Menu pai",
@@ -3105,6 +3223,7 @@
     "noContent": "Sem conteúdo para visualizar",
     "complexHtmlWarningTitle": "HTML complexo detectado",
     "complexHtmlWarningDesc": "Este conteúdo tem tags style, head ou script que o editor visual remove. Use a aba HTML para editá-lo.",
+    "complexHtmlTabDisabled": "Indisponível para HTML complexo: o editor visual removeria as tags style, head ou script. Use a aba HTML.",
     "aiEditTitle": "Ajustar HTML com IA",
     "aiInstructionPlaceholder": "Descreva o ajuste que a IA deve fazer neste HTML.",
     "aiApplyButton": "Ajustar com IA",
@@ -3185,5 +3304,33 @@
     "redeemMissingCode": "Nenhum código de simulação foi encontrado no link.",
     "noAdminAccessTitle": "Este usuário não tem acesso ao painel",
     "noAdminAccessDescription": "{name} não tem papel administrativo, então não há o que mostrar aqui. Simule esse acesso na aplicação que a pessoa realmente usa."
+  },
+  "MessageTemplatesPage": {
+    "title": "Modelos de mensagem",
+    "description": "Texto das mensagens que a plataforma envia fora do e-mail, como os avisos de novo chamado e de venda no WhatsApp.",
+    "breadcrumbDashboard": "Início",
+    "breadcrumbManagement": "Gerenciamento",
+    "breadcrumbCurrent": "Modelos de mensagem",
+    "emptyTitle": "Nenhum modelo disponível",
+    "emptyDescription": "Os modelos vêm dos módulos instalados. Se esta lista está vazia, nenhum módulo declarou mensagem para editar.",
+    "edit": "Editar",
+    "restore": "Restaurar padrão",
+    "restoreHint": "Apaga o texto editado e volta ao que o módulo traz. As melhorias que vierem por atualização voltam a valer.",
+    "customized": "Personalizado",
+    "inactive": "Texto editado desligado",
+    "sheetTitle": "Editar modelo",
+    "sheetDescription": "O texto vai como está para o WhatsApp. Use *asteriscos* para negrito e as variáveis abaixo para os dados.",
+    "fieldActive": "Usar o texto editado",
+    "fieldActiveHint": "Desligado, o aviso volta a usar o texto padrão do módulo — nunca fica sem aviso.",
+    "fieldBody": "Corpo da mensagem",
+    "fieldBodyHint": "Uma linha com {{#if variavel}} sozinha não aparece na mensagem: ela só esconde o trecho quando o campo vem vazio.",
+    "locale_pt": "Português",
+    "locale_en": "Inglês",
+    "variables": "Variáveis disponíveis",
+    "preview": "Pré-visualizar",
+    "previewHint": "Renderiza o texto com dados de exemplo, sem salvar.",
+    "save": "Salvar",
+    "cancel": "Cancelar",
+    "saved": "Modelo salvo."
   }
 }

package/hedhog/table/cron_lock.yaml

@@ -0,0 +1,17 @@
+columns:
+  - type: pk
+  - name: slug
+    length: 127
+  - name: holder
+    length: 255
+  - name: locked_until
+    type: timestamptz
+  - type: created_at
+  - type: updated_at
+
+indexes:
+  - columns:
+      - slug
+    isUnique: true
+  - columns:
+      - locked_until

package/hedhog/table/file.yaml

@@ -27,5 +27,17 @@ columns:
   - name: is_private
     type: boolean
     default: false
+  # Quem enviou. O MCP so aceita `fileId` de arquivo do proprio usuario (ou de
+  # quem tem admin/admin-access) — pelo mesmo motivo do is_private acima, id
+  # sequencial e enumeravel, e sem dono nao ha como recusar um id adivinhado.
+  # Nulo nos arquivos anteriores a esta coluna e nos caminhos internos sem
+  # usuario (seed, cron, webhook); nulo so e utilizavel por admin.
+  - name: created_by_user_id
+    type: fk
+    references:
+      table: user
+      column: id
+      onDelete: SET NULL
+    isNullable: true
   - type: created_at
-  - type: updated_at
+  - type: updated_at

package/hedhog/table/file_upload_chunk.yaml

@@ -0,0 +1,23 @@
+# Partes do modo `chunked`. Ficam no banco, e nao em disco, porque a API roda com
+# varios pods: dois `append` do mesmo upload caem em processos diferentes e um
+# arquivo temporario local nao seria visto pelo pod seguinte. `bytea` guarda o
+# binario ja decodificado, sem os 33% de inchaco do base64.
+columns:
+  - type: pk
+  - name: ticket_id
+    type: fk
+    references:
+      table: file_upload_ticket
+      column: id
+      onDelete: CASCADE
+  - name: index
+    type: int
+    unsigned: true
+  - name: data
+    type: bytes
+  - type: created_at
+indices:
+  - columns:
+      - ticket_id
+      - index
+    isUnique: true

package/hedhog/table/file_upload_ticket.yaml

@@ -0,0 +1,67 @@
+# Upload iniciado fora do corpo da chamada MCP: o cliente pede um ticket, sobe o
+# binario pelo PUT assinado (ou em partes, quando nao consegue falar HTTP) e so
+# entao passa o fileId para a tool que vai usar o arquivo. O ticket e o que
+# amarra o upload ao usuario, ao mimetype e ao tamanho declarados.
+columns:
+  - type: pk
+  - name: user_id
+    type: fk
+    references:
+      table: user
+      column: id
+      onDelete: CASCADE
+  - name: filename
+  - name: mimetype
+  - name: size_bytes
+    type: int
+    unsigned: true
+  - name: destination
+  - name: is_private
+    type: boolean
+    default: false
+  # sha256 em hex declarado na abertura; conferido contra o conteudo no complete.
+  - name: sha256
+    type: varchar
+    length: 64
+    isNullable: true
+  - name: mode
+    type: enum
+    enum:
+      - signed_url
+      - chunked
+  # `completed` e gravado pelo update condicional que garante uso unico: quem
+  # perde a corrida ve count 0 e recebe erro em vez de gerar um segundo arquivo.
+  - name: status
+    type: enum
+    enum:
+      - pending
+      - completed
+      - failed
+    default: pending
+  - name: file_id
+    type: fk
+    references:
+      table: file
+      column: id
+      onDelete: SET NULL
+    isNullable: true
+  # Retry do cliente devolve o mesmo ticket em vez de abrir outro.
+  - name: idempotency_key
+    type: varchar
+    length: 128
+    isNullable: true
+  - name: expires_at
+    type: timestamptz
+  - name: consumed_at
+    type: timestamptz
+    isNullable: true
+  - type: created_at
+  - type: updated_at
+indices:
+  - columns:
+      - user_id
+      - idempotency_key
+    isUnique: true
+  - columns:
+      - status
+      - expires_at

package/hedhog/table/mcp_tool_call_log.yaml

@@ -1,22 +1,30 @@
-columns:
-  - type: pk
-  - name: user_id
-    type: fk
-    references:
-      table: user
-      column: id
-      onDelete: SET NULL
-    isNullable: true
-  - name: tool_name
-  - name: input
-    type: text
-    isNullable: true
-  - name: success
-    type: boolean
-    default: false
-  - name: error
-    isNullable: true
-  - name: duration_ms
-    type: int
-  - type: created_at
-  - type: updated_at
+columns:
+  - type: pk
+  - name: user_id
+    type: fk
+    references:
+      table: user
+      column: id
+      onDelete: SET NULL
+    isNullable: true
+  - name: tool_name
+  - name: input
+    type: text
+    isNullable: true
+  - name: success
+    type: boolean
+    default: false
+  - name: error
+    isNullable: true
+  - name: duration_ms
+    type: int
+  # Por onde a chamada entrou: o client OAuth externo (hoje 'claude-connector')
+  # ou NULL para o caminho interno — chave hedhog_mcp_, JWT de login, mcp-chat.
+  # Sem isto uma acao feita pelo Claude Desktop e indistinguivel de uma feita
+  # pelo Claude Code, e a auditoria nao responde "quem pediu isso".
+  - name: client_id
+    type: varchar
+    length: 100
+    isNullable: true
+  - type: created_at
+  - type: updated_at

package/hedhog/table/message_template.yaml

@@ -0,0 +1,33 @@
+# Texto das mensagens que a plataforma manda por canal que nao e e-mail — hoje,
+# os avisos internos de WhatsApp do atendimento e do comercio.
+#
+# Nao da para reusar a tabela `mail`: o render dela troca quebra de linha por
+# `<br/>` porque corpo de e-mail e HTML, e no WhatsApp isso sai literal na tela.
+# Aqui o corpo e texto puro, com o markdown do proprio WhatsApp.
+#
+# A tabela e MENOR do que parece necessario de proposito. Nome, descricao e a
+# lista de variaveis nao moram aqui: moram no registry em codigo
+# (`message-template.registry.ts`), declarados pela library dona do template, ao
+# lado de quem produz os valores. Este e o mesmo desenho dos prompts de IA, e a
+# frase que o resume esta la: o registry e o que faz do banco um OVERRIDE em vez
+# da unica copia.
+#
+# Consequencia pratica: instalar uma library ja traz os modelos dela para a tela,
+# sem migration por template, e a linha aqui so nasce quando alguem edita o texto
+# ou desliga o aviso. "Restaurar padrao" apaga a linha.
+columns:
+  - type: pk
+  - type: slug
+  - name: body
+    type: locale_text
+    locale:
+      en: Body
+      pt: Corpo
+  # Template desligado nao cala o aviso: o servico volta para o texto canonico do
+  # registry. Este campo e o desligamento do TEXTO EDITADO, para quem quer voltar
+  # ao padrao sem perder o que escreveu.
+  - name: is_active
+    type: boolean
+    default: true
+  - type: created_at
+  - type: updated_at

package/hedhog/table/setting.yaml

@@ -38,6 +38,14 @@ columns:
   - name: value
     length: 1023
     isNullable: true
+  # Filtro do picker de entidade (component: entity-picker). Hoje só perfil de
+  # integração: { typeSlug, providerSlug?, excludeProviders? }. As chaves vão
+  # cruas na query string de GET /integration-profile, por isso camelCase.
+  # O seeder do CLI serializa este objeto com JSON.stringify sem escapar aspas
+  # simples — mantenha os valores restritos a slugs.
+  - name: entity_filter
+    type: jsonb
+    isNullable: true
   - name: user_override
     type: boolean
     default: false

package/hedhog/table/user_session.yaml

@@ -7,6 +7,17 @@ columns:
       column: id
       onDelete: CASCADE
   - name: hash
+  # Hash do refresh token IMEDIATAMENTE anterior, aceito ate
+  # `previous_hash_expires_at`. Sem essa janela, a rotacao e um handoff sem
+  # tolerancia: se a resposta do /auth/refresh se perde (rede caindo, aba
+  # suspensa, pod reciclado) o servidor ja girou e o cliente fica com um token
+  # morto — sessao de 30 dias destruida por um soluco de rede. Serve tambem para
+  # duas abas que renovam ao mesmo tempo.
+  - name: previous_hash
+    isNullable: true
+  - name: previous_hash_expires_at
+    type: datetime
+    isNullable: true
   - name: browser_id
     isNullable: true
   - name: ip_address
@@ -28,6 +39,25 @@ columns:
     type: varchar
     length: 255
     isNullable: true
+  # Recurso para o qual o access token desta sessao foi emitido (o `aud` do JWT).
+  # NULL e a sessao de login normal, que vale na API inteira; preenchida, o token
+  # so serve naquele recurso — e o TokenService recusa o caminho contrario, um
+  # token COM `aud` chegando numa rota que nao espera audiencia nenhuma.
+  #
+  # Mora na sessao, e nao so no JWT, porque o refresh token e opaco: na rotacao a
+  # unica coisa que sobrevive e esta linha. Sem a coluna, o primeiro
+  # POST /auth/refresh de um cliente externo devolveria um token sem `aud` e
+  # desfaria a restricao.
+  - name: audience
+    type: varchar
+    length: 255
+    isNullable: true
+  # Qual client OAuth abriu a sessao (oauth_app_client.client_id). Serve para a
+  # tela de sessoes dizer "Claude" em vez de repetir o user agent.
+  - name: oauth_client_id
+    type: varchar
+    length: 100
+    isNullable: true
   - type: created_at
   - type: updated_at
 
@@ -36,4 +66,9 @@ columns:
 # composto ja cobre esses casos.
 indices:
   - columns: [user_id, browser_id]
-  - columns: [impersonator_user_id]
+  - columns: [impersonator_user_id]
+  # Todo /auth/refresh e todo /auth/logout procuram a sessao pelo hash. Sem
+  # indice sao seq scans na tabela inteira, e a latencia do refresh entra na
+  # janela de corrida da rotacao.
+  - columns: [hash]
+  - columns: [previous_hash]