@mcptoolshop/housekeeping 0.0.0 → 1.3.0

package/README.md

@@ -1,8 +1,249 @@
-# @mcptoolshop/housekeeping
+<p align="center">
+  <a href="README.md">English</a> | <a href="README.ja.md">日本語</a> | <a href="README.zh.md">中文</a> | <a href="README.es.md">Español</a> | <a href="README.fr.md">Français</a> | <a href="README.hi.md">हिन्दी</a> | <a href="README.it.md">Italiano</a> | <a href="README.pt-BR.md">Português (BR)</a>
+</p>
 
-Placeholder release. It reserves the name so the real package can be published from CI with npm Trusted Publishing.
+<p align="center">
+  <img src="https://raw.githubusercontent.com/mcp-tool-shop-org/brand/main/logos/housekeeping/readme.png" alt="housekeeping" width="400" />
+</p>
 
-housekeeping is an operational-health warehouse for a GitHub organization: one sweep into SQLite, audited against written rules.
+<h1 align="center">housekeeping</h1>
 
-- Source: <https://github.com/mcp-tool-shop-org/housekeeping>
-- Handbook: <https://mcp-tool-shop-org.github.io/housekeeping/handbook/>
+<p align="center">
+  An operational-health warehouse for a GitHub organization.<br>
+  One sweep, one SQLite database, findings you can argue with.
+</p>
+
+<p align="center">
+  <a href="https://github.com/mcp-tool-shop-org/housekeeping/actions/workflows/ci.yml"><img src="https://github.com/mcp-tool-shop-org/housekeeping/actions/workflows/ci.yml/badge.svg" alt="CI" /></a>
+  <a href="LICENSE"><img src="https://img.shields.io/badge/license-MIT-blue" alt="MIT License" /></a>
+  <a href="https://mcp-tool-shop-org.github.io/housekeeping/"><img src="https://img.shields.io/badge/Landing_Page-live-blue" alt="Landing Page" /></a>
+  <a href="https://mcp-tool-shop-org.github.io/housekeeping/handbook/"><img src="https://img.shields.io/badge/Handbook-read-blue" alt="Handbook" /></a>
+</p>
+
+One sweep collects every repository's CI status, open issues and pull requests,
+releases, version tags, workflow files, branch protection, security alerts,
+lockfiles and Actions billing into SQLite, then audits it all against written
+rules.
+
+It answers, for the whole organization at once:
+
+- Which default branches are red, and is that a broken mainline or stale history?
+- Which pull requests can never merge, because a required check nothing emits is blocking them?
+- Which deploys do the repository's own settings refuse?
+- Where have `package.json`, git tags and the npm registry drifted apart?
+- Which workflows break the Actions cost rules, what did they cost, and which jobs spent it?
+- Which repositories carry advisories that GitHub's own alert count misses?
+
+It is an audit instrument, not a fixer. It reads GitHub and changes nothing.
+
+## Why it is shaped this way
+
+| Layer | Choice | Reason |
+|---|---|---|
+| Transport | the `gh` CLI | It already holds your token. The tool never stores or asks for a credential. |
+| Collection | GitHub GraphQL, paged | One query returns metadata, open issues, open pull requests, releases and file trees for a page of repositories. A page that keeps timing out is halved and re-asked from the same cursor. |
+| Actions runs | REST | GraphQL has no Actions surface. |
+| Actions cost | billing API plus per-job durations | The invoice says which repository; only jobs say which workflow. GitHub's `/timing` endpoints return zeros, so the per-job sum is rebuilt and then reconciled against the invoice. |
+| Runner rates | read from the invoice | A billed rate can differ from the list price, and a constant in source would misstate every number. |
+| Storage | SQLite through the built-in `node:sqlite` | No native build step. |
+| Source of truth | `data/snapshots/*.json` | Raw, diffable and append-only. The database is derived: `npm run rebuild` reconstructs it offline. |
+| Sweep log | `data/sweeps.jsonl` | One line per sweep, including sweeps that failed and sweeps that found nothing new. |
+
+Snapshots are immutable and additive, so drift between two dates is a `JOIN`.
+
+## Requirements
+
+- Node.js 22.5 or later.
+- The [GitHub CLI](https://cli.github.com/), signed in (`gh auth status`) as an
+  account that can read the organization. Reading billing and security alerts
+  needs the matching access; a sweep without it records "not measured" and
+  carries on. It never records a missing permission as a clean result.
+- Windows or Linux. It is developed on Windows and its tests run on Linux in
+  CI. macOS should work and is not tested.
+
+## Use
+
+```bash
+npm install -g @mcptoolshop/housekeeping   # puts `hk` and `hk-mcp` on your path
+mkdir warehouse && cd warehouse            # housekeeping keeps its data here
+hk refresh your-org                        # collect, load, analyze, write reports/AUDIT-<date>.md
+```
+
+To keep settings between sweeps, put a `housekeeping.config.json` in that
+directory (see Configuration); then `hk refresh` needs no argument.
+
+Or run it from a clone, which keeps its data in the clone:
+
+```bash
+git clone https://github.com/mcp-tool-shop-org/housekeeping.git
+cd housekeeping
+npm install
+npm link                 # puts `hk` on your path
+cp housekeeping.config.example.json housekeeping.config.json   # then set "org"
+hk refresh
+```
+
+Then query it:
+
+```bash
+hk summary               # portfolio totals
+hk ci                    # repositories whose default branch is red
+hk findings              # findings grouped by severity and code
+hk health                # per-repository health score, worst first
+hk repo <name>           # one repository in full
+hk prs                   # every open pull request by age
+hk versions              # package.json against git tag against npm
+hk actions               # every workflow and its rule flags
+hk cost                  # Actions cost, gross and net side by side
+hk sql "SELECT ..."      # one read-only statement
+hk help                  # every command and flag
+```
+
+In a clone without `npm link`, each `hk <command>` is `node src/cli.mjs <command>`.
+
+`npm run rebuild` re-derives the database and the report from snapshots already
+on disk, with no network access.
+
+A full sweep makes a few hundred API calls. Do not run `refresh` in a loop.
+
+Results go to standard output; progress and errors go to standard error. Every
+error prints a code and a hint. Exit codes: 0 ok, 1 user error, 2 runtime
+error, 3 partial (the sweep finished, with gaps).
+
+## Configuration
+
+`housekeeping.config.json`, in the directory housekeeping works in (see below):
+
+```json
+{
+  "org": "your-org",
+  "metaRepos": [".github"]
+}
+```
+
+- `org` is the organization to sweep. `hk refresh <org>` overrides it. With
+  neither, a sweep refuses to start.
+- `metaRepos` are repositories that hold organization defaults, assets or
+  tooling, not a shipped product. They are exempt from the findings that only
+  make sense for a product: missing README, LICENSE and similar files, having
+  no workflows, and having no releases.
+
+A malformed file is an error, never a silent default: an unknown key, a wrong
+type or broken JSON stops the run.
+
+Run from a clone, housekeeping keeps `data/`, `reports/` and the config file
+in the clone. Run as an installed package, it keeps them in the directory you
+run it from, or in `HK_HOME` when that is set.
+
+Environment: `HK_HOME` (where data, reports and the config live),
+`HK_CONFIG` (config path), `HK_DB` (database path), `HK_LOG`
+(`silent`, `normal`, `verbose` or `debug`), `HK_COST_REPOS` and
+`HK_COST_BUDGET` (bounds on the per-job cost pass), `GH_PATH` (path to `gh`).
+
+## Keep the data private
+
+**What a sweep writes is sensitive. Do not commit `data/` or `reports/` to a
+public repository.**
+
+A snapshot records the names and descriptions of private repositories, every
+open security alert with the package it names, workflow files and Actions
+billing. GitHub deliberately hides a public repository's security alerts from
+everyone but its maintainers; a published snapshot would hand that list out.
+
+This repository's `.gitignore` excludes `data/`, `reports/` and
+`housekeeping.config.json`. To keep history, which is the point of snapshots,
+run the tool from a **private** repository of your own and commit them there.
+
+## MCP server
+
+`hk-mcp` (or `npm run mcp` in a clone) serves the warehouse over stdio, so an
+assistant can ask questions without reading a multi-megabyte snapshot:
+
+`hk_summary` · `hk_findings` · `hk_ci` · `hk_repo` · `hk_backlog` ·
+`hk_health` · `hk_cost` · `hk_sql` · `hk_schema`
+
+```json
+{
+  "mcpServers": {
+    "housekeeping": { "command": "hk-mcp", "env": { "HK_HOME": "/path/to/warehouse" } }
+  }
+}
+```
+
+`HK_HOME` is the directory you sweep from. From a clone, use
+`"command": "node", "args": ["/path/to/housekeeping/src/mcp.mjs"]` instead.
+
+`hk_sql` accepts a single `SELECT` or `WITH` statement and opens the database
+read-only. A failing call returns a structured error, never a stack trace.
+
+## Findings
+
+Rules live in `src/analyze.mjs`. Each one cites the written rule it enforces,
+so a finding is arguable against a standard and not against taste. The rules
+this repository ships are in [`rules/`](rules/):
+
+- [`rules/github-actions.md`](rules/github-actions.md): paths filters, runners, matrix size, the workflow file limit, concurrency.
+- [`rules/shipcheck-product-standards.md`](rules/shipcheck-product-standards.md): CI must pass, the ship gates, versions.
+- [`rules/repo-first.md`](rules/repo-first.md): the default branch.
+- [`rules/atlas-map.md`](rules/atlas-map.md): a committed map of each repository, checked in CI.
+
+They are one organization's standards. If yours differ, change the rule file
+and the rule together.
+
+The rules take care to keep apart things that look alike, because collapsing
+them produces noise:
+
+- **A red default branch is not a red pull-request branch.** A failing
+  Dependabot branch is backlog; a failing `push` run on the default branch is
+  breakage. The run's event decides which.
+- **History is not breakage.** A workflow moved to release-only triggers keeps
+  its last default-branch failure forever. A deleted workflow keeps its runs.
+  Neither is a live defect.
+- **A required check nothing can emit is not a check that did not run here.**
+  One says drop the requirement; the other says fix the trigger. The repairs
+  contradict each other.
+- **A failed run is not a cancelled one.** `cancel-in-progress` exists to kill
+  superseded runs, so cancelled minutes are usually the concurrency rule working.
+- **Gross cost is not net cost.** GitHub meters public repositories at full
+  price and discounts them to zero. Gross is real compute; net is real money.
+  They are never summed.
+- **Not measured is not clean.** A repository GitHub is not scanning reports
+  zero alerts. A repository the cost pass did not reach has no cost row. Both
+  are reported as unknown.
+
+Severity drives a health score: critical 40, high 15, medium 6, low 2, info 0,
+deducted from 100. The score ranks attention, not quality.
+
+The [handbook](https://mcp-tool-shop-org.github.io/housekeeping/handbook/)
+lists every finding, command, error code and table.
+
+## Security
+
+- **Read-only.** The collector issues GraphQL queries and REST `GET`s. It never
+  merges, pushes, releases, publishes or edits a setting.
+- **No credentials.** Authentication is whatever `gh` already holds. Nothing is
+  written to disk about it.
+- **No telemetry.** The only hosts contacted are the GitHub API, through `gh`,
+  and the npm registry, for version and advisory lookups.
+- **What it stores** is the sensitive part: see "Keep the data private".
+
+Report a vulnerability as described in [SECURITY.md](SECURITY.md).
+
+## Tests
+
+```bash
+npm test
+```
+
+Every rule is tested in both directions: the shape that must fire, and the
+neighbouring shape that must not. A separate verifier re-derives a sample of
+findings from live GitHub through its own transport, and skips, loudly, when
+there is no database or no network.
+
+## License
+
+MIT. See [LICENSE](LICENSE).
+
+---
+
+Built by <a href="https://mcp-tool-shop.github.io/">MCP Tool Shop</a>

package/README.pt-BR.md

@@ -0,0 +1,222 @@
+<p align="center">
+  <a href="README.ja.md">日本語</a> | <a href="README.zh.md">中文</a> | <a href="README.es.md">Español</a> | <a href="README.fr.md">Français</a> | <a href="README.hi.md">हिन्दी</a> | <a href="README.it.md">Italiano</a> | <a href="README.md">English</a>
+</p>
+
+<p align="center">
+  <img src="https://raw.githubusercontent.com/mcp-tool-shop-org/brand/main/logos/housekeeping/readme.png" alt="housekeeping" width="400" />
+</p>
+
+<h1 align="center">housekeeping</h1>
+
+<p align="center">
+  An operational-health warehouse for a GitHub organization.<br>
+  One sweep, one SQLite database, findings you can argue with.
+</p>
+
+<p align="center">
+  <a href="https://github.com/mcp-tool-shop-org/housekeeping/actions/workflows/ci.yml"><img src="https://github.com/mcp-tool-shop-org/housekeeping/actions/workflows/ci.yml/badge.svg" alt="CI" /></a>
+  <a href="LICENSE"><img src="https://img.shields.io/badge/license-MIT-blue" alt="MIT License" /></a>
+  <a href="https://mcp-tool-shop-org.github.io/housekeeping/"><img src="https://img.shields.io/badge/Landing_Page-live-blue" alt="Landing Page" /></a>
+  <a href="https://mcp-tool-shop-org.github.io/housekeeping/handbook/"><img src="https://img.shields.io/badge/Handbook-read-blue" alt="Handbook" /></a>
+</p>
+
+Uma execução coleta o status de CI de todos os repositórios, problemas abertos e solicitações de pull,
+lançamentos, tags de versão, arquivos de fluxo de trabalho, proteção de branch, alertas de segurança,
+arquivos de bloqueio e faturamento do Actions em SQLite, e, em seguida, verifica tudo em relação às
+regras definidas.
+
+Ele responde, para toda a organização de uma só vez:
+
+- Quais branches padrão estão marcadas em vermelho e isso indica uma branch principal com problemas ou um histórico desatualizado?
+- Quais solicitações de pull nunca podem ser mescladas, porque uma verificação obrigatória que não emite nada está bloqueando-as?
+- Quais implantações as configurações do próprio repositório rejeitam?
+- Onde `package.json`, as tags Git e o registro npm divergiram?
+- Quais fluxos de trabalho violam as regras de custo do Actions, quanto custaram e quais tarefas gastaram esse valor?
+- Quais repositórios contêm avisos que o próprio contador de alertas do GitHub não detecta?
+
+É um instrumento de auditoria, não um corretor. Ele lê o GitHub e não altera nada.
+
+## Por que ele tem essa estrutura:
+
+| Camada | Escolha | Razão |
+|---|---|---|
+| Transporte | a CLI `gh` | Ele já contém seu token. A ferramenta nunca armazena ou solicita uma credencial. |
+| Coleta | GitHub GraphQL, paginado | Uma consulta retorna metadados, problemas abertos, solicitações de pull abertas, lançamentos e árvores de arquivos para uma página de repositórios. Uma página que continua excedendo o tempo limite é dividida ao meio e a solicitação é repetida a partir do mesmo cursor. |
+| Execuções do Actions | REST | O GraphQL não tem uma interface para o Actions. |
+| Custo do Actions | API de faturamento mais durações por tarefa | A fatura indica qual repositório; apenas as tarefas indicam qual fluxo de trabalho. Os endpoints `/timing` do GitHub retornam zeros, portanto, a soma por tarefa é reconstruída e, em seguida, reconciliada com a fatura. |
+| Taxas do Runner | lidas da fatura | Uma taxa faturada pode diferir do preço de tabela, e uma constante na fonte distorceria todos os números. |
+| Armazenamento | SQLite por meio do `node:sqlite` integrado | Sem etapa de construção nativa. |
+| Fonte da verdade | `data/snapshots/*.json` | Bruta, comparável e apenas para anexar. O banco de dados é derivado: `npm run rebuild` o reconstrói offline. |
+| Registro da execução | `data/sweeps.jsonl` | Uma linha por execução, incluindo execuções que falharam e execuções que não encontraram nada de novo. |
+
+Os snapshots são imutáveis e aditivos, portanto, a diferença entre duas datas é um `JOIN`.
+
+## Requisitos
+
+- Node.js 22.5 ou posterior.
+- O [GitHub CLI](https://cli.github.com/), conectado (`gh auth status`) como uma
+conta que pode ler a organização. A leitura do faturamento e dos alertas de segurança
+requer o acesso correspondente; uma execução sem ele registra "não medido" e
+continua. Ele nunca registra uma permissão ausente como um resultado válido.
+- Windows ou Linux. Ele é desenvolvido no Windows e seus testes são executados no Linux em
+CI. O macOS deve funcionar e não é testado.
+
+## Uso
+
+```bash
+npm install -g @mcptoolshop/housekeeping   # puts `hk` and `hk-mcp` on your path
+mkdir warehouse && cd warehouse            # housekeeping keeps its data here
+hk refresh your-org                        # collect, load, analyze, write reports/AUDIT-<date>.md
+```
+
+Para manter as configurações entre as execuções, coloque um `housekeeping.config.json` nesse diretório (veja a seção Configuração); então, `hk refresh` não precisa de nenhum argumento.
+
+Ou execute-o a partir de uma cópia, que mantém os seus dados na cópia:
+
+```bash
+git clone https://github.com/mcp-tool-shop-org/housekeeping.git
+cd housekeeping
+npm install
+npm link                 # puts `hk` on your path
+cp housekeeping.config.example.json housekeeping.config.json   # then set "org"
+hk refresh
+```
+
+Em seguida, consulte-o:
+
+```bash
+hk summary               # portfolio totals
+hk ci                    # repositories whose default branch is red
+hk findings              # findings grouped by severity and code
+hk health                # per-repository health score, worst first
+hk repo <name>           # one repository in full
+hk prs                   # every open pull request by age
+hk versions              # package.json against git tag against npm
+hk actions               # every workflow and its rule flags
+hk cost                  # Actions cost, gross and net side by side
+hk sql "SELECT ..."      # one read-only statement
+hk help                  # every command and flag
+```
+
+Em uma cópia sem `npm link`, cada `hk <command>` é `node src/cli.mjs <command>`.
+
+`npm run rebuild` rederiva o banco de dados e o relatório a partir de snapshots já
+armazenados no disco, sem acesso à rede.
+
+Uma execução completa faz algumas centenas de chamadas de API. Não execute `refresh` em um loop.
+
+Os resultados são enviados para a saída padrão; o progresso e os erros são enviados para a saída de erro padrão. Cada
+erro imprime um código e uma dica. Códigos de saída: 0 ok, 1 erro do usuário, 2 erro de tempo de execução, 3 parcial (a execução foi concluída, com lacunas).
+
+## Configuração
+
+`housekeeping.config.json`, no diretório em que a ferramenta de organização funciona (veja abaixo):
+
+```json
+{
+  "org": "your-org",
+  "metaRepos": [".github"]
+}
+```
+
+- `org` é a organização a ser executada. `hk refresh <org>` o substitui. Sem
+nenhum dos dois, uma execução se recusará a iniciar.
+- `metaRepos` são os repositórios que contêm as configurações, ativos ou
+ferramentas padrão da organização, e não um produto lançado. Eles são isentos das descobertas que só
+fazem sentido para um produto: ausência de arquivos README, LICENSE e semelhantes, ausência de
+fluxos de trabalho e ausência de lançamentos.
+
+Um arquivo malformado é um erro, nunca um padrão silencioso: uma chave desconhecida, um tipo incorreto ou um JSON corrompido interrompe a execução.
+
+Execute a partir de um clone, a ferramenta de organização mantém `data/`, `reports/` e o arquivo de configuração
+no clone. Execute como um pacote instalado, ele os mantém no diretório de onde
+você o executa ou em `HK_HOME` quando isso estiver definido.
+
+Ambiente: `HK_HOME` (onde os dados, relatórios e a configuração estão localizados),
+`HK_CONFIG` (caminho da configuração), `HK_DB` (caminho do banco de dados), `HK_LOG`
+(`silent`, `normal`, `verbose` ou `debug`), `HK_COST_REPOS` e
+`HK_COST_BUDGET` (limites para a passagem do custo por tarefa), `GH_PATH` (caminho para `gh`).
+
+## Mantenha os dados privados
+
+**O que uma execução grava é confidencial. Não inclua `data/` ou `reports/` em um
+repositório público.**
+
+Um snapshot registra os nomes e as descrições dos repositórios privados, todos os
+alertas de segurança abertos com o pacote que ele nomeia, arquivos de fluxo de trabalho e faturamento do Actions. O GitHub oculta deliberadamente os alertas de segurança de um repositório público de
+todos, exceto seus mantenedores; um snapshot publicado entregaria essa lista.
+
+O `.gitignore` deste repositório exclui `data/`, `reports/` e
+`housekeeping.config.json`. Para manter o histórico, que é o objetivo dos snapshots,
+execute a ferramenta a partir de um repositório **privado** de sua propriedade e inclua-os lá.
+
+## Servidor MCP
+
+`hk-mcp` (ou `npm run mcp` em uma cópia) serve os dados ao programa através do stdio, para que um assistente possa fazer perguntas sem precisar ler um arquivo de vários megabytes:
+
+`hk_summary` · `hk_findings` · `hk_ci` · `hk_repo` · `hk_backlog` ·
+`hk_health` · `hk_cost` · `hk_sql` · `hk_schema`
+
+```json
+{
+  "mcpServers": {
+    "housekeeping": { "command": "hk-mcp", "env": { "HK_HOME": "/path/to/warehouse" } }
+  }
+}
+```
+
+`HK_HOME` é o diretório a partir do qual você executa o programa. Em uma cópia, use `"command": "node", "args": ["/path/to/housekeeping/src/mcp.mjs"]` em vez disso.
+
+`hk_sql` aceita uma única instrução `SELECT` ou `WITH` e abre o banco de dados
+em modo somente leitura. Uma chamada com falha retorna um erro estruturado, nunca um rastreamento de pilha.
+
+## Descobertas
+
+As regras estão em `src/analyze.mjs`. Cada uma cita a regra escrita que ela aplica,
+para que uma descoberta possa ser contestada em relação a um padrão e não em relação ao gosto pessoal. As regras
+que este repositório envia estão em [`rules/`](rules/):
+
+- [`rules/github-actions.md`](rules/github-actions.md): filtros de caminhos, executores, tamanho da matriz, limite do arquivo de fluxo de trabalho, concorrência.
+- [`rules/shipcheck-product-standards.md`](rules/shipcheck-product-standards.md): o CI deve ser aprovado, os critérios de lançamento, versões.
+- [`rules/repo-first.md`](rules/repo-first.md): o ramo padrão.
+- [`rules/atlas-map.md`](rules/atlas-map.md): um mapa registrado de cada repositório, verificado no CI.
+
+São os padrões de uma organização. Se os seus forem diferentes, altere o arquivo de regra e a regra em conjunto.
+
+As regras têm o cuidado de manter separados os elementos que parecem semelhantes, porque agrupá-los gera ruído:
+
+- **Um ramo padrão vermelho não é um ramo de solicitação de pull vermelho.** Um ramo do Dependabot com falha é um acúmulo; uma execução `push` com falha no ramo padrão é uma falha. O evento da execução decide qual é.
+- **O histórico não é uma falha.** Um fluxo de trabalho movido para gatilhos apenas de lançamento mantém sua última falha no ramo padrão para sempre. Um fluxo de trabalho excluído mantém suas execuções. Nenhum dos dois é um defeito ativo.
+- **Uma verificação obrigatória que nada pode emitir não é uma verificação que não foi executada aqui.** Uma diz para remover o requisito; a outra diz para corrigir o gatilho. As correções contradizem-se.
+- **Uma execução com falha não é uma execução cancelada.** `cancel-in-progress` existe para encerrar execuções substituídas, portanto, os minutos cancelados geralmente são a regra de concorrência em funcionamento.
+- **O custo bruto não é o custo líquido.** O GitHub mede os repositórios públicos com o preço total e os reduz a zero. O bruto é o poder de computação real; o líquido é o dinheiro real. Eles nunca são somados.
+- **O que não é medido não é limpo.** Um repositório do GitHub que não está sendo verificado relata zero alertas. Um repositório cujo limite de custo não foi atingido não tem linha de custo. Ambos são relatados como desconhecidos.
+
+A gravidade impulsiona uma pontuação de saúde: crítica 40, alta 15, média 6, baixa 2, informativa 0, deduzida de 100. A pontuação classifica a atenção, não a qualidade.
+
+O [manual](https://mcp-tool-shop-org.github.io/housekeeping/handbook/) lista cada descoberta, comando, código de erro e tabela.
+
+## Segurança
+
+- **Somente leitura.** O coletor emite consultas GraphQL e solicitações REST `GET`. Ele nunca mescla, envia, lança, publica ou edita uma configuração.
+- **Sem credenciais.** A autenticação é o que `gh` já possui. Nada é gravado em disco sobre isso.
+- **Sem telemetria.** Os únicos hosts contatados são a API do GitHub, por meio de `gh`, e o registro npm, para pesquisas de versão e avisos.
+- **O que ele armazena** é a parte sensível: veja "Mantenha os dados privados".
+
+Relate uma vulnerabilidade conforme descrito em [SECURITY.md](SECURITY.md).
+
+## Testes
+
+```bash
+npm test
+```
+
+Cada regra é testada em ambas as direções: a forma que deve ser ativada e a forma vizinha que não deve ser. Um verificador separado deriva novamente uma amostra de descobertas do GitHub em tempo real por meio de seu próprio transporte e ignora, em voz alta, quando não há banco de dados ou rede.
+
+## Licença
+
+MIT. Veja [LICENSE](LICENSE).
+
+---
+
+Criado por <a href="https://mcp-tool-shop.github.io/">MCP Tool Shop</a>