@neetru/cli 2.28.7 → 2.28.10

package/dist/index.js

@@ -1,9 +1,10 @@
 #!/usr/bin/env node
-import { Command } from 'commander';
+import { Command, Option } from 'commander';
 import { log } from './utils/logger.js';
 import { CLI_VERSION } from './version.js';
 import { installTelemetryFlushHook, markCommandStart, markCommandEnd, } from './lib/telemetry.js';
 import { safeExit, isSafeExitHalt } from './utils/safe-exit.js';
+import { CliApiError } from './lib/api-client.js';
 // UV_HANDLE_CLOSING no Windows (bug_818cf6d): o double-destroy de stdin (handler
 // 'exit' redundante) foi removido em 2026-07-15 (ddd479f), MAS isso não bastou
 // — a causa dominante é o `uv_async_t` do undici (fetch) ainda vivo quando o
@@ -30,6 +31,11 @@ function handleFatalSignal(err) {
         return; // saída já agendada dentro do safeExit
     try {
         log.error(err instanceof Error ? (err.stack ?? err.message) : String(err));
+        // LABS #6 (2026-09-28): se o erro carrega o x-correlation-id do Core, mostra
+        // no rodapé pra o usuário informar ao suporte — fecha o loop de debug de campo.
+        if (err instanceof CliApiError && err.correlationId) {
+            log.error(`ref: ${err.correlationId} — informe ao suporte`);
+        }
     }
     catch {
         /* logger indisponível — segue direto pro exit deferido */
@@ -149,7 +155,8 @@ program
     .option('--here', 'init no cwd atual (modo merge — preserva existentes)')
     .option('--path <path>', 'custom path target')
     .option('--force', 'sobrescreve arquivos existentes em conflito (cuidado!)')
-    .option('--yes', 'modo non-interactive (assume defaults, sai com erro se conflito sem flag)')
+    // -y padronizado com bootstrap (`-y, --yes`) — muscle-memory (auditoria UX 2026-09).
+    .option('-y, --yes', 'modo non-interactive (assume defaults, sai com erro se conflito sem flag)')
     .action(async (name, opts) => {
     const { runInit } = await import('./commands/init.js');
     await runInit({
@@ -235,11 +242,16 @@ authCmd
     .command('mfa-session')
     .description('Abre uma sessão MFA de 1h — troca um código TOTP fresco por um token de sessão ' +
     'salvo localmente; enquanto ativa, comandos destrutivos não re-promptam MFA.')
-    .option('--code <totp>', 'código TOTP de 6 dígitos (pula prompt interativo)')
+    // Flag TOTP canônica em todo o CLI: `--mfa-token`. `--code` e `--mfa` seguem
+    // aceitos como aliases OCULTOS (retrocompat de scripts) — auditoria UX 2026-09
+    // (o mesmo código TOTP tinha 3 nomes: --code aqui, --mfa no db, --mfa-token no resto).
+    .option('--mfa-token <totp>', 'código TOTP de 6 dígitos (pula prompt interativo)')
+    .addOption(new Option('--code <totp>').hideHelp())
+    .addOption(new Option('--mfa <totp>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (opts) => {
     const { runAuthMfaSession } = await import('./commands/auth.js');
-    await runAuthMfaSession({ code: opts.code, json: !!opts.json });
+    await runAuthMfaSession({ code: opts.mfaToken ?? opts.code ?? opts.mfa, json: !!opts.json });
 });
 // ── neetru config ─────────────────────────────────────────────────────
 const configCmd = program
@@ -432,6 +444,7 @@ program
     .option('--build-local', 'forçar docker build local em vez de Cloud Build remoto (exige Docker instalado). (target=cloud-run)')
     .option('--env-file <file>', 'arquivo .env com vars passadas pro deploy')
     .option('--env <env>', 'ambiente alvo: dev | staging | prod', 'dev')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (só --env prod; ou use `neetru auth mfa-session`)')
     .option('--local-artifact', 'F-11: NÃO faz upload pra GCS — manda file:// pro Core (só funciona se o agent compartilha FS com este CLI)')
     .option('--non-interactive', 'falha em vez de perguntar (modo CI)')
     .option('--force', 'ignora o gate de schema e prossegue mesmo com divergência de fingerprint')
@@ -460,6 +473,32 @@ program
         nonInteractive: !!opts.nonInteractive,
         force: !!opts.force,
         skipHealthProbe: !!opts.skipHealthProbe,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+// ── neetru smoke ──────────────────────────────────────────────────────
+// Percorre as páginas do produto LOCAL (antes do deploy) e verifica alcance/
+// login/DB, mais um smoke básico de prod opcional. Abordagem LEVE: só HTTP GET
+// (fetch nativo) — SEM Playwright/headless browser (o CLI publicado no npm não
+// pode ganhar uma dep de ~300MB). Captura de erro de console fica pra um v2.
+program
+    .command('smoke')
+    .description('Percorre as páginas do produto LOCAL antes do deploy (alcance + login + DB) e um smoke de prod opcional')
+    .option('--base-url <url>', 'servidor dev LOCAL a percorrer', 'http://localhost:3000')
+    .option('--prod <url>', 'também roda um smoke básico de produção (GET / e health, espera 200)')
+    .option('--health-path <path>', 'endpoint de saúde/DB', '/api/health')
+    .option('--routes <csv>', 'rotas explícitas separadas por vírgula (sobrescreve a auto-descoberta)')
+    .option('--timeout <ms>', 'timeout por request em ms', (v) => Number.parseInt(v, 10), 10000)
+    .option('--json', 'saída em JSON de uma linha (machine-readable)')
+    .action(async (opts) => {
+    const { runSmoke } = await import('./commands/smoke.js');
+    await runSmoke({
+        baseUrl: opts.baseUrl,
+        prod: opts.prod,
+        healthPath: opts.healthPath,
+        routes: opts.routes,
+        timeout: opts.timeout,
         json: !!opts.json,
     });
 });
@@ -678,10 +717,10 @@ serversCmd
     .option('--zone <zone>', 'zona GCP (ex: us-central1-a)')
     .option('--machine-type <type>', 'machine type GCP (ex: e2-small)')
     .option('--role <role>', 'multi (default) | db | app | worker — role da VM (nome/metadado)')
-    .option('--is-db-vm', 'postura de rede de VM de banco: sem IP público + tag neetru-db-vm (exige step-up MFA)')
+    .option('--is-db-vm', 'postura de rede de VM de banco: sem IP público + tag neetru-db-vm')
     .option('--tenant <tenantId>', 'tenant associado')
     .option('--customer <customerId>', 'customer associado')
-    .option('--mfa-token <code>', 'código TOTP para step-up MFA (só usado com --is-db-vm)')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
     .option('--json', 'saída em JSON')
     .action(async (opts) => {
     const { runServersProvision } = await import('./commands/servers.js');
@@ -1165,6 +1204,43 @@ productsCmd
     const { runProductsUnpublish } = await import('./commands/products.js');
     await runProductsUnpublish(slug, { json: !!opts.json });
 });
+// Alias amigável do controle de memória por inquilino (design §3.7): resolve a
+// VM do slug via --server/pickServer e delega ao mesmo core de `vm memory set`.
+const productsMemoryCmd = productsCmd
+    .command('memory')
+    .description('Controle de memória (RAM) do produto na VM (alias de `vm memory`)');
+productsMemoryCmd
+    .command('set <slug>')
+    .description('Define o teto de memória do produto na VM (guardrail de soma + step-up MFA)')
+    .option('--memory-max <mb>', 'teto systemd MemoryMax em MB (cgroup)')
+    .option('--max <mb>', 'alias de --memory-max')
+    .option('--max-old-space <mb>', 'NODE_OPTIONS --max-old-space-size em MB (heap V8)')
+    .option('--high <mb>', 'MemoryHigh em MB (throttle suave antes do OOM)')
+    .option('--restart', 'força restart do app após aplicar')
+    .option('--confirm-shrink', 'confirma reduzir abaixo do uso vivo (pode OOM o alvo)')
+    .option('--server <id>', 'VM alvo (default: resolve a VM compartilhada)')
+    .option('--reason <text>', 'motivo (paper-trail no audit do Core)')
+    .option('--mfa <code>', 'código TOTP para step-up MFA')
+    .option('--mfa-token <code>', 'alias de --mfa')
+    .option('-y, --yes', 'pula a confirmação interativa (em --json exige --mfa)')
+    .option('--json', 'saída em JSON')
+    .action(async (slug, opts) => {
+    const { runVmMemorySet } = await import('./commands/vm-memory.js');
+    await runVmMemorySet(slug, {
+        memoryMax: opts.memoryMax,
+        max: opts.max,
+        maxOldSpace: opts.maxOldSpace,
+        high: opts.high,
+        restart: !!opts.restart,
+        confirmShrink: !!opts.confirmShrink,
+        server: opts.server,
+        reason: opts.reason,
+        mfa: opts.mfa,
+        mfaToken: opts.mfaToken,
+        yes: !!opts.yes,
+        json: !!opts.json,
+    });
+});
 // ── neetru admin database (Phase A — plano de controle staff de bancos) ───────
 // D-1: renomeado de `neetru products db` → `neetru admin database`.
 //      Alias `neetru products db` emite aviso de remoção.
@@ -1245,10 +1321,15 @@ adminDatabaseCmd
     .command('set-status [id] [status]')
     .description('[Staff] ESCRITA — forçar status do ciclo de vida de um banco (active/failed/archived/…)')
     .option('--reason <text>', 'motivo da mudança de status')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (exigido se o banco está active/degraded)')
     .option('--json')
     .action(async (id, status, opts) => {
     const { runDbSetStatus } = await import('./commands/products-db.js');
-    await runDbSetStatus(id, status, { reason: opts.reason, json: !!opts.json });
+    await runDbSetStatus(id, status, {
+        reason: opts.reason,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
 });
 adminDatabaseCmd
     .command('retry [id]')
@@ -1277,15 +1358,32 @@ adminDatabaseCmd
     await runDbDelete(id, { json: !!opts.json, force: !!opts.force });
 });
 // ── neetru admin sdk-credential ────────────────────────────────────────────
-// Gerencia credenciais OIDC (SDK) por produto — create / list / revoke.
+// Gerencia credenciais OIDC de MÁQUINA (M2M / client_credentials) por produto —
+// create / list / revoke. É credencial de SERVIDOR (backend do produto ↔ API do
+// Neetru via @neetru/sdk), NÃO login de usuário no browser (isso é `oidc-login`).
 // Resolve bug_599d2f033e024bc194aa07639cd26c84: bootstrap CI/IaC desbloqueado.
 // Internamente usa `oidc_clients/{clientId}` no Core (canônico pós-devkit).
 const adminSdkCredentialCmd = adminCmd
     .command('sdk-credential')
-    .description('Gerenciar credenciais OIDC (SDK) de produtos — create / list / revoke');
+    .description('Credenciais OIDC de MÁQUINA (M2M / client_credentials) de produtos — create / list / revoke. ' +
+    'Para LOGIN de usuário no browser use `neetru admin oidc-login`.');
 adminSdkCredentialCmd
     .command('create')
-    .description('[Staff] Criar credencial OIDC para produto — exibe clientSecret ONE-TIME')
+    .description('[Staff] Criar credencial de MÁQUINA (M2M / client_credentials) p/ servidor-a-servidor do ' +
+    'produto — exibe clientSecret ONE-TIME. NÃO serve p/ login de usuário no browser ' +
+    '(use `neetru admin oidc-login create`).')
+    .addHelpText('after', [
+    '',
+    'Qual comando usar:',
+    '  • sdk-credential create → credencial de SERVIDOR/máquina (M2M, grant client_credentials).',
+    '      Backend do produto falando com a API do Neetru via @neetru/sdk. SEM navegador, SEM usuário.',
+    '  • oidc-login create      → LOGIN de usuário final no browser (grant authorization_code).',
+    '      É o que autentica a pessoa que abre o produto. Use ESTE p/ resolver "o login quebrou".',
+    '',
+    'Incidente gestovendas (2026-09): credenciais de máquina foram criadas por engano tentando',
+    'consertar o login → ficaram mortas (nunca emitiram token) e o login continuou quebrado.',
+    '',
+].join('\n'))
     .requiredOption('--product-id <id>', 'ID do produto')
     .requiredOption('--name <label>', 'nome/label da credencial (ex: "Backend Prod")')
     .option('--scopes <escopos>', 'escopos separados por vírgula (ex: "entitlements.read,usage.write")')
@@ -1369,6 +1467,23 @@ adminOidcLoginCmd
         json: !!opts.json,
     });
 });
+adminOidcLoginCmd
+    .command('rotate <clientId>')
+    .description('[Staff] Rotacionar o client_secret de um login-client OIDC (exige MFA). ' +
+    'O secret novo NÃO é exibido — o próximo deploy o injeta server-side.')
+    .requiredOption('--product-id <id>', 'ID (ou slug) do produto dono do client')
+    .option('--immediate', 'revoga o secret anterior NA HORA (vazamento) — o login do produto cai até o próximo deploy')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON')
+    .action(async (clientId, opts) => {
+    const { runOidcLoginRotate } = await import('./commands/admin/oidc-login.js');
+    await runOidcLoginRotate(clientId, {
+        productId: opts.productId,
+        immediate: !!opts.immediate,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
 adminOidcLoginCmd
     .command('list')
     .description('[Staff] Listar login-clients OIDC de um produto (mascarado)')
@@ -1532,12 +1647,64 @@ vmCmd
     .option('--machine-type <type>', 'machine type GCP (default e2-medium)')
     .option('--zone <zone>', 'zona GCP (default southamerica-east1-a)')
     .option('-y, --yes', 'confirma o custo recorrente sem prompt')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
     .action(async (opts) => {
     const { runVmProvision } = await import('./commands/vm.js');
     await runVmProvision({
         machineType: opts.machineType,
         zone: opts.zone,
         yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+    });
+});
+// ── neetru vm memory ──────────────────────────────────────────────────
+// Controle gerenciado de memória (RAM) por inquilino na VM multi-tenant.
+// Origem: incidente OOM 2026-09-07 (PDV caiu; Suporte ajustou systemd à mão).
+// GUARDRAIL: a SOMA dos tetos + reserva ≤ RAM×0.90 — validado fail-closed no
+// Core; superfície sensível de infra → step-up MFA.
+const vmMemoryCmd = vmCmd
+    .command('memory')
+    .description('Controle de memória (RAM) por inquilino na VM');
+vmMemoryCmd
+    .command('status [serverId]')
+    .alias('list')
+    .description('Lista os inquilinos da VM: teto, uso vivo, folga + reserva/livre/RAM total')
+    .option('--server <id>', 'VM alvo (alternativa ao argumento posicional)')
+    .option('--json', 'saída em JSON')
+    .action(async (serverId, opts) => {
+    const { runVmMemoryStatus } = await import('./commands/vm-memory.js');
+    await runVmMemoryStatus(serverId, { server: opts.server, json: !!opts.json });
+});
+vmMemoryCmd
+    .command('set <slug>')
+    .description('Define o teto de memória de um inquilino (guardrail de soma + step-up MFA)')
+    .option('--memory-max <mb>', 'teto systemd MemoryMax em MB (cgroup)')
+    .option('--max <mb>', 'alias de --memory-max')
+    .option('--max-old-space <mb>', 'NODE_OPTIONS --max-old-space-size em MB (heap V8)')
+    .option('--high <mb>', 'MemoryHigh em MB (throttle suave antes do OOM)')
+    .option('--restart', 'força restart do app após aplicar (default: só se max-old-space muda)')
+    .option('--confirm-shrink', 'confirma reduzir abaixo do uso vivo (pode OOM o alvo)')
+    .option('--server <id>', 'VM alvo (default: resolve a VM compartilhada)')
+    .option('--reason <text>', 'motivo (paper-trail no audit do Core)')
+    .option('--mfa <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--mfa-token <code>', 'alias de --mfa')
+    .option('-y, --yes', 'pula a confirmação interativa (em --json exige --mfa)')
+    .option('--json', 'saída em JSON')
+    .action(async (slug, opts) => {
+    const { runVmMemorySet } = await import('./commands/vm-memory.js');
+    await runVmMemorySet(slug, {
+        memoryMax: opts.memoryMax,
+        max: opts.max,
+        maxOldSpace: opts.maxOldSpace,
+        high: opts.high,
+        restart: !!opts.restart,
+        confirmShrink: !!opts.confirmShrink,
+        server: opts.server,
+        reason: opts.reason,
+        mfa: opts.mfa,
+        mfaToken: opts.mfaToken,
+        yes: !!opts.yes,
+        json: !!opts.json,
     });
 });
 // ── neetru validate ───────────────────────────────────────────────────
@@ -1846,11 +2013,16 @@ dbMigrationsCmd
 dbMigrationsCmd
     .command('confirm <migrationId>')
     .description('Confirmar migração destrutiva (POST /api/cli/v1/db/migrations/[id]/confirm — exige MFA)')
-    .requiredOption('--mfa <token>', 'código TOTP step-up MFA')
+    // Era `requiredOption('--mfa')` — o commander rejeitava ANTES de rodar, matando
+    // o caminho de sessão MFA de 1h (`neetru auth mfa-session`) que o resolveStepUp
+    // promete honrar. Agora `option`: resolveStepUp faz o fail-closed (sessão → --mfa-token
+    // → erro acionável). Flag canônica `--mfa-token`; `--mfa` fica como alias oculto. (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (migrationId, opts) => {
     const { runDbMigrationsConfirm } = await import('./commands/db.js');
-    await runDbMigrationsConfirm(migrationId, { mfa: opts.mfa, json: !!opts.json });
+    await runDbMigrationsConfirm(migrationId, { mfa: opts.mfaToken ?? opts.mfa, json: !!opts.json });
 });
 // bug_728fa11c fix: cancela migração presa em awaiting_confirmation ou pending.
 dbMigrationsCmd
@@ -1876,14 +2048,16 @@ dbMigrationsCmd
 dbMigrationsCmd
     .command('resolve <migrationId>')
     .description('Destravar migração pending/partially_applied/failed redundante (POST /api/cli/v1/db/migrations/[id]/resolve)')
-    .option('--force', 'atestar manualmente sem prova de redundância por hash (exige --mfa ou sessão MFA)')
-    .option('--mfa <token>', 'código TOTP step-up MFA (necessário com --force)')
+    .option('--force', 'atestar manualmente sem prova de redundância por hash (exige --mfa-token ou sessão MFA)')
+    // Flag canônica `--mfa-token`; `--mfa` como alias oculto (retrocompat). (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (necessário com --force; ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (migrationId, opts) => {
     const { runDbMigrationsResolve } = await import('./commands/db.js');
     await runDbMigrationsResolve(migrationId, {
         force: !!opts.force,
-        mfa: opts.mfa,
+        mfa: opts.mfaToken ?? opts.mfa,
         json: !!opts.json,
     });
 });
@@ -1901,11 +2075,139 @@ dbCmd
 dbCmd
     .command('restore <dbId>')
     .description('Restaurar banco a partir de backup (POST /api/cli/v1/db/[id]/restore — exige MFA)')
-    .requiredOption('--mfa <token>', 'código TOTP step-up MFA (obrigatório — operação destrutiva)')
+    // Automação (auditoria UX 2026-09): --backup-id/--yes tornam o restore scriptável;
+    // em --json ambos são obrigatórios (fail-closed, nunca trava no inquirer).
+    .option('--backup-id <id>', 'ID do backup a restaurar (pula o prompt; obrigatório em --json)')
+    .option('-y, --yes', 'pula a confirmação textual "RESTAURAR" (obrigatório em --json)')
+    // Flag canônica `--mfa-token`; `--mfa` como alias oculto (retrocompat).
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (obrigatório — operação destrutiva)')
+    .addOption(new Option('--mfa <token>').hideHelp())
     .option('--json', 'saída em JSON')
     .action(async (dbId, opts) => {
     const { runDbRestore } = await import('./commands/db.js');
-    await runDbRestore(dbId, { mfa: opts.mfa, json: !!opts.json });
+    await runDbRestore(dbId, {
+        mfa: opts.mfaToken ?? opts.mfa,
+        backupId: opts.backupId,
+        yes: !!opts.yes,
+        json: !!opts.json,
+    });
+});
+// ── neetru db move ────────────────────────────────────────────────────
+// Relocação ATÔMICA de um banco de produto entre VMs (Fase 2 / PR #423).
+// GRUPO com subcomando default `start` (mesmo padrão de `neetru promote`):
+//   `neetru db move --product <slug> --to <serverId>` cai em `start`.
+// Só reporta SUCESSO quando o Core confirma o cutover VERIFICADO (state `done`);
+// rollback é reportado explicitamente como "produto seguiu na origem".
+const dbMoveCmd = dbCmd
+    .command('move')
+    .description('Relocar (mover) o banco de um produto entre VMs — atômico, com rollback e prova de dados');
+dbMoveCmd
+    .command('start', { isDefault: true })
+    .description('Iniciar a relocação de um banco (POST /api/cli/v1/db/[id]/relocate — destrutivo, exige MFA)')
+    .option('--product <slug>', 'produto cujo banco será movido (slug ou id)')
+    .option('--db <dbId>', 'dbId explícito (pdb_…) — dispensa a resolução por produto')
+    .option('--env <env>', 'ambiente do banco, para desambiguar quando o produto tem mais de um')
+    .option('--to <serverId>', 'VM destino (obrigatório)')
+    .option('--reason <text>', 'motivo (obrigatório fora de --dry-run; vai pro audit)')
+    .option('--strategy <s>', 'snapshot_quiesce (padrão) | logical_stream', 'snapshot_quiesce')
+    .option('--manual-cutover', 'pausa em verifying_target aguardando `db move confirm`')
+    .option('--max-quiesce-ms <n>', 'teto do congelamento da origem (padrão 15000, máx 60000)')
+    .option('--dry-run', 'só roda o preflight (não provisiona nada, sem MFA)')
+    .option('--no-watch', 'não acompanha a máquina de estados (só dispara e imprime o migrationId)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON estruturado')
+    .action(async (opts) => {
+    const { runDbMoveStart } = await import('./commands/db-move.js');
+    await runDbMoveStart({
+        product: opts.product,
+        db: opts.db,
+        env: opts.env,
+        to: opts.to,
+        reason: opts.reason,
+        strategy: opts.strategy,
+        manualCutover: !!opts.manualCutover,
+        maxQuiesceMs: opts.maxQuiesceMs,
+        dryRun: !!opts.dryRun,
+        watch: opts.watch !== false,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+dbMoveCmd
+    .command('status <migrationId>')
+    .description('Estado da relocação + verifyReport + gates (GET /api/cli/v1/db/relocate/[id])')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveStatus } = await import('./commands/db-move.js');
+    await runDbMoveStatus(migrationId, { json: !!opts.json });
+});
+dbMoveCmd
+    .command('confirm <migrationId>')
+    .description('Liberar o cutover manual (POST /api/cli/v1/db/relocate/[id]/confirm — exige MFA)')
+    // Era `requiredOption('--mfa')` — matava a sessão MFA de 1h que runDbMoveConfirm
+    // (resolveStepUp) honra. Agora `option`; flag canônica `--mfa-token`, `--mfa` alias oculto. (auditoria UX 2026-09)
+    .option('--mfa-token <token>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .addOption(new Option('--mfa <token>').hideHelp())
+    .option('--no-watch', 'não acompanha a máquina de estados após confirmar')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveConfirm } = await import('./commands/db-move.js');
+    await runDbMoveConfirm(migrationId, { mfa: opts.mfaToken ?? opts.mfa, watch: opts.watch !== false, json: !!opts.json });
+});
+dbMoveCmd
+    .command('abort <migrationId>')
+    .description('Abortar a relocação — dispara o rollback SEGURO do estado atual (POST /api/cli/v1/db/relocate/[id]/abort — exige MFA)')
+    .requiredOption('--reason <text>', 'motivo do abort (vai pro audit)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--no-watch', 'não acompanha o rollback até um estado terminal (só dispara)')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveAbort } = await import('./commands/db-move.js');
+    await runDbMoveAbort(migrationId, {
+        reason: opts.reason,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        watch: opts.watch !== false,
+        json: !!opts.json,
+    });
+});
+// ── neetru db move decommission ───────────────────────────────────────
+// Comando SEPARADO e explícito que DROPA a ORIGEM de um move JÁ concluído
+// (fecha a janela de rollback). É o único caminho que destrói a origem —
+// gated por MFA e recusado client-side se o ledger ainda não aponta pro
+// destino (espelho da INV-DESTROY). O Core é a autoridade final.
+dbMoveCmd
+    .command('decommission <migrationId>')
+    .description('Descomissionar (DROPAR) a origem de um move concluído — fecha o rollback (POST /api/cli/v1/db/relocate/[id]/decommission — exige MFA)')
+    .requiredOption('--reason <text>', 'motivo do descomissionamento (vai pro audit)')
+    .option('-y, --yes', 'pula a confirmação interativa (modo script)')
+    .option('--mfa-token <code>', 'código TOTP step-up MFA (ou use `neetru auth mfa-session`)')
+    .option('--json', 'saída em JSON')
+    .action(async (migrationId, opts) => {
+    const { runDbMoveDecommission } = await import('./commands/db-move.js');
+    await runDbMoveDecommission(migrationId, {
+        reason: opts.reason,
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
+// ── neetru db where ───────────────────────────────────────────────────
+// READ-ONLY: onde o banco de um produto VIVE hoje (VM/serverId + endpoint).
+// Complementa `neetru db status <dbId>` (que exige o dbId) aceitando --product.
+dbCmd
+    .command('where')
+    .description('Mostrar em qual VM o banco de um produto vive hoje (GET /api/cli/v1/db)')
+    .option('--product <slug>', 'produto (slug ou id)')
+    .option('--db <dbId>', 'dbId explícito (pdb_…)')
+    .option('--env <env>', 'filtrar por ambiente')
+    .option('--json', 'saída em JSON estruturado')
+    .action(async (opts) => {
+    const { runDbWhere } = await import('./commands/db-move.js');
+    await runDbWhere({ product: opts.product, db: opts.db, env: opts.env, json: !!opts.json });
 });
 // ── neetru db hosts ───────────────────────────────────────────────────
 // Alias: também acessível via `neetru db-hosts` (top-level).
@@ -2050,6 +2352,7 @@ agentCmd
     .option('--binary <arch=path>', 'binário local (sha256+size computados, URL canônica GCS auto-derivada). Repetível.', (val, prev = []) => [...prev, val])
     .option('--artifact <arch=URL@sha256@sizeBytes>', 'artifact com URL/sha256/size explícitos (não toca FS). Repetível.', (val, prev = []) => [...prev, val])
     .option('--dry-run', 'imprime payload sem enviar')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
     .action(async (opts) => {
     const { runAgentRelease } = await import('./commands/agent-release.js');
     await runAgentRelease({
@@ -2060,6 +2363,7 @@ agentCmd
         binary: opts.binary,
         artifact: opts.artifact,
         dryRun: !!opts.dryRun,
+        mfaToken: opts.mfaToken,
     });
 });
 agentCmd
@@ -2087,11 +2391,12 @@ const agentCanaryCmd = agentCmd
     .description('Controlar canary rollout de releases do agente');
 agentCanaryCmd
     .command('start <version>')
-    .description('Iniciar canary rollout de uma release (phase1 5%)')
+    .description('Iniciar canary rollout de uma release (phase1 5%) — exige MFA')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
     .option('--json', 'saída em JSON')
     .action(async (version, opts) => {
     const { runAgentCanaryStart } = await import('./commands/agent-write.js');
-    await runAgentCanaryStart(version, { json: !!opts.json });
+    await runAgentCanaryStart(version, { json: !!opts.json, mfaToken: opts.mfaToken });
 });
 agentCanaryCmd
     .command('rollback <version>')
@@ -2535,10 +2840,18 @@ webhooksCmd
     .command('unregister <id>')
     .description('Remover endpoint de webhook')
     .requiredOption('--product-id <id>', 'ID do produto')
+    .option('--yes', 'pula a confirmação interativa (necessário em --json/CI)')
+    .option('--force', 'alias de --yes')
     .option('--json', 'saída em JSON')
     .action(async (id, opts) => {
     const { runWebhooksUnregister } = await import('./commands/webhooks.js');
-    await runWebhooksUnregister({ id, productId: opts.productId, json: !!opts.json });
+    await runWebhooksUnregister({
+        id,
+        productId: opts.productId,
+        yes: !!opts.yes,
+        force: !!opts.force,
+        json: !!opts.json,
+    });
 });
 webhooksCmd
     .command('test <id>')
@@ -2605,6 +2918,64 @@ domainsCmd
     const { runDomainsRetry } = await import('./commands/domains.js');
     await runDomainsRetry({ product: opts.product, sub: opts.sub, json: !!opts.json });
 });
+// ── neetru mobile ───────────────────────────────────────────────────
+// Devs/IAs registram/listam/revogam Apps Mobile (iOS/Android) do produto
+// atual (lido de neetru.config.json no cwd). Dev-facing, self-service —
+// igual `db`/`domains` pra init/list; revoke é destrutivo top-tier (admin
+// only + step-up MFA), igual `servers deactivate`. Contrato: PR #482 do
+// neetru-core (POST/GET/DELETE /api/cli/v1/products/{slug}/mobile-apps).
+function collectFlag(value, previous) {
+    return [...previous, value];
+}
+const mobileCmd = program
+    .command('mobile')
+    .description('Gerenciar Apps Mobile (iOS/Android) do produto');
+mobileCmd
+    .command('init')
+    .description('Registrar um app mobile (iOS/Android) do produto atual')
+    .requiredOption('--platform <ios|android>', 'plataforma do app: ios ou android')
+    .option('--bundle-id <id>', 'Bundle ID do app (obrigatório se --platform ios)')
+    .option('--team-id <id>', 'Apple Team ID, 10 caracteres (obrigatório se --platform ios)')
+    .option('--package-name <name>', 'package name do app (obrigatório se --platform android)')
+    .option('--sha-fingerprint <fp>', 'SHA-256 fingerprint do cert de assinatura (repetível; obrigatório se --platform android)', collectFlag, [])
+    .requiredOption('--redirect-uri <url>', 'Redirect URI https:// (Universal Link/App Link) — nunca custom scheme')
+    .option('--name <label>', 'nome/label opcional do app')
+    .option('--json', 'saída em JSON')
+    .action(async (opts) => {
+    const { runMobileInit } = await import('./commands/mobile.js');
+    await runMobileInit({
+        platform: opts.platform,
+        bundleId: opts.bundleId,
+        teamId: opts.teamId,
+        packageName: opts.packageName,
+        shaFingerprints: opts.shaFingerprint,
+        redirectUri: opts.redirectUri,
+        name: opts.name,
+        json: !!opts.json,
+    });
+});
+mobileCmd
+    .command('list')
+    .description('Listar apps mobile registrados do produto atual')
+    .option('--json', 'saída em JSON')
+    .action(async (opts) => {
+    const { runMobileList } = await import('./commands/mobile.js');
+    await runMobileList({ json: !!opts.json });
+});
+mobileCmd
+    .command('revoke <appId>')
+    .description('Revogar um app mobile — mata sessões ativas imediatamente (admin + step-up MFA)')
+    .option('--yes', 'pula confirmação interativa (obrigatório em --json/sem TTY)')
+    .option('--mfa-token <code>', 'código TOTP para step-up MFA (senão usa sessão de 1h ou prompt)')
+    .option('--json', 'saída em JSON')
+    .action(async (appId, opts) => {
+    const { runMobileRevoke } = await import('./commands/mobile.js');
+    await runMobileRevoke(appId, {
+        yes: !!opts.yes,
+        mfaToken: opts.mfaToken,
+        json: !!opts.json,
+    });
+});
 // ── neetru chat ─────────────────────────────────────────────────────
 // Canal leve dev/IA → operador do Core (histórico rolante de 24h) — alternativa
 // ao bug-report pra perguntas/avisos rápidos.
@@ -2613,7 +2984,18 @@ domainsCmd
     registerChatCommand(program);
 }
 // ── parse ─────────────────────────────────────────────────────────────
-if (!process.argv.slice(2).length) {
+if (process.argv[2] === '--version' || process.argv[2] === '-v') {
+    // B3 (LABS 2026-09-28): `.version(CLI_VERSION, '-V')` liberou `--version` pros
+    // subcomandos que o usam como opção própria (build/deploy/workspaces advance/
+    // deployments create/api-catalog/agent release), mas removeu a long flag do
+    // ROOT — `neetru --version` e `neetru -v` passaram a dar "unknown option".
+    // Reintroduz AMBAS só no TOPO (primeiro token = argv[2]); o `--version <valor>`
+    // dos subcomandos vem sempre DEPOIS do nome do comando, nunca como argv[2],
+    // então não colide.
+    console.log(CLI_VERSION);
+    safeExit(0);
+}
+else if (!process.argv.slice(2).length) {
     if (process.stdin.isTTY && process.stdout.isTTY && process.env.CI !== 'true') {
         const { runTerminalUi } = await import('./commands/ui.js');
         await runTerminalUi();