@neetru/cli 2.28.7 → 2.28.10

package/dist/commands/mobile.js

@@ -0,0 +1,344 @@
+/**
+ * `neetru mobile` — gerenciamento de Apps Mobile (iOS/Android) do produto via CLI.
+ *
+ * Subcomandos:
+ *   neetru mobile init   --platform <ios|android> --redirect-uri <url> [...]  — registra um app
+ *   neetru mobile list                                                        — lista apps do produto
+ *   neetru mobile revoke <appId>                                              — revoga (mata sessões ativas)
+ *
+ * Contrato Core (PR #482 do neetru-core — dev-facing, self-service, igual `db`/`domains`):
+ *   POST   /api/cli/v1/products/{slug}/mobile-apps            — role admin|operator
+ *   GET    /api/cli/v1/products/{slug}/mobile-apps             — role admin|operator
+ *   DELETE /api/cli/v1/products/{slug}/mobile-apps/{appId}     — role admin ONLY + step-up MFA
+ *
+ * `redirectUri` PRECISA ser `https://` (Universal Link/App Link, RFC 8252) —
+ * o Core rejeita custom scheme (`meuapp://`) com 400. Isso é decisão de
+ * segurança do owner, não limitação temporária — a CLI valida o mesmo
+ * localmente pra falhar rápido com mensagem clara, mas NUNCA oferece
+ * custom scheme como alternativa.
+ *
+ * O `id` retornado pelo Core é `<slug>__<platform>` — o app é PKCE público
+ * (Authorization Code + PKCE, sem client secret).
+ *
+ * Todos os comandos usam `apiRequest` do `api-client` — autenticação via
+ * Bearer token resolvido automaticamente do config local (ou explícito via
+ * `requireToken` no fluxo destrutivo, mesmo padrão de `servers.ts`).
+ *
+ * Plain PT-BR em todas as strings visíveis ao usuário.
+ */
+import * as path from 'node:path';
+import chalk from 'chalk';
+import ora from 'ora';
+import { log } from '../utils/logger.js';
+import { apiRequest } from '../lib/api-client.js';
+import { handleApiError } from '../lib/api-error.js';
+import { renderTable } from '../lib/render.js';
+import { requireToken, confirmDestructive, resolveStepUp, printWriteResult, } from '../lib/cli-write.js';
+import { loadProductConfig } from '../lib/product-config.js';
+import { readMobileJson, writeMobileJson, upsertMobileApp, removeMobileApp, } from '../lib/mobile-local/index.js';
+import { safeExit } from '../utils/safe-exit.js';
+/** Caminho canônico do registro local de apps mobile. */
+const MOBILE_JSON_REL = '.neetru/mobile.json';
+function jsonError(message, error = 'error') {
+    console.log(JSON.stringify({ ok: false, error, message }));
+}
+function mobileStatusColor(status) {
+    switch (status) {
+        case 'active': return chalk.green(status);
+        case 'revoked':
+        case 'inactive': return chalk.red(status);
+        case 'error': return chalk.red(status);
+        default: return chalk.dim(status);
+    }
+}
+export async function runMobileInit(opts = {}) {
+    if (!opts.json) {
+        log.banner();
+        log.heading('neetru mobile init');
+    }
+    // ── platform ──────────────────────────────────────────────────────────
+    const platform = opts.platform;
+    if (platform !== 'ios' && platform !== 'android') {
+        const msg = `--platform é obrigatório e deve ser "ios" ou "android" (recebido: ${opts.platform ?? '(nenhum)'}).`;
+        if (opts.json) {
+            jsonError(msg, 'invalid_platform');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    // ── redirectUri — SEMPRE https:// (RFC 8252), nunca custom scheme ──────
+    const redirectUri = (opts.redirectUri ?? '').trim();
+    if (!redirectUri) {
+        const msg = '--redirect-uri é obrigatório (ex: https://meuproduto.com/auth/callback).';
+        if (opts.json) {
+            jsonError(msg, 'redirect_uri_required');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    if (!redirectUri.startsWith('https://')) {
+        const msg = `--redirect-uri precisa ser https:// (Universal Link/App Link). ` +
+            `Custom scheme (ex: meuapp://) NÃO é aceito — decisão de segurança do owner (RFC 8252), ` +
+            `não é limitação temporária. Recebido: "${redirectUri}"`;
+        if (opts.json) {
+            jsonError(msg, 'redirect_uri_not_https');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    // ── campos condicionais por plataforma ──────────────────────────────────
+    let bundleId;
+    let teamId;
+    let packageName;
+    let shaCertFingerprints;
+    if (platform === 'ios') {
+        bundleId = opts.bundleId?.trim() || undefined;
+        teamId = opts.teamId?.trim() || undefined;
+        if (!bundleId) {
+            const msg = '--bundle-id é obrigatório para --platform ios (ex: com.empresa.app).';
+            if (opts.json) {
+                jsonError(msg, 'bundle_id_required');
+            }
+            else {
+                log.error(msg);
+            }
+            safeExit(1);
+            return;
+        }
+        if (!teamId) {
+            const msg = '--team-id é obrigatório para --platform ios (Apple Team ID, 10 caracteres).';
+            if (opts.json) {
+                jsonError(msg, 'team_id_required');
+            }
+            else {
+                log.error(msg);
+            }
+            safeExit(1);
+            return;
+        }
+    }
+    else {
+        packageName = opts.packageName?.trim() || undefined;
+        shaCertFingerprints = (opts.shaFingerprints ?? []).map((f) => f.trim()).filter(Boolean);
+        if (!packageName) {
+            const msg = '--package-name é obrigatório para --platform android (ex: com.empresa.app).';
+            if (opts.json) {
+                jsonError(msg, 'package_name_required');
+            }
+            else {
+                log.error(msg);
+            }
+            safeExit(1);
+            return;
+        }
+        if (shaCertFingerprints.length === 0) {
+            const msg = '--sha-fingerprint é obrigatório para --platform android (repetível — um por certificado de assinatura).';
+            if (opts.json) {
+                jsonError(msg, 'sha_fingerprint_required');
+            }
+            else {
+                log.error(msg);
+            }
+            safeExit(1);
+            return;
+        }
+    }
+    // ── slug do produto atual ────────────────────────────────────────────────
+    const cfg = await loadProductConfig();
+    if (!cfg) {
+        const msg = 'neetru.config.json não encontrado. Rode `neetru init` primeiro.';
+        if (opts.json) {
+            jsonError(msg, 'config_not_found');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    const body = { platform, redirectUri };
+    if (opts.name)
+        body.name = opts.name;
+    if (platform === 'ios') {
+        body.bundleId = bundleId;
+        body.teamId = teamId;
+    }
+    else {
+        body.packageName = packageName;
+        body.shaCertFingerprints = shaCertFingerprints;
+    }
+    // ── registra no Core PRIMEIRO — só grava o stub local DEPOIS do sucesso.
+    // Gravar localmente antes e deixar o registro falhar resultaria em entrada
+    // órfã em .neetru/mobile.json (mesmo raciocínio de HIGH-3 em `db init`).
+    const spinner = opts.json
+        ? null
+        : ora({ text: `Registrando app mobile (${platform}) no Core…`, color: 'blue' }).start();
+    let resp;
+    try {
+        resp = await apiRequest(`/api/cli/v1/products/${encodeURIComponent(cfg.slug)}/mobile-apps`, { method: 'POST', body });
+        spinner?.succeed('App mobile registrado no Core.');
+    }
+    catch (err) {
+        spinner?.fail('Falha ao registrar app mobile no Core.');
+        handleApiError(err, opts.json);
+        return; // handleApiError nunca retorna mas TS não sabe disso
+    }
+    // ── grava .neetru/mobile.json somente após sucesso do Core ───────────────
+    const mobileJsonPath = path.resolve(process.cwd(), MOBILE_JSON_REL);
+    const mobileJson = readMobileJson(mobileJsonPath);
+    const localEntry = {
+        id: resp.id,
+        platform,
+        redirectUri,
+        oidcClientId: resp.oidcClientId,
+        status: 'active',
+    };
+    if (opts.name)
+        localEntry.name = opts.name;
+    if (platform === 'ios') {
+        localEntry.bundleId = bundleId;
+        localEntry.teamId = teamId;
+    }
+    else {
+        localEntry.packageName = packageName;
+        localEntry.shaCertFingerprints = shaCertFingerprints;
+    }
+    writeMobileJson(mobileJsonPath, upsertMobileApp(mobileJson, localEntry));
+    if (!opts.json)
+        log.success(`App mobile gravado localmente em ${chalk.bold(MOBILE_JSON_REL)}`);
+    printWriteResult({
+        id: resp.id,
+        oidcClientId: resp.oidcClientId,
+        platform: resp.platform,
+        note: resp.note ?? null,
+    }, `App mobile "${resp.id}" registrado — PKCE público (Authorization Code + PKCE, SEM client secret).`, opts.json);
+    if (!opts.json) {
+        log.dim('');
+        log.dim('Próximos passos:');
+        log.dim(`  1. Configure no app: ${chalk.bold(`NEETRU_MOBILE_CLIENT_ID=${resp.oidcClientId}`)}`);
+        log.dim('  2. O fluxo é PKCE público (Authorization Code + PKCE, sem client secret) — RFC 8252.');
+        if (resp.note)
+            log.dim(`  Obs: ${resp.note}`);
+    }
+}
+export async function runMobileList(opts = {}) {
+    if (!opts.json)
+        log.banner();
+    const cfg = await loadProductConfig();
+    if (!cfg) {
+        const msg = 'neetru.config.json não encontrado. Rode `neetru init` primeiro.';
+        if (opts.json) {
+            jsonError(msg, 'config_not_found');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    const spinner = opts.json
+        ? null
+        : ora({ text: `Buscando apps mobile de "${cfg.slug}"…`, color: 'blue' }).start();
+    let resp;
+    try {
+        resp = await apiRequest(`/api/cli/v1/products/${encodeURIComponent(cfg.slug)}/mobile-apps`);
+        spinner?.stop();
+    }
+    catch (err) {
+        spinner?.fail('Falha ao buscar apps mobile.');
+        handleApiError(err, opts.json);
+        return;
+    }
+    if (opts.json) {
+        console.log(JSON.stringify(resp));
+        return;
+    }
+    log.heading(`Apps mobile — "${chalk.bold(cfg.slug)}" (${resp.count})`);
+    if (resp.count === 0) {
+        log.dim('  Nenhum app mobile registrado.');
+        log.dim('  Dica: rode `neetru mobile init --platform <ios|android> --redirect-uri <url> ...` para registrar um.');
+        return;
+    }
+    renderTable([
+        { header: 'ID', value: (r) => r.id, maxWidth: 30 },
+        { header: 'Platform', value: (r) => r.platform, maxWidth: 10 },
+        {
+            header: 'Bundle/Package',
+            value: (r) => (r.platform === 'ios' ? (r.bundleId ?? '—') : (r.packageName ?? '—')),
+            maxWidth: 30,
+        },
+        { header: 'Status', value: (r) => mobileStatusColor(r.status), maxWidth: 14 },
+        { header: 'OIDC Client ID', value: (r) => r.oidcClientId, maxWidth: 34 },
+    ], resp.apps);
+}
+/**
+ * `neetru mobile revoke <appId>` — role admin ONLY + step-up MFA (destrutivo
+ * top-tier, mesmo gate de `servers deactivate`/`oidc-clients` DELETE).
+ *
+ * Fail-closed em `--json`/sem TTY: `confirmDestructive` e `resolveStepUp`
+ * exigem `--yes` e `--mfa-token`/sessão de 1h explícitos nesse modo — nunca
+ * travam esperando input interativo.
+ */
+export async function runMobileRevoke(appId, opts) {
+    if (!appId) {
+        const msg = 'appId é obrigatório: neetru mobile revoke <appId>';
+        if (opts.json) {
+            jsonError(msg, 'app_id_required');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    const cfg = await loadProductConfig();
+    if (!cfg) {
+        const msg = 'neetru.config.json não encontrado. Rode `neetru init` primeiro.';
+        if (opts.json) {
+            jsonError(msg, 'config_not_found');
+        }
+        else {
+            log.error(msg);
+        }
+        safeExit(1);
+        return;
+    }
+    const token = await requireToken(opts.json);
+    await confirmDestructive(`Revogar o app mobile "${appId}"? Sessões ativas desse app são encerradas IMEDIATAMENTE.`, opts);
+    const { headers } = await resolveStepUp(opts);
+    const spinner = opts.json
+        ? null
+        : ora({ text: `Revogando app mobile ${appId}…`, color: 'red' }).start();
+    let resp;
+    try {
+        resp = await apiRequest(`/api/cli/v1/products/${encodeURIComponent(cfg.slug)}/mobile-apps/${encodeURIComponent(appId)}`, { method: 'DELETE', token, headers });
+        spinner?.stop();
+    }
+    catch (err) {
+        spinner?.fail('Falha ao revogar app mobile.');
+        handleApiError(err, opts.json);
+        return;
+    }
+    // Remove localmente só DEPOIS do sucesso remoto — best-effort, não bloqueia.
+    // O Core é a fonte da verdade; uma falha de FS local aqui não deve mascarar
+    // um revoke que já aconteceu de verdade no servidor.
+    try {
+        const mobileJsonPath = path.resolve(process.cwd(), MOBILE_JSON_REL);
+        const mobileJson = readMobileJson(mobileJsonPath);
+        writeMobileJson(mobileJsonPath, removeMobileApp(mobileJson, resp.id));
+    }
+    catch {
+        /* best-effort — não falha o comando por causa disso */
+    }
+    printWriteResult({ id: resp.id, status: resp.status }, `App mobile "${resp.id}" revogado — sessões ativas encerradas.`, opts.json);
+}
+//# sourceMappingURL=mobile.js.map

package/dist/commands/mobile.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"mobile.js","sourceRoot":"","sources":["../../src/commands/mobile.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2BG;AACH,OAAO,KAAK,IAAI,MAAM,WAAW,CAAC;AAClC,OAAO,KAAK,MAAM,OAAO,CAAC;AAC1B,OAAO,GAAG,MAAM,KAAK,CAAC;AACtB,OAAO,EAAE,GAAG,EAAE,MAAM,oBAAoB,CAAC;AACzC,OAAO,EAAE,UAAU,EAAE,MAAM,sBAAsB,CAAC;AAClD,OAAO,EAAE,cAAc,EAAE,MAAM,qBAAqB,CAAC;AACrD,OAAO,EAAE,WAAW,EAAE,MAAM,kBAAkB,CAAC;AAC/C,OAAO,EACL,YAAY,EACZ,kBAAkB,EAClB,aAAa,EACb,gBAAgB,GAEjB,MAAM,qBAAqB,CAAC;AAC7B,OAAO,EAAE,iBAAiB,EAAE,MAAM,0BAA0B,CAAC;AAC7D,OAAO,EACL,cAAc,EACd,eAAe,EACf,eAAe,EACf,eAAe,GAGhB,MAAM,8BAA8B,CAAC;AACtC,OAAO,EAAE,QAAQ,EAAE,MAAM,uBAAuB,CAAC;AAEjD,yDAAyD;AACzD,MAAM,eAAe,GAAG,qBAAqB,CAAC;AAE9C,SAAS,SAAS,CAAC,OAAe,EAAE,KAAK,GAAG,OAAO;IACjD,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,EAAE,EAAE,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,CAAC,CAAC,CAAC;AAC7D,CAAC;AAED,SAAS,iBAAiB,CAAC,MAAc;IACvC,QAAQ,MAAM,EAAE,CAAC;QACf,KAAK,QAAQ,CAAC,CAAC,OAAO,KAAK,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC;QAC1C,KAAK,SAAS,CAAC;QACf,KAAK,UAAU,CAAC,CAAC,OAAO,KAAK,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;QAC1C,KAAK,OAAO,CAAC,CAAC,OAAO,KAAK,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;QACvC,OAAO,CAAC,CAAC,OAAO,KAAK,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;IACpC,CAAC;AACH,CAAC;AAyBD,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,OAA0B,EAAE;IAC9D,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC;QACf,GAAG,CAAC,MAAM,EAAE,CAAC;QACb,GAAG,CAAC,OAAO,CAAC,oBAAoB,CAAC,CAAC;IACpC,CAAC;IAED,yEAAyE;IACzE,MAAM,QAAQ,GAAG,IAAI,CAAC,QAAQ,CAAC;IAC/B,IAAI,QAAQ,KAAK,KAAK,IAAI,QAAQ,KAAK,SAAS,EAAE,CAAC;QACjD,MAAM,GAAG,GAAG,qEAAqE,IAAI,CAAC,QAAQ,IAAI,UAAU,IAAI,CAAC;QACjH,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,kBAAkB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QAC/E,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,0EAA0E;IAC1E,MAAM,WAAW,GAAG,CAAC,IAAI,CAAC,WAAW,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC;IACpD,IAAI,CAAC,WAAW,EAAE,CAAC;QACjB,MAAM,GAAG,GAAG,0EAA0E,CAAC;QACvF,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,uBAAuB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QACpF,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IACD,IAAI,CAAC,WAAW,CAAC,UAAU,CAAC,UAAU,CAAC,EAAE,CAAC;QACxC,MAAM,GAAG,GACP,iEAAiE;YACjE,yFAAyF;YACzF,0CAA0C,WAAW,GAAG,CAAC;QAC3D,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,wBAAwB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QACrF,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,2EAA2E;IAC3E,IAAI,QAA4B,CAAC;IACjC,IAAI,MAA0B,CAAC;IAC/B,IAAI,WAA+B,CAAC;IACpC,IAAI,mBAAyC,CAAC;IAE9C,IAAI,QAAQ,KAAK,KAAK,EAAE,CAAC;QACvB,QAAQ,GAAG,IAAI,CAAC,QAAQ,EAAE,IAAI,EAAE,IAAI,SAAS,CAAC;QAC9C,MAAM,GAAG,IAAI,CAAC,MAAM,EAAE,IAAI,EAAE,IAAI,SAAS,CAAC;QAC1C,IAAI,CAAC,QAAQ,EAAE,CAAC;YACd,MAAM,GAAG,GAAG,sEAAsE,CAAC;YACnF,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;gBAAC,SAAS,CAAC,GAAG,EAAE,oBAAoB,CAAC,CAAC;YAAC,CAAC;iBAAM,CAAC;gBAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;YAAC,CAAC;YACjF,QAAQ,CAAC,CAAC,CAAC,CAAC;YACZ,OAAO;QACT,CAAC;QACD,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,MAAM,GAAG,GAAG,6EAA6E,CAAC;YAC1F,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;gBAAC,SAAS,CAAC,GAAG,EAAE,kBAAkB,CAAC,CAAC;YAAC,CAAC;iBAAM,CAAC;gBAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;YAAC,CAAC;YAC/E,QAAQ,CAAC,CAAC,CAAC,CAAC;YACZ,OAAO;QACT,CAAC;IACH,CAAC;SAAM,CAAC;QACN,WAAW,GAAG,IAAI,CAAC,WAAW,EAAE,IAAI,EAAE,IAAI,SAAS,CAAC;QACpD,mBAAmB,GAAG,CAAC,IAAI,CAAC,eAAe,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC;QACxF,IAAI,CAAC,WAAW,EAAE,CAAC;YACjB,MAAM,GAAG,GAAG,6EAA6E,CAAC;YAC1F,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;gBAAC,SAAS,CAAC,GAAG,EAAE,uBAAuB,CAAC,CAAC;YAAC,CAAC;iBAAM,CAAC;gBAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;YAAC,CAAC;YACpF,QAAQ,CAAC,CAAC,CAAC,CAAC;YACZ,OAAO;QACT,CAAC;QACD,IAAI,mBAAmB,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;YACrC,MAAM,GAAG,GACP,yGAAyG,CAAC;YAC5G,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;gBAAC,SAAS,CAAC,GAAG,EAAE,0BAA0B,CAAC,CAAC;YAAC,CAAC;iBAAM,CAAC;gBAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;YAAC,CAAC;YACvF,QAAQ,CAAC,CAAC,CAAC,CAAC;YACZ,OAAO;QACT,CAAC;IACH,CAAC;IAED,4EAA4E;IAC5E,MAAM,GAAG,GAAG,MAAM,iBAAiB,EAAE,CAAC;IACtC,IAAI,CAAC,GAAG,EAAE,CAAC;QACT,MAAM,GAAG,GAAG,iEAAiE,CAAC;QAC9E,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,kBAAkB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QAC/E,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,MAAM,IAAI,GAA4B,EAAE,QAAQ,EAAE,WAAW,EAAE,CAAC;IAChE,IAAI,IAAI,CAAC,IAAI;QAAE,IAAI,CAAC,IAAI,GAAG,IAAI,CAAC,IAAI,CAAC;IACrC,IAAI,QAAQ,KAAK,KAAK,EAAE,CAAC;QACvB,IAAI,CAAC,QAAQ,GAAG,QAAQ,CAAC;QACzB,IAAI,CAAC,MAAM,GAAG,MAAM,CAAC;IACvB,CAAC;SAAM,CAAC;QACN,IAAI,CAAC,WAAW,GAAG,WAAW,CAAC;QAC/B,IAAI,CAAC,mBAAmB,GAAG,mBAAmB,CAAC;IACjD,CAAC;IAED,0EAA0E;IAC1E,2EAA2E;IAC3E,yEAAyE;IACzE,MAAM,OAAO,GAAG,IAAI,CAAC,IAAI;QACvB,CAAC,CAAC,IAAI;QACN,CAAC,CAAC,GAAG,CAAC,EAAE,IAAI,EAAE,2BAA2B,QAAQ,YAAY,EAAE,KAAK,EAAE,MAAM,EAAE,CAAC,CAAC,KAAK,EAAE,CAAC;IAC1F,IAAI,IAA+B,CAAC;IACpC,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,UAAU,CACrB,wBAAwB,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC,cAAc,EAClE,EAAE,MAAM,EAAE,MAAM,EAAE,IAAI,EAAE,CACzB,CAAC;QACF,OAAO,EAAE,OAAO,CAAC,gCAAgC,CAAC,CAAC;IACrD,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,IAAI,CAAC,wCAAwC,CAAC,CAAC;QACxD,cAAc,CAAC,GAAG,EAAE,IAAI,CAAC,IAAI,CAAC,CAAC;QAC/B,OAAO,CAAC,qDAAqD;IAC/D,CAAC;IAED,4EAA4E;IAC5E,MAAM,cAAc,GAAG,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,GAAG,EAAE,EAAE,eAAe,CAAC,CAAC;IACpE,MAAM,UAAU,GAAG,cAAc,CAAC,cAAc,CAAC,CAAC;IAClD,MAAM,UAAU,GAAkB;QAChC,EAAE,EAAE,IAAI,CAAC,EAAE;QACX,QAAQ;QACR,WAAW;QACX,YAAY,EAAE,IAAI,CAAC,YAAY;QAC/B,MAAM,EAAE,QAAQ;KACjB,CAAC;IACF,IAAI,IAAI,CAAC,IAAI;QAAE,UAAU,CAAC,IAAI,GAAG,IAAI,CAAC,IAAI,CAAC;IAC3C,IAAI,QAAQ,KAAK,KAAK,EAAE,CAAC;QACvB,UAAU,CAAC,QAAQ,GAAG,QAAQ,CAAC;QAC/B,UAAU,CAAC,MAAM,GAAG,MAAM,CAAC;IAC7B,CAAC;SAAM,CAAC;QACN,UAAU,CAAC,WAAW,GAAG,WAAW,CAAC;QACrC,UAAU,CAAC,mBAAmB,GAAG,mBAAmB,CAAC;IACvD,CAAC;IACD,eAAe,CAAC,cAAc,EAAE,eAAe,CAAC,UAAU,EAAE,UAAU,CAAC,CAAC,CAAC;IACzE,IAAI,CAAC,IAAI,CAAC,IAAI;QAAE,GAAG,CAAC,OAAO,CAAC,oCAAoC,KAAK,CAAC,IAAI,CAAC,eAAe,CAAC,EAAE,CAAC,CAAC;IAE/F,gBAAgB,CACd;QACE,EAAE,EAAE,IAAI,CAAC,EAAE;QACX,YAAY,EAAE,IAAI,CAAC,YAAY;QAC/B,QAAQ,EAAE,IAAI,CAAC,QAAQ;QACvB,IAAI,EAAE,IAAI,CAAC,IAAI,IAAI,IAAI;KACxB,EACD,eAAe,IAAI,CAAC,EAAE,6EAA6E,EACnG,IAAI,CAAC,IAAI,CACV,CAAC;IAEF,IAAI,CAAC,IAAI,CAAC,IAAI,EAAE,CAAC;QACf,GAAG,CAAC,GAAG,CAAC,EAAE,CAAC,CAAC;QACZ,GAAG,CAAC,GAAG,CAAC,kBAAkB,CAAC,CAAC;QAC5B,GAAG,CAAC,GAAG,CAAC,0BAA0B,KAAK,CAAC,IAAI,CAAC,2BAA2B,IAAI,CAAC,YAAY,EAAE,CAAC,EAAE,CAAC,CAAC;QAChG,GAAG,CAAC,GAAG,CAAC,wFAAwF,CAAC,CAAC;QAClG,IAAI,IAAI,CAAC,IAAI;YAAE,GAAG,CAAC,GAAG,CAAC,UAAU,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC;IAChD,CAAC;AACH,CAAC;AA+BD,MAAM,CAAC,KAAK,UAAU,aAAa,CAAC,OAA0B,EAAE;IAC9D,IAAI,CAAC,IAAI,CAAC,IAAI;QAAE,GAAG,CAAC,MAAM,EAAE,CAAC;IAE7B,MAAM,GAAG,GAAG,MAAM,iBAAiB,EAAE,CAAC;IACtC,IAAI,CAAC,GAAG,EAAE,CAAC;QACT,MAAM,GAAG,GAAG,iEAAiE,CAAC;QAC9E,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,kBAAkB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QAC/E,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,MAAM,OAAO,GAAG,IAAI,CAAC,IAAI;QACvB,CAAC,CAAC,IAAI;QACN,CAAC,CAAC,GAAG,CAAC,EAAE,IAAI,EAAE,4BAA4B,GAAG,CAAC,IAAI,IAAI,EAAE,KAAK,EAAE,MAAM,EAAE,CAAC,CAAC,KAAK,EAAE,CAAC;IACnF,IAAI,IAA4B,CAAC;IACjC,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,UAAU,CACrB,wBAAwB,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC,cAAc,CACnE,CAAC;QACF,OAAO,EAAE,IAAI,EAAE,CAAC;IAClB,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,IAAI,CAAC,8BAA8B,CAAC,CAAC;QAC9C,cAAc,CAAC,GAAG,EAAE,IAAI,CAAC,IAAI,CAAC,CAAC;QAC/B,OAAO;IACT,CAAC;IAED,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;QACd,OAAO,CAAC,GAAG,CAAC,IAAI,CAAC,SAAS,CAAC,IAAI,CAAC,CAAC,CAAC;QAClC,OAAO;IACT,CAAC;IAED,GAAG,CAAC,OAAO,CAAC,kBAAkB,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,MAAM,IAAI,CAAC,KAAK,GAAG,CAAC,CAAC;IAEvE,IAAI,IAAI,CAAC,KAAK,KAAK,CAAC,EAAE,CAAC;QACrB,GAAG,CAAC,GAAG,CAAC,iCAAiC,CAAC,CAAC;QAC3C,GAAG,CAAC,GAAG,CAAC,wGAAwG,CAAC,CAAC;QAClH,OAAO;IACT,CAAC;IAED,WAAW,CACT;QACE,EAAE,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,EAAE,EAAE,QAAQ,EAAE,EAAE,EAAE;QAClD,EAAE,MAAM,EAAE,UAAU,EAAE,KAAK,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,QAAQ,EAAE,QAAQ,EAAE,EAAE,EAAE;QAC9D;YACE,MAAM,EAAE,gBAAgB;YACxB,KAAK,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,QAAQ,KAAK,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,QAAQ,IAAI,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,WAAW,IAAI,GAAG,CAAC,CAAC;YACnF,QAAQ,EAAE,EAAE;SACb;QACD,EAAE,MAAM,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,iBAAiB,CAAC,CAAC,CAAC,MAAM,CAAC,EAAE,QAAQ,EAAE,EAAE,EAAE;QAC7E,EAAE,MAAM,EAAE,gBAAgB,EAAE,KAAK,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,YAAY,EAAE,QAAQ,EAAE,EAAE,EAAE;KACzE,EACD,IAAI,CAAC,IAAI,CACV,CAAC;AACJ,CAAC;AAcD;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,eAAe,CACnC,KAAyB,EACzB,IAAyB;IAEzB,IAAI,CAAC,KAAK,EAAE,CAAC;QACX,MAAM,GAAG,GAAG,mDAAmD,CAAC;QAChE,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,iBAAiB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QAC9E,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,MAAM,GAAG,GAAG,MAAM,iBAAiB,EAAE,CAAC;IACtC,IAAI,CAAC,GAAG,EAAE,CAAC;QACT,MAAM,GAAG,GAAG,iEAAiE,CAAC;QAC9E,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC;YAAC,SAAS,CAAC,GAAG,EAAE,kBAAkB,CAAC,CAAC;QAAC,CAAC;aAAM,CAAC;YAAC,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;QAAC,CAAC;QAC/E,QAAQ,CAAC,CAAC,CAAC,CAAC;QACZ,OAAO;IACT,CAAC;IAED,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC;IAE5C,MAAM,kBAAkB,CACtB,yBAAyB,KAAK,2DAA2D,EACzF,IAAI,CACL,CAAC;IAEF,MAAM,EAAE,OAAO,EAAE,GAAG,MAAM,aAAa,CAAC,IAAI,CAAC,CAAC;IAE9C,MAAM,OAAO,GAAG,IAAI,CAAC,IAAI;QACvB,CAAC,CAAC,IAAI;QACN,CAAC,CAAC,GAAG,CAAC,EAAE,IAAI,EAAE,wBAAwB,KAAK,GAAG,EAAE,KAAK,EAAE,KAAK,EAAE,CAAC,CAAC,KAAK,EAAE,CAAC;IAC1E,IAAI,IAA6B,CAAC;IAClC,IAAI,CAAC;QACH,IAAI,GAAG,MAAM,UAAU,CACrB,wBAAwB,kBAAkB,CAAC,GAAG,CAAC,IAAI,CAAC,gBAAgB,kBAAkB,CAAC,KAAK,CAAC,EAAE,EAC/F,EAAE,MAAM,EAAE,QAAQ,EAAE,KAAK,EAAE,OAAO,EAAE,CACrC,CAAC;QACF,OAAO,EAAE,IAAI,EAAE,CAAC;IAClB,CAAC;IAAC,OAAO,GAAG,EAAE,CAAC;QACb,OAAO,EAAE,IAAI,CAAC,8BAA8B,CAAC,CAAC;QAC9C,cAAc,CAAC,GAAG,EAAE,IAAI,CAAC,IAAI,CAAC,CAAC;QAC/B,OAAO;IACT,CAAC;IAED,6EAA6E;IAC7E,4EAA4E;IAC5E,qDAAqD;IACrD,IAAI,CAAC;QACH,MAAM,cAAc,GAAG,IAAI,CAAC,OAAO,CAAC,OAAO,CAAC,GAAG,EAAE,EAAE,eAAe,CAAC,CAAC;QACpE,MAAM,UAAU,GAAG,cAAc,CAAC,cAAc,CAAC,CAAC;QAClD,eAAe,CAAC,cAAc,EAAE,eAAe,CAAC,UAAU,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC;IACxE,CAAC;IAAC,MAAM,CAAC;QACP,uDAAuD;IACzD,CAAC;IAED,gBAAgB,CACd,EAAE,EAAE,EAAE,IAAI,CAAC,EAAE,EAAE,MAAM,EAAE,IAAI,CAAC,MAAM,EAAE,EACpC,eAAe,IAAI,CAAC,EAAE,yCAAyC,EAC/D,IAAI,CAAC,IAAI,CACV,CAAC;AACJ,CAAC"}

package/dist/commands/ops.d.ts

@@ -43,6 +43,8 @@ export interface OpsSmokeObservabilityOptions {
 export declare function runOpsSmokeObservability(opts: OpsSmokeObservabilityOptions): Promise<void>;
 export interface OpsRegTokenOptions {
     expiresMin?: number;
+    /** `--mfa-token <código>` — TOTP do step-up MFA. */
+    mfaToken?: string;
     json?: boolean;
 }
 export declare function runOpsRegToken(serverId: string, opts: OpsRegTokenOptions): Promise<void>;
@@ -59,6 +61,19 @@ export interface OpsOpenapiDiffOptions {
 }
 export declare function runOpsOpenapiDiff(opts: OpsOpenapiDiffOptions): Promise<void>;
 export interface OpsBootstrapAdminOptions {
+    /**
+     * `--reactivate` — reativar um staff desligado (`disabled:true`). Sem ele o
+     * Core recusa com 409 `staff_disabled` (auditoria cli/v1 2026-09-29, H2).
+     */
+    reactivate?: boolean;
+    /** `--mfa-token <código>` — TOTP do step-up MFA (exigido quando já há admin). */
+    mfaToken?: string;
+    /**
+     * `--bootstrap-secret <valor>` (ou env `NEETRU_BOOTSTRAP_SECRET`) — segredo
+     * pré-compartilhado exigido pelo Core no bootstrap ovo-galinha (nenhum admin
+     * ainda). Vai no header `x-bootstrap-secret`; NUNCA é logado nem impresso.
+     */
+    bootstrapSecret?: string;
     json?: boolean;
 }
 export declare function runOpsBootstrapAdmin(uid: string, opts: OpsBootstrapAdminOptions): Promise<void>;
@@ -76,6 +91,9 @@ export declare function runOpsSeedApiCatalog(opts: OpsSeedApiCatalogOptions): Pr
 export interface OpsRehashSdkSecretsOptions {
     dryRun?: boolean;
     rotate?: boolean;
+    yes?: boolean;
+    force?: boolean;
+    mfaToken?: string;
     json?: boolean;
 }
 export declare function runOpsRehashSdkSecrets(opts: OpsRehashSdkSecretsOptions): Promise<void>;
@@ -83,6 +101,8 @@ export interface OpsMigrateCliKeysOptions {
     dryRun?: boolean;
     autoAdmin?: boolean;
     allowedTenants?: string;
+    /** `--mfa-token <código>` — TOTP do step-up MFA (só fora do --dry-run). */
+    mfaToken?: string;
     json?: boolean;
 }
 export declare function runOpsMigrateCliKeys(opts: OpsMigrateCliKeysOptions): Promise<void>;

package/dist/commands/ops.js

@@ -21,7 +21,8 @@
 import chalk from 'chalk';
 import ora from 'ora';
 import { apiRequest } from '../lib/api-client.js';
-import { requireToken, handleApiError } from '../lib/cli-read.js';
+import { requireToken, resolveToken, handleApiError } from '../lib/cli-read.js';
+import { confirmDestructive, resolveStepUp, withStepUpRetry } from '../lib/cli-write.js';
 import { log } from '../utils/logger.js';
 import { safeExit } from '../utils/safe-exit.js';
 // ─── Helpers ──────────────────────────────────────────────────────────────────
@@ -143,6 +144,9 @@ export async function runOpsSmokeObservability(opts) {
 }
 export async function runOpsRegToken(serverId, opts) {
     const token = await requireToken(opts.json);
+    // H5 (auditoria cli/v1 2026-09-29): o token dá credencial de agente pra
+    // QUALQUER server — o Core exige step-up MFA (sessão 1h → --mfa-token → prompt).
+    const { headers } = await resolveStepUp({ mfaToken: opts.mfaToken, json: opts.json });
     const spinner = opts.json ? null : ora({ text: `Gerando registration token para ${serverId}…`, color: 'blue' }).start();
     let res;
     try {
@@ -150,6 +154,7 @@ export async function runOpsRegToken(serverId, opts) {
             method: 'POST',
             body: { serverId, expiresMin: opts.expiresMin ?? 30 },
             token,
+            headers,
         });
         spinner?.stop();
     }
@@ -273,7 +278,12 @@ export async function runOpsOpenapiDiff(opts) {
     }
 }
 export async function runOpsBootstrapAdmin(uid, opts) {
-    const token = await requireToken(opts.json);
+    const bootstrapSecret = (opts.bootstrapSecret ?? process.env.NEETRU_BOOTSTRAP_SECRET ?? '').trim();
+    // Sem admin no Core o gate é o segredo, não o Bearer — com o segredo em mãos
+    // a sessão CLI é opcional (deploy fresco, ninguém logado ainda).
+    const token = bootstrapSecret
+        ? ((await resolveToken()) ?? undefined)
+        : await requireToken(opts.json);
     if (!uid || !uid.trim()) {
         if (opts.json) {
             console.log(JSON.stringify({ ok: false, error: 'validation', message: 'uid é obrigatório.' }));
@@ -284,25 +294,28 @@ export async function runOpsBootstrapAdmin(uid, opts) {
         safeExit(1);
     }
     const spinner = opts.json ? null : ora({ text: `Promovendo ${uid} a admin…`, color: 'blue' }).start();
-    let res;
-    try {
-        res = await apiRequest('/api/cli/v1/ops/bootstrap-admin', {
-            method: 'POST',
-            body: { uid },
-            token,
-        });
-        spinner?.stop();
-    }
-    catch (error) {
+    // H2 (auditoria cli/v1 2026-09-29): com admin existente o Core exige step-up
+    // MFA; no bootstrap ovo-galinha (sem admin) não. Como o CLI não sabe de
+    // antemão, manda a sessão de 1h/--mfa-token se houver e, no `401
+    // mfa_required`, prompta o TOTP e repete (fail-closed em --json/não-TTY).
+    const res = await withStepUpRetry({ mfaToken: opts.mfaToken, json: opts.json }, (headers) => apiRequest('/api/cli/v1/ops/bootstrap-admin', {
+        method: 'POST',
+        body: { uid, ...(opts.reactivate ? { reactivate: true } : {}) },
+        token,
+        headers: bootstrapSecret ? { ...headers, 'x-bootstrap-secret': bootstrapSecret } : headers,
+    }), (error) => {
         spinner?.fail('Falha ao promover admin.');
-        handleApiError(error, opts.json);
-    }
+        return handleApiError(error, opts.json);
+    }, () => spinner?.stop());
+    spinner?.stop();
     if (opts.json) {
         console.log(JSON.stringify(res));
         return;
     }
     const data = res;
     log.success(`${String(data.email ?? uid)} promovido a admin (${String(data.action ?? '')}).`);
+    if (opts.reactivate)
+        log.dim('  (reativação explícita — registrada na auditoria)');
     console.log(chalk.dim(`  ${String(data.message ?? '')}`));
 }
 export async function runOpsBackfillIncidentsSource(opts) {
@@ -434,6 +447,19 @@ export async function runOpsSeedApiCatalog(opts) {
 }
 export async function runOpsRehashSdkSecrets(opts) {
     const token = await requireToken(opts.json);
+    // SEGURANÇA (auditoria UX round-2): `--rotate` é IRREVERSÍVEL — gera novos
+    // clientSecrets e invalida TODOS os antigos, quebrando qualquer produto SaaS
+    // que ainda use o secret antigo. Antes rodava direto (sem confirmação nem MFA).
+    // Gate igual ao resto das destrutivas top-tier: confirmDestructive (y/N,
+    // bypass --yes/--force, fail-closed em --json/não-TTY) + resolveStepUp (sessão
+    // MFA de 1h → --mfa-token → prompt). O `--dry-run` continua isento (não aplica),
+    // e o re-hash in-place (sem --rotate) preserva o secret, então não é gated.
+    const mfaHeaders = {};
+    if (opts.rotate && !opts.dryRun) {
+        await confirmDestructive('Rotacionar os clientSecrets de TODOS os sdk_clients? Os secrets antigos deixam de funcionar imediatamente (irreversível).', { yes: opts.yes, force: opts.force, json: opts.json });
+        const { headers } = await resolveStepUp({ mfaToken: opts.mfaToken, json: opts.json });
+        Object.assign(mfaHeaders, headers);
+    }
     const spinner = opts.json
         ? null
         : ora({ text: `Re-hash SDK secrets${opts.dryRun ? ' (dry-run)' : ''}${opts.rotate ? ' [ROTATE]' : ''}…`, color: 'blue' }).start();
@@ -443,6 +469,7 @@ export async function runOpsRehashSdkSecrets(opts) {
             method: 'POST',
             body: { dryRun: opts.dryRun ?? false, rotate: opts.rotate ?? false },
             token,
+            headers: mfaHeaders,
         });
         spinner?.stop();
     }
@@ -492,6 +519,13 @@ export async function runOpsMigrateCliKeys(opts) {
             }
         }
     }
+    // M4 (auditoria cli/v1 2026-09-29): aplicar muda o escopo de TODAS as chaves
+    // — o Core exige step-up MFA fora do dry-run. Dry-run segue sem MFA.
+    const mfaHeaders = {};
+    if (!opts.dryRun) {
+        const { headers } = await resolveStepUp({ mfaToken: opts.mfaToken, json: opts.json });
+        Object.assign(mfaHeaders, headers);
+    }
     const spinner = opts.json
         ? null
         : ora({ text: `Migrando cli_api_keys${opts.dryRun ? ' (dry-run)' : ''}…`, color: 'blue' }).start();
@@ -505,6 +539,7 @@ export async function runOpsMigrateCliKeys(opts) {
                 tenantMap,
             },
             token,
+            headers: mfaHeaders,
         });
         spinner?.stop();
     }
@@ -601,10 +636,12 @@ export function registerOpsCommand(program) {
         .command('reg-token <serverId>')
         .description('Gerar registration token para um server (uso único, expira em 30min)')
         .option('--expires-min <n>', 'minutos até expiração (default: 30)', '30')
+        .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
         .option('--json', 'saída em JSON')
         .action(async (serverId, cmdOpts) => {
         await runOpsRegToken(serverId, {
             expiresMin: cmdOpts.expiresMin ? Number.parseInt(cmdOpts.expiresMin, 10) : 30,
+            mfaToken: cmdOpts.mfaToken,
             json: !!cmdOpts.json,
         });
     });
@@ -638,11 +675,19 @@ export function registerOpsCommand(program) {
     opsCmd
         .command('bootstrap-admin <uid>')
         .description('Promover um usuário a admin (resolve o problema ovo-galinha do 1º admin). ' +
-        'Se não existe nenhum admin, o gate está aberto sem auth. ' +
-        'Se já existe admin, exige Bearer com role admin.')
+        'Sem admin: exige o segredo de bootstrap (--bootstrap-secret / NEETRU_BOOTSTRAP_SECRET). ' +
+        'Se já existe admin, exige Bearer com role admin + step-up MFA.')
+        .option('--reactivate', 'reativar um staff desligado (disabled) — fica registrado na auditoria')
+        .option('--bootstrap-secret <valor>', 'segredo de bootstrap (só quando ainda NÃO há admin; ou env NEETRU_BOOTSTRAP_SECRET) — nunca é exibido')
+        .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
         .option('--json', 'saída em JSON')
         .action(async (uid, cmdOpts) => {
-        await runOpsBootstrapAdmin(uid, { json: !!cmdOpts.json });
+        await runOpsBootstrapAdmin(uid, {
+            reactivate: !!cmdOpts.reactivate,
+            bootstrapSecret: cmdOpts.bootstrapSecret,
+            mfaToken: cmdOpts.mfaToken,
+            json: !!cmdOpts.json,
+        });
     });
     // ── ops backfill ──────────────────────────────────────────────────────────
     const backfillCmd = opsCmd
@@ -684,11 +729,17 @@ export function registerOpsCommand(program) {
         '--rotate: gera novo secret e o imprime UMA VEZ na saída — anote por canal seguro.')
         .option('--dry-run', 'lista o que seria migrado sem gravar')
         .option('--rotate', 'gerar novos secrets (invalida os antigos)')
+        .option('--yes', 'pula a confirmação interativa do --rotate (necessário em --json/CI)')
+        .option('--force', 'alias de --yes')
+        .option('--mfa-token <code>', 'código TOTP para o step-up MFA do --rotate')
         .option('--json', 'saída em JSON')
         .action(async (cmdOpts) => {
         await runOpsRehashSdkSecrets({
             dryRun: !!cmdOpts.dryRun,
             rotate: !!cmdOpts.rotate,
+            yes: !!cmdOpts.yes,
+            force: !!cmdOpts.force,
+            mfaToken: cmdOpts.mfaToken,
             json: !!cmdOpts.json,
         });
     });
@@ -704,12 +755,14 @@ export function registerOpsCommand(program) {
         .option('--dry-run', 'lista o que seria atualizado sem gravar')
         .option('--no-auto-admin', 'não aplica ["*"] automaticamente em admin keys')
         .option('--allowed-tenants <map>', 'mapeamento keyId→tenants no formato "keyId1:t-1,t-2;keyId2:t-3" (para roles não-admin)')
+        .option('--mfa-token <code>', 'código TOTP para step-up MFA (ou use `neetru auth mfa-session`)')
         .option('--json', 'saída em JSON')
         .action(async (cmdOpts) => {
         await runOpsMigrateCliKeys({
             dryRun: !!cmdOpts.dryRun,
             autoAdmin: cmdOpts.autoAdmin !== false,
             allowedTenants: cmdOpts.allowedTenants,
+            mfaToken: cmdOpts.mfaToken,
             json: !!cmdOpts.json,
         });
     });