@omnizap-system/omnizap 2.5.12

package/.github/workflows/security-scorecard.yml

@@ -0,0 +1,44 @@
+name: Security - OSSF Scorecard
+
+on:
+  branch_protection_rule:
+  schedule:
+    - cron: "0 6 * * 1"
+  push:
+    branches:
+      - main
+  workflow_dispatch:
+
+permissions: read-all
+
+concurrency:
+  group: security-scorecard-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  analysis:
+    name: Scorecard Analysis
+    runs-on: ubuntu-latest
+    timeout-minutes: 30
+    permissions:
+      security-events: write
+      id-token: write
+      contents: read
+      actions: read
+    steps:
+      - name: Checkout
+        uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5
+        with:
+          persist-credentials: false
+
+      - name: Run OSSF Scorecard
+        uses: ossf/scorecard-action@4eaacf0543bb3f2c246792bd56e8cdeffafb205a
+        with:
+          results_file: results.sarif
+          results_format: sarif
+          publish_results: true
+
+      - name: Upload SARIF
+        uses: github/codeql-action/upload-sarif@0d579ffd059c29b07949a3cce3983f0780820c98
+        with:
+          sarif_file: results.sarif

package/.github/workflows/security-zap-baseline.yml

@@ -0,0 +1,44 @@
+name: Security - ZAP Baseline
+
+on:
+  schedule:
+    - cron: "30 4 * * 1"
+  workflow_dispatch:
+    inputs:
+      target_url:
+        description: "Target URL for baseline scan"
+        required: false
+        default: ""
+        type: string
+
+permissions:
+  contents: read
+
+concurrency:
+  group: security-zap-baseline-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  baseline-scan:
+    name: DAST Baseline
+    runs-on: ubuntu-latest
+    timeout-minutes: 30
+    permissions:
+      contents: read
+      issues: write
+    env:
+      TARGET_URL: ${{ inputs.target_url || vars.SECURITY_SCAN_TARGET_URL || 'https://omnizap.shop/' }}
+    steps:
+      - name: Checkout
+        uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5
+        with:
+          persist-credentials: false
+
+      - name: Run ZAP baseline scan
+        uses: zaproxy/action-baseline@41aee98ebc7cf2802c3beae4e7d4336413a21e43
+        with:
+          target: ${{ env.TARGET_URL }}
+          fail_action: false
+          cmd_options: "-a"
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

package/.github/workflows/security-zap-full-scan.yml

@@ -0,0 +1,43 @@
+name: Security - ZAP Full Scan
+
+on:
+  schedule:
+    - cron: "0 5 * * 0"
+  workflow_dispatch:
+    inputs:
+      target_url:
+        description: "Target URL for full scan"
+        required: false
+        default: ""
+        type: string
+
+permissions:
+  contents: read
+
+concurrency:
+  group: security-zap-full-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  full-scan:
+    name: DAST Full Scan
+    runs-on: ubuntu-latest
+    timeout-minutes: 90
+    permissions:
+      contents: read
+      issues: write
+    env:
+      TARGET_URL: ${{ inputs.target_url || vars.SECURITY_SCAN_TARGET_URL || 'https://omnizap.shop/' }}
+    steps:
+      - name: Checkout
+        uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5
+        with:
+          persist-credentials: false
+
+      - name: Run ZAP full scan
+        uses: zaproxy/action-full-scan@bdd21ad4090d552d299261226c553efbc216f5ee
+        with:
+          target: ${{ env.TARGET_URL }}
+          fail_action: false
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

package/.github/workflows/security-zizmor.yml

@@ -0,0 +1,36 @@
+name: Security - Zizmor
+
+on:
+  pull_request:
+    paths:
+      - ".github/workflows/**"
+  push:
+    branches:
+      - main
+    paths:
+      - ".github/workflows/**"
+  workflow_dispatch:
+
+permissions:
+  contents: read
+
+concurrency:
+  group: security-zizmor-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+jobs:
+  zizmor:
+    name: Workflow Security Lint
+    runs-on: ubuntu-latest
+    timeout-minutes: 15
+    permissions:
+      contents: read
+      security-events: write
+    steps:
+      - name: Checkout
+        uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5
+        with:
+          persist-credentials: false
+
+      - name: Run Zizmor
+        uses: zizmorcore/zizmor-action@0dce2577a4760a2749d8cfb7a84b7d5585ebcb7d

package/.github/workflows/wiki-sync.yml

@@ -0,0 +1,44 @@
+name: Wiki Sync
+
+on:
+  push:
+    branches:
+      - main
+    paths:
+      - "docs/wiki/**"
+  workflow_dispatch:
+
+concurrency:
+  group: wiki-sync-${{ github.ref }}
+  cancel-in-progress: true
+
+permissions:
+  contents: read
+
+jobs:
+  sync:
+    name: Sync docs/wiki to GitHub Wiki
+    runs-on: ubuntu-latest
+    timeout-minutes: 15
+    permissions:
+      contents: write
+    steps:
+      - name: Checkout
+        uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5
+        with:
+          fetch-depth: 0
+          persist-credentials: false
+
+      - name: Configure git identity
+        run: |
+          git config user.name "github-actions[bot]"
+          git config user.email "41898282+github-actions[bot]@users.noreply.github.com"
+
+      - name: Sync wiki
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          WIKI_SYNC_GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          WIKI_SYNC_GIT_USER_NAME: github-actions[bot]
+          WIKI_SYNC_GIT_USER_EMAIL: 41898282+github-actions[bot]@users.noreply.github.com
+          WIKI_SYNC_DELETE: "1"
+        run: bash ./scripts/wiki-sync.sh

package/.gitleaks.toml

@@ -0,0 +1,15 @@
+title = "OmniZap Gitleaks Config"
+
+[extend]
+useDefault = true
+
+[allowlist]
+description = "Ignore runtime/generated artifacts that are not source secrets."
+paths = [
+  '''^logs/''',
+  '''^backups/''',
+]
+regexes = [
+  '''(?i)SET\s+@migration_key\s*:=\s*'[0-9]{8}_[a-z0-9_]+';''',
+  '''(?i)WHERE\s+migration_key\s*=\s*'[0-9]{8}_[a-z0-9_]+';''',
+]

package/.prettierrc

@@ -0,0 +1,34 @@
+{
+  "$schema": "https://json.schemastore.org/prettierrc",
+  "printWidth": 10000,
+  "tabWidth": 2,
+  "useTabs": false,
+  "semi": true,
+  "singleQuote": true,
+  "jsxSingleQuote": false,
+  "trailingComma": "all",
+  "bracketSpacing": true,
+  "arrowParens": "always",
+  "endOfLine": "lf",
+  "bracketSameLine": false,
+  "singleAttributePerLine": false,
+  "proseWrap": "preserve",
+  "htmlWhitespaceSensitivity": "css",
+  "quoteProps": "as-needed",
+  "embeddedLanguageFormatting": "auto",
+  "overrides": [
+    {
+      "files": ["*.md", "*.mdx"],
+      "options": {
+        "printWidth": 90,
+        "proseWrap": "preserve"
+      }
+    },
+    {
+      "files": ["*.yml", "*.yaml"],
+      "options": {
+        "singleQuote": false
+      }
+    }
+  ]
+}

package/CODE_OF_CONDUCT.md

@@ -0,0 +1,114 @@
+# Código de Conduta
+
+## Nosso compromisso
+
+Nós, contribuidores e mantenedores do OmniZap System, assumimos o compromisso de manter a participação na comunidade livre de assédio para todas as pessoas, independentemente de idade, tipo corporal, deficiência (visível ou não), etnia, características sexuais, identidade e expressão de gênero, nível de experiência, escolaridade, condição socioeconômica, nacionalidade, aparência pessoal, religião ou identidade/orientação sexual.
+
+Nós nos comprometemos a agir e interagir de forma a promover uma comunidade aberta, acolhedora, diversa, inclusiva e saudável.
+
+## Valores da comunidade
+
+Esperamos que toda interação no projeto siga estes valores:
+
+- Respeito entre participantes, mesmo em situações de discordância.
+- Colaboração orientada a resultados técnicos e coletivos.
+- Transparência na comunicação e nas decisões de manutenção.
+- Responsabilidade sobre impactos técnicos e comportamentais.
+- Aprendizado contínuo, com abertura para correção e melhoria.
+
+## Nossos padrões
+
+Exemplos de comportamentos esperados:
+
+- Demonstrar empatia, respeito e cordialidade.
+- Aceitar e oferecer feedback construtivo de forma objetiva.
+- Priorizar o que é melhor para o projeto e para a comunidade.
+- Assumir responsabilidade por erros e corrigi-los com transparência.
+- Manter comunicação clara, respeitosa e profissional.
+
+Exemplos de comportamentos inaceitáveis:
+
+- Linguagem ou imagens sexualizadas e atenção sexual indesejada.
+- Trolling, insultos, ataques pessoais ou comentários depreciativos.
+- Assédio, intimidação ou perseguição, em público ou em privado.
+- Divulgação de informações privadas de terceiros sem permissão explícita.
+- Qualquer conduta inadequada para um ambiente colaborativo e profissional.
+
+## Inclusão e acessibilidade
+
+Para promover um ambiente mais inclusivo, recomendamos:
+
+- usar linguagem clara e objetiva;
+- contextualizar termos técnicos quando necessário;
+- evitar comunicação agressiva, ironias hostis e provocações pessoais;
+- respeitar diferentes níveis de experiência.
+
+## Escopo
+
+Este Código de Conduta se aplica a todos os espaços oficiais do projeto, incluindo:
+
+- Issues, Pull Requests, Discussions e comentários no GitHub.
+- Canais de comunicação relacionados ao projeto.
+- Interações em nome do projeto em espaços públicos.
+
+Também se aplica quando uma pessoa representa oficialmente o projeto, por exemplo, ao usar conta oficial, atuar como mantenedor(a) ou participar de eventos em nome do OmniZap System.
+
+## Responsabilidade de aplicação
+
+Mantenedores(as) são responsáveis por interpretar e aplicar este Código de Conduta de forma justa, consistente e proporcional ao contexto.
+
+Mantenedores(as) podem remover, editar ou rejeitar comentários, commits, código, edições de wiki, issues e outras contribuições que violem este Código de Conduta, bem como aplicar medidas temporárias ou permanentes quando necessário.
+
+## Reporte de incidentes
+
+Se você sofrer ou presenciar comportamento inadequado:
+
+1. Para casos não sensíveis, abra uma issue com o título iniciando por `CoC:`.
+2. Para casos sensíveis, contate os mantenedores de forma privada pelo GitHub (por exemplo, mensagem direta para `@kaikybrofc`) ou por e-mail em `bot@omnizap.shop`.
+
+Todos os relatos serão avaliados com seriedade, dentro de prazo razoável, com confidencialidade e respeito ao contexto.
+
+## Processo de apuração e resposta
+
+O fluxo padrão de tratamento de incidentes segue estas etapas:
+
+1. Confirmação de recebimento do relato (meta: até 72 horas).
+2. Triagem inicial e classificação da ocorrência (meta: até 7 dias corridos).
+3. Coleta de contexto e evidências adicionais, quando necessário.
+4. Deliberação dos mantenedores e definição de medida aplicável.
+5. Comunicação de encerramento para as partes envolvidas, dentro do limite de confidencialidade.
+
+## Confidencialidade e não retaliação
+
+- Relatos sensíveis serão tratados com confidencialidade, na medida do possível.
+- Não toleramos retaliação contra quem reportar incidentes de boa-fé.
+- Tentativas de intimidação, exposição indevida ou represália podem gerar medidas disciplinares imediatas.
+
+## Diretrizes de aplicação
+
+As medidas de aplicação podem incluir, conforme gravidade e recorrência:
+
+1. **Correção**: orientação privada e pedido de ajuste de comportamento.
+2. **Advertência**: aviso formal com descrição da violação e consequências em caso de reincidência.
+3. **Suspensão temporária**: restrição de interação por período definido em espaços oficiais do projeto.
+4. **Banimento permanente**: proibição de participação na comunidade e bloqueio dos canais oficiais.
+
+## Direito de resposta e recurso
+
+- Sempre que viável, a pessoa reportada poderá apresentar contexto antes da decisão final.
+- Caso discorde da medida aplicada, poderá solicitar revisão por canal privado em até 14 dias corridos.
+- Quando possível, o recurso será revisado por mantenedor(a) diferente de quem conduziu a decisão inicial.
+
+## Conflito de interesse
+
+Quando houver conflito de interesse na apuração (por exemplo, envolvimento direto do mantenedor no incidente), a pessoa em conflito deve se declarar impedida de decidir sobre o caso.
+
+## Atribuição
+
+Este Código de Conduta foi adaptado do [Contributor Covenant](https://www.contributor-covenant.org), versão 2.1:
+
+- https://www.contributor-covenant.org/version/2/1/code_of_conduct/
+
+Perguntas frequentes:
+
+- https://www.contributor-covenant.org/faq

package/LICENSE

@@ -0,0 +1,56 @@
+MIT License
+
+Copyright (c) 2025 Kaiky Brito
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.
+
+---
+
+Versão em Português (tradução de referência)
+
+Aviso importante: esta tradução é fornecida para facilitar entendimento.
+Em caso de divergência de interpretação, prevalece o texto legal em inglês
+apresentado acima.
+
+É concedida permissão, gratuitamente, a qualquer pessoa que obtenha uma cópia
+deste software e dos arquivos de documentação associados (o "Software"), para
+utilizar o Software sem restrições, incluindo, sem limitação, os direitos de
+usar, copiar, modificar, mesclar, publicar, distribuir, sublicenciar e/ou
+vender cópias do Software, e permitir que as pessoas a quem o Software for
+fornecido façam o mesmo, sujeitas às seguintes condições:
+
+O aviso de copyright acima e este aviso de permissão devem ser incluídos em
+todas as cópias ou porções substanciais do Software.
+
+O SOFTWARE É FORNECIDO "NO ESTADO EM QUE SE ENCONTRA", SEM GARANTIA DE
+QUALQUER TIPO, EXPRESSA OU IMPLÍCITA, INCLUINDO, SEM LIMITAÇÃO, AS GARANTIAS DE
+COMERCIALIZAÇÃO, ADEQUAÇÃO A UMA FINALIDADE ESPECÍFICA E NÃO INFRAÇÃO. EM
+NENHUMA HIPÓTESE OS AUTORES OU DETENTORES DOS DIREITOS AUTORAIS SERÃO
+RESPONSÁVEIS POR QUALQUER REIVINDICAÇÃO, DANO OU OUTRA RESPONSABILIDADE, SEJA
+EM AÇÃO CONTRATUAL, ILÍCITO CIVIL OU OUTRA FORMA, DECORRENTE DE, FORA DE OU EM
+CONEXÃO COM O SOFTWARE OU O USO OU OUTRAS NEGOCIAÇÕES NO SOFTWARE.
+
+Informações adicionais (não alteram os termos da licença):
+
+- Uso comercial é permitido.
+- Modificação e redistribuição são permitidas.
+- Sub-licenciamento e venda são permitidos.
+- É obrigatório manter os avisos de copyright e licença.
+- Não há garantia de funcionamento ou adequação para um fim específico.
+- Os autores não assumem responsabilidade por danos decorrentes do uso.

package/README.md

@@ -0,0 +1,110 @@
+<img width="1318" height="352" alt="OmniZap banner" src="https://github.com/user-attachments/assets/d44835e7-021a-4c67-a0e7-5b858d51eb91" />
+
+# OmniZap System
+
+[![CI](https://github.com/Omnizap-System/omnizap/actions/workflows/ci.yml/badge.svg)](https://github.com/Omnizap-System/omnizap/actions/workflows/ci.yml)
+[![CodeQL](https://github.com/Omnizap-System/omnizap/actions/workflows/codeql.yml/badge.svg)](https://github.com/Omnizap-System/omnizap/actions/workflows/codeql.yml)
+[![Gitleaks](https://github.com/Omnizap-System/omnizap/actions/workflows/security-gitleaks.yml/badge.svg)](https://github.com/Omnizap-System/omnizap/actions/workflows/security-gitleaks.yml)
+[![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](./LICENSE)
+[![Node](https://img.shields.io/badge/node-%3E%3D18-339933?logo=node.js&logoColor=white)](https://nodejs.org/)
+
+Plataforma open source de automação para WhatsApp com foco em figurinhas, catálogo web, painel de usuário e operação profissional em produção.
+
+---
+
+## 🚀 Links Rápidos
+
+- **Site Oficial:** [omnizap.shop](https://omnizap.shop/)
+- **Documentação da API:** [/api-docs/](https://omnizap.shop/api-docs/)
+- **Painel do Usuário:** [/user/](https://omnizap.shop/user/)
+- **Catálogo de Figurinha:** [/stickers/](https://omnizap.shop/stickers/)
+- **Wiki do Projeto:** [GitHub Wiki](https://github.com/Omnizap-System/omnizap/wiki)
+
+---
+
+## 🛠️ Quick Start (Local)
+
+1. **Instalar dependências:**
+
+   ```bash
+   npm install
+   ```
+
+2. **Configurar Ambiente:**
+
+   ```bash
+   cp .env.example .env
+   # Edite o .env com suas credenciais MySQL e segredos JWT
+   ```
+
+3. **Inicializar Banco e Frontend:**
+
+   ```bash
+   npm run db:init
+   npm run build:frontend
+   ```
+
+4. **Rodar:**
+   ```bash
+   npm run dev
+   ```
+
+---
+
+## 🏗️ Arquitetura & Stack
+
+O sistema é dividido em 3 camadas integradas:
+
+- **Bot Engine:** Baseado em `@whiskeysockets/baileys` (WhatsApp multi-device).
+- **Web Server:** Node.js puro (`node:http`) com roteamento customizado e alta performance.
+- **Frontend:** React com TailwindCSS e DaisyUI (Vite bundle).
+- **Dados:** MySQL para persistência de mensagens, usuários e metadados de grupos.
+
+---
+
+## ✨ Funcionalidades Principais
+
+- **Automação de Stickers:** Criação instantânea via comandos (`/s`, `/st`, etc.).
+- **Gestão de Packs:** Criação, edição e publicação de pacotes de figurinhas via bot ou web.
+- **Painel Web:** Autenticação segura, recuperação de senha e gestão de perfil.
+- **Marketplace:** Catálogo público com SEO otimizado e busca dinâmica.
+- **Observabilidade:** Métricas nativas para Prometheus e logs estruturados com Pino.
+
+---
+
+## 📊 Snapshot do Sistema
+
+<!-- README_SNAPSHOT:START -->
+
+> Os dados abaixo são atualizados automaticamente via script.
+
+<!-- README_SNAPSHOT:END -->
+
+---
+
+## 📁 Estrutura do Projeto
+
+- `app/`: Core do bot, módulos de comandos e serviços de domínio.
+- `server/`: Rotas HTTP, middlewares de segurança e controladores web.
+- `database/`: Schemas, migrações e inicialização do MySQL.
+- `public/`: Código-fonte do frontend (React) e assets estáticos.
+- `scripts/`: Utilitários de deploy, release e workers de background.
+- `docs/`: Runbooks de segurança, conformidade (LGPD) e playbooks de SEO.
+
+---
+
+## 🛡️ Segurança e Compliance
+
+Projeto desenvolvido com foco em conformidade e boas práticas:
+
+- **LGPD:** Runbooks prontos para DSAR e Incidentes ANPD em `docs/`.
+- **Hardening:** Esteira de segurança com SAST, Gitleaks e ZAP Scan.
+- **AUP:** Política de Uso Aceitável rigorosa para evitar spam e abusos.
+
+Para reportar vulnerabilidades, consulte [SECURITY.md](./SECURITY.md).
+
+---
+
+## 📄 Licença
+
+Distribuído sob a licença **MIT**. Veja `LICENSE` para mais detalhes.

package/SECURITY.md

@@ -0,0 +1,110 @@
+# Política de Segurança e Procedimento Operacional
+
+Este documento estabelece:
+
+- as diretrizes formais para tratamento de vulnerabilidades no OmniZap System;
+- o fluxo operacional (runbook) utilizado para triagem, correção e divulgação responsável.
+
+## Objetivo e Aplicabilidade
+
+Esta política se aplica ao código e aos ativos técnicos mantidos neste repositório, incluindo:
+
+- código-fonte da aplicação;
+- workflows e automações de CI/CD;
+- dependências e configuração de build/publicação;
+- componentes de execução e integração diretamente mantidos pelo projeto.
+
+Não fazem parte do escopo obrigatório desta política:
+
+- serviços de terceiros fora de controle do projeto;
+- ambientes não oficiais, forks e deploys sem vínculo direto com o mantenedor.
+
+## Versões Suportadas
+
+Correções de segurança são priorizadas para o branch `main` e para a release estável mais recente.
+
+| Canal                            | Suporte de segurança                       |
+| -------------------------------- | ------------------------------------------ |
+| `main`                           | Suportado                                  |
+| Última release estável publicada | Suportado                                  |
+| Releases anteriores              | Suporte limitado, sem garantia de correção |
+
+## Canal Oficial de Reporte
+
+Não abra issue pública para reportes de segurança.
+
+Envie o reporte por e-mail para:
+
+- `bot@omnizap.shop`
+
+No assunto, utilize preferencialmente: `"[SECURITY] <resumo da vulnerabilidade>"`.
+
+## Conteúdo Mínimo do Reporte
+
+Para acelerar a análise, inclua:
+
+- componente e versão afetados;
+- pré-condições e passos de reprodução;
+- impacto técnico e impacto de negócio;
+- prova de conceito (PoC), quando aplicável;
+- sugestões de mitigação;
+- evidências técnicas (logs, payloads e respostas), sem dados sensíveis de terceiros.
+
+## Classificação de Severidade e Meta de Resposta
+
+| Severidade | Exemplo                                                         | Meta de triagem inicial     |
+| ---------- | --------------------------------------------------------------- | --------------------------- |
+| Crítica    | execução remota, vazamento sensível em produção                 | até 24 horas                |
+| Alta       | bypass de autenticação/autorização, escalonamento de privilégio | até 72 horas                |
+| Média      | falha explorável com restrições relevantes                      | até 7 dias corridos         |
+| Baixa      | baixo impacto ou cenário de exploração limitado                 | conforme fila de manutenção |
+
+Os prazos acima são metas operacionais e podem variar conforme complexidade, dependências externas e disponibilidade de correção segura.
+
+## Runbook de Tratamento (Fluxo Operacional)
+
+1. Recebimento e protocolo: confirmação de recebimento em até 72 horas.
+2. Triagem técnica: validação de escopo, reprodução e classificação de severidade.
+3. Contenção inicial: mitigação temporária, quando necessária.
+4. Correção: implementação, revisão e validação em pipeline.
+5. Publicação: disponibilização da correção no canal suportado.
+6. Fechamento: comunicação ao pesquisador e registro das lições aprendidas.
+
+## Divulgação Responsável
+
+Solicitamos confidencialidade até que a correção ou mitigação oficial esteja disponível.
+
+Quando aplicável, a comunicação pública ocorrerá por meio de:
+
+- release notes/changelog;
+- advisory de segurança;
+- documentação técnica pertinente.
+
+## Pesquisa em Boa-fé e Conduta Esperada
+
+Ao realizar testes de segurança, não é permitido:
+
+- indisponibilizar serviços intencionalmente (DoS/DDoS);
+- acessar, alterar ou exfiltrar dados de terceiros;
+- executar engenharia social, phishing ou ataques físicos;
+- realizar testes destrutivos em ambientes de produção.
+
+Reportes realizados de boa-fé, com respeito a esta política, serão tratados com prioridade técnica e comunicação responsável.
+
+## Baseline de Hardening de Produção
+
+Para hardening de rede e redução de superfície exposta (portas públicas, SSH e Nginx), consulte:
+
+- [`docs/security/network-hardening-runbook-2026-03-07.md`](./docs/security/network-hardening-runbook-2026-03-07.md)
+
+## Resposta a Incidentes com Critério LGPD/ANPD
+
+Para resposta formal a incidentes com avaliação de gatilho de notificação regulatória, consulte:
+
+- [`docs/security/incident-response-lgpd-anpd-runbook-2026-03-07.md`](./docs/security/incident-response-lgpd-anpd-runbook-2026-03-07.md)
+
+## Compliance Operacional Mensal
+
+Para acompanhamento mensal de conteúdo regulado, branding, contratos (DPA), governança de dados, notice-and-takedown e separação patrimonial, consulte:
+
+- [`docs/compliance/monthly-compliance-checklist-2026-03-07.md`](./docs/compliance/monthly-compliance-checklist-2026-03-07.md)

package/app/config/index.js

@@ -0,0 +1,4 @@
+export * from '../configParts/baileysConfig.js';
+export * from '../configParts/groupUtils.js';
+export * from '../configParts/adminIdentity.js';
+export * from '../configParts/loggerConfig.js';