@orkastery/cli 0.5.3 → 0.6.0

package/dist/doctor.js

@@ -39,18 +39,23 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.TETO_DO_DONO_DO_GIT = void 0;
+exports.CONTRATO_DO_DOCTOR = exports.TETO_DO_DONO_DO_GIT = void 0;
+exports.checarSeparacaoDaConducao = checarSeparacaoDaConducao;
 exports.manifestoForaDoRepositorio = manifestoForaDoRepositorio;
 exports.checarContas = checarContas;
 exports.checarChaveDeEmbedding = checarChaveDeEmbedding;
+exports.checarFonteDaDsn = checarFonteDaDsn;
+exports.checarDsnNoAmbiente = checarDsnNoAmbiente;
 exports.checarDonoDoGit = checarDonoDoGit;
 exports.checarOnboarding = checarOnboarding;
 exports.blocosDoRuntime = blocosDoRuntime;
 exports.checarRuntimeClaude = checarRuntimeClaude;
 exports.checarDespachoPeloCodex = checarDespachoPeloCodex;
+exports.checarSecurityScan = checarSecurityScan;
 exports.checar = checar;
 exports.relatorio = relatorio;
 exports.doctor = doctor;
+exports.doctorJson = doctorJson;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const adapter = __importStar(require("./adapters/claude-bg"));
@@ -62,16 +67,60 @@ const onboarding_1 = require("./onboarding");
 const ratelimit_1 = require("./ratelimit");
 const slug_1 = require("./slug");
 const horario_1 = require("./horario");
+const executor_1 = require("./security-scan/executor");
+const detect_1 = require("./security-scan/detect");
+const tools_1 = require("./security-scan/tools");
+const types_1 = require("./security-scan/types");
 const util_1 = require("./util");
 const sessoes_inventario_1 = require("./sessoes-inventario");
 const estado_thread_1 = require("./estado-thread");
 const project_state_1 = require("./project-state");
 const runtime_ambiente_1 = require("./runtime-ambiente");
+const dsn_da_memoria_1 = require("./dsn-da-memoria");
 const runtime_profiles_1 = require("./runtime-profiles");
 const preflight_1 = require("./preflight");
 const setup_1 = require("./setup");
 const doctor_pulse_cron_1 = require("./doctor-pulse-cron");
+const postura_local_1 = require("./postura-local");
+const worktree_local_1 = require("./worktree-local");
+const maquina_1 = require("./maquina");
 const doctor_rede_1 = require("./doctor-rede");
+const locale_1 = require("./locale");
+const real = (dir) => { try {
+    return fs.realpathSync(dir);
+}
+catch {
+    return path.resolve(dir);
+} };
+/**
+ * RM-064 T5: avisa quando o LLM que roda o doctor usa a mesma conta das fases vivas. Sessão de fase
+ * despachada pelo `ork` (com a identidade do despacho no ambiente) não é o condutor e não entra na comparação.
+ */
+function checarSeparacaoDaConducao(raiz, inventario, env = process.env) {
+    const runtime = env.CLAUDECODE ? 'claude-bg' : env.CODEX_THREAD_ID ? 'codex' : null;
+    if (!runtime || (0, runtime_ambiente_1.sessaoDespachada)(env))
+        return null;
+    const dirAtual = runtime === 'claude-bg' ? env.CLAUDE_CONFIG_DIR : env.CODEX_HOME;
+    let perfil = null;
+    try {
+        if (dirAtual) {
+            const p = (0, runtime_profiles_1.lerPerfisComContas)(raiz).perfis.find((x) => x.runtime === runtime &&
+                real(((0, runtime_profiles_1.perfilDeDespacho)(x).configDir ?? (0, runtime_profiles_1.perfilDeDespacho)(x).codexHome)) === real(dirAtual));
+            perfil = p?.id ?? null;
+        }
+    }
+    catch { /* o check de contas relata o store inválido; aqui não inventamos perfil */ }
+    const fases = inventario.sessoes.filter((s) => s.viva && s.runtime === runtime && s.perfil === perfil && s.vinculos.length > 0)
+        .flatMap((s) => s.vinculos.map((v) => `${v.thread}:${v.fase}`));
+    const conta = perfil ?? (0, locale_1.msg)().doctor.contaDoAmbiente;
+    return {
+        nome: 'separacao da conducao',
+        nivel: fases.length ? 'warn' : 'ok',
+        detalhe: fases.length ? (0, locale_1.msg)().doctor.condutorCompartilha(runtime, conta, fases.slice(0, 3).join(', '))
+            : (0, locale_1.msg)().doctor.condutorSeparado(runtime, conta),
+        correcao: fases.length ? (0, locale_1.msg)().doctor.condutorCompartilhaCorrecao : undefined,
+    };
+}
 /**
  * Ensaio de 03/10/2026 (RM-049): o manifesto e achado subindo a partir do diretorio atual. Um
  * `orkastery.yaml` de uma pasta acima do repositorio (um `ork init` rodado por engano no HOME) era
@@ -101,8 +150,8 @@ function manifestoForaDoRepositorio(dirInicial, caminhoDoManifesto) {
     return {
         nome: 'manifesto do repositorio',
         nivel: 'warn',
-        detalhe: `o ${manifest_1.NOME_MANIFESTO} lido fica fora deste repositorio (${caminhoDoManifesto}): o ork conduz o projeto daquela pasta, nao o de ${topo.stdout.trim()}`,
-        correcao: `rode ork init na raiz deste repositorio (${topo.stdout.trim()}); se o manifesto de fora nasceu por engano, apague-o junto com o AGENTS.md e o .orkastery/ ao lado dele`,
+        detalhe: (0, locale_1.msg)().doctor.manifestoForaDoRepo(manifest_1.NOME_MANIFESTO, caminhoDoManifesto, topo.stdout.trim()),
+        correcao: (0, locale_1.msg)().doctor.manifestoForaDoRepoCorrecao(topo.stdout.trim()),
     };
 }
 /**
@@ -116,12 +165,12 @@ function checarContas(raiz, auth = (p) => p.runtime === 'claude-bg' ? adapter.co
         perfis = (0, runtime_profiles_1.lerPerfisComContas)(raiz).perfis.filter(p => p.estado !== 'desativado');
     }
     catch (e) {
-        return { nome: 'contas por runtime', nivel: 'fail', detalhe: `store de perfis invalido: ${e.message}`,
-            correcao: 'o store fica em .orkastery/private/runtime-profiles.json (arquivo 0600, pasta 0700)' };
+        return { nome: 'contas por runtime', nivel: 'fail', detalhe: (0, locale_1.msg)().doctor.storeInvalido(e.message),
+            correcao: (0, locale_1.msg)().doctor.storeCorrecao };
     }
     if (perfis.length === 0)
         return { nome: 'contas por runtime', nivel: 'ok',
-            detalhe: 'nenhum perfil configurado: cada runtime despacha pelo ambiente do processo' };
+            detalhe: (0, locale_1.msg)().doctor.semPerfis };
     const partes = [];
     let nivel = 'ok';
     for (const runtime of runtime_profiles_1.RUNTIMES_COM_PERFIL) {
@@ -131,8 +180,8 @@ function checarContas(raiz, auth = (p) => p.runtime === 'claude-bg' ? adapter.co
         const estados = doRuntime.map(p => {
             const a = auth((0, runtime_profiles_1.perfilDeDespacho)(p));
             return { id: p.id, pronto: a.ok && (0, runtime_profiles_1.perfilDisponivel)(p),
-                texto: !a.ok ? (a.pago ? 'provider pago (nunca despacha)' : a.transitorio ? 'conferencia de login inconclusiva' : 'sem login')
-                    : (0, runtime_profiles_1.perfilDisponivel)(p) ? 'pronto' : `${p.estado}${p.esgotadoAte ? ` ate ${p.esgotadoAte}` : ''}` };
+                texto: !a.ok ? (a.pago ? (0, locale_1.msg)().doctor.contaPaga : a.transitorio ? (0, locale_1.msg)().doctor.contaInconclusiva : (0, locale_1.msg)().doctor.contaSemLogin)
+                    : (0, runtime_profiles_1.perfilDisponivel)(p) ? (0, locale_1.msg)().doctor.contaPronta : (0, locale_1.msg)().doctor.contaFora(p.estado, p.esgotadoAte) };
         });
         const prontos = estados.filter(e => e.pronto).length;
         if (prontos === 0)
@@ -142,7 +191,7 @@ function checarContas(raiz, auth = (p) => p.runtime === 'claude-bg' ? adapter.co
         partes.push(`${runtime}: ${estados.map(e => `${e.id} ${e.texto}`).join(', ')}`);
     }
     return { nome: 'contas por runtime', nivel, detalhe: partes.join('; '),
-        ...(nivel !== 'ok' ? { correcao: 'ork accounts check marca os perfis (sem-auth, provider-pago); ork accounts add refaz o login de assinatura pelo proprio CLI, nunca copiando credencial' } : {}) };
+        ...(nivel !== 'ok' ? { correcao: (0, locale_1.msg)().doctor.contasCorrecao } : {}) };
 }
 /**
  * Variaveis que REDIRECIONAM o despacho do `claude` para um provider pago.
@@ -168,27 +217,66 @@ function checarChaveDeEmbedding(carregado, env = process.env) {
     const nome = 'chave de embedding';
     const config = (0, manifest_1.configDeEmbedding)(carregado.manifesto);
     if (config.provider === 'none')
-        return { nome, nivel: 'ok', detalhe: 'memory.embedding com provider none: busca por significado desligada' };
+        return { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.embeddingNone };
     const variavel = config.api_key_env;
     if (runtime_ambiente_1.ENVS_DE_PROVIDER_PAGO.includes(variavel)) {
-        return { nome, nivel: 'fail', detalhe: `memory.embedding.api_key_env declara ${variavel}, nome da lista de provider pago`,
-            correcao: 'use uma chave dedicada ao Orkastery com nome proprio, por exemplo ORKASTERY_EMBEDDING_API_KEY' };
+        return { nome, nivel: 'fail', detalhe: (0, locale_1.msg)().doctor.embeddingPago(variavel), correcao: (0, locale_1.msg)().doctor.embeddingPagoCorrecao };
     }
     if (!variavel) {
-        return { nome, nivel: 'fail', detalhe: `memory.embedding com provider ${config.provider} sem api_key_env`,
-            correcao: 'declare em memory.embedding.api_key_env o NOME da variavel com a chave dedicada' };
+        return { nome, nivel: 'fail', detalhe: (0, locale_1.msg)().doctor.embeddingSemVariavel(config.provider),
+            correcao: (0, locale_1.msg)().doctor.embeddingSemVariavelCorrecao };
     }
     const valor = (env[variavel] ?? '').trim();
-    const dsn = carregado.manifesto.memory.database_url_env ? (env[carregado.manifesto.memory.database_url_env] ?? '') : '';
+    // RM-069: a DSN da fonte declarada (a variavel ou o arquivo da pasta de segredos), pelo resolvedor unico.
+    const dsn = (0, dsn_da_memoria_1.resolverDsn)(carregado.manifesto.memory, { env }).dsn;
     if (valor !== '' && !(0, orkmind_1.chaveDeEmbeddingAceita)(valor, dsn)) {
-        return { nome, nivel: 'fail', detalhe: `${variavel} tem valor recusado: parece URL, DSN ou texto com espaco (valor nunca impresso)`,
-            correcao: `confira se ${variavel} guarda a chave dedicada, e nao outra credencial` };
+        return { nome, nivel: 'fail', detalhe: (0, locale_1.msg)().doctor.embeddingRecusada(variavel), correcao: (0, locale_1.msg)().doctor.embeddingRecusadaCorrecao(variavel) };
     }
     if (valor !== '') {
-        return { nome, nivel: 'ok', detalhe: `${variavel} presente no ambiente (valor nunca impresso); ${config.provider} ${config.model}` };
+        return { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.embeddingPresente(variavel, config.provider, config.model) };
+    }
+    return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.embeddingAusente(variavel), correcao: (0, locale_1.msg)().doctor.embeddingAusenteCorrecao(variavel) };
+}
+/**
+ * RM-069 (G5): de onde vem a DSN da memoria, a variavel pelo NOME ou o arquivo pelo rotulo com `~`, nunca o valor. So
+ * com `memory.mode: orkmind` e uma fonte declarada; a falha e aviso, porque memoria degradada nao bloqueia despacho.
+ */
+function checarFonteDaDsn(carregado, env = process.env) {
+    const memoria = carregado.manifesto.memory;
+    if (memoria.mode !== 'orkmind')
+        return null;
+    const r = (0, dsn_da_memoria_1.resolverDsn)(memoria, { env });
+    const nome = 'fonte da DSN';
+    if (r.fonte === 'nenhuma')
+        return null;
+    if (r.fonte === 'ambiente') {
+        return r.falha
+            ? { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.dsnVariavelAusente(r.rotulo), correcao: (0, locale_1.msg)().doctor.dsnVariavelAusenteCorrecao(r.rotulo) }
+            : { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.dsnDaVariavel(r.rotulo) };
+    }
+    if (!r.falha)
+        return { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.dsnDoArquivo(r.rotulo, r.permissao ?? '') };
+    return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.dsnArquivoFalhou(r.rotulo, r.falha, (0, locale_1.msg)().doctor.dsnCausa(r.causa ?? '', r.permissao ?? '')),
+        correcao: (0, locale_1.msg)().doctor.dsnArquivoCorrecao(r.falha, r.rotulo) };
+}
+/**
+ * RM-069 (G6, D8): a DSN no ambiente DESTE processo, pelo NOME da variavel, nunca o valor. Numa sessao despachada, as
+ * variaveis com a DSN do projeto e toda URL com senha: o agente as le com `env`. Fora dela, so com a fonte de arquivo
+ * lida, as variaveis que repetem a DSN do arquivo. Nos outros casos (fonte de ambiente fora do despacho), nenhum check.
+ */
+function checarDsnNoAmbiente(carregado, env = process.env) {
+    const despachada = (0, runtime_ambiente_1.sessaoDespachada)(env);
+    const r = (0, dsn_da_memoria_1.resolverDsn)(carregado.manifesto.memory, { env });
+    if (!despachada && !(r.fonte === 'arquivo' && r.dsn))
+        return null;
+    const nome = 'DSN no ambiente';
+    const doProjeto = r.dsn ? (0, dsn_da_memoria_1.variaveisComDsn)(env, r.dsn) : [];
+    const comSenha = despachada ? (0, dsn_da_memoria_1.variaveisComUrlComSenha)(env).filter((n) => !doProjeto.includes(n)) : [];
+    if (doProjeto.length === 0 && comSenha.length === 0) {
+        return { nome, nivel: 'ok', detalhe: despachada ? (0, locale_1.msg)().doctor.dsnSessaoLimpa : (0, locale_1.msg)().doctor.dsnProcessoLimpo };
     }
-    return { nome, nivel: 'warn', detalhe: `${variavel} ausente do ambiente: a busca por significado usa o fallback local ou cai para FTS; o regime nao muda`,
-        correcao: `exporte ${variavel} com a chave dedicada ao Orkastery (com limite de credito no painel do provider)` };
+    return { nome, nivel: 'warn', detalhe: despachada ? (0, locale_1.msg)().doctor.dsnNaSessao(doProjeto, comSenha) : (0, locale_1.msg)().doctor.dsnNoProcesso(doProjeto),
+        correcao: (0, locale_1.msg)().doctor.dsnNoAmbienteCorrecao };
 }
 /** Acima disso a conferencia do dono do `.git` fica parcial (aviso), para o doctor nao pesar. */
 exports.TETO_DO_DONO_DO_GIT = 200_000;
@@ -254,31 +342,29 @@ function checarDonoDoGit(dirInicial, opcoes = {}) {
     }
     if (total > 0) {
         return { nome, nivel: 'fail',
-            detalhe: `${total} entrada(s) de ${relativo(dirComum)} com outro dono (uid ${[...uids].sort((a, b) => a - b).join(', ')}; o do ` +
-                `repositorio e ${raiz.uid}): ${estranhos.join(', ')}${total > estranhos.length ? ', ...' : ''}; o git do dono nao grava nelas, ` +
-                `e o fetch e o commit falham${parcial ? ` (conferencia parcial: mais de ${teto} entradas)` : ''}`,
-            correcao: `sudo chown -R ${raiz.uid}:${raiz.gid} ${noShell(dirComum)} (o ork nao roda isso sozinho)` };
+            detalhe: (0, locale_1.msg)().doctor.donoOutro(total, relativo(dirComum), [...uids].sort((a, b) => a - b).join(', '), raiz.uid, `${estranhos.join(', ')}${total > estranhos.length ? ', ...' : ''}`, parcial ? teto : null),
+            correcao: (0, locale_1.msg)().doctor.donoCorrecao(`sudo chown -R ${raiz.uid}:${raiz.gid} ${noShell(dirComum)}`) };
     }
     if (parcial) {
-        return { nome, nivel: 'warn', detalhe: `mais de ${teto} entradas em ${relativo(dirComum)}: conferencia parcial, sem outro dono ate aqui`,
-            correcao: `confira o resto com: find ${noShell(dirComum)} -not -uid ${raiz.uid}` };
+        return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.donoParcial(teto, relativo(dirComum)),
+            correcao: (0, locale_1.msg)().doctor.donoParcialCorrecao(`find ${noShell(dirComum)} -not -uid ${raiz.uid}`) };
     }
-    return { nome, nivel: 'ok', detalhe: `${vistos} entradas de ${relativo(dirComum)} com o dono do repositorio (uid ${raiz.uid})` };
+    return { nome, nivel: 'ok', detalhe: (0, locale_1.msg)().doctor.donoOk(vistos, relativo(dirComum), raiz.uid) };
 }
 /** Checks locais; ler a entrevista não abre driver, banco, runtime ou rede. */
 function checarOnboarding(carregado) {
     const estado = (0, onboarding_1.lerOnboarding)(carregado.raiz);
     const pendentes = onboarding_1.ETAPAS_ONBOARDING.filter(e => estado.etapas[e] === null);
     const checks = [{ nome: 'onboarding', nivel: pendentes.length ? 'warn' : 'ok',
-            detalhe: pendentes.length ? `${pendentes.length} etapa(s) pendente(s): ${pendentes.join(', ')}` : '9 etapas respondidas',
+            detalhe: pendentes.length ? (0, locale_1.msg)().doctor.onboardingPendente(pendentes.length, pendentes.join(', ')) : (0, locale_1.msg)().doctor.onboardingCompleto,
             ...(pendentes.length ? { correcao: 'ork onboarding' } : {}) }];
     const escolha = estado.etapas.memoria?.conteudo;
     const modo = escolha === 'sim' || escolha === true ? 'orkmind' :
         escolha === 'orkmind' || escolha === 'files' ? escolha :
             escolha && typeof escolha === 'object' && !Array.isArray(escolha) ? escolha.modo : null;
     if ((modo === 'orkmind' || modo === 'files') && modo !== carregado.manifesto.memory.mode) {
-        checks.push({ nome: 'onboarding memoria', nivel: 'warn', detalhe: `entrevista escolheu ${modo}; manifesto declara ${carregado.manifesto.memory.mode}`,
-            correcao: `revise memory.mode: ${modo} em orkastery.yaml; a entrevista não altera o manifesto` });
+        checks.push({ nome: 'onboarding memoria', nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.entrevistaMemoria(modo, carregado.manifesto.memory.mode),
+            correcao: (0, locale_1.msg)().doctor.entrevistaMemoriaCorrecao(modo) });
     }
     // I-35: o fuso respondido na etapa maestro orienta owner.timezone, sem editar o manifesto. Com
     // `owner.timezone` na mesma resposta (gravado no manifesto pelo `onboarding set`), vale ele: no
@@ -291,8 +377,8 @@ function checarOnboarding(carregado) {
         ? (0, horario_1.normalizarFuso)(fusoDoOwner) ?? (0, horario_1.normalizarFuso)(maestro.fuso) : undefined;
     if (fusoDaEntrevista && fusoDaEntrevista !== carregado.manifesto.owner?.timezone) {
         checks.push({ nome: 'onboarding fuso', nivel: 'warn',
-            detalhe: `entrevista informou ${fusoDaEntrevista}; manifesto declara ${carregado.manifesto.owner?.timezone ?? `${horario_1.CHAVE_DO_FUSO} ausente`}`,
-            correcao: `revise ${horario_1.CHAVE_DO_FUSO}: "${fusoDaEntrevista}" em orkastery.yaml; a entrevista não altera o manifesto` });
+            detalhe: (0, locale_1.msg)().doctor.entrevistaFuso(fusoDaEntrevista, carregado.manifesto.owner?.timezone, horario_1.CHAVE_DO_FUSO),
+            correcao: (0, locale_1.msg)().doctor.entrevistaFusoCorrecao(horario_1.CHAVE_DO_FUSO, fusoDaEntrevista) });
     }
     return checks;
 }
@@ -352,15 +438,12 @@ function temPerfilAtivo(carregado, runtime) {
 function checarRuntimeClaude(carregado, claude, versao, auth = null) {
     const nome = 'runtime claude-bg';
     if (claude) {
-        const detalhe = `${claude} (${versao ?? 'versao desconhecida'})`;
+        const detalhe = `${claude} (${versao ?? (0, locale_1.msg)().doctor.versaoDesconhecida})`;
         // Ensaio de 03/10 (R1): sem perfil de conta, o despacho usa o login do proprio `claude`; sem ele, o
         // primeiro despacho falha. Conferencia inconclusiva (timeout, JSON ilegivel) nao prova falta de login.
         if (auth && !auth.ok && !auth.transitorio) {
-            return { nome, nivel: 'warn', detalhe: `${detalhe}; ${auth.detalhe}: o despacho pelo claude-bg falharia`,
-                correcao: auth.pago
-                    ? 'faca o login de assinatura (claude.ai) no `claude`, sem API key nem provider de nuvem'
-                    : 'rode `claude` uma vez, faca o login de assinatura (/login) e aceite a confianca no diretorio do projeto; ' +
-                        'ou crie um perfil com ork accounts add <id> --runtime claude-bg --dir <pasta>' };
+            return { nome, nivel: 'warn', detalhe: (0, locale_1.msg)().doctor.claudeSemLogin(detalhe, auth.detalhe),
+                correcao: auth.pago ? (0, locale_1.msg)().doctor.claudeLoginPago : (0, locale_1.msg)().doctor.claudeLogin };
         }
         return { nome, nivel: 'ok', detalhe };
     }
@@ -368,18 +451,13 @@ function checarRuntimeClaude(carregado, claude, versao, auth = null) {
     if (blocos && blocos.principal.length === 0) {
         // CHECK, rodada 1 (S6): as fases nao precisam dele, mas o `ork audit run` despacha sempre pelo claude-bg.
         return { nome, nivel: 'warn',
-            detalhe: 'binario `claude` fora do PATH (opcional para as fases: nenhum bloco dos modos permitidos despacha pelo claude-bg' +
-                (blocos.fallback.length
-                    ? `; o fallback de ${blocos.fallback.length} bloco(s) cai nele e falharia: ${textoDosBlocos(blocos.fallback)}` : '') +
-                '; o ork audit run ainda despacha por ele)',
-            correcao: 'para despachar pelo claude-bg (e rodar ork audit run), instale o Claude Code e garanta `claude` no PATH' };
+            detalhe: (0, locale_1.msg)().doctor.claudeOpcional(blocos.fallback.length
+                ? { blocos: blocos.fallback.length, texto: textoDosBlocos(blocos.fallback) } : null),
+            correcao: (0, locale_1.msg)().doctor.claudeOpcionalCorrecao };
     }
     return { nome, nivel: 'fail',
-        detalhe: 'binario `claude` fora do PATH' + (blocos
-            ? `; ${blocos.principal.length} bloco(s) dos modos permitidos despacham por ele (${textoDosBlocos(blocos.principal)})` : ''),
-        correcao: 'instale o Claude Code e garanta `claude` no PATH; so com o Codex, passe cada bloco para ele ' +
-            '(ork setup <modo> --bloco N --runtime codex --model <modelo>) ou tire o modo de conduction.allowed_modes ' +
-            '(mantenha o conduction.default_mode entre os permitidos)' };
+        detalhe: (0, locale_1.msg)().doctor.claudeAusente(blocos ? { blocos: blocos.principal.length, texto: textoDosBlocos(blocos.principal) } : null),
+        correcao: (0, locale_1.msg)().doctor.claudeAusenteCorrecao };
 }
 /**
  * O despacho pelo Codex quando o projeto o elege: por `runtime.adapter: codex`, como antes, ou, desde
@@ -392,39 +470,64 @@ function checarDespachoPeloCodex(carregado, codex, sonda) {
     const blocos = blocosDoRuntime(carregado, 'codex')?.principal ?? [];
     if (!pelaAdapter && blocos.length === 0)
         return null;
-    const origem = [pelaAdapter ? 'runtime.adapter: codex' : '',
-        blocos.length ? `${blocos.length} bloco(s) dos modos permitidos no codex (${textoDosBlocos(blocos)})` : '']
-        .filter(Boolean).join(' e ');
+    const origem = (0, locale_1.msg)().doctor.origemDoCodex(pelaAdapter, blocos.length ? { blocos: blocos.length, texto: textoDosBlocos(blocos) } : null);
     const sandboxConfigurado = carregado.manifesto.runtime.sandbox;
     const sandboxQuebrado = sonda !== null && !sonda.ok && sandboxConfigurado !== 'danger-full-access';
+    // RM-047 (P1): a postura que afrouxa o sandbox so despacha com a confirmacao local desta maquina.
+    const posturaSemConfirmacao = (0, postura_local_1.recusaDePostura)(carregado.raiz, carregado.manifesto, 'codex') !== null;
     return {
         nome: 'despacho pelo codex',
-        nivel: !codex ? 'fail' : sandboxQuebrado ? 'fail' : 'ok',
+        nivel: !codex ? 'fail' : sandboxQuebrado || posturaSemConfirmacao ? 'fail' : 'ok',
         detalhe: !codex
-            ? `${origem}, mas o binario \`codex\` esta fora do PATH`
+            ? (0, locale_1.msg)().doctor.codexForaNoDespacho(origem)
             : sandboxQuebrado
-                ? `${origem} com sandbox "${sandboxConfigurado}", mas o sandbox nao executa nesta maquina (o agente narraria sucesso sem rodar nada)`
-                : `${origem} com sandbox "${sandboxConfigurado}"`,
+                ? (0, locale_1.msg)().doctor.codexSandboxQuebrado(origem, sandboxConfigurado)
+                : posturaSemConfirmacao
+                    ? (0, locale_1.msg)().doctor.codexSemConfirmacao(origem, sandboxConfigurado)
+                    : (0, locale_1.msg)().doctor.codexSandboxOk(origem, sandboxConfigurado),
         correcao: !codex
-            ? 'instale o Codex CLI e autentique com `codex login` (assinatura, nunca API key)'
+            ? (0, locale_1.msg)().doctor.codexForaNoDespachoCorrecao
             : sandboxQuebrado
-                ? 'instale o bubblewrap do sistema, ou declare runtime.sandbox: danger-full-access ciente do risco'
-                : undefined,
+                ? (0, locale_1.msg)().doctor.codexSandboxQuebradoCorrecao((0, postura_local_1.comandoDeConfirmacao)('danger-full-access'))
+                : posturaSemConfirmacao
+                    ? (0, locale_1.msg)().doctor.codexSemConfirmacaoCorrecao((0, postura_local_1.comandoDeConfirmacao)(sandboxConfigurado))
+                    : undefined,
     };
 }
+/**
+ * Check `security scan` (spec section 11): only when `verify.security_scan` is declared. `ok` with Docker (CLI and daemon);
+ * without it, `ok` only when every loop-category tool for the detected stacks has an acceptable native binary (pip-audit
+ * and govulncheck have none, so a Python or Go repo always lands on `warn`). Never `fail`: a missing scanner is the
+ * `unavailable` of the ship gate, not a broken machine. The probe is injectable so tests never touch a real Docker.
+ */
+function checarSecurityScan(carregado, probe = (0, executor_1.defaultProbe)()) {
+    if (!carregado || carregado.manifesto.verify.security_scan === undefined)
+        return null;
+    const nome = 'security scan';
+    const m = (0, locale_1.msg)().doctor;
+    const tools = (0, tools_1.toolsFor)((0, detect_1.detectStacks)(carregado.raiz).map(s => s.stack), (0, tools_1.loadTools)());
+    const faltando = tools.filter(t => types_1.LOOP_CATEGORIES.includes(t.category) && (0, executor_1.chooseExecutor)(t, probe).kind === 'unavailable');
+    if (probe.dockerCli() && probe.dockerDaemon())
+        return { nome, nivel: 'ok', detalhe: m.securityScanDocker };
+    if (faltando.length === 0)
+        return { nome, nivel: 'ok', detalhe: m.securityScanNativo };
+    const lista = faltando.map(t => `${t.category}/${t.name}`).join(', ');
+    const nativos = [...new Set(tools.filter(t => t.native && !t.install).map(t => t.native.bin))].join(', ');
+    return { nome, nivel: 'warn', detalhe: m.securityScanSemFerramenta(lista), correcao: m.securityScanCorrecao(nativos) };
+}
 /**
  * Roda todos os checks a partir do diretorio informado. RM-031: `analisadores` e o check do grafo
  * (`checarAnalisadoresDoGrafo` do CLI do grafo), que o `index.ts` passa: fora da familia do grafo so
  * ele e o worker do MCP a abrem (fronteira do KG1), e o doctor nao a importa.
  */
-function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, conferirAuthDoClaude = () => adapter.conferirAuth(null), analisadores) {
+function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, conferirAuthDoClaude = () => adapter.conferirAuth(null), analisadores, forja) {
     const checks = [];
     const major = versaoNode();
     checks.push({
         nome: 'node',
         nivel: major >= 20 ? 'ok' : 'fail',
         detalhe: `v${process.versions.node}`,
-        correcao: major >= 20 ? undefined : 'instale Node 20 ou superior',
+        correcao: major >= 20 ? undefined : (0, locale_1.msg)().doctor.instaleNode,
     });
     if (analisadores)
         checks.push(analisadores());
@@ -432,8 +535,8 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
     checks.push({
         nome: 'git',
         nivel: git ? 'ok' : 'fail',
-        detalhe: git ?? 'nao encontrado no PATH',
-        correcao: git ? undefined : 'instale o git',
+        detalhe: git ?? (0, locale_1.msg)().doctor.gitAusente,
+        correcao: git ? undefined : (0, locale_1.msg)().doctor.instaleGit,
     });
     const repo = (0, util_1.exec)('git', ['rev-parse', '--is-inside-work-tree'], dirInicial);
     const dentroDeRepo = repo.ok && repo.stdout.trim() === 'true';
@@ -444,8 +547,8 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
     checks.push({
         nome: 'repositorio',
         nivel: dentroDeRepo ? 'ok' : 'fail',
-        detalhe: dentroDeRepo ? `branch ${branch}${semCommit ? ' (sem commit)' : ''}` : 'fora de um repositorio git',
-        correcao: dentroDeRepo ? undefined : 'rode o ork dentro de um repositorio git',
+        detalhe: dentroDeRepo ? (0, locale_1.msg)().doctor.branch(branch, semCommit) : (0, locale_1.msg)().doctor.foraDeRepo,
+        correcao: dentroDeRepo ? undefined : (0, locale_1.msg)().doctor.rodeDentroDeRepo,
     });
     if (dentroDeRepo) {
         const dono = checarDonoDoGit(dirInicial);
@@ -455,6 +558,9 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
     // Fatia 2 do ensaio da 0.5.0 (P1): o manifesto e lido antes dos runtimes, porque e o setup dos
     // modos permitidos que diz se o `claude` e obrigatorio; a ordem das linhas do relatorio nao muda.
     const carregado = (0, manifest_1.carregarManifesto)(dirInicial);
+    const scan = checarSecurityScan(carregado);
+    if (scan)
+        checks.push(scan);
     const claude = adapter.disponivel();
     const v = claude ? adapter.versao() : null;
     checks.push(checarRuntimeClaude(carregado, claude, v, claude && !temPerfilAtivo(carregado, 'claude-bg') ? conferirAuthDoClaude() : null));
@@ -470,13 +576,13 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
         nome: 'runtime codex',
         nivel: codex ? 'ok' : 'warn',
         detalhe: codex
-            ? `${codex} (${codexVersao ?? 'versao desconhecida'})`
+            ? `${codex} (${codexVersao ?? (0, locale_1.msg)().doctor.versaoDesconhecida})`
             : usaCodex
-                ? 'binario `codex` fora do PATH (o projeto despacha por ele: veja despacho pelo codex)'
-                : 'binario `codex` fora do PATH (opcional: claude-bg e o runtime padrao)',
+                ? (0, locale_1.msg)().doctor.codexAusenteUsado
+                : (0, locale_1.msg)().doctor.codexAusenteOpcional,
         correcao: codex
             ? undefined
-            : 'para despachar pelo codex, instale o Codex CLI e autentique com `codex login`',
+            : (0, locale_1.msg)().doctor.instaleCodex,
     });
     // Pitfall MEDIDO em 06/09/2026: com o sandbox quebrado, o `codex exec` sai 0 e o agente
     // NARRA sucesso sem executar nada. A sonda e deterministica (roda `true`, sem LLM).
@@ -487,21 +593,20 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'sandbox do codex',
             nivel: sondaDoCodex.ok ? 'ok' : 'warn',
             detalhe: sondaDoCodex.ok
-                ? '`codex sandbox true` executa nesta maquina'
-                : `sonda \`codex sandbox true\` falhou: ${sondaDoCodex.detalhe}`,
+                ? (0, locale_1.msg)().doctor.sandboxOk
+                : (0, locale_1.msg)().doctor.sandboxFalhou(sondaDoCodex.detalhe),
             correcao: sondaDoCodex.ok
                 ? undefined
-                : 'instale o pacote bubblewrap do sistema (o bwrap embutido nao cria user namespace ' +
-                    'nesta maquina) ou declare runtime.sandbox: danger-full-access ciente do risco',
+                : (0, locale_1.msg)().doctor.sandboxCorrecao((0, postura_local_1.comandoDeConfirmacao)('danger-full-access')),
         });
     }
     if (!carregado) {
         checks.push({
             nome: 'manifesto',
             nivel: 'fail',
-            detalhe: `${manifest_1.NOME_MANIFESTO} nao encontrado a partir de ${dirInicial}`,
+            detalhe: (0, locale_1.msg)().doctor.manifestoAusente(manifest_1.NOME_MANIFESTO, dirInicial),
             // Ensaio de 03/10/2026 (RM-049): fora de repositorio, o `ork init` recusa; a correcao diz onde roda-lo.
-            correcao: dentroDeRepo ? 'ork init' : 'entre no repositorio do projeto (ou crie um com git init e o primeiro commit) e rode ork init',
+            correcao: dentroDeRepo ? (0, locale_1.msg)().doctor.rodeInit : (0, locale_1.msg)().doctor.entreNoRepoEInit,
         });
     }
     else {
@@ -510,9 +615,9 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nivel: carregado.erros.length > 0 ? 'fail' : carregado.avisos.length > 0 ? 'warn' : 'ok',
             detalhe: carregado.erros.length > 0
                 ? `${carregado.caminho}: ${carregado.erros.join('; ')}`
-                : `${carregado.caminho} (${carregado.bytes} B de ${manifest_1.LIMITE_MANIFESTO_BYTES})` +
-                    (carregado.avisos.length > 0 ? `; ${carregado.avisos.join('; ')}` : ''),
-            correcao: carregado.erros.length > 0 ? 'corrija o manifesto e rode ork doctor de novo' : undefined,
+                : (0, locale_1.msg)().doctor.manifestoOk(carregado.caminho, carregado.bytes, manifest_1.LIMITE_MANIFESTO_BYTES) +
+                    (carregado.avisos.length > 0 ? `; ${carregado.avisos.map((a) => (0, locale_1.msg)().onboarding.avisoDaPreferencia(a)).join('; ')}` : ''),
+            correcao: carregado.erros.length > 0 ? (0, locale_1.msg)().doctor.corrijaManifesto : undefined,
         });
         if (dentroDeRepo) {
             const fora = manifestoForaDoRepositorio(dirInicial, carregado.caminho);
@@ -526,16 +631,15 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'abbrev do projeto',
             nivel: checkAbbrev.ok ? 'ok' : 'fail',
             detalhe: checkAbbrev.ok
-                ? `"${abbrev}" (parte 1 do slug de sessao)`
+                ? (0, locale_1.msg)().doctor.abbrevOk(abbrev)
                 : checkAbbrev.erro,
-            correcao: checkAbbrev.ok ? undefined : 'defina project.abbrev com ate 3 caracteres [a-z0-9]',
+            correcao: checkAbbrev.ok ? undefined : (0, locale_1.msg)().doctor.abbrevCorrecao,
         });
         const cond = carregado.manifesto.conduction;
         checks.push({
             nome: 'modos de conducao',
             nivel: 'ok',
-            detalhe: `padrao ${modos_1.MODOS[cond.default_mode].tag}; ` +
-                `permitidos ${cond.allowed_modes.map((m) => modos_1.MODOS[m].tag).join(', ')}`,
+            detalhe: (0, locale_1.msg)().doctor.modos(modos_1.MODOS[cond.default_mode].tag, cond.allowed_modes.map((m) => modos_1.MODOS[m].tag).join(', ')),
         });
         // I-35: o fuso em que todo horario chega ao dono; valor invalido avisa e nao para nada.
         const fuso = (0, horario_1.fusoDoManifesto)(carregado);
@@ -543,15 +647,28 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'fuso do dono',
             nivel: fuso.aviso ? 'warn' : 'ok',
             detalhe: fuso.aviso ?? (fuso.origem === 'manifesto'
-                ? `${fuso.fuso} (${horario_1.CHAVE_DO_FUSO}); horarios para pessoas em ${(0, horario_1.rotuloDoFuso)(fuso.fuso)}`
-                : `${fuso.fuso} (fuso do sistema; ${horario_1.CHAVE_DO_FUSO} nao configurado)`),
-            correcao: fuso.aviso ? `corrija ${horario_1.CHAVE_DO_FUSO} com um nome IANA` : undefined,
+                ? (0, locale_1.msg)().doctor.fusoDoManifesto(fuso.fuso, horario_1.CHAVE_DO_FUSO, (0, horario_1.rotuloDoFuso)(fuso.fuso))
+                : (0, locale_1.msg)().doctor.fusoDoSistema(fuso.fuso, horario_1.CHAVE_DO_FUSO)),
+            correcao: fuso.aviso ? (0, locale_1.msg)().doctor.fusoCorrecao(horario_1.CHAVE_DO_FUSO) : undefined,
         });
         // Quando o manifesto ou um bloco de modo permitido ELEGE o codex, a ausencia dele (ou um
         // sandbox que nao executa) deixa de ser aviso: e exatamente o que bloquearia a fase.
         const despachoPeloCodex = checarDespachoPeloCodex(carregado, codex, sondaDoCodex);
         if (despachoPeloCodex)
             checks.push(despachoPeloCodex);
+        // RM-047 (P5): o manifesto pede a fabrica compartilhada, mas quem liga a publicacao e a maquina.
+        const fabricaPedida = (0, maquina_1.avisoDaFabricaPedida)(carregado.manifesto);
+        if (fabricaPedida) {
+            checks.push({ nome: 'fabrica compartilhada', nivel: 'warn',
+                detalhe: (0, locale_1.msg)().doctor.fabricaPedida, correcao: (0, locale_1.msg)().doctor.fabricaPedidaCorrecao });
+        }
+        // RM-047 (P3): worktree.dir fora da raiz so cria checkout com a confirmacao local desta maquina.
+        const recusaDaPasta = (0, worktree_local_1.recusaDePastaDasWorktrees)(carregado.raiz, carregado.manifesto);
+        if (recusaDaPasta) {
+            checks.push({ nome: 'pasta das worktrees', nivel: 'fail',
+                detalhe: (0, locale_1.msg)().doctor.pastaForaDaRaiz(carregado.manifesto.worktree.dir),
+                correcao: (0, locale_1.msg)().doctor.pastaForaDaRaizCorrecao(worktree_local_1.COMANDO_CONFIRMAR_WORKTREE) });
+        }
         const politica = carregado.manifesto.runtime.provider_policy;
         const soAssinatura = politica === 'subscription-only';
         const redirecionam = ENVS_QUE_REDIRECIONAM.filter(e => nomesHerdados.includes(e));
@@ -561,21 +678,21 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'custo e provider herdado',
             nivel: bloqueia ? 'fail' : soAssinatura && pagas.length > 0 ? 'warn' : 'ok',
             detalhe: bloqueia
-                ? `politica ${politica} violada: ${redirecionam.join(', ')} redireciona o despacho do claude`
+                ? (0, locale_1.msg)().doctor.politicaViolada(politica, redirecionam.join(', '))
                 : pagas.length > 0
-                    ? `politica ${politica}; despacho segue na assinatura local, mas ha credencial paga no ambiente: ${pagas.join(', ')}`
-                    : `politica ${politica}; nenhuma variavel de provider pago ativa`,
+                    ? (0, locale_1.msg)().doctor.politicaComPaga(politica, pagas.join(', '))
+                    : (0, locale_1.msg)().doctor.politicaLimpa(politica),
             correcao: bloqueia
-                ? `remova do ambiente: ${redirecionam.join(', ')} (o despacho usa a assinatura Claude local)`
+                ? (0, locale_1.msg)().doctor.removaDoAmbiente(redirecionam.join(', '))
                 : pagas.length > 0
-                    ? `nenhuma acao obrigatoria; nunca despache fase por ${pagas.join(', ')}`
+                    ? (0, locale_1.msg)().doctor.nuncaDespachePorPaga(pagas.join(', '))
                     : undefined,
         });
         const efetivas = (0, runtime_ambiente_1.nomesDeProviderAtivos)();
         checks.push({
             nome: 'provider efetivo da fabrica',
             nivel: soAssinatura && efetivas.length ? 'warn' : 'ok',
-            detalhe: efetivas.length ? `nomes ativos: ${efetivas.join(', ')}` : 'nenhum nome da lista de provider ativo',
+            detalhe: efetivas.length ? (0, locale_1.msg)().doctor.providersAtivos(efetivas.join(', ')) : (0, locale_1.msg)().doctor.nenhumProvider,
         });
         // Bloco B6: o regime de memoria e um CHECK, nao um detalhe do manifesto. Manifesto
         // que pede `orkmind` e nao consegue liga-lo vira `warn` com a correcao, nunca `fail`:
@@ -583,17 +700,26 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
         const context = (0, project_state_1.memoryState)(carregado);
         const { estado } = (0, orkmind_1.resolverRegime)(context.loaded.manifesto, null);
         checks.push({ nome: 'fonte da memoria', nivel: context.divergent ? 'warn' : 'ok',
-            detalhe: `${context.source}${context.divergent ? ' (cópia da worktree divergente preservada)' : ''}` });
+            detalhe: (0, locale_1.msg)().doctor.fonteDaMemoria(context.source, context.divergent) });
         checks.push({
             nome: 'regime de memoria',
             nivel: estado.efetivo === 'orkmind' ? 'ok' : estado.pedido === 'orkmind' ? 'warn' : 'ok',
             detalhe: estado.pedido === 'orkmind' && estado.efetivo === 'files'
-                ? `pedido orkmind, efetivo files (${estado.motivo}): ${estado.detalhe}`
+                ? (0, locale_1.msg)().doctor.regimeDegradado(estado.motivo, estado.detalhe)
                 : estado.efetivo === 'orkmind'
-                    ? `orkmind ativo no tenant "${estado.tenant}" pela variavel ${estado.variavel}`
-                    : 'files (fallback honesto: handoff por arquivos, ponteiro path#ancora)',
+                    ? estado.fonteDaDsn === 'arquivo'
+                        ? (0, locale_1.msg)().doctor.regimeOrkmindPorArquivo(estado.tenant, estado.arquivoDaDsn ?? '')
+                        : (0, locale_1.msg)().doctor.regimeOrkmind(estado.tenant, estado.variavel)
+                    : (0, locale_1.msg)().doctor.memoriaFiles,
             correcao: estado.pedido === 'orkmind' && estado.efetivo === 'files' ? estado.correcao : undefined,
         });
+        // RM-069: a fonte da DSN e a DSN no ambiente, so quando ha o que dizer (fonte declarada ou sessao despachada).
+        const fonteDaDsn = checarFonteDaDsn(context.loaded);
+        if (fonteDaDsn)
+            checks.push(fonteDaDsn);
+        const dsnNoAmbiente = checarDsnNoAmbiente(context.loaded);
+        if (dsnNoAmbiente)
+            checks.push(dsnNoAmbiente);
         checks.push(checarChaveDeEmbedding(context.loaded));
         // Bloco B3: a fila de rate limit e estado do mundo, nao detalhe interno. Uma fase
         // esperando janela e uma fase que NAO esta rodando, e quem olha o doctor precisa
@@ -605,13 +731,13 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'fila de rate limit',
             nivel: escalados.length > 0 ? 'warn' : 'ok',
             detalhe: fila.length === 0
-                ? 'vazia: nenhuma fase morreu por limite de uso neste projeto'
-                : `${esperando.length} aguardando janela, ${escalados.length} escalado(s) para humano` +
-                    (esperando.length > 0 ? `; proxima janela em ${(0, horario_1.formatarDataHoraRotulada)(esperando[0].liberaEm)}` : ''),
+                ? (0, locale_1.msg)().doctor.filaVazia
+                : (0, locale_1.msg)().doctor.filaResumo(esperando.length, escalados.length) +
+                    (esperando.length > 0 ? (0, locale_1.msg)().doctor.filaProxima((0, horario_1.formatarDataHoraRotulada)(esperando[0].liberaEm)) : ''),
             correcao: escalados.length > 0
-                ? `pedido escalado alem do limite de retry.max_tentativas: ork retry list e ork gate request <thread>`
+                ? (0, locale_1.msg)().doctor.filaEscaladoCorrecao
                 : esperando.length > 0
-                    ? 'ork retry resume retoma o que ja liberou'
+                    ? (0, locale_1.msg)().doctor.filaEsperaCorrecao
                     : undefined,
         });
         const dirEstadoProjeto = path.join((0, estado_thread_1.raizDoEstado)(carregado.raiz), manifest_1.DIR_ESTADO);
@@ -623,31 +749,39 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
             nome: 'estado do projeto',
             nivel: fs.existsSync(dirEstadoProjeto) ? 'ok' : 'warn',
             detalhe: fs.existsSync(dirEstadoProjeto)
-                ? `${dirEstadoProjeto} (${qtd} thread(s))`
-                : `${dirEstadoProjeto} ausente`,
-            correcao: fs.existsSync(dirEstadoProjeto) ? undefined : 'ork init cria o diretorio de estado',
+                ? (0, locale_1.msg)().doctor.estadoOk(dirEstadoProjeto, qtd)
+                : (0, locale_1.msg)().doctor.estadoAusente(dirEstadoProjeto),
+            correcao: fs.existsSync(dirEstadoProjeto) ? undefined : (0, locale_1.msg)().doctor.estadoCorrecao,
         });
         // RM-039 (B6): com o transporte do pulse configurado, a varredura tem de bater de 15 em 15
         // minutos; a instalacao antiga em `0 * * * *` vira aviso com a linha nova. Nunca edita o crontab.
         const cronDoPulse = (0, doctor_pulse_cron_1.checarCronDoPulse)(path.join(dirEstadoProjeto, 'monitor'), (0, estado_thread_1.raizDoEstado)(carregado.raiz), lerCrontab);
         if (cronDoPulse)
             checks.push(cronDoPulse);
+        // RM-063 (fatia 3, H4): a falha do transporte do pulse (e o desvio para o outro host configurado) aparece aqui.
+        const transporte = (0, doctor_pulse_cron_1.checarTransporteDoPulse)(path.join(dirEstadoProjeto, 'monitor'));
+        if (transporte)
+            checks.push(transporte);
         checks.push(checarContas(carregado.raiz));
         // I-33 (D7): umask e permissoes do estado, na mesma regra do sensor (sem bits 0o022).
         checks.push(...(0, preflight_1.sondasDeAmbiente)(carregado.raiz));
+        // A forja do remoto (identidade, alcance, TLS, CLI, login, servidor, escopo, projeto, capacidades): so com o
+        // manifesto valido, e so quando a entrada do CLI a passa, como os analisadores.
+        if (forja && carregado.erros.length === 0)
+            checks.push(...forja(carregado));
         {
             const inventario = (0, sessoes_inventario_1.inventariarSessoes)(carregado.raiz, { global: true, todas: true });
+            const separacao = checarSeparacaoDaConducao(carregado.raiz, inventario);
+            if (separacao)
+                checks.push(separacao);
             // Fatia 2 do ensaio da 0.5.0 (P1): binario ausente e fonte ausente, dita no detalhe.
             const ausentes = inventario.fontes.filter((f) => f.ausente).map((f) => f.origem);
             checks.push({
                 nome: 'governanca de sessoes',
                 nivel: inventario.ok && inventario.semThread === 0 ? 'ok' : 'warn',
-                detalhe: `${inventario.escopo.usuario}, Claude e Codex, global com histórico: ${inventario.total} sessões; ` +
-                    `${inventario.semThread} sem thread; ${inventario.ambiguas} ambíguas; ` +
-                    `inventário ${inventario.ok ? 'válido' : 'INCOMPLETO (zero não comprovado)'}` +
-                    (ausentes.length ? `; fonte ausente: ${ausentes.join(', ')}` : ''),
-                correcao: inventario.ok && inventario.semThread === 0 ? undefined :
-                    'ork sessions --global --all --json; adote identidades sem vínculo com ork sessions adopt <id>',
+                detalhe: (0, locale_1.msg)().doctor.governanca({ usuario: inventario.escopo.usuario, total: inventario.total, semThread: inventario.semThread,
+                    ambiguas: inventario.ambiguas, ok: inventario.ok, ausentes: ausentes.map((o) => (0, locale_1.msg)().doctor.fonteDaSessao(o)) }),
+                correcao: inventario.ok && inventario.semThread === 0 ? undefined : (0, locale_1.msg)().doctor.governancaCorrecao,
             });
         }
     }
@@ -658,9 +792,10 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
 /** Texto do relatorio, com o resumo "o que vale nesta maquina agora". */
 function relatorio(checks) {
     const linhas = [];
-    linhas.push('ork doctor: o que vale nesta maquina agora');
+    const m = (0, locale_1.msg)().doctor;
+    linhas.push(m.titulo);
     linhas.push('');
-    const largura = Math.max(...checks.map((c) => c.nome.length));
+    const largura = Math.max(...checks.map((c) => (0, locale_1.nomeDoCheck)(c.nome).length));
     // I-35: o Check guarda o ISO (dado de maquina, tambem lido por teste); quem imprime para o dono
     // localiza. Vale para todo check, nao so o de contas: nenhum horario chega cru ao relatorio.
     let localizou = false;
@@ -671,9 +806,9 @@ function relatorio(checks) {
         return l;
     };
     for (const c of checks) {
-        linhas.push(`  ${(0, util_1.simbolo)(c.nivel)} ${c.nome.padEnd(largura)}  ${local(c.detalhe)}`);
+        linhas.push(`  ${(0, util_1.simbolo)(c.nivel)} ${(0, locale_1.nomeDoCheck)(c.nome).padEnd(largura)}  ${local(c.detalhe)}`);
         if (c.nivel !== 'ok' && c.correcao) {
-            linhas.push(`         ${' '.repeat(largura)}  correcao: ${local(c.correcao)}`);
+            linhas.push(`         ${' '.repeat(largura)}  ${m.correcao}: ${local(c.correcao)}`);
         }
     }
     // O fuso sai uma vez por mensagem, antes do veredito, que segue sendo a ultima linha.
@@ -683,13 +818,40 @@ function relatorio(checks) {
     const avisos = checks.filter((c) => c.nivel === 'warn').length;
     linhas.push('');
     linhas.push(falhas > 0
-        ? `Veredito: BLOQUEADO (${falhas} fail, ${avisos} warn). Corrija os itens acima antes de despachar fase.`
-        : `Veredito: PRONTO (${avisos} warn). Despacho de fase liberado por \`ork phase run\`.`);
+        ? m.bloqueado(falhas, avisos)
+        : m.pronto(avisos));
     return linhas.join('\n');
 }
 /** Executa o doctor e devolve o codigo de saida (0 = pronto). */
-function doctor(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores) {
-    const checks = checar(dirInicial, nomesHerdados, undefined, undefined, analisadores);
+function doctor(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores, forja) {
+    const checks = checar(dirInicial, nomesHerdados, undefined, undefined, analisadores, forja);
     const falhas = checks.filter((c) => c.nivel === 'fail').length;
     return { texto: relatorio(checks), codigo: falhas > 0 ? 1 : 0 };
 }
+exports.CONTRATO_DO_DOCTOR = 'ork.doctor/v1';
+function doctorJson(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)(), analisadores, lerCrontab = doctor_pulse_cron_1.lerCrontabDoSistema, forja) {
+    const checks = checar(dirInicial, nomesHerdados, lerCrontab, undefined, analisadores, forja);
+    const falhas = checks.filter((c) => c.nivel === 'fail').length;
+    const avisos = checks.filter((c) => c.nivel === 'warn').length;
+    let carregado = null;
+    try {
+        carregado = (0, manifest_1.carregarManifesto)(dirInicial);
+    }
+    catch {
+        carregado = null;
+    }
+    let batida = null;
+    if (carregado && !carregado.erros.length) {
+        const raiz = (0, estado_thread_1.raizDoEstado)(carregado.raiz);
+        try {
+            batida = (0, doctor_pulse_cron_1.batidaNoDoctor)(path.join(raiz, manifest_1.DIR_ESTADO, 'monitor'), raiz, { projeto: carregado.manifesto.project.name,
+                maquina: (0, maquina_1.nomeDaMaquina)(), ler: lerCrontab });
+        }
+        catch {
+            batida = null;
+        }
+    }
+    return { codigo: falhas > 0 ? 1 : 0, json: { contrato: exports.CONTRATO_DO_DOCTOR, consultadoEm: new Date().toISOString(),
+            veredito: falhas > 0 ? 'bloqueado' : 'pronto', falhas, avisos, projeto: carregado?.manifesto.project.name ?? null,
+            maquina: (0, maquina_1.nomeDaMaquina)(), checks, forja: forja ? 'medida' : 'nao-medida', batida } };
+}