@sbissoli/mcp-surface 0.3.0 → 0.4.0

package/CHANGELOG.md

@@ -8,6 +8,29 @@ seguinte — cada servidor faz bump explícito).
 e, pela regra da trava, obrigaria cada servidor a subir de versão sem ter mudado nada.
 Mudança de normalização é major (ou minor em 0.x), com nota de migração.
 
+## [0.4.0] — 2026-10-04
+
+A normalização NÃO muda. Minor porque a superfície publicada cresce (subpath novo); o
+`/card` da 0.3.0 continua com a mesma API, então quem já o usa não precisa mudar nada.
+
+### Adicionado
+
+- **`@sbissoli/mcp-surface/card/http`** — tudo do `/card` MENOS `capturarCard`, sem o SDK
+  em valor no grafo de imports. Medido em 04/10/2026 na adoção pelo sih-br-mcp, cuja borda
+  só captura por HTTP o container: o `/card` puxava o `InMemoryTransport` e, com ele, o SDK
+  inteiro (zod, core, `@cfworker/json-schema`), e a borda foi de 31 para 156 KiB gzip.
+  `sideEffects: false` não resolve, porque o próprio SDK não o declara. Com `/card/http`
+  (e o `semToken` importado por nome), a mesma borda fica em 32 KiB gzip. Nos servidores
+  que montam o `McpServer` no Worker o SDK já está no bundle, e o `/card` não custa nada.
+
+### Mudado (interno)
+
+- A captura em memória saiu de `captura.ts` para `captura-memoria.ts` (o único módulo da
+  captura com o SDK em valor); `captura.ts` só importa o TIPO do transporte. `card.ts`
+  passa a reexportar `card-http.ts` e acrescentar `capturarCard`. Teste novo confere que o
+  grafo de `/card/http` não importa o SDK em valor, com controle negativo no grafo de
+  `/card`.
+
 ## [0.3.0] — 2026-10-04
 
 A normalização NÃO muda: o sha256 de todo `surface.lock.json` continua o mesmo. Minor

package/README.md

@@ -114,9 +114,11 @@ o `Client` (há teste que confere).
 ```ts
 // worker/src/index.ts
 import { autenticacaoDaTrava, capturarCard, cardEmCache } from "@sbissoli/mcp-surface/card";
-import trava from "../../surface.lock.json";
+// Import nomeado (moduleResolution Bundler): o esbuild deixa o resto da trava fora do bundle.
+// Em NodeNext não há import nomeado de JSON: `import trava from "…" with { type: "json" }`.
+import { semToken } from "../../surface.lock.json";
 
-const serverCard = cardEmCache(() => capturarCard(buildServer(), { authentication: autenticacaoDaTrava(trava) }));
+const serverCard = cardEmCache(() => capturarCard(buildServer(), { authentication: autenticacaoDaTrava({ semToken }) }));
 // GET /.well-known/mcp/server-card.json → new Response(await serverCard(), { headers: { "Content-Type": "application/json" } })
 ```
 
@@ -133,7 +135,9 @@ expect(impressaoDigital(normalizarSuperficie(superficieDoCard(card)))).toBe(lerT
   `tools/list` em `apiKeyAusente` / `POST /mcp`. Lança se a medição não está lá.
 - `capturarCardPorFetch(buscar, url)` monta o mesmo card por HTTP stateless (JSON ou SSE),
   para superfície atrás de outro `fetch` (o container do sih). Lança se o `initialize`
-  não responde; o fallback é do servidor.
+  não responde; o fallback é do servidor. Quem SÓ usa esse caminho importa de
+  **`@sbissoli/mcp-surface/card/http`**: tudo do `/card` menos `capturarCard`, sem o SDK
+  em valor no grafo — na borda do sih, 156 → 32 KiB gzip.
 - `cardEmCache` guarda a primeira montagem que dá certo, por isolate; falha não fica.
 
 ## Observações

package/dist/captura-memoria.d.ts

@@ -0,0 +1,17 @@
+/**
+ * Captura crua em memória: o servidor montado pela mesma fábrica que os
+ * transportes usam, interrogado por JSON-RPC cru sobre o `InMemoryTransport`.
+ *
+ * Arquivo separado de `captura.ts` porque é o ÚNICO ponto da captura que
+ * importa o SDK em valor. Quem só captura por HTTP (`/card/http`, a borda do
+ * sih na frente do container) não importa daqui, e o bundle não carrega o SDK.
+ * Medido em 04/10/2026: com o import no caminho, a borda do sih foi de 31 para
+ * 156 KiB gzip; `sideEffects: false` não resolve, porque o SDK não o declara.
+ *
+ * JSON-RPC cru, e não o `Client` do SDK: o `Client` compila os `outputSchema`
+ * com Ajv (`new Function`), que o runtime da Cloudflare proíbe — o mesmo
+ * caminho serve teste em Node e código de Worker.
+ */
+import { type ServidorConectavel, type SuperficieBruta } from "./captura.js";
+export declare function capturarBrutaEmMemoria(server: ServidorConectavel, cliente: string): Promise<SuperficieBruta>;
+//# sourceMappingURL=captura-memoria.d.ts.map

package/dist/captura-memoria.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"captura-memoria.d.ts","sourceRoot":"","sources":["../src/captura-memoria.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG;AAIH,OAAO,EAAgC,KAAK,kBAAkB,EAAE,KAAK,eAAe,EAAE,MAAM,cAAc,CAAC;AAE3G,wBAAsB,sBAAsB,CAAC,MAAM,EAAE,kBAAkB,EAAE,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC,eAAe,CAAC,CA+BlH"}

package/dist/captura-memoria.js

@@ -0,0 +1,46 @@
+/**
+ * Captura crua em memória: o servidor montado pela mesma fábrica que os
+ * transportes usam, interrogado por JSON-RPC cru sobre o `InMemoryTransport`.
+ *
+ * Arquivo separado de `captura.ts` porque é o ÚNICO ponto da captura que
+ * importa o SDK em valor. Quem só captura por HTTP (`/card/http`, a borda do
+ * sih na frente do container) não importa daqui, e o bundle não carrega o SDK.
+ * Medido em 04/10/2026: com o import no caminho, a borda do sih foi de 31 para
+ * 156 KiB gzip; `sideEffects: false` não resolve, porque o SDK não o declara.
+ *
+ * JSON-RPC cru, e não o `Client` do SDK: o `Client` compila os `outputSchema`
+ * com Ajv (`new Function`), que o runtime da Cloudflare proíbe — o mesmo
+ * caminho serve teste em Node e código de Worker.
+ */
+import { InMemoryTransport } from "@modelcontextprotocol/server";
+import { capturarBrutaPor } from "./captura.js";
+export async function capturarBrutaEmMemoria(server, cliente) {
+    const [lado, ladoServidor] = InMemoryTransport.createLinkedPair();
+    await server.connect(ladoServidor);
+    const pendentes = new Map();
+    lado.onmessage = (msg) => {
+        const m = msg;
+        if (typeof m.id === "number") {
+            pendentes.get(m.id)?.(m);
+            pendentes.delete(m.id);
+        }
+    };
+    await lado.start();
+    let proximo = 1;
+    const pedir = (method, params) => new Promise(resolve => {
+        const id = proximo++;
+        pendentes.set(id, msg => resolve(msg.error ? undefined : msg.result));
+        // eslint-disable-next-line @typescript-eslint/no-explicit-any
+        void lado.send({ jsonrpc: "2.0", id, method, params });
+    });
+    try {
+        return await capturarBrutaPor(pedir, cliente, () => {
+            // eslint-disable-next-line @typescript-eslint/no-explicit-any
+            void lado.send({ jsonrpc: "2.0", method: "notifications/initialized" });
+        });
+    }
+    finally {
+        await lado.close();
+    }
+}
+//# sourceMappingURL=captura-memoria.js.map

package/dist/captura-memoria.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"captura-memoria.js","sourceRoot":"","sources":["../src/captura-memoria.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;GAaG;AAEH,OAAO,EAAE,iBAAiB,EAAE,MAAM,8BAA8B,CAAC;AAEjE,OAAO,EAAE,gBAAgB,EAA6D,MAAM,cAAc,CAAC;AAE3G,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,MAA0B,EAAE,OAAe;IACtF,MAAM,CAAC,IAAI,EAAE,YAAY,CAAC,GAAG,iBAAiB,CAAC,gBAAgB,EAAE,CAAC;IAClE,MAAM,MAAM,CAAC,OAAO,CAAC,YAAY,CAAC,CAAC;IAEnC,MAAM,SAAS,GAAG,IAAI,GAAG,EAAgF,CAAC;IAC1G,IAAI,CAAC,SAAS,GAAG,CAAC,GAAY,EAAE,EAAE;QAChC,MAAM,CAAC,GAAG,GAA0E,CAAC;QACrF,IAAI,OAAO,CAAC,CAAC,EAAE,KAAK,QAAQ,EAAE,CAAC;YAC7B,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;YACzB,SAAS,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;QACzB,CAAC;IACH,CAAC,CAAC;IACF,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC;IAEnB,IAAI,OAAO,GAAG,CAAC,CAAC;IAChB,MAAM,KAAK,GAAU,CAAC,MAAM,EAAE,MAAM,EAAE,EAAE,CACtC,IAAI,OAAO,CAAC,OAAO,CAAC,EAAE;QACpB,MAAM,EAAE,GAAG,OAAO,EAAE,CAAC;QACrB,SAAS,CAAC,GAAG,CAAC,EAAE,EAAE,GAAG,CAAC,EAAE,CAAC,OAAO,CAAC,GAAG,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC;QACtE,8DAA8D;QAC9D,KAAK,IAAI,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,KAAK,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,EAAS,CAAC,CAAC;IAChE,CAAC,CAAC,CAAC;IAEL,IAAI,CAAC;QACH,OAAO,MAAM,gBAAgB,CAAC,KAAK,EAAE,OAAO,EAAE,GAAG,EAAE;YACjD,8DAA8D;YAC9D,KAAK,IAAI,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,2BAA2B,EAAS,CAAC,CAAC;QACjF,CAAC,CAAC,CAAC;IACL,CAAC;YAAS,CAAC;QACT,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC;IACrB,CAAC;AACH,CAAC"}

package/dist/captura.d.ts

@@ -3,11 +3,13 @@
  * JSON-RPC, sem normalizar nem tirar hash.
  *
  * Arquivo separado de `superficie.ts` de propósito: aqui não entra
- * `node:crypto` nem `node:child_process`, então o subpath `/card` (que roda
- * dentro do Worker) importa só daqui e de `sonda.ts`. A trava e o card partem
- * desta mesma captura — é o que permite provar que os dois não divergem.
+ * `node:crypto` nem `node:child_process`, e nem o SDK em valor (só o tipo do
+ * transporte), então o subpath `/card/http` importa daqui sem levar o SDK ao
+ * bundle. A captura em memória, que precisa do SDK, mora em
+ * `captura-memoria.ts`. A trava e o card partem desta mesma captura — é o que
+ * permite provar que os dois não divergem.
  */
-import { InMemoryTransport } from "@modelcontextprotocol/server";
+import type { InMemoryTransport } from "@modelcontextprotocol/server";
 /** O protocolo pedido no `initialize` de toda captura — fixo, para o eco não variar. */
 export declare const PROTOCOLO_DA_CAPTURA = "2025-06-18";
 /** Resultados crus, como saem do JSON-RPC. Lista ausente = método não servido. */
@@ -31,13 +33,4 @@ export declare function paramsDoInitialize(cliente: string): Record<string, unkn
  * sessão, manda o `notifications/initialized`.
  */
 export declare function capturarBrutaPor(pedir: Pedir, cliente: string, notificar?: () => void): Promise<SuperficieBruta>;
-/**
- * Captura crua em memória: o servidor montado pela mesma fábrica que os
- * transportes usam, interrogado por JSON-RPC cru sobre o `InMemoryTransport`.
- *
- * JSON-RPC cru, e não o `Client` do SDK: o `Client` compila os `outputSchema`
- * com Ajv (`new Function`), que o runtime da Cloudflare proíbe — o mesmo
- * caminho serve teste em Node e código de Worker.
- */
-export declare function capturarBrutaEmMemoria(server: ServidorConectavel, cliente: string): Promise<SuperficieBruta>;
 //# sourceMappingURL=captura.d.ts.map

package/dist/captura.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"captura.d.ts","sourceRoot":"","sources":["../src/captura.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AAEH,OAAO,EAAE,iBAAiB,EAAE,MAAM,8BAA8B,CAAC;AAEjE,wFAAwF;AACxF,eAAO,MAAM,oBAAoB,eAAe,CAAC;AAEjD,kFAAkF;AAClF,MAAM,WAAW,eAAe;IAC9B,UAAU,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,CAAC;IAChD,KAAK,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IAC7B,SAAS,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IACjC,iBAAiB,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IACzC,OAAO,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;CAChC;AAED,iFAAiF;AACjF,MAAM,MAAM,KAAK,GAAG,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,KAAK,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,CAAC,CAAC;AAEvH,8EAA8E;AAC9E,MAAM,WAAW,kBAAkB;IACjC,OAAO,CAAC,SAAS,EAAE,iBAAiB,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;CACtD;AAED,qDAAqD;AACrD,wBAAgB,kBAAkB,CAAC,OAAO,EAAE,MAAM,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAM3E;AAED;;;GAGG;AACH,wBAAsB,gBAAgB,CAAC,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,IAAI,GAAG,OAAO,CAAC,eAAe,CAAC,CAWtH;AAED;;;;;;;GAOG;AACH,wBAAsB,sBAAsB,CAAC,MAAM,EAAE,kBAAkB,EAAE,OAAO,EAAE,MAAM,GAAG,OAAO,CAAC,eAAe,CAAC,CA+BlH"}
+{"version":3,"file":"captura.d.ts","sourceRoot":"","sources":["../src/captura.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;GAUG;AAEH,OAAO,KAAK,EAAE,iBAAiB,EAAE,MAAM,8BAA8B,CAAC;AAEtE,wFAAwF;AACxF,eAAO,MAAM,oBAAoB,eAAe,CAAC;AAEjD,kFAAkF;AAClF,MAAM,WAAW,eAAe;IAC9B,UAAU,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,CAAC;IAChD,KAAK,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IAC7B,SAAS,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IACjC,iBAAiB,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;IACzC,OAAO,EAAE,OAAO,EAAE,GAAG,SAAS,CAAC;CAChC;AAED,iFAAiF;AACjF,MAAM,MAAM,KAAK,GAAG,CAAC,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,KAAK,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,SAAS,CAAC,CAAC;AAEvH,8EAA8E;AAC9E,MAAM,WAAW,kBAAkB;IACjC,OAAO,CAAC,SAAS,EAAE,iBAAiB,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC;CACtD;AAED,qDAAqD;AACrD,wBAAgB,kBAAkB,CAAC,OAAO,EAAE,MAAM,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAM3E;AAED;;;GAGG;AACH,wBAAsB,gBAAgB,CAAC,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,MAAM,IAAI,GAAG,OAAO,CAAC,eAAe,CAAC,CAWtH"}

package/dist/captura.js

@@ -3,11 +3,12 @@
  * JSON-RPC, sem normalizar nem tirar hash.
  *
  * Arquivo separado de `superficie.ts` de propósito: aqui não entra
- * `node:crypto` nem `node:child_process`, então o subpath `/card` (que roda
- * dentro do Worker) importa só daqui e de `sonda.ts`. A trava e o card partem
- * desta mesma captura — é o que permite provar que os dois não divergem.
+ * `node:crypto` nem `node:child_process`, e nem o SDK em valor (só o tipo do
+ * transporte), então o subpath `/card/http` importa daqui sem levar o SDK ao
+ * bundle. A captura em memória, que precisa do SDK, mora em
+ * `captura-memoria.ts`. A trava e o card partem desta mesma captura — é o que
+ * permite provar que os dois não divergem.
  */
-import { InMemoryTransport } from "@modelcontextprotocol/server";
 /** O protocolo pedido no `initialize` de toda captura — fixo, para o eco não variar. */
 export const PROTOCOLO_DA_CAPTURA = "2025-06-18";
 /** Os parâmetros do `initialize` de toda captura. */
@@ -34,41 +35,4 @@ export async function capturarBrutaPor(pedir, cliente, notificar) {
         prompts: await lista("prompts/list", "prompts"),
     };
 }
-/**
- * Captura crua em memória: o servidor montado pela mesma fábrica que os
- * transportes usam, interrogado por JSON-RPC cru sobre o `InMemoryTransport`.
- *
- * JSON-RPC cru, e não o `Client` do SDK: o `Client` compila os `outputSchema`
- * com Ajv (`new Function`), que o runtime da Cloudflare proíbe — o mesmo
- * caminho serve teste em Node e código de Worker.
- */
-export async function capturarBrutaEmMemoria(server, cliente) {
-    const [lado, ladoServidor] = InMemoryTransport.createLinkedPair();
-    await server.connect(ladoServidor);
-    const pendentes = new Map();
-    lado.onmessage = (msg) => {
-        const m = msg;
-        if (typeof m.id === "number") {
-            pendentes.get(m.id)?.(m);
-            pendentes.delete(m.id);
-        }
-    };
-    await lado.start();
-    let proximo = 1;
-    const pedir = (method, params) => new Promise(resolve => {
-        const id = proximo++;
-        pendentes.set(id, msg => resolve(msg.error ? undefined : msg.result));
-        // eslint-disable-next-line @typescript-eslint/no-explicit-any
-        void lado.send({ jsonrpc: "2.0", id, method, params });
-    });
-    try {
-        return await capturarBrutaPor(pedir, cliente, () => {
-            // eslint-disable-next-line @typescript-eslint/no-explicit-any
-            void lado.send({ jsonrpc: "2.0", method: "notifications/initialized" });
-        });
-    }
-    finally {
-        await lado.close();
-    }
-}
 //# sourceMappingURL=captura.js.map

package/dist/captura.js.map

@@ -1 +1 @@
-{"version":3,"file":"captura.js","sourceRoot":"","sources":["../src/captura.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AAEH,OAAO,EAAE,iBAAiB,EAAE,MAAM,8BAA8B,CAAC;AAEjE,wFAAwF;AACxF,MAAM,CAAC,MAAM,oBAAoB,GAAG,YAAY,CAAC;AAmBjD,qDAAqD;AACrD,MAAM,UAAU,kBAAkB,CAAC,OAAe;IAChD,OAAO;QACL,eAAe,EAAE,oBAAoB;QACrC,YAAY,EAAE,EAAE;QAChB,UAAU,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,OAAO,EAAE,OAAO,EAAE;KAChD,CAAC;AACJ,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,KAAY,EAAE,OAAe,EAAE,SAAsB;IAC1F,MAAM,UAAU,GAAG,MAAM,KAAK,CAAC,YAAY,EAAE,kBAAkB,CAAC,OAAO,CAAC,CAAC,CAAC;IAC1E,SAAS,EAAE,EAAE,CAAC;IACd,MAAM,KAAK,GAAG,KAAK,EAAE,MAAc,EAAE,KAAa,EAAE,EAAE,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,EAAE,CAAC,KAAK,CAA0B,CAAC;IACnH,OAAO;QACL,UAAU;QACV,KAAK,EAAE,MAAM,KAAK,CAAC,YAAY,EAAE,OAAO,CAAC;QACzC,SAAS,EAAE,MAAM,KAAK,CAAC,gBAAgB,EAAE,WAAW,CAAC;QACrD,iBAAiB,EAAE,MAAM,KAAK,CAAC,0BAA0B,EAAE,mBAAmB,CAAC;QAC/E,OAAO,EAAE,MAAM,KAAK,CAAC,cAAc,EAAE,SAAS,CAAC;KAChD,CAAC;AACJ,CAAC;AAED;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,sBAAsB,CAAC,MAA0B,EAAE,OAAe;IACtF,MAAM,CAAC,IAAI,EAAE,YAAY,CAAC,GAAG,iBAAiB,CAAC,gBAAgB,EAAE,CAAC;IAClE,MAAM,MAAM,CAAC,OAAO,CAAC,YAAY,CAAC,CAAC;IAEnC,MAAM,SAAS,GAAG,IAAI,GAAG,EAAgF,CAAC;IAC1G,IAAI,CAAC,SAAS,GAAG,CAAC,GAAY,EAAE,EAAE;QAChC,MAAM,CAAC,GAAG,GAA0E,CAAC;QACrF,IAAI,OAAO,CAAC,CAAC,EAAE,KAAK,QAAQ,EAAE,CAAC;YAC7B,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;YACzB,SAAS,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;QACzB,CAAC;IACH,CAAC,CAAC;IACF,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC;IAEnB,IAAI,OAAO,GAAG,CAAC,CAAC;IAChB,MAAM,KAAK,GAAU,CAAC,MAAM,EAAE,MAAM,EAAE,EAAE,CACtC,IAAI,OAAO,CAAC,OAAO,CAAC,EAAE;QACpB,MAAM,EAAE,GAAG,OAAO,EAAE,CAAC;QACrB,SAAS,CAAC,GAAG,CAAC,EAAE,EAAE,GAAG,CAAC,EAAE,CAAC,OAAO,CAAC,GAAG,CAAC,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC;QACtE,8DAA8D;QAC9D,KAAK,IAAI,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,KAAK,EAAE,EAAE,EAAE,MAAM,EAAE,MAAM,EAAS,CAAC,CAAC;IAChE,CAAC,CAAC,CAAC;IAEL,IAAI,CAAC;QACH,OAAO,MAAM,gBAAgB,CAAC,KAAK,EAAE,OAAO,EAAE,GAAG,EAAE;YACjD,8DAA8D;YAC9D,KAAK,IAAI,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,2BAA2B,EAAS,CAAC,CAAC;QACjF,CAAC,CAAC,CAAC;IACL,CAAC;YAAS,CAAC;QACT,MAAM,IAAI,CAAC,KAAK,EAAE,CAAC;IACrB,CAAC;AACH,CAAC"}
+{"version":3,"file":"captura.js","sourceRoot":"","sources":["../src/captura.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;GAUG;AAIH,wFAAwF;AACxF,MAAM,CAAC,MAAM,oBAAoB,GAAG,YAAY,CAAC;AAmBjD,qDAAqD;AACrD,MAAM,UAAU,kBAAkB,CAAC,OAAe;IAChD,OAAO;QACL,eAAe,EAAE,oBAAoB;QACrC,YAAY,EAAE,EAAE;QAChB,UAAU,EAAE,EAAE,IAAI,EAAE,OAAO,EAAE,OAAO,EAAE,OAAO,EAAE;KAChD,CAAC;AACJ,CAAC;AAED;;;GAGG;AACH,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,KAAY,EAAE,OAAe,EAAE,SAAsB;IAC1F,MAAM,UAAU,GAAG,MAAM,KAAK,CAAC,YAAY,EAAE,kBAAkB,CAAC,OAAO,CAAC,CAAC,CAAC;IAC1E,SAAS,EAAE,EAAE,CAAC;IACd,MAAM,KAAK,GAAG,KAAK,EAAE,MAAc,EAAE,KAAa,EAAE,EAAE,CAAC,CAAC,MAAM,KAAK,CAAC,MAAM,EAAE,EAAE,CAAC,CAAC,EAAE,CAAC,KAAK,CAA0B,CAAC;IACnH,OAAO;QACL,UAAU;QACV,KAAK,EAAE,MAAM,KAAK,CAAC,YAAY,EAAE,OAAO,CAAC;QACzC,SAAS,EAAE,MAAM,KAAK,CAAC,gBAAgB,EAAE,WAAW,CAAC;QACrD,iBAAiB,EAAE,MAAM,KAAK,CAAC,0BAA0B,EAAE,mBAAmB,CAAC;QAC/E,OAAO,EAAE,MAAM,KAAK,CAAC,cAAc,EAAE,SAAS,CAAC;KAChD,CAAC;AACJ,CAAC"}

package/dist/card-http.d.ts

@@ -0,0 +1,73 @@
+/**
+ * Server card estático (`/.well-known/mcp/server-card.json`) para scanners de
+ * diretório que o leem em vez de conectar ao `/mcp` — a Smithery lê quando a
+ * varredura automática não completa, e um card velho NÃO se conserta
+ * republicando: ele é lido de novo na próxima varredura.
+ *
+ * Por que existe. Em 04/10/2026, 4 dos 7 servidores serviam o card por um
+ * `worker/src/card.ts` copiado entre eles, e os outros 3 respondiam 404. Os
+ * quatro que serviam publicavam `name`/`version` soltos na raiz, enquanto a
+ * forma documentada pela Smithery (smithery.ai/docs/build/publish) exige
+ * `serverInfo: { name, version }` — fora do formato em todos.
+ *
+ * Desenho:
+ * - DERIVADO da mesma captura crua que a trava normaliza (`captura.ts`), nunca
+ *   transcrito: `serverInfo` é o do `initialize` real, versão incluída;
+ *   `superficieDoCard` faz a volta, e o teste do servidor prova que o card
+ *   normalizado tem o MESMO sha256 da seção `declarada` do `surface.lock.json`.
+ * - Método não servido fica FORA do card (não vira `[]`): "não serve" e "serve
+ *   nada" são superfícies diferentes, e a volta precisa ser exata.
+ * - `authentication.required` sai da seção `semToken` da trava
+ *   (`autenticacaoDaTrava`) — o que a borda MEDIU, não o que alguém declarou.
+ *
+ * Este módulo é o subpath `@sbissoli/mcp-surface/card/http`: tudo do card
+ * MENOS a captura em memória, e por isso sem o SDK em valor. É o que importa
+ * quem captura por HTTP (a borda do sih, na frente do container) — o bundle
+ * não carrega o SDK que a borda não usa. `@sbissoli/mcp-surface/card`
+ * reexporta tudo daqui e acrescenta `capturarCard`. Os dois são seguros para
+ * Worker: sem `node:crypto`, sem `node:child_process`, sem Ajv.
+ */
+import { type SuperficieBruta } from "./captura.js";
+export type { ServidorConectavel, SuperficieBruta } from "./captura.js";
+/** O campo `authentication` do card (forma da Smithery). */
+export interface Autenticacao {
+    required: boolean;
+    schemes?: string[];
+}
+export interface OpcoesCard {
+    /** Quase sempre `autenticacaoDaTrava(trava)`; ausente = o card não fala de autenticação. */
+    authentication?: Autenticacao;
+}
+/**
+ * Monta o card a partir da captura crua. Recusa (lança) sem `serverInfo.name`
+ * e `serverInfo.version` — os dois obrigatórios da forma da Smithery: um card
+ * sem eles é pior que 404, porque o scanner o aceita e grava o vazio.
+ */
+export declare function montarCard(bruta: SuperficieBruta, opcoes?: OpcoesCard): Record<string, unknown>;
+/** A volta: o card como captura crua — para conferir contra a trava (`normalizarSuperficie`). */
+export declare function superficieDoCard(card: Record<string, unknown>): SuperficieBruta;
+/** A seção `semToken` de um `surface.lock.json` (o JSON importado ou uma `Trava`). */
+interface TravaComSemToken {
+    semToken?: {
+        conteudo?: unknown;
+    } | undefined;
+}
+/**
+ * `authentication` derivado da trava: exige credencial se, na configuração de
+ * PRODUÇÃO (`apiKeyAusente`) e na rota pública (`POST /mcp`), `tools/list` NÃO
+ * responde sem token. Lança se a medição não está lá — card que afirma sem
+ * medida é o que este módulo existe para evitar.
+ */
+export declare function autenticacaoDaTrava(trava: TravaComSemToken, config?: string, rota?: string): Autenticacao;
+/**
+ * Card por HTTP stateless (JSON ou SSE) — para o servidor cuja superfície mora
+ * atrás de outro `fetch` (o container do sih). Um `initialize` que não responde
+ * faz `montarCard` lançar; o servidor decide o fallback.
+ */
+export declare function capturarCardPorFetch(buscar: (req: Request) => Promise<Response>, url: string, opcoes?: OpcoesCard): Promise<Record<string, unknown>>;
+/**
+ * Cache por isolate: a primeira montagem que DÁ CERTO fica; falha não é
+ * cacheada (lança de novo na próxima requisição). Devolve o JSON pronto.
+ */
+export declare function cardEmCache(montar: () => Promise<Record<string, unknown>>): () => Promise<string>;
+//# sourceMappingURL=card-http.d.ts.map

package/dist/card-http.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"card-http.d.ts","sourceRoot":"","sources":["../src/card-http.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AAEH,OAAO,EAAoB,KAAK,eAAe,EAAE,MAAM,cAAc,CAAC;AAGtE,YAAY,EAAE,kBAAkB,EAAE,eAAe,EAAE,MAAM,cAAc,CAAC;AAExE,4DAA4D;AAC5D,MAAM,WAAW,YAAY;IAC3B,QAAQ,EAAE,OAAO,CAAC;IAClB,OAAO,CAAC,EAAE,MAAM,EAAE,CAAC;CACpB;AAED,MAAM,WAAW,UAAU;IACzB,4FAA4F;IAC5F,cAAc,CAAC,EAAE,YAAY,CAAC;CAC/B;AAID;;;;GAIG;AACH,wBAAgB,UAAU,CAAC,KAAK,EAAE,eAAe,EAAE,MAAM,GAAE,UAAe,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAenG;AAED,iGAAiG;AACjG,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,eAAe,CAU/E;AAED,sFAAsF;AACtF,UAAU,gBAAgB;IACxB,QAAQ,CAAC,EAAE;QAAE,QAAQ,CAAC,EAAE,OAAO,CAAA;KAAE,GAAG,SAAS,CAAC;CAC/C;AAED;;;;;GAKG;AACH,wBAAgB,mBAAmB,CAAC,KAAK,EAAE,gBAAgB,EAAE,MAAM,SAAkB,EAAE,IAAI,SAAc,GAAG,YAAY,CAOvH;AAED;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,MAAM,EAAE,CAAC,GAAG,EAAE,OAAO,KAAK,OAAO,CAAC,QAAQ,CAAC,EAC3C,GAAG,EAAE,MAAM,EACX,MAAM,GAAE,UAAe,GACtB,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAWlC;AAED;;;GAGG;AACH,wBAAgB,WAAW,CAAC,MAAM,EAAE,MAAM,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,GAAG,MAAM,OAAO,CAAC,MAAM,CAAC,CAGjG"}

package/dist/card-http.js

@@ -0,0 +1,106 @@
+/**
+ * Server card estático (`/.well-known/mcp/server-card.json`) para scanners de
+ * diretório que o leem em vez de conectar ao `/mcp` — a Smithery lê quando a
+ * varredura automática não completa, e um card velho NÃO se conserta
+ * republicando: ele é lido de novo na próxima varredura.
+ *
+ * Por que existe. Em 04/10/2026, 4 dos 7 servidores serviam o card por um
+ * `worker/src/card.ts` copiado entre eles, e os outros 3 respondiam 404. Os
+ * quatro que serviam publicavam `name`/`version` soltos na raiz, enquanto a
+ * forma documentada pela Smithery (smithery.ai/docs/build/publish) exige
+ * `serverInfo: { name, version }` — fora do formato em todos.
+ *
+ * Desenho:
+ * - DERIVADO da mesma captura crua que a trava normaliza (`captura.ts`), nunca
+ *   transcrito: `serverInfo` é o do `initialize` real, versão incluída;
+ *   `superficieDoCard` faz a volta, e o teste do servidor prova que o card
+ *   normalizado tem o MESMO sha256 da seção `declarada` do `surface.lock.json`.
+ * - Método não servido fica FORA do card (não vira `[]`): "não serve" e "serve
+ *   nada" são superfícies diferentes, e a volta precisa ser exata.
+ * - `authentication.required` sai da seção `semToken` da trava
+ *   (`autenticacaoDaTrava`) — o que a borda MEDIU, não o que alguém declarou.
+ *
+ * Este módulo é o subpath `@sbissoli/mcp-surface/card/http`: tudo do card
+ * MENOS a captura em memória, e por isso sem o SDK em valor. É o que importa
+ * quem captura por HTTP (a borda do sih, na frente do container) — o bundle
+ * não carrega o SDK que a borda não usa. `@sbissoli/mcp-surface/card`
+ * reexporta tudo daqui e acrescenta `capturarCard`. Os dois são seguros para
+ * Worker: sem `node:crypto`, sem `node:child_process`, sem Ajv.
+ */
+import { capturarBrutaPor } from "./captura.js";
+import { CABECALHOS_MCP, corpoDoPedido, lerCorpoJsonRpc } from "./sonda.js";
+const LISTAS = ["tools", "resources", "resourceTemplates", "prompts"];
+/**
+ * Monta o card a partir da captura crua. Recusa (lança) sem `serverInfo.name`
+ * e `serverInfo.version` — os dois obrigatórios da forma da Smithery: um card
+ * sem eles é pior que 404, porque o scanner o aceita e grava o vazio.
+ */
+export function montarCard(bruta, opcoes = {}) {
+    const init = bruta.initialize;
+    const serverInfo = init?.["serverInfo"];
+    if (typeof serverInfo?.["name"] !== "string" || typeof serverInfo["version"] !== "string") {
+        throw new Error("server card: initialize sem serverInfo.name/serverInfo.version");
+    }
+    const card = {
+        serverInfo,
+        protocolVersion: init["protocolVersion"],
+        capabilities: init["capabilities"],
+        instructions: init["instructions"],
+    };
+    if (opcoes.authentication)
+        card["authentication"] = opcoes.authentication;
+    for (const chave of LISTAS)
+        if (bruta[chave])
+            card[chave] = bruta[chave];
+    return card;
+}
+/** A volta: o card como captura crua — para conferir contra a trava (`normalizarSuperficie`). */
+export function superficieDoCard(card) {
+    const { serverInfo, protocolVersion, capabilities, instructions } = card;
+    const lista = (chave) => card[chave];
+    return {
+        initialize: { serverInfo, protocolVersion, capabilities, instructions },
+        tools: lista("tools"),
+        resources: lista("resources"),
+        resourceTemplates: lista("resourceTemplates"),
+        prompts: lista("prompts"),
+    };
+}
+/**
+ * `authentication` derivado da trava: exige credencial se, na configuração de
+ * PRODUÇÃO (`apiKeyAusente`) e na rota pública (`POST /mcp`), `tools/list` NÃO
+ * responde sem token. Lança se a medição não está lá — card que afirma sem
+ * medida é o que este módulo existe para evitar.
+ */
+export function autenticacaoDaTrava(trava, config = "apiKeyAusente", rota = "POST /mcp") {
+    const conteudo = trava.semToken?.conteudo;
+    const medido = conteudo?.[config]?.[rota]?.["tools/list"];
+    if (typeof medido !== "boolean") {
+        throw new Error(`server card: trava sem semToken.conteudo["${config}"]["${rota}"]["tools/list"]`);
+    }
+    return { required: !medido };
+}
+/**
+ * Card por HTTP stateless (JSON ou SSE) — para o servidor cuja superfície mora
+ * atrás de outro `fetch` (o container do sih). Um `initialize` que não responde
+ * faz `montarCard` lançar; o servidor decide o fallback.
+ */
+export async function capturarCardPorFetch(buscar, url, opcoes = {}) {
+    let id = 1;
+    const bruta = await capturarBrutaPor(async (method, params) => {
+        const pedido = params ? { method, params } : { method };
+        const res = await buscar(new Request(url, { method: "POST", headers: { ...CABECALHOS_MCP }, body: corpoDoPedido(pedido, id++) }));
+        const corpo = lerCorpoJsonRpc(await res.text());
+        return corpo?.error ? undefined : corpo?.result;
+    }, "server-card");
+    return montarCard(bruta, opcoes);
+}
+/**
+ * Cache por isolate: a primeira montagem que DÁ CERTO fica; falha não é
+ * cacheada (lança de novo na próxima requisição). Devolve o JSON pronto.
+ */
+export function cardEmCache(montar) {
+    let pronto;
+    return async () => (pronto ??= JSON.stringify(await montar()));
+}
+//# sourceMappingURL=card-http.js.map

package/dist/card-http.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"card-http.js","sourceRoot":"","sources":["../src/card-http.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA4BG;AAEH,OAAO,EAAE,gBAAgB,EAAwB,MAAM,cAAc,CAAC;AACtE,OAAO,EAAE,cAAc,EAAE,aAAa,EAAE,eAAe,EAAe,MAAM,YAAY,CAAC;AAezF,MAAM,MAAM,GAAG,CAAC,OAAO,EAAE,WAAW,EAAE,mBAAmB,EAAE,SAAS,CAAU,CAAC;AAE/E;;;;GAIG;AACH,MAAM,UAAU,UAAU,CAAC,KAAsB,EAAE,MAAM,GAAe,EAAE;IACxE,MAAM,IAAI,GAAG,KAAK,CAAC,UAAU,CAAC;IAC9B,MAAM,UAAU,GAAG,IAAI,EAAE,CAAC,YAAY,CAAwC,CAAC;IAC/E,IAAI,OAAO,UAAU,EAAE,CAAC,MAAM,CAAC,KAAK,QAAQ,IAAI,OAAO,UAAU,CAAC,SAAS,CAAC,KAAK,QAAQ,EAAE,CAAC;QAC1F,MAAM,IAAI,KAAK,CAAC,gEAAgE,CAAC,CAAC;IACpF,CAAC;IACD,MAAM,IAAI,GAA4B;QACpC,UAAU;QACV,eAAe,EAAE,IAAK,CAAC,iBAAiB,CAAC;QACzC,YAAY,EAAE,IAAK,CAAC,cAAc,CAAC;QACnC,YAAY,EAAE,IAAK,CAAC,cAAc,CAAC;KACpC,CAAC;IACF,IAAI,MAAM,CAAC,cAAc;QAAE,IAAI,CAAC,gBAAgB,CAAC,GAAG,MAAM,CAAC,cAAc,CAAC;IAC1E,KAAK,MAAM,KAAK,IAAI,MAAM;QAAE,IAAI,KAAK,CAAC,KAAK,CAAC;YAAE,IAAI,CAAC,KAAK,CAAC,GAAG,KAAK,CAAC,KAAK,CAAC,CAAC;IACzE,OAAO,IAAI,CAAC;AACd,CAAC;AAED,iGAAiG;AACjG,MAAM,UAAU,gBAAgB,CAAC,IAA6B;IAC5D,MAAM,EAAE,UAAU,EAAE,eAAe,EAAE,YAAY,EAAE,YAAY,EAAE,GAAG,IAAI,CAAC;IACzE,MAAM,KAAK,GAAG,CAAC,KAA8B,EAAE,EAAE,CAAC,IAAI,CAAC,KAAK,CAA0B,CAAC;IACvF,OAAO;QACL,UAAU,EAAE,EAAE,UAAU,EAAE,eAAe,EAAE,YAAY,EAAE,YAAY,EAAE;QACvE,KAAK,EAAE,KAAK,CAAC,OAAO,CAAC;QACrB,SAAS,EAAE,KAAK,CAAC,WAAW,CAAC;QAC7B,iBAAiB,EAAE,KAAK,CAAC,mBAAmB,CAAC;QAC7C,OAAO,EAAE,KAAK,CAAC,SAAS,CAAC;KAC1B,CAAC;AACJ,CAAC;AAOD;;;;;GAKG;AACH,MAAM,UAAU,mBAAmB,CAAC,KAAuB,EAAE,MAAM,GAAG,eAAe,EAAE,IAAI,GAAG,WAAW;IACvG,MAAM,QAAQ,GAAG,KAAK,CAAC,QAAQ,EAAE,QAA2F,CAAC;IAC7H,MAAM,MAAM,GAAG,QAAQ,EAAE,CAAC,MAAM,CAAC,EAAE,CAAC,IAAI,CAAC,EAAE,CAAC,YAAY,CAAC,CAAC;IAC1D,IAAI,OAAO,MAAM,KAAK,SAAS,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,6CAA6C,MAAM,OAAO,IAAI,kBAAkB,CAAC,CAAC;IACpG,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,CAAC,MAAM,EAAE,CAAC;AAC/B,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,MAA2C,EAC3C,GAAW,EACX,MAAM,GAAe,EAAE;IAEvB,IAAI,EAAE,GAAG,CAAC,CAAC;IACX,MAAM,KAAK,GAAG,MAAM,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,MAAM,EAAE,EAAE;QAC5D,MAAM,MAAM,GAAW,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;QAChE,MAAM,GAAG,GAAG,MAAM,MAAM,CACtB,IAAI,OAAO,CAAC,GAAG,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,EAAE,GAAG,cAAc,EAAE,EAAE,IAAI,EAAE,aAAa,CAAC,MAAM,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC,CACxG,CAAC;QACF,MAAM,KAAK,GAAG,eAAe,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAC,CAAC;QAChD,OAAO,KAAK,EAAE,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,KAAK,EAAE,MAAM,CAAC;IAClD,CAAC,EAAE,aAAa,CAAC,CAAC;IAClB,OAAO,UAAU,CAAC,KAAK,EAAE,MAAM,CAAC,CAAC;AACnC,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,WAAW,CAAC,MAA8C;IACxE,IAAI,MAA0B,CAAC;IAC/B,OAAO,KAAK,IAAI,EAAE,CAAC,CAAC,MAAM,KAAK,IAAI,CAAC,SAAS,CAAC,MAAM,MAAM,EAAE,CAAC,CAAC,CAAC;AACjE,CAAC"}

package/dist/card.d.ts

@@ -1,71 +1,12 @@
 /**
- * Server card estático (`/.well-known/mcp/server-card.json`) para scanners de
- * diretório que o leem em vez de conectar ao `/mcp` — a Smithery lê quando a
- * varredura automática não completa, e um card velho NÃO se conserta
- * republicando: ele é lido de novo na próxima varredura.
- *
- * Por que existe. Em 04/10/2026, 4 dos 7 servidores serviam o card por um
- * `worker/src/card.ts` copiado entre eles, e os outros 3 respondiam 404. Os
- * quatro que serviam publicavam `name`/`version` soltos na raiz, enquanto a
- * forma documentada pela Smithery (smithery.ai/docs/build/publish) exige
- * `serverInfo: { name, version }` — fora do formato em todos.
- *
- * Desenho:
- * - DERIVADO da mesma captura crua que a trava normaliza (`captura.ts`), nunca
- *   transcrito: `serverInfo` é o do `initialize` real, versão incluída;
- *   `superficieDoCard` faz a volta, e o teste do servidor prova que o card
- *   normalizado tem o MESMO sha256 da seção `declarada` do `surface.lock.json`.
- * - Método não servido fica FORA do card (não vira `[]`): "não serve" e "serve
- *   nada" são superfícies diferentes, e a volta precisa ser exata.
- * - `authentication.required` sai da seção `semToken` da trava
- *   (`autenticacaoDaTrava`) — o que a borda MEDIU, não o que alguém declarou.
- * - Subpath próprio (`@sbissoli/mcp-surface/card`) e seguro para Worker: só
- *   importa `captura.ts` e `sonda.ts` — sem `node:crypto`, sem
- *   `node:child_process`, sem Ajv.
- */
-import { type ServidorConectavel, type SuperficieBruta } from "./captura.js";
-export type { ServidorConectavel, SuperficieBruta } from "./captura.js";
-/** O campo `authentication` do card (forma da Smithery). */
-export interface Autenticacao {
-    required: boolean;
-    schemes?: string[];
-}
-export interface OpcoesCard {
-    /** Quase sempre `autenticacaoDaTrava(trava)`; ausente = o card não fala de autenticação. */
-    authentication?: Autenticacao;
-}
-/**
- * Monta o card a partir da captura crua. Recusa (lança) sem `serverInfo.name`
- * e `serverInfo.version` — os dois obrigatórios da forma da Smithery: um card
- * sem eles é pior que 404, porque o scanner o aceita e grava o vazio.
- */
-export declare function montarCard(bruta: SuperficieBruta, opcoes?: OpcoesCard): Record<string, unknown>;
-/** A volta: o card como captura crua — para conferir contra a trava (`normalizarSuperficie`). */
-export declare function superficieDoCard(card: Record<string, unknown>): SuperficieBruta;
-/** A seção `semToken` de um `surface.lock.json` (o JSON importado ou uma `Trava`). */
-interface TravaComSemToken {
-    semToken?: {
-        conteudo?: unknown;
-    } | undefined;
-}
-/**
- * `authentication` derivado da trava: exige credencial se, na configuração de
- * PRODUÇÃO (`apiKeyAusente`) e na rota pública (`POST /mcp`), `tools/list` NÃO
- * responde sem token. Lança se a medição não está lá — card que afirma sem
- * medida é o que este módulo existe para evitar.
- */
-export declare function autenticacaoDaTrava(trava: TravaComSemToken, config?: string, rota?: string): Autenticacao;
+ * `@sbissoli/mcp-surface/card`: o card inteiro — tudo de `/card/http` mais a
+ * captura em memória (`capturarCard`), que é o caminho dos servidores cujo
+ * Worker monta o próprio `McpServer` e, portanto, já carrega o SDK. O desenho
+ * e o porquê estão em `card-http.ts`.
+ */
+import type { ServidorConectavel } from "./captura.js";
+import { type OpcoesCard } from "./card-http.js";
+export * from "./card-http.js";
 /** Card em memória: o servidor montado pela mesma fábrica dos transportes. */
 export declare function capturarCard(server: ServidorConectavel, opcoes?: OpcoesCard): Promise<Record<string, unknown>>;
-/**
- * Card por HTTP stateless (JSON ou SSE) — para o servidor cuja superfície mora
- * atrás de outro `fetch` (o container do sih). Um `initialize` que não responde
- * faz `montarCard` lançar; o servidor decide o fallback.
- */
-export declare function capturarCardPorFetch(buscar: (req: Request) => Promise<Response>, url: string, opcoes?: OpcoesCard): Promise<Record<string, unknown>>;
-/**
- * Cache por isolate: a primeira montagem que DÁ CERTO fica; falha não é
- * cacheada (lança de novo na próxima requisição). Devolve o JSON pronto.
- */
-export declare function cardEmCache(montar: () => Promise<Record<string, unknown>>): () => Promise<string>;
 //# sourceMappingURL=card.d.ts.map

package/dist/card.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"card.d.ts","sourceRoot":"","sources":["../src/card.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AAEH,OAAO,EAA4C,KAAK,kBAAkB,EAAE,KAAK,eAAe,EAAE,MAAM,cAAc,CAAC;AAGvH,YAAY,EAAE,kBAAkB,EAAE,eAAe,EAAE,MAAM,cAAc,CAAC;AAExE,4DAA4D;AAC5D,MAAM,WAAW,YAAY;IAC3B,QAAQ,EAAE,OAAO,CAAC;IAClB,OAAO,CAAC,EAAE,MAAM,EAAE,CAAC;CACpB;AAED,MAAM,WAAW,UAAU;IACzB,4FAA4F;IAC5F,cAAc,CAAC,EAAE,YAAY,CAAC;CAC/B;AAID;;;;GAIG;AACH,wBAAgB,UAAU,CAAC,KAAK,EAAE,eAAe,EAAE,MAAM,GAAE,UAAe,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAenG;AAED,iGAAiG;AACjG,wBAAgB,gBAAgB,CAAC,IAAI,EAAE,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,GAAG,eAAe,CAU/E;AAED,sFAAsF;AACtF,UAAU,gBAAgB;IACxB,QAAQ,CAAC,EAAE;QAAE,QAAQ,CAAC,EAAE,OAAO,CAAA;KAAE,GAAG,SAAS,CAAC;CAC/C;AAED;;;;;GAKG;AACH,wBAAgB,mBAAmB,CAAC,KAAK,EAAE,gBAAgB,EAAE,MAAM,SAAkB,EAAE,IAAI,SAAc,GAAG,YAAY,CAOvH;AAED,8EAA8E;AAC9E,wBAAsB,YAAY,CAAC,MAAM,EAAE,kBAAkB,EAAE,MAAM,GAAE,UAAe,GAAG,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAExH;AAED;;;;GAIG;AACH,wBAAsB,oBAAoB,CACxC,MAAM,EAAE,CAAC,GAAG,EAAE,OAAO,KAAK,OAAO,CAAC,QAAQ,CAAC,EAC3C,GAAG,EAAE,MAAM,EACX,MAAM,GAAE,UAAe,GACtB,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAWlC;AAED;;;GAGG;AACH,wBAAgB,WAAW,CAAC,MAAM,EAAE,MAAM,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,GAAG,MAAM,OAAO,CAAC,MAAM,CAAC,CAGjG"}
+{"version":3,"file":"card.d.ts","sourceRoot":"","sources":["../src/card.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAEH,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAC;AAEvD,OAAO,EAAc,KAAK,UAAU,EAAE,MAAM,gBAAgB,CAAC;AAE7D,cAAc,gBAAgB,CAAC;AAE/B,8EAA8E;AAC9E,wBAAsB,YAAY,CAAC,MAAM,EAAE,kBAAkB,EAAE,MAAM,GAAE,UAAe,GAAG,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAExH"}

package/dist/card.js

@@ -1,106 +1,14 @@
 /**
- * Server card estático (`/.well-known/mcp/server-card.json`) para scanners de
- * diretório que o leem em vez de conectar ao `/mcp` — a Smithery lê quando a
- * varredura automática não completa, e um card velho NÃO se conserta
- * republicando: ele é lido de novo na próxima varredura.
- *
- * Por que existe. Em 04/10/2026, 4 dos 7 servidores serviam o card por um
- * `worker/src/card.ts` copiado entre eles, e os outros 3 respondiam 404. Os
- * quatro que serviam publicavam `name`/`version` soltos na raiz, enquanto a
- * forma documentada pela Smithery (smithery.ai/docs/build/publish) exige
- * `serverInfo: { name, version }` — fora do formato em todos.
- *
- * Desenho:
- * - DERIVADO da mesma captura crua que a trava normaliza (`captura.ts`), nunca
- *   transcrito: `serverInfo` é o do `initialize` real, versão incluída;
- *   `superficieDoCard` faz a volta, e o teste do servidor prova que o card
- *   normalizado tem o MESMO sha256 da seção `declarada` do `surface.lock.json`.
- * - Método não servido fica FORA do card (não vira `[]`): "não serve" e "serve
- *   nada" são superfícies diferentes, e a volta precisa ser exata.
- * - `authentication.required` sai da seção `semToken` da trava
- *   (`autenticacaoDaTrava`) — o que a borda MEDIU, não o que alguém declarou.
- * - Subpath próprio (`@sbissoli/mcp-surface/card`) e seguro para Worker: só
- *   importa `captura.ts` e `sonda.ts` — sem `node:crypto`, sem
- *   `node:child_process`, sem Ajv.
- */
-import { capturarBrutaEmMemoria, capturarBrutaPor } from "./captura.js";
-import { CABECALHOS_MCP, corpoDoPedido, lerCorpoJsonRpc } from "./sonda.js";
-const LISTAS = ["tools", "resources", "resourceTemplates", "prompts"];
-/**
- * Monta o card a partir da captura crua. Recusa (lança) sem `serverInfo.name`
- * e `serverInfo.version` — os dois obrigatórios da forma da Smithery: um card
- * sem eles é pior que 404, porque o scanner o aceita e grava o vazio.
- */
-export function montarCard(bruta, opcoes = {}) {
-    const init = bruta.initialize;
-    const serverInfo = init?.["serverInfo"];
-    if (typeof serverInfo?.["name"] !== "string" || typeof serverInfo["version"] !== "string") {
-        throw new Error("server card: initialize sem serverInfo.name/serverInfo.version");
-    }
-    const card = {
-        serverInfo,
-        protocolVersion: init["protocolVersion"],
-        capabilities: init["capabilities"],
-        instructions: init["instructions"],
-    };
-    if (opcoes.authentication)
-        card["authentication"] = opcoes.authentication;
-    for (const chave of LISTAS)
-        if (bruta[chave])
-            card[chave] = bruta[chave];
-    return card;
-}
-/** A volta: o card como captura crua — para conferir contra a trava (`normalizarSuperficie`). */
-export function superficieDoCard(card) {
-    const { serverInfo, protocolVersion, capabilities, instructions } = card;
-    const lista = (chave) => card[chave];
-    return {
-        initialize: { serverInfo, protocolVersion, capabilities, instructions },
-        tools: lista("tools"),
-        resources: lista("resources"),
-        resourceTemplates: lista("resourceTemplates"),
-        prompts: lista("prompts"),
-    };
-}
-/**
- * `authentication` derivado da trava: exige credencial se, na configuração de
- * PRODUÇÃO (`apiKeyAusente`) e na rota pública (`POST /mcp`), `tools/list` NÃO
- * responde sem token. Lança se a medição não está lá — card que afirma sem
- * medida é o que este módulo existe para evitar.
- */
-export function autenticacaoDaTrava(trava, config = "apiKeyAusente", rota = "POST /mcp") {
-    const conteudo = trava.semToken?.conteudo;
-    const medido = conteudo?.[config]?.[rota]?.["tools/list"];
-    if (typeof medido !== "boolean") {
-        throw new Error(`server card: trava sem semToken.conteudo["${config}"]["${rota}"]["tools/list"]`);
-    }
-    return { required: !medido };
-}
+ * `@sbissoli/mcp-surface/card`: o card inteiro — tudo de `/card/http` mais a
+ * captura em memória (`capturarCard`), que é o caminho dos servidores cujo
+ * Worker monta o próprio `McpServer` e, portanto, já carrega o SDK. O desenho
+ * e o porquê estão em `card-http.ts`.
+ */
+import { capturarBrutaEmMemoria } from "./captura-memoria.js";
+import { montarCard } from "./card-http.js";
+export * from "./card-http.js";
 /** Card em memória: o servidor montado pela mesma fábrica dos transportes. */
 export async function capturarCard(server, opcoes = {}) {
     return montarCard(await capturarBrutaEmMemoria(server, "server-card"), opcoes);
 }
-/**
- * Card por HTTP stateless (JSON ou SSE) — para o servidor cuja superfície mora
- * atrás de outro `fetch` (o container do sih). Um `initialize` que não responde
- * faz `montarCard` lançar; o servidor decide o fallback.
- */
-export async function capturarCardPorFetch(buscar, url, opcoes = {}) {
-    let id = 1;
-    const bruta = await capturarBrutaPor(async (method, params) => {
-        const pedido = params ? { method, params } : { method };
-        const res = await buscar(new Request(url, { method: "POST", headers: { ...CABECALHOS_MCP }, body: corpoDoPedido(pedido, id++) }));
-        const corpo = lerCorpoJsonRpc(await res.text());
-        return corpo?.error ? undefined : corpo?.result;
-    }, "server-card");
-    return montarCard(bruta, opcoes);
-}
-/**
- * Cache por isolate: a primeira montagem que DÁ CERTO fica; falha não é
- * cacheada (lança de novo na próxima requisição). Devolve o JSON pronto.
- */
-export function cardEmCache(montar) {
-    let pronto;
-    return async () => (pronto ??= JSON.stringify(await montar()));
-}
 //# sourceMappingURL=card.js.map

package/dist/card.js.map

@@ -1 +1 @@
-{"version":3,"file":"card.js","sourceRoot":"","sources":["../src/card.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;GAwBG;AAEH,OAAO,EAAE,sBAAsB,EAAE,gBAAgB,EAAiD,MAAM,cAAc,CAAC;AACvH,OAAO,EAAE,cAAc,EAAE,aAAa,EAAE,eAAe,EAAe,MAAM,YAAY,CAAC;AAezF,MAAM,MAAM,GAAG,CAAC,OAAO,EAAE,WAAW,EAAE,mBAAmB,EAAE,SAAS,CAAU,CAAC;AAE/E;;;;GAIG;AACH,MAAM,UAAU,UAAU,CAAC,KAAsB,EAAE,MAAM,GAAe,EAAE;IACxE,MAAM,IAAI,GAAG,KAAK,CAAC,UAAU,CAAC;IAC9B,MAAM,UAAU,GAAG,IAAI,EAAE,CAAC,YAAY,CAAwC,CAAC;IAC/E,IAAI,OAAO,UAAU,EAAE,CAAC,MAAM,CAAC,KAAK,QAAQ,IAAI,OAAO,UAAU,CAAC,SAAS,CAAC,KAAK,QAAQ,EAAE,CAAC;QAC1F,MAAM,IAAI,KAAK,CAAC,gEAAgE,CAAC,CAAC;IACpF,CAAC;IACD,MAAM,IAAI,GAA4B;QACpC,UAAU;QACV,eAAe,EAAE,IAAK,CAAC,iBAAiB,CAAC;QACzC,YAAY,EAAE,IAAK,CAAC,cAAc,CAAC;QACnC,YAAY,EAAE,IAAK,CAAC,cAAc,CAAC;KACpC,CAAC;IACF,IAAI,MAAM,CAAC,cAAc;QAAE,IAAI,CAAC,gBAAgB,CAAC,GAAG,MAAM,CAAC,cAAc,CAAC;IAC1E,KAAK,MAAM,KAAK,IAAI,MAAM;QAAE,IAAI,KAAK,CAAC,KAAK,CAAC;YAAE,IAAI,CAAC,KAAK,CAAC,GAAG,KAAK,CAAC,KAAK,CAAC,CAAC;IACzE,OAAO,IAAI,CAAC;AACd,CAAC;AAED,iGAAiG;AACjG,MAAM,UAAU,gBAAgB,CAAC,IAA6B;IAC5D,MAAM,EAAE,UAAU,EAAE,eAAe,EAAE,YAAY,EAAE,YAAY,EAAE,GAAG,IAAI,CAAC;IACzE,MAAM,KAAK,GAAG,CAAC,KAA8B,EAAE,EAAE,CAAC,IAAI,CAAC,KAAK,CAA0B,CAAC;IACvF,OAAO;QACL,UAAU,EAAE,EAAE,UAAU,EAAE,eAAe,EAAE,YAAY,EAAE,YAAY,EAAE;QACvE,KAAK,EAAE,KAAK,CAAC,OAAO,CAAC;QACrB,SAAS,EAAE,KAAK,CAAC,WAAW,CAAC;QAC7B,iBAAiB,EAAE,KAAK,CAAC,mBAAmB,CAAC;QAC7C,OAAO,EAAE,KAAK,CAAC,SAAS,CAAC;KAC1B,CAAC;AACJ,CAAC;AAOD;;;;;GAKG;AACH,MAAM,UAAU,mBAAmB,CAAC,KAAuB,EAAE,MAAM,GAAG,eAAe,EAAE,IAAI,GAAG,WAAW;IACvG,MAAM,QAAQ,GAAG,KAAK,CAAC,QAAQ,EAAE,QAA2F,CAAC;IAC7H,MAAM,MAAM,GAAG,QAAQ,EAAE,CAAC,MAAM,CAAC,EAAE,CAAC,IAAI,CAAC,EAAE,CAAC,YAAY,CAAC,CAAC;IAC1D,IAAI,OAAO,MAAM,KAAK,SAAS,EAAE,CAAC;QAChC,MAAM,IAAI,KAAK,CAAC,6CAA6C,MAAM,OAAO,IAAI,kBAAkB,CAAC,CAAC;IACpG,CAAC;IACD,OAAO,EAAE,QAAQ,EAAE,CAAC,MAAM,EAAE,CAAC;AAC/B,CAAC;AAED,8EAA8E;AAC9E,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,MAA0B,EAAE,MAAM,GAAe,EAAE;IACpF,OAAO,UAAU,CAAC,MAAM,sBAAsB,CAAC,MAAM,EAAE,aAAa,CAAC,EAAE,MAAM,CAAC,CAAC;AACjF,CAAC;AAED;;;;GAIG;AACH,MAAM,CAAC,KAAK,UAAU,oBAAoB,CACxC,MAA2C,EAC3C,GAAW,EACX,MAAM,GAAe,EAAE;IAEvB,IAAI,EAAE,GAAG,CAAC,CAAC;IACX,MAAM,KAAK,GAAG,MAAM,gBAAgB,CAAC,KAAK,EAAE,MAAM,EAAE,MAAM,EAAE,EAAE;QAC5D,MAAM,MAAM,GAAW,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC;QAChE,MAAM,GAAG,GAAG,MAAM,MAAM,CACtB,IAAI,OAAO,CAAC,GAAG,EAAE,EAAE,MAAM,EAAE,MAAM,EAAE,OAAO,EAAE,EAAE,GAAG,cAAc,EAAE,EAAE,IAAI,EAAE,aAAa,CAAC,MAAM,EAAE,EAAE,EAAE,CAAC,EAAE,CAAC,CACxG,CAAC;QACF,MAAM,KAAK,GAAG,eAAe,CAAC,MAAM,GAAG,CAAC,IAAI,EAAE,CAAC,CAAC;QAChD,OAAO,KAAK,EAAE,KAAK,CAAC,CAAC,CAAC,SAAS,CAAC,CAAC,CAAC,KAAK,EAAE,MAAM,CAAC;IAClD,CAAC,EAAE,aAAa,CAAC,CAAC;IAClB,OAAO,UAAU,CAAC,KAAK,EAAE,MAAM,CAAC,CAAC;AACnC,CAAC;AAED;;;GAGG;AACH,MAAM,UAAU,WAAW,CAAC,MAA8C;IACxE,IAAI,MAA0B,CAAC;IAC/B,OAAO,KAAK,IAAI,EAAE,CAAC,CAAC,MAAM,KAAK,IAAI,CAAC,SAAS,CAAC,MAAM,MAAM,EAAE,CAAC,CAAC,CAAC;AACjE,CAAC"}
+{"version":3,"file":"card.js","sourceRoot":"","sources":["../src/card.ts"],"names":[],"mappings":"AAAA;;;;;GAKG;AAGH,OAAO,EAAE,sBAAsB,EAAE,MAAM,sBAAsB,CAAC;AAC9D,OAAO,EAAE,UAAU,EAAmB,MAAM,gBAAgB,CAAC;AAE7D,cAAc,gBAAgB,CAAC;AAE/B,8EAA8E;AAC9E,MAAM,CAAC,KAAK,UAAU,YAAY,CAAC,MAA0B,EAAE,MAAM,GAAe,EAAE;IACpF,OAAO,UAAU,CAAC,MAAM,sBAAsB,CAAC,MAAM,EAAE,aAAa,CAAC,EAAE,MAAM,CAAC,CAAC;AACjF,CAAC"}

package/dist/memoria.d.ts

@@ -2,7 +2,7 @@
  * Captura em memória, normalizada: a captura crua de `captura.ts` passada pela
  * mesma normalização dos caminhos HTTP e stdio.
  */
-import { type ServidorConectavel } from "./captura.js";
+import type { ServidorConectavel } from "./captura.js";
 export type { ServidorConectavel } from "./captura.js";
 export declare function capturarSuperficie(server: ServidorConectavel): Promise<Record<string, unknown>>;
 //# sourceMappingURL=memoria.d.ts.map

package/dist/memoria.d.ts.map

@@ -1 +1 @@
-{"version":3,"file":"memoria.d.ts","sourceRoot":"","sources":["../src/memoria.ts"],"names":[],"mappings":"AAAA;;;GAGG;AAEH,OAAO,EAA0B,KAAK,kBAAkB,EAAE,MAAM,cAAc,CAAC;AAG/E,YAAY,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAC;AAEvD,wBAAsB,kBAAkB,CAAC,MAAM,EAAE,kBAAkB,GAAG,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAErG"}
+{"version":3,"file":"memoria.d.ts","sourceRoot":"","sources":["../src/memoria.ts"],"names":[],"mappings":"AAAA;;;GAGG;AAEH,OAAO,KAAK,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAC;AAIvD,YAAY,EAAE,kBAAkB,EAAE,MAAM,cAAc,CAAC;AAEvD,wBAAsB,kBAAkB,CAAC,MAAM,EAAE,kBAAkB,GAAG,OAAO,CAAC,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,CAAC,CAErG"}

package/dist/memoria.js

@@ -2,7 +2,7 @@
  * Captura em memória, normalizada: a captura crua de `captura.ts` passada pela
  * mesma normalização dos caminhos HTTP e stdio.
  */
-import { capturarBrutaEmMemoria } from "./captura.js";
+import { capturarBrutaEmMemoria } from "./captura-memoria.js";
 import { normalizarSuperficie } from "./superficie.js";
 export async function capturarSuperficie(server) {
     return normalizarSuperficie(await capturarBrutaEmMemoria(server, "surface-lock"));

package/dist/memoria.js.map

@@ -1 +1 @@
-{"version":3,"file":"memoria.js","sourceRoot":"","sources":["../src/memoria.ts"],"names":[],"mappings":"AAAA;;;GAGG;AAEH,OAAO,EAAE,sBAAsB,EAA2B,MAAM,cAAc,CAAC;AAC/E,OAAO,EAAE,oBAAoB,EAAE,MAAM,iBAAiB,CAAC;AAIvD,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,MAA0B;IACjE,OAAO,oBAAoB,CAAC,MAAM,sBAAsB,CAAC,MAAM,EAAE,cAAc,CAAC,CAAC,CAAC;AACpF,CAAC"}
+{"version":3,"file":"memoria.js","sourceRoot":"","sources":["../src/memoria.ts"],"names":[],"mappings":"AAAA;;;GAGG;AAGH,OAAO,EAAE,sBAAsB,EAAE,MAAM,sBAAsB,CAAC;AAC9D,OAAO,EAAE,oBAAoB,EAAE,MAAM,iBAAiB,CAAC;AAIvD,MAAM,CAAC,KAAK,UAAU,kBAAkB,CAAC,MAA0B;IACjE,OAAO,oBAAoB,CAAC,MAAM,sBAAsB,CAAC,MAAM,EAAE,cAAc,CAAC,CAAC,CAAC;AACpF,CAAC"}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sbissoli/mcp-surface",
-  "version": "0.3.0",
+  "version": "0.4.0",
   "description": "Impressão digital da superfície de um servidor MCP: initialize (instructions + capabilities) + tools/resources/prompts + quem responde sem token, travados ao lado da versão — mudou sem subir a versão = build vermelho e deploy recusado; mais a conferência do endpoint no ar e o replay das versões publicadas",
   "repository": {
     "type": "git",
@@ -25,6 +25,10 @@
     "./card": {
       "types": "./dist/card.d.ts",
       "default": "./dist/card.js"
+    },
+    "./card/http": {
+      "types": "./dist/card-http.d.ts",
+      "default": "./dist/card-http.js"
     }
   },
   "bin": {