@seedgrid/ai-toolkit 0.3.2 → 0.3.4

package/README.md

@@ -23,7 +23,7 @@ Cada pasta de `.ai/` (`rules`, `agents`, `skills`, `templates`, `references`) te
 | Destino | Conteúdo |
 | --- | --- |
 | `.ai/agents/` | Papéis (`arquiteto`, `backend-java`, `backend-rust`, `frontend-react`, `qa`, `revisor`) e `index.md` gerado |
-| `.ai/rules/` | Coordenação, formato de entrega, personalização local e os **padrões SeedGrid obrigatórios** (`frontend-seedgrid`, `backend-java-seedgrid`) |
+| `.ai/rules/` | Coordenação, formato de entrega, personalização local e os **padrões SeedGrid obrigatórios** (`frontend-seedgrid`, `backend-seedgrid`, `backend-java-seedgrid`) |
 | `.ai/templates/` | Especificação de tarefa, decisão de arquitetura, relatório de validação |
 | `.ai/references/` | Modos shared/native e glossário |
 | `.ai/skills/index.md` | Índice gerado das skills (o que faz e quando usar) |
@@ -101,7 +101,7 @@ seedgrid-ai review back --tool codex             # só o back-end, usando o Code
 
 ### `seedgrid-ai review`
 
-Executa a skill `sg-review` na ferramenta de IA instalada, em modo não interativo e somente leitura (Claude Code: `claude -p` com ferramentas de leitura; Codex: `codex exec --sandbox read-only`). A skill confere o código contra as regras `FE-nn` e `BE-nn` (`.ai/rules/frontend-seedgrid.md` e `backend-java-seedgrid.md`) e o CLI mostra o relatório e devolve o código de saída.
+Executa a skill `sg-review` na ferramenta de IA instalada, em modo não interativo e somente leitura (Claude Code: `claude -p` com ferramentas de leitura; Codex: `codex exec --sandbox read-only`). A skill confere o código contra as regras `FE-nn` e `BE-nn` (`.ai/rules/frontend-seedgrid.md`, `backend-seedgrid.md` e `backend-java-seedgrid.md`) e o CLI mostra o relatório e devolve o código de saída.
 
 - **Escopo:** `front`, `back` ou nenhum (os dois). Por padrão revisa os arquivos alterados (diff); `--full` revisa o projeto inteiro.
 - **Ferramenta:** `--tool claude|codex`. Sem a opção, usa a primeira disponível nesta ordem: Claude Code, Codex. Considera só os targets instalados no projeto que tenham a skill e o executável no `PATH`. O CLI não detecta em qual ferramenta você está trabalhando.

package/dist/adapters/shared.js

@@ -103,6 +103,7 @@ function brainLines(bundle) {
 }
 const STANDARD_RULES = [
     ['rules/frontend-seedgrid.md', 'front-end'],
+    ['rules/backend-seedgrid.md', 'back-end, comum a todas as linguagens'],
     ['rules/backend-java-seedgrid.md', 'back-end Java'],
 ];
 /** Padrões SeedGrid obrigatórios (front e back), quando o conteúdo os inclui. */

package/docs/formato.md

@@ -57,7 +57,7 @@ Arquivos e pastas que começam com ponto são ignorados.
 ```json
 {
   "schemaVersion": 2,
-  "contentVersion": "0.3.2",
+  "contentVersion": "0.3.4",
   "toolkitBase": "SeedGrid/Toolkit",
   "components": [
     { "id": "agents", "type": "agents", "files": ["agents/arquiteto.md"] },

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@seedgrid/ai-toolkit",
-  "version": "0.3.2",
+  "version": "0.3.4",
   "description": "Instala agentes, skills, regras, templates e referências versionados em projetos locais para Claude Code e Codex.",
   "type": "module",
   "license": "MIT",

package/seedgridKB/SeedGrid/Extensions/Catalogo-de-propriedades.md

@@ -249,8 +249,9 @@ Tabela geral de **todas as propriedades públicas** de configuração documentad
 | `seedgrid.login-tenancy.modules.filemanagement.enabled` | Ativação lógica dos módulos | `boolean` | `true` | Runtime | Só afeta activeModules (status/log); filemanagement não tem migrations no baseline | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
 | `seedgrid.audit.mongodb.database` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `Optional<String>` | — (deriva `<app.code>_audit_db`, ou `audit_db`) | audit]]) | Override do banco Mongo de auditoria produzido pela foundation (banco único) | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
 | `seedgrid.audit.persistence.strategy` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `Optional<String>` | — | Runtime | Decide se as migrations db/migration/audit rodam | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
-| `seedgrid.ai-pricing.migration.enabled` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `boolean` | `false` | Runtime | Roda classpath:db/migration/ai-pricing com flyway_schema_history_ai_pricing | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
-| `seedgrid.exchange.migration.enabled` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `boolean` | `false` | Runtime | Roda classpath:db/migration/exchange com flyway_schema_history_exchange | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
+| `seedgrid.login-tenancy.modules.ai-pricing.enabled` | Ativação lógica dos módulos | `boolean` | `true` | Runtime | false: não migra o ai-pricing e as rotas respondem 404 | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
+| `seedgrid.login-tenancy.modules.exchange.enabled` | Ativação lógica dos módulos | `boolean` | `true` | Runtime | false: não migra o exchange e as rotas respondem 404 | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
+| `seedgrid.login-tenancy.modules.business-days.enabled` | Ativação lógica dos módulos | `boolean` | `true` | Runtime | false: não migra o business-days e as rotas respondem 404 | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
 | `seedgrid.security.first-admin-user.email` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `Optional<String>` | — | security]] | Só lida para decidir logs/WARN e firstAdminConfigured no status | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
 | `seedgrid.security.jwt.issuer` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `Optional<String>` | — | Runtime | Exibido em security.jwtIssuer no status | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |
 | `seedgrid.show-dev-message` | Propriedades de outros prefixos seedgrid.* lidas pela login-tenancy | `boolean` | `false` | Runtime | Inclui devMessage nos problem+json das exceções da login-tenancy | [[SeedGrid/Extensions/login-tenancy/Configuracao\|login-tenancy/Configuracao]] |

package/seedgridKB/SeedGrid/Extensions/Indice.md

@@ -25,6 +25,7 @@ Contagens de propriedades por extension e plataforma: [[SeedGrid/Extensions/Cata
 | billing | Assinaturas: planos, uso, checkout, portal, webhooks; provider Stripe. | [[SeedGrid/Extensions/billing/Visao-geral\|Visão geral]] · [[SeedGrid/Extensions/billing/Configuracao\|Config]] · [[SeedGrid/Extensions/billing/Exemplos\|Exemplos]] · [[SeedGrid/Extensions/billing/Enums|Enums]] | [[SeedGrid/Extensions/billing/Rust\|Rust]] · [[SeedGrid/Extensions/billing/Configuracao-Rust\|Config]] |
 | ai-pricing | Catálogo de modelos LLM e histórico de preços por 1M tokens; robô agendado propõe mudanças com aprovação humana (só Java). | [[SeedGrid/Extensions/ai-pricing/Visao-geral\|Visão geral]] · [[SeedGrid/Extensions/ai-pricing/Configuracao\|Config]] · [[SeedGrid/Extensions/ai-pricing/Exemplos\|Exemplos]] · [[SeedGrid/Extensions/ai-pricing/Enums|Enums]] | — |
 | exchange | Moedas e cotações diárias com histórico; fontes configuráveis por cadastro, retry; seed USD-BRL PTAX (só Java). | [[SeedGrid/Extensions/exchange/Visao-geral\|Visão geral]] · [[SeedGrid/Extensions/exchange/Configuracao\|Config]] · [[SeedGrid/Extensions/exchange/Exemplos\|Exemplos]] · [[SeedGrid/Extensions/exchange/Enums|Enums]] | — |
+| business-days | Calendário de dias úteis: feriados (recorrentes ou de um ano), semana de trabalho (peso 0/0,5/1) e cálculo de dias úteis; escopo por empresa (JPA puro). | [[SeedGrid/Extensions/business-days/Visao-geral\|Visão geral]] · [[SeedGrid/Extensions/business-days/Configuracao\|Configuração]] · [[SeedGrid/Extensions/business-days/Exemplos\|Exemplos]] |
 
 ## Dados, auditoria e compliance
 

package/seedgridKB/SeedGrid/Extensions/ai-pricing/Configuracao.md

@@ -47,11 +47,14 @@ Variáveis de ambiente pela regra MP, sem ambiguidade:
 
 Origem: `rt/entities/AiPricingConfigEntity.java`, `runtime/src/main/resources/db/migration/ai-pricing/V902__seed_ai_models_and_pricing_config.sql`, `rt/controllers/AdminAiPriceApprovalResource#saveConfig`.
 
-### 2.3 Propriedades de outras extensions que governam o ai-pricing
+### 2.3 Toggle do módulo
 
-| Propriedade | Dona | Padrão | Efeito |
-|---|---|---|---|
-| `seedgrid.ai-pricing.migration.enabled` | login-tenancy (`LoginTenancyMigrationService`) e subdomain-tenancy (`flyway/MigrationService`) | `false` | Roda `classpath:db/migration/ai-pricing` com a tabela `flyway_schema_history_ai_pricing`. **Não** é lida por esta extension. |
+| Propriedade | Padrão | Efeito |
+|---|---|---|
+| `seedgrid.ai-pricing.enabled` | `true` | `false`: sem migrations, sem robô e as rotas `/admin/ai/**` respondem 404. Nas tenancy o default vem de `seedgrid.<tenancy>.modules.ai-pricing.enabled`. |
+| `seedgrid.migrations.host-managed` | `false` | `true` (definido pelas tenancy): o runner da extension não age; a tenancy migra cada banco. |
+
+A extension **sempre migra** o datasource default na subida (`AiPricingMigrationRunner`, histórico `flyway_schema_history_ai_pricing`). Não existe mais `seedgrid.ai-pricing.migration.enabled`.
 
 ## 3. Propriedades de frameworks
 
@@ -59,8 +62,6 @@ A extension não define nenhuma propriedade de framework: não há `microprofile
 
 | Propriedade | Recomendação |
 |---|---|
-| `quarkus.flyway.locations` | Incluir `db/migration/ai-pricing` no Flyway nativo, ou ligar `seedgrid.ai-pricing.migration.enabled` nos tenancies. |
-| `quarkus.flyway.table` | Os testes usam `flyway_schema_history_ai_pricing` (o mesmo nome do runner dos tenancies). |
 | `quarkus.hibernate-orm.physical-naming-strategy` | `org.hibernate.boot.model.naming.CamelCaseToUnderscoresNamingStrategy` (as entidades são camelCase e as colunas snake_case). |
 | `quarkus.hibernate-orm.<pu>.packages` | Mapear `br.com.seedgrid.aipricing.entities` na PU configurada. No subdomain-tenancy, só em master (README). |
 
@@ -68,26 +69,18 @@ A extension não define nenhuma propriedade de framework: não há `microprofile
 
 Arquivo `integration-tests/src/test/resources/application.properties`:
 - `quarkus.devservices.enabled=false`
-- `quarkus.flyway.migrate-at-start=true`
-- `quarkus.flyway.locations=db/migration/ai-pricing`
-- `quarkus.flyway.table=flyway_schema_history_ai_pricing`
-- `quarkus.flyway.baseline-on-migrate=true`
 - naming strategy
 - `quarkus.hibernate-orm.schema-management.strategy=none`
 - `quarkus.scheduler.enabled=false`
 - `quarkus.http.test-port=0`
 
-O `ModuloDesligadoTest` sobrescreve `quarkus.flyway.migrate-at-start=false` via `QuarkusTestProfile`.
+Sem Flyway nativo: a própria extension migra. O `ModuloDesligadoTest` usa `seedgrid.ai-pricing.enabled=false` via `QuarkusTestProfile`.
 
 ## 5. Aliases, obsoletas e renomeações
 Não encontradas. O prefixo duplo (`seedgrid.ai-pricing` contra `seedgrid.app.ai-pricing`) é uma inconsistência, não um alias.
 
 ## 6. Configuração mínima
-Nenhuma propriedade é obrigatória. No login-tenancy:
-
-```properties
-seedgrid.ai-pricing.migration.enabled=true
-```
+Nenhuma propriedade é obrigatória: colocou a extension, ela migra.
 
 O robô só funciona com um bean `AiPriceExtractor` do host (ver [[SeedGrid/Extensions/ai-pricing/Exemplos|Exemplos]]).
 
@@ -104,8 +97,8 @@ seedgrid.app.ai-pricing.timezone=America/Sao_Paulo
 # Default https://developers.openai.com/api/docs/pricing
 #seedgrid.app.ai-pricing.source-url=https://<pagina-de-precos>
 
-# (tenancies) aplicar as migrations V900-V903. Default false.
-seedgrid.ai-pricing.migration.enabled=true
+# Liga/desliga o módulo (migrations, robô e rotas). Default true.
+#seedgrid.ai-pricing.enabled=true
 ```
 
 ## 8. Receitas

package/seedgridKB/SeedGrid/Extensions/ai-pricing/Exemplos.md

@@ -90,8 +90,8 @@ Para cadastrar um modelo, `POST /admin/ai/models` recebe `{ "provider": "openai"
 ## 5. Configuração por tenancy
 
 ```properties
-# login-tenancy / subdomain-tenancy: aplicar V900–V903
-seedgrid.ai-pricing.migration.enabled=true
+# login-tenancy / subdomain-tenancy: a tenancy migra (V900–V903); o toggle é do módulo, default true
+#seedgrid.login-tenancy.modules.ai-pricing.enabled=true
 # subdomain-tenancy já define:
 # seedgrid.ai-pricing.persistence-unit=master
 ```

package/seedgridKB/SeedGrid/Extensions/ai-pricing/Visao-geral.md

@@ -18,7 +18,7 @@ Mantém o catálogo de modelos de LLM e o histórico de preços por 1M de tokens
 
 | Módulo | Artefato |
 |---|---|
-| parent | `br.com.seedgrid:seedgrid-ai-pricing-parent:2026.10.14` (parent `seedgrid-parent:2026.07.02`) |
+| parent | `br.com.seedgrid:seedgrid-ai-pricing-parent:2026.10.16` (parent `seedgrid-parent:2026.07.02`) |
 | runtime | `br.com.seedgrid:seedgrid-ai-pricing` |
 | deployment | `br.com.seedgrid:seedgrid-ai-pricing-deployment` |
 | integration-tests | não publicado |
@@ -94,7 +94,7 @@ Declarados em `AiPricingNotificationCatalog`:
 | V902 | seed de modelos OpenAI (`gpt-4.1-nano`, `gpt-4.1-mini`, `gpt-5.1`) e da config do robô (ligado, cron `0 0 6 * * ?`, `source_url` = página de preços da OpenAI) |
 | V903 | coluna `active` |
 
-Nos tenancies, o runner aplica essa location só quando `seedgrid.ai-pricing.migration.enabled=true` (default `false`, declarado em login-tenancy e subdomain-tenancy). Ver [[SeedGrid/Extensions/ai-pricing/Configuracao|Configuração]].
+A extension migra sozinha o datasource default na subida (sem flag). Nas tenancy, quem migra é a tenancy (master do subdomain-tenancy; banco único do login-tenancy), com o toggle `modules.ai-pricing.enabled` (default `true`). Ver [[SeedGrid/Extensions/ai-pricing/Configuracao|Configuração]].
 
 ## Testes (não executados)
 - `runtime/src/test`:

package/seedgridKB/SeedGrid/Extensions/business-days/Configuracao.md

@@ -0,0 +1,36 @@
+---
+tags: [seedgrid, extension, business-days, quarkus]
+fonte: java/seedgrid-quarkus-ext-business-days
+branch: (repositório ainda não criado)
+commit: —
+analisado-em: 2026-10-16
+---
+
+# Business days: configuração
+
+| Propriedade | Padrão | Efeito |
+|---|---|---|
+| `seedgrid.business-days.enabled` | `true` (env `SEEDGRID_BUSINESS_DAYS_ENABLED`) | Liga/desliga o módulo: desligado = sem migrations e rotas 404 (e fora do OpenAPI). |
+| `seedgrid.business-days.persistence-unit` | PU default | PU das tabelas. Vazio ou `<default>` = default. |
+| `seedgrid.business-days.max-range-days` | `36600` (env `SEEDGRID_BUSINESS_DAYS_MAX_RANGE_DAYS`) | Teto de dias nas consultas de intervalo. |
+| `seedgrid.migrations.host-managed` | `false` | Definido pelas tenancy: o runner da extension não age, a tenancy migra cada banco. |
+
+Mapear `br.com.seedgrid.businessdays.entities` na PU configurada (no subdomain-tenancy, na PU default; sem `packages` explícito o Quarkus já indexa).
+
+## Nas tenancy
+
+| Host | Toggle | Onde migra |
+|---|---|---|
+| login-tenancy | `seedgrid.login-tenancy.modules.business-days.enabled` (default `true`) | banco único, depois do security |
+| subdomain-tenancy | `seedgrid.subdomain-tenancy.modules.business-days.enabled` (default `true`) | master e cada tenant. Tenants já `READY`: mudar `migration.target-version` para aplicar o schema novo |
+
+Host que mantém calendário próprio (ex.: seedgrid-report) desliga: `seedgrid.login-tenancy.modules.business-days.enabled=false`.
+
+## Mínima
+
+Nenhuma propriedade é obrigatória: colocou a extension, ela migra.
+
+
+## Veja também
+
+[[SeedGrid/Extensions/business-days/Visao-geral|Visão geral]] · [[SeedGrid/Extensions/Catalogo-de-propriedades|Catálogo de propriedades]] · [[SeedGrid/Extensions/Indice|Índice das extensions]]

package/seedgridKB/SeedGrid/Extensions/business-days/Exemplos.md

@@ -0,0 +1,37 @@
+---
+tags: [seedgrid, extension, business-days, quarkus]
+fonte: java/seedgrid-quarkus-ext-business-days
+branch: (repositório ainda não criado)
+commit: —
+analisado-em: 2026-10-16
+---
+
+# Business days: exemplos
+
+## Usar o cálculo em código
+
+```java
+@Inject BusinessDayService service;
+
+boolean util = service.isBusinessDay(LocalDate.of(2026, 12, 25));
+LocalDate vencimento = service.addBusinessDays(LocalDate.of(2026, 10, 1), 5);
+```
+
+`BusinessCalendar` (pacote `utils`) é imutável e sem CDI/JPA: dá para montá-lo e testar sem Quarkus.
+
+## Cadastrar um feriado da empresa
+
+`POST /business-days/holidays` com `{ "name": "Aniversário da cidade", "month": 3, "day": 19, "year": null, "active": true }`. Com `year` preenchido o feriado vale só naquele ano (ex.: ponte).
+
+## Semana de trabalho
+
+`PUT /business-days/week-profile` com os sete dias, peso `1`, `0.5` ou `0`. `DELETE` volta ao padrão herdado (global ou segunda a sexta).
+
+## Host sem tenancy
+
+Basta a dependência `br.com.seedgrid:seedgrid-business-days`; a extension migra o datasource default e expõe as rotas.
+
+
+## Veja também
+
+[[SeedGrid/Extensions/business-days/Visao-geral|Visão geral]] · [[SeedGrid/Extensions/Catalogo-de-propriedades|Catálogo de propriedades]] · [[SeedGrid/Extensions/Indice|Índice das extensions]]

package/seedgridKB/SeedGrid/Extensions/business-days/Visao-geral.md

@@ -0,0 +1,48 @@
+---
+tags: [seedgrid, extension, business-days, quarkus]
+fonte: java/seedgrid-quarkus-ext-business-days
+branch: (repositório ainda não criado)
+commit: —
+analisado-em: 2026-10-16
+---
+
+# Business days (Quarkus): visão geral
+
+Calendário de dias úteis para hosts Quarkus: **feriados** (recorrentes ou de um ano específico), **semana de trabalho** (peso 0 / 0,5 / 1 por dia da semana) e cálculo de dias úteis (é dia útil?, contar, somar pesos, andar N dias úteis). Tabelas próprias (`business_day_*`), JPA puro (sem Panache).
+
+- Configuração: [[SeedGrid/Extensions/business-days/Configuracao|Configuração do business-days]]
+- Exemplos: [[SeedGrid/Extensions/business-days/Exemplos|Exemplos do business-days]]
+
+## Módulos e coordenadas
+
+| Módulo | Artefato |
+|---|---|
+| parent | `br.com.seedgrid:seedgrid-business-days-parent:2026.10.15` (parent `seedgrid-parent:2026.07.02`) |
+| runtime | `br.com.seedgrid:seedgrid-business-days` |
+| deployment | `br.com.seedgrid:seedgrid-business-days-deployment` |
+| integration-tests | não publicado (Testcontainers Postgres) |
+
+`seedgrid-security` é dependência **`provided`**: a extension funciona sozinha. Com a security no classpath o escopo é a **empresa corrente do token** (`SecurityBusinessDaysScopeProvider`, registrado pelo deployment só nesse caso); sem ela vale um calendário **global** (`GlobalBusinessDaysScopeProvider`). Para outro escopo, o host fornece a sua `BusinessDaysScopeProvider`.
+
+## Modelo
+
+- Dia útil = peso do dia da semana > 0 e não ser feriado (feriado zera o dia).
+- Feriado com `year` nulo repete todo ano; com `year` vale só naquele ano.
+- `company_id` nulo = feriado/perfil **global** (não é FK, a extension não depende da security). A empresa vê globais + os dela, mas só altera os dela.
+- Perfil da semana: COMPANY > GLOBAL > DEFAULT (segunda a sexta).
+
+## Migrations
+
+Faixa V1100–V1199, location `db/migration/business-days`, histórico `flyway_schema_history_business_days`.
+
+- **Sozinha no host**: colocou a dependência, ela migra o datasource default na subida (`BusinessDaysMigrationRunner`). Sem flag.
+- **Com login-tenancy / subdomain-tenancy**: a tenancy migra (`seedgrid.migrations.host-managed=true` faz o runner não agir). login-tenancy: banco único. subdomain-tenancy: **master e cada tenant**, cada um com o seu calendário (a PU default aponta para o master no domínio do admin e para o tenant nos demais).
+- Toggle: `seedgrid.business-days.enabled` (default `true`); nas tenancy vem de `modules.business-days.enabled`. Desligado = não migra e `/business-days/**` responde 404.
+
+## API
+
+`/business-days/holidays` (CRUD), `/business-days/week-profile` (GET/PUT/DELETE), `/business-days/calendar?year&month`, `/check?date`, `/count?from&to`, `/add?from&days`. Permissões `BUSINESS_DAY_READ/CREATE/UPDATE/DELETE` (sem audience, vinculadas ao ADMIN pela V1101).
+
+## Front nos boilerplates
+
+Menu **Dias úteis** (`/dias-uteis/*`): feriados (lista e edição), semana de trabalho e calendário; proxy em `app/api/business-days/[...path]`.

package/seedgridKB/SeedGrid/Extensions/exchange/Configuracao.md

@@ -51,11 +51,14 @@ Variáveis de ambiente pela regra MP, sem ambiguidade:
 
 Origem: `rt/entities/CurrencyEntity.java`, `rt/dtos/CurrencyUpsertRequest.java`, `runtime/src/main/resources/db/migration/exchange/V802__seed_currencies.sql`. A seed V802 cria `USD-BRL` com a fonte PTAX/BCB, `cotacaoVenda`, cron às 7h e fuso `America/Sao_Paulo`.
 
-### 2.3 Propriedades de outras extensions que governam o exchange
+### 2.3 Toggle do módulo
 
-| Propriedade | Dona | Padrão | Efeito |
-|---|---|---|---|
-| `seedgrid.exchange.migration.enabled` | login-tenancy (`LoginTenancyMigrationService`) e subdomain-tenancy (`flyway/MigrationService`) | `false` | Aplica `classpath:db/migration/exchange` com a tabela `flyway_schema_history_exchange`. Não é lida pela extension. |
+| Propriedade | Padrão | Efeito |
+|---|---|---|
+| `seedgrid.exchange.enabled` | `true` | `false`: sem migrations, sem scheduler e as rotas `/admin/exchange-rate`, `/admin/currencies` e `/admin/currency-exchange-rates` respondem 404. Nas tenancy o default vem de `seedgrid.<tenancy>.modules.exchange.enabled`. |
+| `seedgrid.migrations.host-managed` | `false` | `true` (definido pelas tenancy): o runner da extension não age; a tenancy migra cada banco. |
+
+A extension **sempre migra** o datasource default na subida (`ExchangeMigrationRunner`, histórico `flyway_schema_history_exchange`). Não existe mais `seedgrid.exchange.migration.enabled`.
 
 ## 3. Propriedades de frameworks
 
@@ -63,7 +66,6 @@ A extension não define nenhuma. Recomendações extraídas do `integration-test
 
 | Propriedade | Recomendação |
 |---|---|
-| `quarkus.flyway.locations` / `quarkus.flyway.table` | `db/migration/exchange` / `flyway_schema_history_exchange` (Flyway nativo). Nos tenancies, use `seedgrid.exchange.migration.enabled`. |
 | `quarkus.hibernate-orm.physical-naming-strategy` | `org.hibernate.boot.model.naming.CamelCaseToUnderscoresNamingStrategy` |
 | `quarkus.hibernate-orm.<pu>.packages` | Incluir `br.com.seedgrid.exchange.entities` na PU configurada (no subdomain-tenancy, só master). |
 | `quarkus.scheduler.enabled` | Os testes usam `false` para controlar os disparos. Em produção, deixe ligado. |
@@ -72,10 +74,6 @@ A extension não define nenhuma. Recomendações extraídas do `integration-test
 
 Arquivo `integration-tests/src/test/resources/application.properties`:
 - `quarkus.devservices.enabled=false`
-- `quarkus.flyway.migrate-at-start=true`
-- `quarkus.flyway.locations=db/migration/exchange,db/migration/exchange-test`
-- `quarkus.flyway.table=flyway_schema_history_exchange`
-- `quarkus.flyway.baseline-on-migrate=true`
 - naming strategy
 - `quarkus.hibernate-orm.schema-management.strategy=none`
 - `quarkus.scheduler.enabled=false`
@@ -86,11 +84,7 @@ Arquivo `integration-tests/src/test/resources/application.properties`:
 Não encontradas. Atenção: `seedgrid.app.business-timezone` é diferente de `seedgrid.billing.business-timezone` (ver [[SeedGrid/Extensions/billing/Configuracao|Configuração do billing]]).
 
 ## 6. Configuração mínima
-Nenhuma propriedade é obrigatória. Nos tenancies:
-
-```properties
-seedgrid.exchange.migration.enabled=true
-```
+Nenhuma propriedade é obrigatória: colocou a extension, ela migra.
 
 ## 7. Configuração completa comentada
 
@@ -102,8 +96,8 @@ seedgrid.exchange.migration.enabled=true
 # Default America/Sao_Paulo.
 seedgrid.app.business-timezone=America/Sao_Paulo
 
-# (tenancies) aplicar V800-V804. Default false.
-seedgrid.exchange.migration.enabled=true
+# Liga/desliga o módulo (migrations, scheduler e rotas). Default true.
+#seedgrid.exchange.enabled=true
 ```
 
 ## 8. Receitas

package/seedgridKB/SeedGrid/Extensions/exchange/Exemplos.md

@@ -22,7 +22,7 @@ Fonte: README.
 </dependency>
 ```
 
-Security e audit-core vêm do host. Nos tenancies, ligue também `seedgrid.exchange.migration.enabled=true`.
+Security e audit-core vêm do host. A extension migra sozinha; nas tenancy o toggle é `modules.exchange.enabled` (default `true`).
 
 ## 2. Cadastrar uma moeda com fonte PTAX
 
@@ -76,7 +76,7 @@ POST /admin/currency-exchange-rates/{publicId}/retry
 ## 5. Configuração (properties)
 
 ```properties
-seedgrid.exchange.migration.enabled=true          # tenancies
+#seedgrid.login-tenancy.modules.exchange.enabled=true   # tenancies (default true)
 #seedgrid.exchange.persistence-unit=master        # subdomain-tenancy já define
 seedgrid.app.business-timezone=America/Sao_Paulo  # fuso dos avisos
 ```

package/seedgridKB/SeedGrid/Extensions/exchange/Visao-geral.md

@@ -18,7 +18,7 @@ Câmbio para hosts Quarkus. Mantém moedas e cotações diárias, com histórico
 
 | Módulo | Artefato |
 |---|---|
-| parent | `br.com.seedgrid:seedgrid-exchange-parent:2026.10.14` (parent `seedgrid-parent:2026.07.02`) |
+| parent | `br.com.seedgrid:seedgrid-exchange-parent:2026.10.16` (parent `seedgrid-parent:2026.07.02`) |
 | runtime | `br.com.seedgrid:seedgrid-exchange` |
 | deployment | `br.com.seedgrid:seedgrid-exchange-deployment` |
 | integration-tests | não publicado |
@@ -106,7 +106,7 @@ Os `{id}` são `publicId`. **Confirmado** nos resources.
 | V803 | histórico PTAX sem `$select` |
 | V804 | `currency_exchange_rates.active` |
 
-Nos tenancies, o runner só aplica essas migrations com `seedgrid.exchange.migration.enabled=true` (default `false`).
+A extension migra sozinha o datasource default na subida (sem flag). Nas tenancy, quem migra é a tenancy (master do subdomain-tenancy; banco único do login-tenancy), com o toggle `modules.exchange.enabled` (default `true`).
 
 ## Testes (não executados)
 - `runtime/src/test`: `CurrencyRateNotificationTest`, `CurrencySourceResolverTest` e `ExchangeNotificationCatalogTest`.

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Configuracao.md

@@ -70,8 +70,6 @@ Total `seedgrid.login-tenancy.*`: **13 propriedades**.
 |---|---|---|---|---|---|---|---|---|---|
 | `seedgrid.audit.mongodb.database` | `Optional<String>` | nome de banco Mongo | — (deriva `<app.code>_audit_db`, ou `audit_db`) | Não | Override do banco Mongo de auditoria produzido pela foundation (banco único). | Audit MongoDB | Só existe bean se o Mongo estiver no classpath; conexão via `seedgrid.audit.mongodb.connection-string` (módulo audit — ver [[SeedGrid/Extensions/audit/Configuracao|audit]]) | Runtime | `LoginTenancyMongoAuditDatabaseProducer#auditDatabase` |
 | `seedgrid.audit.persistence.strategy` | `Optional<String>` | `jpa` (case-insensitive) habilita | — | Condicional (sem `jpa`, a migration de audit é pulada) | Decide se as migrations `db/migration/audit` rodam. | Orquestração | Chave do módulo audit | Runtime | `LoginTenancyMigrationService#isAuditJpa` |
-| `seedgrid.ai-pricing.migration.enabled` | `boolean` | `true`/`false` | `false` | Não | Roda `classpath:db/migration/ai-pricing` com `flyway_schema_history_ai_pricing`. | Hosts com ai-pricing | Mesma chave lida pelo `MigrationService` do subdomain-tenancy | Runtime | `LoginTenancyMigrationService#aiPricingMigrationsEnabled` |
-| `seedgrid.exchange.migration.enabled` | `boolean` | `true`/`false` | `false` | Não | Roda `classpath:db/migration/exchange` com `flyway_schema_history_exchange`. | Hosts com exchange | Idem | Runtime | `LoginTenancyMigrationService#exchangeMigrationsEnabled` |
 | `seedgrid.security.first-admin-user.email` | `Optional<String>` | e-mail | — | Não | Só lida para decidir logs/WARN e `firstAdminConfigured` no status. | Coordenação | Ver [[SeedGrid/Extensions/security/Configuracao|security]] | Runtime | `LoginTenancyBootstrapService`, `LoginTenancySecurityBridge` |
 | `seedgrid.security.jwt.issuer` | `Optional<String>` | URL/issuer | — | Não | Exibido em `security.jwtIssuer` no status. | Informativo | security | Runtime | `LoginTenancySecurityBridge` |
 | `seedgrid.show-dev-message` | `boolean` | `true`/`false` | `false` | Não | Inclui `devMessage` nos problem+json das exceções da login-tenancy. | Depuração | Mesma chave usada por security e billing | Runtime | `LoginTenancyApiExceptionExtension` (construtor) |
@@ -171,9 +169,10 @@ seedgrid.login-tenancy.modules.billing.enabled=true
 seedgrid.login-tenancy.modules.apikeys.enabled=true
 seedgrid.login-tenancy.modules.backup.enabled=true
 seedgrid.login-tenancy.modules.filemanagement.enabled=true
-# Migrations opcionais de produto
-seedgrid.ai-pricing.migration.enabled=false
-seedgrid.exchange.migration.enabled=false
+# Modulos de produto (default true): desligado = nao migra e as rotas respondem 404
+seedgrid.login-tenancy.modules.ai-pricing.enabled=true
+seedgrid.login-tenancy.modules.exchange.enabled=true
+seedgrid.login-tenancy.modules.business-days.enabled=true
 # Auditoria
 seedgrid.audit.persistence.strategy=jpa
 #seedgrid.audit.mongodb.database=<banco-de-auditoria>

package/seedgridKB/SeedGrid/Extensions/login-tenancy/Visao-geral.md

@@ -66,7 +66,7 @@ flowchart LR
     BI -- on --> BL[billing] --> AK
     BI -- off --> AK{modules.apikeys}
     AK -- on --> AP[apikeys] --> X
-    AK -- off --> X{ai-pricing / exchange<br/>migration.enabled}
+    AK -- off --> X{ai-pricing / exchange / business-days<br/>modules.*.enabled}
     X --> LT[login-tenancy<br/>V700-V703] --> APP["app (database.locations)<br/>flyway_schema_history"]
 ```
 

package/seedgridKB/SeedGrid/Extensions/subdomain-tenancy/Configuracao.md

@@ -176,8 +176,9 @@ As chaves têm efeito via ponte do `MPC` para o mailer nomeado `quarkus.mailer."
 | Propriedade | Padrão no consumo | Efeito aqui | Origem |
 |---|---|---|---|
 | `seedgrid.audit.persistence.strategy` | `—` | Só com `jpa` (case-insensitive) roda `db/migration/audit` no master e nos tenants | `RT/flyway/Migrations#migrateAuditSchema` |
-| `seedgrid.ai-pricing.migration.enabled` | `false` | Roda `db/migration/ai-pricing` no master | `RT/flyway/MigrationService` |
-| `seedgrid.exchange.migration.enabled` | `false` | Roda `db/migration/exchange` no master | `RT/flyway/MigrationService` |
+| `seedgrid.subdomain-tenancy.modules.ai-pricing.enabled` | `true` | Migra `db/migration/ai-pricing` no master; desligado = não migra e as rotas respondem 404 | `RT/flyway/Migrations` |
+| `seedgrid.subdomain-tenancy.modules.exchange.enabled` | `true` | Idem para `db/migration/exchange` (master) | `RT/flyway/Migrations` |
+| `seedgrid.subdomain-tenancy.modules.business-days.enabled` | `true` | Migra `db/migration/business-days` no master **e em cada tenant** (cada um com o seu calendário) | `RT/flyway/Migrations` |
 | `quarkus.mongodb.database` | `default_db` | Sufixo dos bancos Mongo por tenant no `MongoTenantResolverImpl` | `RT/mongodb/MongoTenantResolverImpl` |
 | `seedgrid.ratelimit.{tenant-signup\|tenant-validate-email\|tenant-resend-email}.{permits\|window\|enabled}` | anotação: 100/1 min, 10/1 min, 5/1 h; `enabled=true` | Overrides do `@SeedGridRateLimit` nos endpoints públicos (resilience) | `RT/controllers/TenantSignupController`; `java/seedgrid-quarkus-ext-resilience/.../SeedGridRateLimit.java` (Javadoc) |
 | `seedgrid.security.frontend.base-url` | (do security) | Base dos links de e-mail; `TenantSecurityLinks` insere `<tenant>.` no host em contexto de tenant | `RT/security/TenantSecurityLinks` (via `SecurityFrontendConfig`) |

package/seedgridKB/SeedGrid/Extensions/subdomain-tenancy/Visao-geral.md

@@ -72,8 +72,8 @@ flowchart LR
 - **Resolução** (Confirmado): `TenantResolutionFilter` lê `X-Forwarded-Host` (prioritário) ou `Host`, extrai o tenant com `TenantHostExtractor` e grava no `TenantContext` e no MDC (`tenantId`); sem tenant → `master`. O Javadoc do filtro deixa explícito que o default para `master` **não** é fronteira de segurança: o isolamento vem do JWT/API key serem resolvidos no banco do próprio tenant.
 - **JWT**: `SubdomainTenancyJwtTokenCustomizer` adiciona as claims `subdomain` e `audience` (`platform`/`client`); `SubdomainTenancyJwtTokenValidator` rejeita token cujo `subdomain` difere do host.
 - **Conexões**: `TenantConnectionResolverImpl` verifica no master se o tenant existe e está ativo (`TenantNotFoundException` caso contrário), cria `SimpleDriverDataSource` por tenant, aplica limite/evicção e circuit breaker. Detalhes dos parâmetros em [[SeedGrid/Extensions/subdomain-tenancy/Configuracao|Configuração]].
-- **Startup** (`MigrationService#onStart`, `@Priority(APPLICATION)`): no master roda, em ordem, security → audit (se `jpa`) → backup → billing → apikeys → ai-pricing/exchange (se habilitados) → subdomain-tenancy → `db/migration/master` (+ additional), depois `AdminUserBootstrapService#seedAdminUserIfNeeded`. Tenants não migram no boot por padrão.
-- **Signup → provisionamento**: `POST /public/tenants` grava o tenant pendente e envia OTP; `POST /public/tenants/validate-email` valida o código e chama `TenantProvisioningService#createTenantWithAdmin` (lock local + `pg_try_advisory_lock`, `CREATE DATABASE` idempotente, migrations security → tenant → audit → backup → apikeys, usuário root; rollback com `DROP DATABASE` se o banco foi criado no fluxo), depois `SubdomainBillingAccounts#ensureFor` (conta + trial no billing) e ativa o tenant.
+- **Startup** (`MigrationService#onStart`, `@Priority(APPLICATION)`): no master roda, em ordem, security → audit (se `jpa`) → backup → billing → apikeys → ai-pricing → exchange → business-days (módulos de produto, `modules.<x>.enabled`, default `true`) → subdomain-tenancy → `db/migration/master` (+ additional), depois `AdminUserBootstrapService#seedAdminUserIfNeeded`. Tenants não migram no boot por padrão.
+- **Signup → provisionamento**: `POST /public/tenants` grava o tenant pendente e envia OTP; `POST /public/tenants/validate-email` valida o código e chama `TenantProvisioningService#createTenantWithAdmin` (lock local + `pg_try_advisory_lock`, `CREATE DATABASE` idempotente, migrations security → tenant → audit → backup → apikeys → business-days, usuário root; rollback com `DROP DATABASE` se o banco foi criado no fluxo), depois `SubdomainBillingAccounts#ensureFor` (conta + trial no billing) e ativa o tenant.
 - **Migração por tenant**: `TenantMigrationCoordinator` com estado em `tenant_migration_state` (`PENDING`/`MIGRATING`/`READY`/`FAILED`), lock com fencing token e heartbeat. Gatilhos: login (gate devolve `503` + `Retry-After: 15`), endpoint manual, ou boot.
 - **Limpeza**: `TenantCleanupScheduler` remove do master os cadastros não validados mais velhos que o TTL (não remove o banco — ver Limitações).
 

package/seedgridKB/SeedGrid/Mapa-dos-repositorios.md

@@ -25,6 +25,7 @@ Estado na análise (2026-10-14): todos na branch `main` e **sem alterações loc
 | `seedgrid-quarkus-ext-billing` | Extension (core + stripe) | 2026.10.14 | `ba38efc347` | 2026-10-14 | [[SeedGrid/Extensions/billing/Visao-geral\|billing]] |
 | `seedgrid-quarkus-ext-ai-pricing` | Extension | 2026.10.13 | `0608ca66b5` | 2026-10-13 | [[SeedGrid/Extensions/ai-pricing/Visao-geral\|ai-pricing]] |
 | `seedgrid-quarkus-ext-exchange` | Extension | 2026.10.13 | `30f1fd6005` | 2026-10-13 | [[SeedGrid/Extensions/exchange/Visao-geral\|exchange]] |
+| `seedgrid-quarkus-ext-business-days` | Extension (repositório ainda não criado) | 2026.10.15 | — | 2026-10-16 | [[SeedGrid/Extensions/business-days/Visao-geral|business-days]] |
 | `seedgrid-quarkus-ext-audit` | Extension (core + postgresql + mongodb) | 2026.09.25 | `d5bf32e509` | 2026-09-25 | [[SeedGrid/Extensions/audit/Visao-geral\|audit]] |
 | `seedgrid-quarkus-ext-backup` | Extension | 2026.10.09 | `3bed4075ea` | 2026-10-10 | [[SeedGrid/Extensions/backup/Visao-geral\|backup]] |
 | `seedgrid-quarkus-ext-notification` | Extension (+ `api`) | 2026.10.15 | `3d00bee` | 2026-10-15 | [[SeedGrid/Extensions/notification/Visao-geral\|notification]] |
@@ -64,6 +65,14 @@ Documentação: [[SeedGrid/SeedGrid-components/Indice|Índice dos componentes]].
 
 `front/next-projects/` contém apenas documentação de padrões/decisões (sem código) e não foi analisado.
 
+### Produtos (`seedgrid-products/`)
+
+Fora de `seedgrid-platform`; consomem as crates/extensions acima.
+
+| Repositório | Tipo | Versão | Commit | Consome | Nota |
+|---|---|---|---|---|---|
+| `seedgrid-pulse` | Produto (servidor Rust + UI Next.js + SDKs) | 0.3.0 (servidor e UI) | `9dcbdad` | crates `security`, `login-tenancy`, `audit`, `apikeys`, `broker-*` (por path dependency) | [[SeedGrid/Produtos/Pulse/Visao-geral\|Pulse]] |
+
 ## Dependências entre módulos Java
 
 Extraído dos `pom.xml` (excluindo `deployment` e `integration-tests`). Escopo `compile` salvo indicação.

package/seedgridKB/SeedGrid/Produtos/Pulse/Autenticacao-e-chaves.md

@@ -0,0 +1,89 @@
+---
+tags: [seedgrid, produto, pulse, autenticacao, chaves, seguranca]
+fonte: seedgrid-products/seedgrid-pulse (backend/env.md, backend/PROTOCOL.md, migrations)
+branch: main
+commit: 9dcbdad
+analisado-em: 2026-10-16
+---
+
+# Pulse — autenticação, chaves e permissions
+
+O Pulse tem **credenciais distintas para atores distintos**. Elas nunca se substituem; mandar a errada é o erro mais comum de integração.
+
+Voltar: [[SeedGrid/Produtos/Pulse/Visao-geral|Visão geral]]
+
+## Quem usa o quê
+
+| Ator | Credencial | Como envia | Serve para |
+|---|---|---|---|
+| **Backend de produto** (publica) | chave de conta **`project`** (`pulsek_…`) 🔒 | `x-api-key` ou `Authorization: Bearer` | publicar **só na conta da chave** e emitir token curto. **Não conecta** no WebSocket |
+| **Navegador / app** (recebe) | **token curto** `pct_…` | `?access_token=` ou subprotocolo | conectar como **um usuário** (`subject`) da conta |
+| **Agente instalado / serviço** (recebe) | chave de conta **`client`** 🔒 (com ou sem `subject`) | header, `?access_token=` ou subprotocolo | conectar como a conta (e, com `subject`, como um usuário). **Não publica** (403) |
+| **Operação do Pulse** | `SEEDGRID_PULSE_SERVER_KEY` 🔒 | `x-api-key` | gerenciar contas/chaves e métricas. **Não publica** (403) |
+| **Operador humano** (UI) | JWT do `security` | `Authorization: Bearer` | telas por **permission**; publica em qualquer conta com `PULSE_MESSAGE_PUBLISH` informando `accountId` |
+
+Regras que mordem:
+
+- O `kind` da chave (`project` \| `client`) é **obrigatório na emissão** e preservado na rotação. Chave `project` não tem `subject` (422).
+- Quem publica é decidido pelo **`kind`**, não pelo `subject`.
+- A chave de servidor **não vai para produto nenhum**.
+- Chave `project` **nunca no navegador** nem em app distribuído.
+
+## Contas e chaves
+
+- **Conta** = fronteira de isolamento (entrega e replay nunca cruzam contas). Um produto ↔ uma ou mais contas.
+- Criar chave: UI **Contas → conta → Chaves → Nova chave**, ou `POST /api/v1/accounts/{id}/keys` com `{ "name", "kind", "subject"? }`.
+- O **segredo aparece uma vez** (UI com botão de copiar; API no campo `secret`). Depois só resta o prefixo (`keyPrefix`). Perdeu → **rotacionar** (`POST /accounts/{id}/keys/{keyId}/rotate`).
+- A chave vive no banco (por conta, revogável, rotacionável); o banco guarda hash + prefixo. Revogar/rotacionar uma chave `client` ou revogar a conta derruba as conexões dela **na hora**, em todas as instâncias (fecha com `4403`).
+- **Revogar** é conceito da **chave**. A **conta** não se revoga: vai para a **lixeira de contas** e depois é apagada (ver [[SeedGrid/Produtos/Pulse/Servidor/Operacao|Operação]]).
+
+### O `subject` da chave
+
+Definido na emissão e **imutável** (rotação preserva). É o `user` do protocolo. Use um id estável e não-PII (`usr_7f3a9c1e`, `agent:<uuid>`): nunca e-mail nem hostname. Sem `subject` = credencial de serviço (sem `user`, sem grupo implícito).
+
+## Token curto de conexão (cliente sem segredo)
+
+O cliente nunca recebe chave. O **backend do produto**, com a chave `project`, pede um token para o usuário **da sessão** e devolve só o token:
+
+```http
+POST /api/v1/connect-tokens
+x-api-key: <chave project>
+
+{ "subject": "<publicId da sessão>", "ttlSeconds": 300, "channels": ["orders"] }
+```
+
+```json
+{ "token": "pct_…", "expiresAt": 1791205500, "connectUrl": "wss://…/api/v1/connect" }
+```
+
+- `subject`: **da sessão, nunca de parâmetro do request** (senão um usuário pede token em nome de outro).
+- `ttlSeconds` (padrão 300, teto 900): janela para **conectar**. A conexão aberta segue depois do vencimento até cair ou a credencial ser revogada.
+- `channels` (opcional): restringe o que pode assinar (`channel_not_allowed` fora disso).
+- `connectUrl` só vem se `SEEDGRID_PULSE_PUBLIC_WS_URL` estiver configurada.
+- Erros: 401 chave inválida · 403 chave `client`/de servidor · 422 validação · 429 limite (com `Retry-After`) · 503 sem `SEEDGRID_PULSE_CONNECT_TOKEN_SECRET`.
+- O token é assinado (HMAC-SHA256). Revogar a chave `project` que o emitiu ou a conta o invalida.
+- Os SDKs subscriber pedem token a **cada (re)conexão** via `getToken`.
+
+## Operador humano: JWT e permissions
+
+Login pelo `security` (JWT RS256, 2FA opcional). Cada endpoint administrativo exige uma **permission** (ou a chave de servidor, para automação). O papel `ADMIN` herda as da migration; outros perfis são configurados em **Segurança → Perfis**.
+
+| Grupo | Permissions |
+|---|---|
+| Mensagens | `PULSE_MESSAGE_READ`, `PULSE_MESSAGE_PUBLISH`, `PULSE_MESSAGE_DELETE`, `PULSE_MESSAGE_PURGE` |
+| Pendências / DLQ | `PULSE_BACKLOG_READ`, `PULSE_BACKLOG_DISCARD`, `PULSE_DLQ_READ`, `PULSE_DLQ_REPLAY`, `PULSE_DLQ_CLEAN` |
+| Conexões / métricas / ajustes | `PULSE_CONNECTION_READ`, `PULSE_METRIC_READ`, `PULSE_SETTINGS_READ`, `PULSE_SETTINGS_UPDATE` |
+| Contas | `PULSE_ACCOUNT_READ`, `_CREATE`, `_UPDATE`, `_REVOKE`, `PULSE_ACCOUNT_DELETE`, `PULSE_ACCOUNT_PURGE` |
+| Chaves | `PULSE_KEY_READ`, `_CREATE`, `_ROTATE`, `_REVOKE`, `_PURGE` |
+| Segurança | `PULSE_SECURITY_READ`, `_ADMIN`, `_USER_MANAGE`, `_ROLE_MANAGE` |
+
+(Confirmado nas migrations `backend/migrations/tenant/`. As quatro de lixeira vêm da `0012`, concedidas só ao ADMIN; `DELETE` e `PURGE` são separadas de propósito.)
+
+**Operações destrutivas**: exigem JWT humano (a chave de servidor recebe 401, pois toda exclusão precisa de autor) e gravam **audit** (quem, o quê, quantos).
+
+## Boas práticas
+
+- Chave `project` em variável de ambiente/secret do backend; rotacione ao suspeitar de vazamento.
+- Um `subject` por pessoa (id estável), nunca compartilhado entre pessoas.
+- Cliente de navegador/mobile: **sempre** token curto, nunca chave.
+- Exemplos de demo nos repositórios de exemplo usam chaves de demonstração; não as use fora de dev.