@semacode/cli 1.5.35 → 1.5.36

package/docs/agentes-por-capacidade.md

@@ -10,6 +10,19 @@ Arquivos gerados ou governados pela Sema devem manter o marcador `SEMA-GOVERNED`
 - Média: Se abrir código com SEMA-GOVERNED, rode docs-impacto e drift antes de alterar comportamento.
 - Forte: Se abrir código com SEMA-GOVERNED, pode inspecionar AST/IR e código completo, mas mantém contrato primeiro, drift e finalizar-mudanca.
 
+## Design Visual
+
+Quando a tarefa envolve interface, app, site, dashboard, painel, formulário, landing, jogo ou artefato visual, o Sema governa também qualidade visual. Modernidade, identidade, responsividade, estados e evidência visual não são extras opcionais.
+
+- Fraca: Use um padrão moderno seguro: hierarquia clara, espaçamento consistente, paleta com contraste, estados básicos, responsivo mobile/desktop e nada de formulário cinza genérico. Se não conseguir validar visualmente, pare e peça revisão.
+  Evidência: descrever padrão visual escolhido, confirmar responsividade básica, listar estados essenciais.
+- Média: Defina intenção visual antes de codar: público, domínio, densidade, tokens, componentes, estados, responsividade e anti-2010. Rode ou peça screenshot/browser check quando houver UI.
+  Evidência: registrar tokens e componentes usados, validar desktop e mobile, corrigir texto sobreposto.
+- Forte: Crie direção visual específica do domínio, use assets reais/gerados quando fizer sentido, refine microinterações e faça verificação visual em desktop/mobile com screenshot e correção de overlap.
+  Evidência: screenshot desktop/mobile, verificação de assets e renderização, auditoria de contraste, hierarquia e estado vazio.
+- Proibido: interface_generica_2010, formularios_sem_hierarquia_visual, cards_cinzas_sem_identidade, layout_sem_responsividade_real, texto_estourando_ou_sobreposto, sem_estados_de_hover_focus_loading_erro_vazio, sem_assets_quando_o_dominio_pede_visual, copiar_estetica_do_contrato_para_ui.
+- Critérios mínimos: não parecer template de 2010, hierarquia visual clara, paleta com contraste e identidade do domínio, responsividade mobile e desktop, estados de hover, focus, loading, erro e vazio quando aplicáveis, texto sem overlap ou estouro, componentes coerentes com o workflow real.
+
 ## Fraca
 
 Use para Copilot em modo simples, Cline/Roo com pouco contexto, modelos locais pequenos e agentes que ignoram instrução longa.

package/docs/api.md

@@ -2,14 +2,14 @@
 
 ## English
 
-Sema's public repository exposes the open language, CLI, contracts, examples, and editor support. It does not expose the private hosted MCP control plane, account APIs, OAuth internals, dashboards, audit storage, or commercial runtime governance APIs.
+Sema is private end to end. The only public installation channel is the npm installer/client `@semacode/cli`; the product repository, hosted MCP control plane, account APIs, OAuth internals, dashboards, audit storage, and commercial runtime governance APIs stay private.
 
 ### Public Surfaces
 
-- CLI commands documented in `README.md`, `docs/README.md`, and `docs/profiles.md`.
-- `.sema` contracts under `contratos/` and public examples under `exemplos/`.
-- Release artifacts generated by the public release scripts.
-- Editor support and local validation flows.
+- CLI installer/client commands documented in `README.md`, `docs/README.md`, and `docs/profiles.md`.
+- Official `.sema` examples exposed through the CLI package or authorized MCP tools.
+- Editor support installed from private/local VSIX artifacts.
+- Local validation flows executed by authorized users or agents.
 
 ### Private Or Commercial Surfaces
 
@@ -24,19 +24,19 @@ When a change touches an endpoint, webhook, CLI command, or MCP tool, the agent
 
 - declare or update the applicable `.sema` contract before code;
 - validate authentication, authorization, tenant/workspace boundaries, idempotency, auditability, and rollback expectations;
-- keep private endpoints and commercial control-plane details out of the public repository;
-- run Sema validation and public repository boundary checks before release.
+- keep private endpoints and commercial control-plane details out of distributable artifacts;
+- run Sema validation and private-boundary checks before publishing the npm installer.
 
 ## Português
 
-O repositório público do Sema expõe a linguagem aberta, CLI, contratos, exemplos e suporte de editor. Ele não expõe o control plane MCP hospedado, APIs de conta, detalhes internos de OAuth, dashboards, armazenamento de auditoria ou APIs comerciais de runtime governance.
+O Sema é privado de ponta a ponta. O único canal público de instalação é o instalador/cliente npm `@semacode/cli`; repositório de produto, control plane MCP hospedado, APIs de conta, detalhes internos de OAuth, dashboards, armazenamento de auditoria e APIs comerciais de runtime governance ficam privados.
 
 ### Superfícies Públicas
 
-- Comandos da CLI documentados em `README.md`, `docs/README.md` e `docs/profiles.md`.
-- Contratos `.sema` em `contratos/` e exemplos públicos em `exemplos/`.
-- Artefatos de release gerados pelos scripts públicos de release.
-- Suporte de editor e fluxos locais de validação.
+- Comandos do instalador/cliente CLI documentados em `README.md`, `docs/README.md` e `docs/profiles.md`.
+- Exemplos oficiais `.sema` expostos pelo pacote CLI ou por ferramentas MCP autorizadas.
+- Suporte de editor instalado a partir de VSIX privada/local.
+- Fluxos locais de validação executados por usuários ou agentes autorizados.
 
 ### Superfícies Privadas Ou Comerciais
 
@@ -51,19 +51,19 @@ Quando uma mudança toca endpoint, webhook, comando de CLI ou ferramenta MCP, a
 
 - declarar ou atualizar o contrato `.sema` aplicável antes do código;
 - validar autenticação, autorização, fronteira de tenant/workspace, idempotência, auditoria e expectativa de rollback;
-- manter endpoints privados e detalhes comerciais do control plane fora do repositório público;
-- rodar validação Sema e checagem de fronteira pública antes do release.
+- manter endpoints privados e detalhes comerciais do control plane fora de artefatos distribuíveis;
+- rodar validação Sema e checagem de fronteira privada antes de publicar o instalador npm.
 
 ## Español
 
-El repositorio público de Sema expone el lenguaje abierto, CLI, contratos, ejemplos y soporte de editor. No expone el control plane MCP hospedado, APIs de cuenta, detalles internos de OAuth, dashboards, almacenamiento de auditoría ni APIs comerciales de runtime governance.
+Sema es privado de punta a punta. El único canal público de instalación es el instalador/cliente npm `@semacode/cli`; el repositorio de producto, el control plane MCP hospedado, APIs de cuenta, detalles internos de OAuth, dashboards, almacenamiento de auditoría y APIs comerciales de runtime governance permanecen privados.
 
 ### Superficies Públicas
 
-- Comandos de la CLI documentados en `README.md`, `docs/README.md` y `docs/profiles.md`.
-- Contratos `.sema` en `contratos/` y ejemplos públicos en `exemplos/`.
-- Artefactos de release generados por los scripts públicos de release.
-- Soporte de editor y flujos locales de validación.
+- Comandos del instalador/cliente CLI documentados en `README.md`, `docs/README.md` y `docs/profiles.md`.
+- Ejemplos oficiales `.sema` expuestos por el paquete CLI o por herramientas MCP autorizadas.
+- Soporte de editor instalado desde VSIX privada/local.
+- Flujos locales de validación ejecutados por usuarios o agentes autorizados.
 
 ### Superficies Privadas O Comerciales
 
@@ -78,5 +78,5 @@ Cuando un cambio toca un endpoint, webhook, comando de CLI o herramienta MCP, la
 
 - declarar o actualizar el contrato `.sema` aplicable antes del código;
 - validar autenticación, autorización, frontera de tenant/workspace, idempotencia, auditoría y expectativa de rollback;
-- mantener endpoints privados y detalles comerciales del control plane fuera del repositorio público;
-- ejecutar validación Sema y chequeo de frontera pública antes del release.
+- mantener endpoints privados y detalles comerciales del control plane fuera de artefactos distribuibles;
+- ejecutar validación Sema y chequeo de frontera privada antes de publicar el instalador npm.

package/docs/cli.md

@@ -7,7 +7,7 @@
 
 ## English
 
-The Sema CLI is installed from the public npm package `@semacode/cli`. It is not the commercial coordinator and it does not publish the MCP server or product control plane.
+The Sema CLI is installed from the `@semacode/cli` npm installer package. It is not the commercial coordinator and it does not publish the MCP server or product control plane.
 
 Use it for the work the MCP authorizes:
 
@@ -36,7 +36,7 @@ sema finalizar-mudanca --intencao "alterar pedidos" --doc-lida README.md --json
 
 ## Português
 
-A CLI da Sema é instalada pelo pacote npm público `@semacode/cli`. Ela não é o coordenador comercial e não publica o servidor MCP nem o control plane do produto.
+A CLI da Sema é instalada pelo pacote npm do instalador `@semacode/cli`. Ela não é o coordenador comercial e não publica o servidor MCP nem o control plane do produto.
 
 Use a CLI para o trabalho que o MCP autorizar:
 
@@ -65,7 +65,7 @@ sema finalizar-mudanca --intencao "alterar pedidos" --doc-lida README.md --json
 
 ## Español
 
-La CLI de Sema se instala desde el paquete npm público `@semacode/cli`. No es el coordinador comercial y no publica el servidor MCP ni el control plane del producto.
+La CLI de Sema se instala desde el paquete npm instalador `@semacode/cli`. No es el coordinador comercial y no publica el servidor MCP ni el control plane del producto.
 
 Usa la CLI para el trabajo que el MCP autorice:
 

package/docs/env.md

@@ -11,16 +11,15 @@ Ambiente necessário para publicar a Sema.
 ## Ferramentas
 
 - Node.js LTS com `npm`.
-- Git com acesso push ao remoto `origin`.
-- GitHub CLI (`gh`) autenticado.
-- VS Code CLI (`code`) para instalar a VSIX localmente.
-- PowerShell no Windows.
+- Git com acesso ao repositório privado.
+- VS Code CLI (`code`) para instalar a VSIX localmente.
+- PowerShell no Windows.
 
-## Variaveis suportadas pelos instaladores publicos
-
-- `SEMA_REPO`: repositório GitHub usado para baixar assets. Padrão: `gerlanss/Sema`.
-- `SEMA_NPM_PACKAGE`: pacote da CLI. Padrão: `@semacode/cli`.
-- `SEMA_VERSION`: versão usada pelo `install-sema.sh`. Padrão: `latest`.
+## Variaveis suportadas pelos instaladores
+
+- `SEMA_NPM_PACKAGE`: pacote da CLI. Padrão: `@semacode/cli`.
+- `SEMA_VERSION`: versão usada pelo `install-sema.sh`. Padrão: `latest`.
+- `SEMA_VSIX_PATH`: caminho privado/local para a VSIX quando usar `--with-vscode`.
 
 No PowerShell, o instalador recebe a versão por parametro:
 
@@ -37,8 +36,7 @@ SEMA_VERSION=1.5.35 ./install-sema.sh --with-vscode
 ## Credenciais
 
 - NPM deve estar logado antes de publicar: `npm whoami`.
-- GitHub CLI deve estar logado antes de criar release: `gh auth status`.
-- Nunca registre tokens em docs, logs ou release notes.
+- Nunca registre tokens em docs, logs ou release notes.
 
 ## Registro NPM
 
@@ -100,16 +98,14 @@ Nunca publique `/mcp` ou `/sse` na internet sem chave comercial bearer por reque
 
 O limite de bytes e validado antes de gravar espelhos remotos ou executar contratos inline. Clientes MCP devem respeitar o limite anunciado no schema da ferramenta e dividir snapshots grandes em arquivos focados, sem enviar repositorio inteiro.
 
-## GitHub Release
-
-O tag público deve seguir `v<versao>`, por exemplo `v1.5.35`.
-
-Os assets ficam em `.tmp/release-assets` e sao derivados dos scripts versionados no repositório.
-
-Depois de publicar, rode:
-
-```bash
-npm run release:verificar-publica
-```
-
-Esse check cruza README/docs, manifestos, npm, GitHub Latest, assets publicados, CLI local e VSIX instalada quando o VS Code CLI está disponivel.
+## Distribuição
+
+A Sema não tem repositório público de produto nem GitHub Release pública. O npm fica restrito ao instalador/cliente `@semacode/cli`.
+
+Depois de empacotar ou publicar o instalador, rode:
+
+```bash
+node scripts/verificar-distribuicao-publica.mjs --json
+```
+
+Esse check cruza manifestos, npm e CLI local, além de garantir que GitHub Release pública e assets abertos de produto continuam bloqueados.

package/docs/instalacao-e-primeiro-uso.md

@@ -17,7 +17,7 @@ Install the governed CLI/client from npm when a local IDE or VPS mirror needs th
 npm install -g @semacode/cli
 ```
 
-The MCP server remains the private product surface. Do not install the MCP from a public npm package; configure the authorized remote `/mcp` endpoint instead.
+The MCP server remains the private product surface. Do not install the MCP from the npm installer package; configure the authorized remote `/mcp` endpoint instead.
 
 ## Português
 
@@ -31,7 +31,7 @@ Instale a CLI/cliente governada pelo npm quando uma IDE local ou espelho na VPS
 npm install -g @semacode/cli
 ```
 
-O servidor MCP continua sendo a superfície privada do produto. Não instale o MCP por pacote npm público; configure o endpoint remoto `/mcp` autorizado.
+O servidor MCP continua sendo a superfície privada do produto. Não instale o MCP pelo pacote npm do instalador; configure o endpoint remoto `/mcp` autorizado.
 
 ## Español
 
@@ -45,4 +45,4 @@ Instala la CLI/cliente gobernada desde npm cuando una IDE local o espejo en la V
 npm install -g @semacode/cli
 ```
 
-El servidor MCP sigue siendo la superficie privada del producto. No instales el MCP desde un paquete npm público; configura el endpoint remoto `/mcp` autorizado.
+El servidor MCP sigue siendo la superficie privada del producto. No instales el MCP desde el paquete npm instalador; configura el endpoint remoto `/mcp` autorizado.

package/docs/repositories.md

@@ -2,23 +2,23 @@
 
 <!-- sema:i18n -->
 > EN: English first.
-> PT: Português depois.
-> ES: Español al final.
+> PT: Português depois.
+> ES: Español al final.
 
 ## English
 
-Sema is private by default, with one public installation path: `@semacode/cli` on npm. There is no public product repository, no public MCP package surface, and no active `public/` versus `private/` repository split.
+Sema is private end to end, with one npm installation channel for the governed client: `@semacode/cli`. There is no public product repository, no public MCP package surface, no public GitHub Release, and no active `public/` versus `private/` repository split.
 
 The active tree lives at the repository root: `contratos/`, `pacotes/`, `mcp/`, `site/`, `supabase/`, `deploy/`, `docs/`, `scripts/`, and `testes/`.
 
 The operating model is:
 
 - The MCP is the private coordinator: it authenticates clients, selects the right project or mirror, charges SEMAS, decides the required contract/profile flow, and returns the operational verdict.
-- The CLI is distributed as the public npm installer/client `@semacode/cli`, then acts as the governed executor: it reads contracts, validates, checks drift, builds AI-first context, and performs local or server-side actions requested by the MCP.
+- The CLI is distributed through the npm installer/client `@semacode/cli`, then acts as the governed executor: it reads contracts, validates, checks drift, builds AI-first context, and performs local or server-side actions requested by the MCP.
 - Web chats remain supported because the private MCP keeps a CLI installed on the VPS and runs it against authorized mirrors under `/srv/sema/projetos/...`.
 - Local IDEs remain supported by sending typed snapshots, selected code, docs, and indexes to the MCP; when local full-code drift is required, the installed CLI can run inside the IDE environment.
 
-Public distribution is allowed only for the governed CLI installer. If a script tries to publish the MCP server, product release assets, secrets, control-plane code, or any public package outside `@semacode/cli`, it must fail before any artifact is created.
+Distribution outside the private boundary is allowed only for the governed CLI installer. If a script tries to publish the MCP server, product release assets, secrets, control-plane code, GitHub Release, or any public package outside `@semacode/cli`, it must fail before any artifact is created.
 
 Use the private boundary check:
 
@@ -26,20 +26,20 @@ Use the private boundary check:
 npm run repo:verificar-privado
 ```
 
-## Português
+## Português
 
-O Sema agora e privado por padrao, com um caminho publico de instalacao: `@semacode/cli` no npm. Nao existe repositorio publico de produto, superficie MCP publica como pacote aberto nem divisao ativa entre `public/` e `private/`.
+O Sema é privado de ponta a ponta, com um canal npm para o cliente governado: `@semacode/cli`. Não existe repositório público de produto, superfície MCP pública como pacote aberto, GitHub Release pública nem divisão ativa entre `public/` e `private/`.
 
-A arvore ativa vive na raiz do repositorio: `contratos/`, `pacotes/`, `mcp/`, `site/`, `supabase/`, `deploy/`, `docs/`, `scripts/` e `testes/`.
+A árvore ativa vive na raiz do repositório: `contratos/`, `pacotes/`, `mcp/`, `site/`, `supabase/`, `deploy/`, `docs/`, `scripts/` e `testes/`.
 
-O modelo operacional é:
+O modelo operacional é:
 
-- O MCP é o coordenador privado: autentica clientes, escolhe o projeto ou espelho correto, cobra SEMAS, decide o fluxo de contrato/profile obrigatório e devolve o veredito operacional.
-- A CLI e distribuida como instalador/cliente publico `@semacode/cli` no npm e depois atua como executor governado: le contratos, valida, mede drift, monta contexto IA-first e executa acoes locais ou no servidor quando o MCP pedir.
-- Chats web continuam suportados porque o MCP privado mantém uma CLI instalada na VPS e executa contra espelhos autorizados em `/srv/sema/projetos/...`.
-- IDEs locais continuam suportadas enviando snapshots tipados, codigo selecionado, docs e indice para o MCP; quando drift completo local for necessario, a CLI instalada pode rodar dentro do ambiente da IDE.
+- O MCP é o coordenador privado: autentica clientes, escolhe o projeto ou espelho correto, cobra SEMAS, decide o fluxo de contrato/profile obrigatório e devolve o veredito operacional.
+- A CLI é distribuída pelo instalador/cliente npm `@semacode/cli` e depois atua como executor governado: lê contratos, valida, mede drift, monta contexto IA-first e executa ações locais ou no servidor quando o MCP pedir.
+- Chats web continuam suportados porque o MCP privado mantém uma CLI instalada na VPS e executa contra espelhos autorizados em `/srv/sema/projetos/...`.
+- IDEs locais continuam suportadas enviando snapshots tipados, código selecionado, docs e índice para o MCP; quando drift completo local for necessário, a CLI instalada pode rodar dentro do ambiente da IDE.
 
-Distribuicao publica so e permitida para o instalador CLI governado. Se algum script tentar publicar o servidor MCP, assets de release de produto, segredos, control plane ou qualquer pacote publico fora de `@semacode/cli`, ele deve falhar antes de criar qualquer artefato.
+Distribuição fora da fronteira privada só é permitida para o instalador CLI governado. Se algum script tentar publicar o servidor MCP, assets de release de produto, segredos, control plane, GitHub Release ou qualquer pacote público fora de `@semacode/cli`, ele deve falhar antes de criar qualquer artefato.
 
 Use a checagem de fronteira privada:
 
@@ -47,22 +47,22 @@ Use a checagem de fronteira privada:
 npm run repo:verificar-privado
 ```
 
-## Español
+## Español
 
-Sema ahora es privado por defecto, con una ruta publica de instalacion: `@semacode/cli` en npm. No existe repositorio publico de producto, superficie MCP publica como paquete abierto ni division activa entre `public/` y `private/`.
+Sema es privado de punta a punta, con un canal npm para el cliente gobernado: `@semacode/cli`. No existe repositorio público de producto, superficie MCP pública como paquete abierto, GitHub Release pública ni división activa entre `public/` y `private/`.
 
-El arbol activo vive en la raiz del repositorio: `contratos/`, `pacotes/`, `mcp/`, `site/`, `supabase/`, `deploy/`, `docs/`, `scripts/` y `testes/`.
+El árbol activo vive en la raíz del repositorio: `contratos/`, `pacotes/`, `mcp/`, `site/`, `supabase/`, `deploy/`, `docs/`, `scripts/` y `testes/`.
 
 El modelo operativo es:
 
 - El MCP es el coordinador privado: autentica clientes, elige el proyecto o espejo correcto, cobra SEMAS, decide el flujo obligatorio de contrato/profile y devuelve el veredicto operativo.
-- La CLI se distribuye como instalador/cliente publico `@semacode/cli` en npm y luego actua como ejecutor gobernado: lee contratos, valida, mide drift, prepara contexto IA-first y ejecuta acciones locales o del servidor cuando el MCP lo solicita.
+- La CLI se distribuye por el instalador/cliente npm `@semacode/cli` y luego actúa como ejecutor gobernado: lee contratos, valida, mide drift, prepara contexto IA-first y ejecuta acciones locales o del servidor cuando el MCP lo solicita.
 - Los chats web siguen soportados porque el MCP privado mantiene una CLI instalada en la VPS y la ejecuta contra espejos autorizados en `/srv/sema/projetos/...`.
-- Las IDEs locales siguen soportadas enviando snapshots tipados, codigo seleccionado, docs e indice al MCP; cuando haga falta drift completo local, la CLI instalada puede correr dentro del entorno de la IDE.
+- Las IDEs locales siguen soportadas enviando snapshots tipados, código seleccionado, docs e índice al MCP; cuando haga falta drift completo local, la CLI instalada puede correr dentro del entorno de la IDE.
 
-La distribucion publica solo se permite para el instalador CLI gobernado. Si un script intenta publicar el servidor MCP, assets de release de producto, secretos, control plane o cualquier paquete publico fuera de `@semacode/cli`, debe fallar antes de crear cualquier artefacto.
+La distribución fuera de la frontera privada solo se permite para el instalador CLI gobernado. Si un script intenta publicar el servidor MCP, assets de release de producto, secretos, control plane, GitHub Release o cualquier paquete público fuera de `@semacode/cli`, debe fallar antes de crear cualquier artefacto.
 
-Usa la verificación de frontera privada:
+Usa la verificación de frontera privada:
 
 ```bash
 npm run repo:verificar-privado

package/package.json

@@ -1,17 +1,13 @@
 {
   "name": "@semacode/cli",
-  "version": "1.5.35",
+  "version": "1.5.36",
   "description": "Semantic governance CLI for AI agents: contracts, drift, impact, documentation gates, and Sema profiles for live systems.",
   "type": "module",
   "icon": "logo.png",
   "license": "MIT",
-  "repository": {
-    "type": "git",
-    "url": "https://github.com/gerlanss/Sema.git"
-  },
-  "homepage": "https://github.com/gerlanss/Sema",
+  "homepage": "https://sema.otimitare.online",
   "bugs": {
-    "url": "https://github.com/gerlanss/Sema/issues"
+    "url": "https://sema.otimitare.online/support"
   },
   "keywords": [
     "sema",
@@ -50,15 +46,15 @@
     "LICENSE"
   ],
   "dependencies": {
-    "@sema/nucleo": "1.5.35",
-    "@sema/gerador-dart": "1.5.35",
-    "@sema/gerador-lua": "1.5.35",
-    "@sema/gerador-python": "1.5.35",
-    "@sema/gerador-typescript": "1.5.35",
-    "@sema/gerador-javascript": "1.5.35",
-    "@sema/gerador-html": "1.5.35",
-    "@sema/gerador-css": "1.5.35",
-    "@sema/padroes": "1.5.35",
+    "@sema/nucleo": "1.5.36",
+    "@sema/gerador-dart": "1.5.36",
+    "@sema/gerador-lua": "1.5.36",
+    "@sema/gerador-python": "1.5.36",
+    "@sema/gerador-typescript": "1.5.36",
+    "@sema/gerador-javascript": "1.5.36",
+    "@sema/gerador-html": "1.5.36",
+    "@sema/gerador-css": "1.5.36",
+    "@sema/padroes": "1.5.36",
     "typescript": "^5.8.3"
   },
   "bundledDependencies": [