@the-inclusionist/engine 8.0.0-rc.1 → 8.0.0

package/dist-pkg/platform/pesados-catalogo.js

@@ -0,0 +1,177 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// platform/pesados-catalogo.ts — O QUE É PESADO, DE ONDE VEM, E QUANTO PESA.
+//
+// 📌 SEPARADO DO BUSCADOR de propósito: a lista é DADO e muda por decisão registada; o buscador é regra e
+// muda por defeito encontrado. Juntos, cada correcção de uma URL mexeria no ficheiro que decide a ordem das
+// descargas, e cada correcção da ordem mexeria na lista que um registo governa.
+//
+// ========================= 🔴 A PRIMEIRA VERSÃO DESTE FICHEIRO COMETEU O DEFEITO QUE ELE SERVE =========================
+// Ela escrevia o host à mão (`const HF = 'https://huggingface.co/…'`), a lista das quatro vozes outra vez, e
+// uma segunda derivação do caminho `idioma/locale/nome/qualidade/…`. As três coisas JÁ EXISTEM no
+// `platform/voice-plan.ts`, que o ADR-0114 designou como o sítio ÚNICO onde o host é nomeado — e cujo próprio
+// comentário nomeia as três vezes que este repositório pagou por tabelas duplicadas (o `DomQuery`, os rótulos
+// de movimento reduzido, as chaves de armazenamento).
+//
+// 📏 QUEM APANHOU FOI O INVENTÁRIO, e não pela duplicação: o `nada-vem-de-fora` recusou uma URL nova sem razão
+// escrita. A URL era só a PROVA; declará-la teria feito o gate ficar verde com a duplicação lá dentro. ⚠️ É a
+// razão de a saída ser APAGAR a cópia e não desculpá-la — declarar duas vezes o mesmo endereço é precisamente
+// a cláusula que o `nada-de-cdn-a-mao` conta com um número.
+import { VOZES_NEURAIS, urlDoModelo, urlDaConfig } from './voice-plan.js';
+/** O nome da Cache Storage. Versionado: mudar o conteúdo do catálogo não deve servir bytes velhos. */
+export const CACHE_PESADOS = 'incl-pesados-v1';
+/**
+ * O PESO DE CADA VOZ, MEDIDO EM 2026-09-09 e não estimado — `Content-Length` do modelo e corpo da configuração.
+ *
+ * 📌 O PESO MORA AQUI E O ENDEREÇO MORA NO `voice-plan`, e a divisão não é arrumação: o `voice-plan` responde
+ * «que vozes a engine garante e onde estão», que é decisão do ADR-0110; isto responde «quanto custa descê-las
+ * hoje», que é uma medição com data e que muda quando o fornecedor recomprime um ficheiro.
+ *
+ * ⚠️ UMA VOZ NOVA NO `voice-plan` SEM MEDIÇÃO AQUI FICA SEM `bytes`, e o aviso de «faltam N MB» passaria a
+ * sub-reportar em silêncio. É por isso que o gate exige `bytes > 0` em toda entrada de voz COM url: o buraco
+ * é pequeno e mudo, que é a forma de defeito que este repositório persegue.
+ */
+const PESO_MEDIDO = Object.freeze({
+    'pt_BR-faber-medium': { modelo: 63_201_294, config: 4_855 },
+    'en_US-ryan-medium': { modelo: 63_201_294, config: 4_883 },
+    'en_US-amy-medium': { modelo: 63_201_294, config: 4_882 },
+    'es_MX-claude-high': { modelo: 63_122_309, config: 4_963 },
+});
+/**
+ * ⚠️ O `urlDoModelo` devolve `null` para um identificador que não se deixe ler, e a razão viaja com a entrada
+ * em vez de a entrada desaparecer. Uma URL inventada dá 404 na escola; um `null` COM razão dá para reportar
+ * antes de sair de casa, que é a regra que o `voice-plan` já escreve na própria função.
+ */
+const RAZAO_ID_TORTO = 'o identificador da voz não tem a forma `locale-nome-qualidade`, então o caminho no '
+    + 'fornecedor não se deixa derivar. Corrija o identificador no `platform/voice-plan.ts`.';
+/**
+ * AS DUAS ENTRADAS DE UMA VOZ. ⚠️ SÃO DUAS E NÃO UMA: o `.onnx` é o modelo e o `.onnx.json` é a configuração,
+ * e o piper recusa-se a falar sem a segunda. Um catálogo que só trouxesse a primeira produziria uma voz
+ * «baixada» que não fala — que é pior do que uma voz em falta, porque a primeira parece resolvida.
+ */
+function entradasDaVoz(v) {
+    const peso = PESO_MEDIDO[v.voice];
+    return [
+        { id: `voz:${v.voice}`, url: urlDoModelo(v), bytes: peso?.modelo, porQueNaoTemFonte: RAZAO_ID_TORTO },
+        { id: `voz:${v.voice}:cfg`, url: urlDaConfig(v), bytes: peso?.config, porQueNaoTemFonte: RAZAO_ID_TORTO },
+    ];
+}
+/**
+ * O RUNTIME DE VISÃO — **MediaPipe**, decidido pelo Dev em 2026-09-09 (ADR-0124): «piper-tts, mediapipe
+ * (webgazer não), e LPCP: devem acompanhar a engine».
+ *
+ * 🔴 ESTA ENTRADA DIZIA «a #129 ainda não escolheu o fornecedor» DEPOIS DE ELE TER ESCOLHIDO, e a linha
+ * sobreviveu ao registo que a contradizia. Não era só trabalho em falta: era uma afirmação FALSA a dirigir
+ * quem a lesse para uma issue já fechada. O Dev teve de perguntar três vezes.
+ *
+ * 📏 MEDIDO EM 2026-09-09, como as vozes e no mesmo minuto: os três ficheiros respondem 200 em jsDelivr com
+ * `Access-Control-Allow-Origin: *`, na versão FIXADA — 155 439 + 323 377 + 11 756 954 bytes.
+ *
+ * ⚠️ CDN FIXADA É PERMITIDA E O ADR-0116 DIZ PORQUÊ: o que o pilar 8 proíbe é depender da rede DEPOIS do
+ * primeiro dia. Isto desce na INSTALAÇÃO, com o resto — e é a diferença inteira para o WebGazer, que busca
+ * quando a criança liga o controle por olhar, logo a máquina que nunca o ligou fica sem ele para sempre.
+ * 📌 A versão vai na URL, que é o que o `check:precache` exige de qualquer entrada externa: bytes diferentes
+ * chegam por endereço diferente, e uma entrada fixada nunca congela.
+ *
+ * 🎯 SÃO OS TRÊS FICHEIROS E NÃO SÓ O `.wasm`: o `vision_bundle.mjs` é quem o carrega e o
+ * `vision_wasm_internal.js` é a cola do Emscripten. Baixar o wasm sozinho é a mesma armadilha do `.onnx` sem
+ * o `.onnx.json` — uma coisa «baixada» que não corre.
+ *
+ * ⬜ O que continua por fazer é a FIAÇÃO (issue #11): estes bytes descem e ainda ninguém os lê. O
+ * `tests/o-que-desce-tem-quem-leia.node.test.js` é onde essa dívida está declarada.
+ */
+const MP = 'https://cdn.jsdelivr.net/npm/@mediapipe/tasks-vision@1.0.1';
+const MP_MODELOS = 'https://storage.googleapis.com/mediapipe-models';
+/**
+ * 🔴 A PRIMEIRA VERSÃO DESTA LISTA TRAZIA O RUNTIME E NENHUM MODELO, e o Dev apanhou-o ao perguntar o que
+ * tinha ficado de fora. 11,7 MB de WebAssembly sem um `.task` não reconhecem coisa nenhuma — é o `.onnx` sem
+ * o `.onnx.json` outra vez, no ficheiro que escreve essa lição doze linhas acima.
+ *
+ * 📏 MEDIDOS EM 2026-09-09, todos 200 com CORS aberto. `float16` e não `float32`: metade do peso, e a precisão
+ * que se perde é irrelevante para dizer onde está um íris num ecrã de 320×180.
+ */
+const MEDIAPIPE = Object.freeze([
+    { id: 'visao:runtime', url: `${MP}/vision_bundle.mjs`, bytes: 155_439 },
+    { id: 'visao:runtime:cola', url: `${MP}/wasm/vision_wasm_internal.js`, bytes: 323_377 },
+    { id: 'visao:runtime:wasm', url: `${MP}/wasm/vision_wasm_internal.wasm`, bytes: 11_756_954 },
+    { id: 'visao:modelo:rosto', url: `${MP_MODELOS}/face_landmarker/face_landmarker/float16/1/face_landmarker.task`, bytes: 3_758_596 },
+    { id: 'visao:modelo:gestos', url: `${MP_MODELOS}/gesture_recognizer/gesture_recognizer/float16/1/gesture_recognizer.task`, bytes: 8_373_440 },
+    { id: 'visao:modelo:maos', url: `${MP_MODELOS}/hand_landmarker/hand_landmarker/float16/1/hand_landmarker.task`, bytes: 7_819_105 },
+]);
+/**
+ * O WEBGAZER — **volta em 2026-09-09, ao lado do MediaPipe** (ADR-0132): «Traga o WebGazer de volta. Vamos
+ * usar ambos.»
+ *
+ * 🎯 ELES NÃO SE SOBREPÕEM ONDE IMPORTA, e é essa medição que produziu a decisão: o MediaPipe diz ONDE O ÍRIS
+ * ESTÁ — `FACE_LANDMARKS_LEFT_IRIS` são conjuntos de conexões sobre marcos —, e o WebGazer diz PARA ONDE A
+ * CRIANÇA OLHA NO ECRÃ, que é um modelo de regressão com calibração. Nenhuma das quinze tarefas do
+ * `tasks-vision` faz a segunda.
+ *
+ * ⚠️ E O DEFEITO DELE NUNCA FOI O FORNECEDOR: era ser PREGUIÇOSO. Buscado quando a criança liga o controle
+ * por olhar, a máquina que nunca o ligou fica sem ele, e numa escola sem rede não acontece nada — sem erro e
+ * sem explicação. Aqui desce na INSTALAÇÃO com tudo o resto, e o defeito desaparece com a capacidade intacta.
+ * 📌 Fica a dívida que o ADR-0132 nomeia: o `<script src>` do `ui/webcam.ts` tem de sair no mesmo commit em
+ * que a fiação o ler daqui, senão passam a existir dois caminhos para o mesmo ficheiro.
+ */
+const WEBGAZER = Object.freeze([
+    { id: 'visao:olhar', url: 'https://webgazer.cs.brown.edu/webgazer.js', bytes: 1_895_169 },
+]);
+/**
+ * O RUNTIME DE VOZ — **piper**, decidido no ADR-0127, e o Dev disse para que serve: «PiperTTS é o que será
+ * usado para ler para o usuário. Precisa ser carregado com a engine».
+ *
+ * 🔴 ATÉ AQUI ELE SÓ CHEGAVA PELA PORTA DO CARTUCHO (ADR-0094), e três dos seis jogos não a declaram — nesses,
+ * a engine descarregava 241 MB de modelos e não tinha com que os tocar. Descer os modelos sem o motor é a
+ * mesma armadilha do `.onnx` sem o `.onnx.json`, um nível acima.
+ *
+ * 📏 MEDIDO EM 2026-09-09 em jsDelivr, versões FIXADAS, todos 200 com `Access-Control-Allow-Origin: *`.
+ * ⚠️ SÃO CINCO FICHEIROS E NÃO UM: o `piper-tts-web.js` é só a entrada (23 KB) — os dois pedaços com hash no
+ * nome são o corpo e a tabela de vozes, e o `onnxruntime-web` é quem corre o modelo. Trazer só a entrada dá
+ * um módulo que importa o que não está lá.
+ * 📌 `ort-wasm-simd-threaded` e não o `jsep`: o jsep é o caminho WebGPU e pesa 21,7 MB contra 11,2 — e o
+ * hardware do pilar 1 não é onde a WebGPU se ganha.
+ */
+const PP = 'https://cdn.jsdelivr.net/npm/@mintplex-labs/piper-tts-web@1.0.5/dist';
+const ORT = 'https://cdn.jsdelivr.net/npm/onnxruntime-web@1.20.1/dist';
+const PIPER = Object.freeze([
+    { id: 'voz:runtime', url: `${PP}/piper-tts-web.js`, bytes: 23_646 },
+    { id: 'voz:runtime:corpo', url: `${PP}/piper-o91UDS6e.js`, bytes: 158_217 },
+    { id: 'voz:runtime:tabela', url: `${PP}/voices_static-D_OtJDHM.js`, bytes: 147_377 },
+    { id: 'voz:runtime:ort', url: `${ORT}/ort.min.js`, bytes: 446_284 },
+    { id: 'voz:runtime:ort-wasm', url: `${ORT}/ort-wasm-simd-threaded.wasm`, bytes: 11_246_032 },
+]);
+export const PESADOS = Object.freeze([
+    ...VOZES_NEURAIS.flatMap(entradasDaVoz),
+    ...PIPER,
+    /*
+     * 🔴 O RUNTIME DE VISÃO — decidido e SEM FONTE, e a ausência é medida.
+     *
+     * A issue #11 diz «MediaPipe» e o `ui/webcam.ts` faz WebGazer, buscado de `webgazer.cs.brown.edu` por um
+     * `<script src>` com preguiça no PRIMEIRO USO — sem SRI, sem `crossorigin`, e a falhar em silêncio numa
+     * escola sem rede. `git grep -i mediapipe` em `app/js` devolve ZERO (ADR-0119).
+     *
+     * ⚠️ NÃO PONHO AQUI A URL DO WEBGAZER. Trocar o fornecedor é decisão da #129, e escrevê-la aqui seria
+     * decidi-la de lado — a mesma coisa que o ADR-0119 apanhou: um subsistema que a engine DECLARA possuir e
+     * que na prática é outra coisa.
+     */
+    ...MEDIAPIPE,
+    ...WEBGAZER,
+    /*
+     * 🔴 O ACERVO DE ARTE — a quarta coisa pesada do ADR-0119, e a única SEM FONTE. Medido: `art/` tem DOIS
+     * ficheiros — um README e um `ATTRIBUTION.csv` de 40 bytes, só o cabeçalho. Zero arte.
+     *
+     * ⚠️ ATÉ 2026-09-09 ESTA LINHA CULPAVA A COISA ERRADA. Dizia que a quarentena estava vazia e que a arte
+     * era CC BY-SA 3.0 com autoria por recurso — descrevendo o Liberated Pixel Cup, que o ADR-0133 recusou:
+     * os dois braços dele são share-alike ou GPL, e nenhum está na lista fechada de quatro licenças.
+     *
+     * 📌 A razão de continuar sem fonte MUDOU e é mais simples: não há acervo escolhido. A arte entra sob
+     * CC0, CC BY 3.0, CC BY 4.0 ou OGA-BY, com uma linha de livro por recurso e a URL da origem — e nada
+     * disso é uma URL única que um buscador possa pedir. A fonte desta linha é o dia em que houver acervo.
+     */
+    {
+        id: 'arte:acervo',
+        url: null,
+        porQueNaoTemFonte: 'não há acervo escolhido: `art/` tem só README e cabeçalho do CSV. O ADR-0133 fechou '
+            + 'a lista em CC0, CC BY 3.0/4.0 e OGA-BY, e a arte entra recurso a recurso com autoria e URL de '
+            + 'origem — não por uma URL solta que este buscador possa pedir.',
+    },
+]);

package/dist-pkg/platform/pesados.d.ts

@@ -0,0 +1,31 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+import { CACHE_PESADOS, PESADOS, type Pesado } from './pesados-catalogo.js';
+export { CACHE_PESADOS, PESADOS };
+export type { Pesado };
+/** O que aconteceu com cada entrada, para quem chama poder dizê-lo a uma pessoa. */
+export interface RelatorioPesado {
+    readonly id: string;
+    readonly estado: 'ja-tinha' | 'baixado' | 'falhou' | 'sem-fonte';
+    readonly bytes?: number;
+    readonly erro?: string;
+}
+export interface OpcoesDosPesados {
+    /** `caches` do navegador. Injectado para o gate não precisar de um. */
+    readonly cacheStorage?: CacheStorage;
+    /** `fetch`. Injectado pela mesma razão. */
+    readonly buscar?: typeof fetch;
+    /** Chamado a cada entrada resolvida — é o que deixa a interface dizer o que está a acontecer. */
+    readonly aoProgredir?: (r: RelatorioPesado) => void;
+    /** Só estas ids, se dado. Serve ao consumidor que quer as vozes e não o resto. */
+    readonly apenas?: readonly string[];
+}
+/**
+ * BAIXA O QUE FALTA, UM DE CADA VEZ, E DEVOLVE O QUE ACONTECEU COM CADA UM.
+ *
+ * ⚠️ AS ENTRADAS SEM `url` NÃO SÃO SALTADAS EM SILÊNCIO — devolvem `sem-fonte`. É a diferença entre «este
+ * subsistema ainda não tem de onde vir» e «este subsistema está tratado», e é exactamente a distinção que o
+ * ADR-0119 mediu em falta: a engine PROMETIA quatro coisas e entregava uma, sem nada a dizê-lo.
+ */
+export declare function baixarPesados(opcoes?: OpcoesDosPesados): Promise<RelatorioPesado[]>;
+/** O peso do que ainda falta, em bytes — para um aviso poder dizer «faltam 241 MB» antes de começar. */
+export declare function pesoPorBaixar(relatorio: readonly RelatorioPesado[]): number;

package/dist-pkg/platform/pesados.js

@@ -0,0 +1,75 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// platform/pesados.ts — AS COISAS PESADAS, BAIXADAS NO PRIMEIRO CARREGAMENTO (ADR-0110, ADR-0116, ADR-0119).
+//
+// ========================= O QUE ISTO É =========================
+// O pilar 8 diz «PWA no primeiro dia ONLINE, depois OFFLINE-FIRST», e o ADR-0116 tirou a contradição que
+// travava isto: instalar já é um acto de rede, logo buscar na instalação não viola nada. O que faltava era
+// alguém a buscar.
+//
+// 📏 MEDIDO EM 2026-09-09, e é o estado que este ficheiro existe para mudar: das quatro coisas pesadas que a
+// engine promete (fontes · voz neural · runtime de visão · arte do LCP), só as FONTES viajavam de verdade.
+// As vozes eram porta do cartucho, o runtime de visão era um `<script src>` de CDN buscado com preguiça no
+// PRIMEIRO USO, e a arte do LCP não existe.
+//
+// ⚠️ E ISTO NÃO BLOQUEIA O JOGO. A criança joga enquanto os 241 MB descem; o que não pode acontecer é ela
+// chegar ao segundo dia, sem rede, e descobrir que a voz nunca foi buscada.
+//
+// ========================= AS TRÊS REGRAS QUE A FORMA IMPÕE =========================
+//  1. **UM DE CADA VEZ.** Quatro descargas de 60 MB em paralelo num link de escola disputam a mesma banda e
+//     nenhuma acaba primeiro — e o jogo, que precisa da rede para as próprias imagens, fica atrás delas.
+//  2. **NUNCA LANÇA.** Uma falha de rede é REPORTADA e a lista continua. Um `throw` aqui derrubaria o
+//     arranque de um jogo por causa de um recurso que ele nem usa hoje.
+//  3. **IDEMPOTENTE.** O que já está na Cache Storage não é buscado outra vez — é o que torna isto seguro de
+//     chamar em todo arranque em vez de só «no primeiro», que ninguém sabe detectar com honestidade.
+import { CACHE_PESADOS, PESADOS } from './pesados-catalogo.js';
+export { CACHE_PESADOS, PESADOS };
+/**
+ * BAIXA O QUE FALTA, UM DE CADA VEZ, E DEVOLVE O QUE ACONTECEU COM CADA UM.
+ *
+ * ⚠️ AS ENTRADAS SEM `url` NÃO SÃO SALTADAS EM SILÊNCIO — devolvem `sem-fonte`. É a diferença entre «este
+ * subsistema ainda não tem de onde vir» e «este subsistema está tratado», e é exactamente a distinção que o
+ * ADR-0119 mediu em falta: a engine PROMETIA quatro coisas e entregava uma, sem nada a dizê-lo.
+ */
+export async function baixarPesados(opcoes = {}) {
+    const cs = opcoes.cacheStorage ?? (typeof caches !== 'undefined' ? caches : undefined);
+    const buscar = opcoes.buscar ?? (typeof fetch !== 'undefined' ? fetch : undefined);
+    const alvos = opcoes.apenas
+        ? PESADOS.filter((p) => opcoes.apenas.includes(p.id))
+        : PESADOS;
+    const out = [];
+    const conta = (r) => { out.push(r); opcoes.aoProgredir?.(r); };
+    if (!cs || !buscar) {
+        for (const p of alvos)
+            conta({ id: p.id, estado: 'falhou', erro: 'sem Cache Storage ou sem fetch' });
+        return out;
+    }
+    const cache = await cs.open(CACHE_PESADOS);
+    for (const p of alvos) {
+        if (!p.url) {
+            conta({ id: p.id, estado: 'sem-fonte', erro: p.porQueNaoTemFonte });
+            continue;
+        }
+        try {
+            if (await cache.match(p.url)) {
+                conta({ id: p.id, estado: 'ja-tinha' });
+                continue;
+            }
+            const resp = await buscar(p.url);
+            if (!resp.ok) {
+                conta({ id: p.id, estado: 'falhou', erro: `HTTP ${resp.status}` });
+                continue;
+            }
+            await cache.put(p.url, resp.clone());
+            conta({ id: p.id, estado: 'baixado', bytes: p.bytes });
+        }
+        catch (e) {
+            conta({ id: p.id, estado: 'falhou', erro: e instanceof Error ? e.message : String(e) });
+        }
+    }
+    return out;
+}
+/** O peso do que ainda falta, em bytes — para um aviso poder dizer «faltam 241 MB» antes de começar. */
+export function pesoPorBaixar(relatorio) {
+    const feitos = new Set(relatorio.filter((r) => r.estado === 'ja-tinha' || r.estado === 'baixado').map((r) => r.id));
+    return PESADOS.filter((p) => p.url && !feitos.has(p.id)).reduce((s, p) => s + (p.bytes ?? 0), 0);
+}

package/dist-pkg/platform/voice-plan.d.ts

@@ -25,8 +25,27 @@ export declare const VOZES_NEURAIS: readonly VozNeural[];
  *
  * ⚠️ UM SÍTIO SÓ É A METADE QUE O REGISTO PEDE. Um endereço repetido no ponto de uso é como o CDN do
  * WebGazer chegou ao `ui/webcam` — escrito à mão, sem política, e sem ninguém a poder mudá-lo de uma vez.
+ *
+ * ========================= 🔴 MUDOU DE ESPELHO EM 2026-09-09, E A REGRA É «BUSCAR DE ONDE O LEITOR LÊ» ====
+ * Era `rhasspy/piper-voices`, medido a 08/09 como o espelho que o `piper.ttstool.com` usa. Depois de o
+ * `platform/pesados` passar a descer os modelos no primeiro carregamento, mediu-se o outro lado — o
+ * `@mintplex-labs/piper-tts-web@1.0.4` INSTALADO, lido do bundle e não do README — e ele busca em
+ * `diffusionstudio/piper-voices`, com uma guarda que recusa qualquer URL fora de `huggingface.co`.
+ *
+ * 🎯 ENDEREÇOS DIFERENTES SIGNIFICAM CACHE DIFERENTE: a Cache Storage é indexada pela URL do pedido, logo os
+ * 241 MB que desciam no primeiro dia NÃO ERAM LIDOS POR NINGUÉM, e a biblioteca descarregava tudo outra vez
+ * no dia em que a voz fosse pedida. Até 482 MB num link de escola para uma voz.
+ *
+ * 📏 E OS DOIS ESPELHOS SERVEM OS MESMOS BYTES — 63 201 294 para o `pt_BR-faber-medium`, caminhos idênticos,
+ * `Access-Control-Allow-Origin: *` nos dois. Medido nos dois no mesmo minuto, o que torna esta troca uma
+ * correcção de facto e não uma preferência entre fornecedores.
+ *
+ * ⚠️ A CLÁUSULA DO ADR-0114 NÃO SE MEXE: o host continua nomeado num ponto só. O que mudou foi QUAL, e a
+ * regra que decide isso passa a estar escrita para não voltar a divergir — **busca-se de onde o LEITOR lê**.
+ * No dia em que a engine for dona do runtime (ADR-0124 cláusula 2), o leitor passa a ser ela e é ela que
+ * escolhe; até lá, o único leitor é a porta do cartucho.
  */
-export declare const HOST_DOS_MODELOS = "https://huggingface.co/rhasspy/piper-voices/resolve/main/";
+export declare const HOST_DOS_MODELOS = "https://huggingface.co/diffusionstudio/piper-voices/resolve/main/";
 /**
  * O CAMINHO DO MODELO, DERIVADO DO IDENTIFICADOR — e não uma segunda tabela.
  *

package/dist-pkg/platform/voice-plan.js

@@ -40,8 +40,27 @@ export const VOZES_NEURAIS = Object.freeze([
  *
  * ⚠️ UM SÍTIO SÓ É A METADE QUE O REGISTO PEDE. Um endereço repetido no ponto de uso é como o CDN do
  * WebGazer chegou ao `ui/webcam` — escrito à mão, sem política, e sem ninguém a poder mudá-lo de uma vez.
+ *
+ * ========================= 🔴 MUDOU DE ESPELHO EM 2026-09-09, E A REGRA É «BUSCAR DE ONDE O LEITOR LÊ» ====
+ * Era `rhasspy/piper-voices`, medido a 08/09 como o espelho que o `piper.ttstool.com` usa. Depois de o
+ * `platform/pesados` passar a descer os modelos no primeiro carregamento, mediu-se o outro lado — o
+ * `@mintplex-labs/piper-tts-web@1.0.4` INSTALADO, lido do bundle e não do README — e ele busca em
+ * `diffusionstudio/piper-voices`, com uma guarda que recusa qualquer URL fora de `huggingface.co`.
+ *
+ * 🎯 ENDEREÇOS DIFERENTES SIGNIFICAM CACHE DIFERENTE: a Cache Storage é indexada pela URL do pedido, logo os
+ * 241 MB que desciam no primeiro dia NÃO ERAM LIDOS POR NINGUÉM, e a biblioteca descarregava tudo outra vez
+ * no dia em que a voz fosse pedida. Até 482 MB num link de escola para uma voz.
+ *
+ * 📏 E OS DOIS ESPELHOS SERVEM OS MESMOS BYTES — 63 201 294 para o `pt_BR-faber-medium`, caminhos idênticos,
+ * `Access-Control-Allow-Origin: *` nos dois. Medido nos dois no mesmo minuto, o que torna esta troca uma
+ * correcção de facto e não uma preferência entre fornecedores.
+ *
+ * ⚠️ A CLÁUSULA DO ADR-0114 NÃO SE MEXE: o host continua nomeado num ponto só. O que mudou foi QUAL, e a
+ * regra que decide isso passa a estar escrita para não voltar a divergir — **busca-se de onde o LEITOR lê**.
+ * No dia em que a engine for dona do runtime (ADR-0124 cláusula 2), o leitor passa a ser ela e é ela que
+ * escolhe; até lá, o único leitor é a porta do cartucho.
  */
-export const HOST_DOS_MODELOS = 'https://huggingface.co/rhasspy/piper-voices/resolve/main/';
+export const HOST_DOS_MODELOS = 'https://huggingface.co/diffusionstudio/piper-voices/resolve/main/';
 /**
  * O CAMINHO DO MODELO, DERIVADO DO IDENTIFICADOR — e não uma segunda tabela.
  *

package/dist-pkg/platform/vozes-prontas.d.ts

@@ -0,0 +1,28 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+import { type EstadosDasVozes, type VozNeural } from './voice-plan.js';
+import type { RelatorioPesado } from './pesados.js';
+/**
+ * O ESTADO DE CADA VOZ A PARTIR DO QUE O BUSCADOR RELATOU.
+ *
+ * ⚠️ `emCurso` NÃO É COSMÉTICA, E É O QUE IMPEDE ESTA PONTE DE MENTIR NOS DOIS SENTIDOS. O relatório só
+ * contém o que JÁ resolveu, logo uma voz por relatar é ambígua: pode estar a caminho ou nunca ter sido
+ * pedida. O `voice-plan` recusa-se a confundir as duas por escrito — «ausente não se disfarça de a buscar»,
+ * porque isso esconderia um buscador que nunca arrancou atrás de uma frase tranquilizadora — e a única coisa
+ * que desfaz a ambiguidade é quem chamou saber se a descarga ainda corre.
+ *
+ * 📌 E o par contrário importa igualmente: com a descarga TERMINADA, uma voz por relatar é `ausente` e nunca
+ * `a-buscar`, senão a interface prometeria para sempre uma coisa que já não vem.
+ */
+export declare function estadosDasVozes(relatorio: readonly RelatorioPesado[], opcoes?: {
+    readonly emCurso?: boolean;
+}, catalogo?: readonly VozNeural[]): EstadosDasVozes;
+/**
+ * AS IDS DAS COISAS PESADAS QUE SÃO VOZ — para quem queira descê-las primeiro, sem adivinhar o formato da id.
+ *
+ * ⚠️ Existe porque a alternativa é o consumidor escrever `p.id.startsWith('voz:')` no ponto de uso, e aí o
+ * formato da id passa a ser contrato público sem nunca ter sido decidido como tal.
+ */
+export declare const idsDasVozes: (catalogo?: readonly VozNeural[]) => string[];
+/** Reexportado para quem faz a ponte não ter de importar de dois sítios para responder a uma pergunta. */
+export { vozEmUso, estadoDe } from './voice-plan.js';
+export type { VozEmUso, EstadosDasVozes } from './voice-plan.js';

package/dist-pkg/platform/vozes-prontas.js

@@ -0,0 +1,61 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// platform/vozes-prontas.ts — A PONTE ENTRE O QUE DESCEU E O QUE A CRIANÇA OUVE (ADR-0110, gates 3 e 4).
+//
+// ========================= POR QUE ESTE MÓDULO EXISTE =========================
+// 📏 MEDIDO EM 2026-09-09: `vozEmUso` — a função que o ADR-0110 chama «o gate 3 em forma de código» — tinha
+// ZERO leitores em produção, e NADA no repositório produzia um `EstadosDasVozes`. O buscador que nasceu hoje
+// relata `RelatorioPesado[]`. São DUAS linguagens para o mesmo facto, e nenhuma falava com a outra.
+//
+// ⚠️ ISSO NÃO É UM ENCAIXE QUE FALTAVA, É A FORMA DE DEFEITO QUE ESTE REPOSITÓRIO PERSEGUE: um modelo aferido
+// e correcto, sem ninguém a lê-lo, ao lado de um mecanismo que produz a mesma verdade noutro vocabulário. O
+// `render/viz-axes` esteve exactamente assim — «é ÓRFÃO» — e o que isso custou foi a composição dos dois eixos
+// visuais a existir no papel e não na tela.
+//
+// ========================= 🎯 A REGRA QUE ESTE MÓDULO CARREGA, E É UMA SÓ =========================
+// **UMA VOZ SÓ ESTÁ PRONTA QUANDO OS DOIS FICHEIROS DESCERAM.** O piper recusa-se a falar sem o `.onnx.json`,
+// então uma voz com o modelo e sem a configuração é uma voz que NÃO FALA — e marcá-la `pronta` faria a engine
+// anunciar «voz neural» e ficar muda. É pior do que a voz em falta, porque a primeira parece resolvida, e é
+// literalmente a família do `reflectTTS` que o ADR-0110 nomeia ao pedir o gate 3.
+import { VOZES_NEURAIS } from './voice-plan.js';
+/** As duas ids que o catálogo dá a uma voz. Derivadas, não tabeladas — a tabela vive no catálogo. */
+const idsDe = (v) => [`voz:${v.voice}`, `voz:${v.voice}:cfg`];
+/**
+ * O ESTADO DE CADA VOZ A PARTIR DO QUE O BUSCADOR RELATOU.
+ *
+ * ⚠️ `emCurso` NÃO É COSMÉTICA, E É O QUE IMPEDE ESTA PONTE DE MENTIR NOS DOIS SENTIDOS. O relatório só
+ * contém o que JÁ resolveu, logo uma voz por relatar é ambígua: pode estar a caminho ou nunca ter sido
+ * pedida. O `voice-plan` recusa-se a confundir as duas por escrito — «ausente não se disfarça de a buscar»,
+ * porque isso esconderia um buscador que nunca arrancou atrás de uma frase tranquilizadora — e a única coisa
+ * que desfaz a ambiguidade é quem chamou saber se a descarga ainda corre.
+ *
+ * 📌 E o par contrário importa igualmente: com a descarga TERMINADA, uma voz por relatar é `ausente` e nunca
+ * `a-buscar`, senão a interface prometeria para sempre uma coisa que já não vem.
+ */
+export function estadosDasVozes(relatorio, opcoes = {}, catalogo = VOZES_NEURAIS) {
+    const porId = new Map(relatorio.map((r) => [r.id, r]));
+    const saida = {};
+    for (const v of catalogo) {
+        const partes = idsDe(v).map((id) => porId.get(id));
+        if (partes.some((p) => p && (p.estado === 'falhou' || p.estado === 'sem-fonte'))) {
+            // 📌 UMA METADE FALHADA CHEGA PARA A VOZ INTEIRA FALHAR, e é o mesmo argumento da regra do cabeçalho
+            // visto do outro lado: sem os dois ficheiros não há fala nenhuma, logo não há meia voz para oferecer.
+            saida[v.voice] = 'falhou';
+            continue;
+        }
+        if (partes.every((p) => p && (p.estado === 'baixado' || p.estado === 'ja-tinha'))) {
+            saida[v.voice] = 'pronta';
+            continue;
+        }
+        saida[v.voice] = opcoes.emCurso ? 'a-buscar' : 'ausente';
+    }
+    return Object.freeze(saida);
+}
+/**
+ * AS IDS DAS COISAS PESADAS QUE SÃO VOZ — para quem queira descê-las primeiro, sem adivinhar o formato da id.
+ *
+ * ⚠️ Existe porque a alternativa é o consumidor escrever `p.id.startsWith('voz:')` no ponto de uso, e aí o
+ * formato da id passa a ser contrato público sem nunca ter sido decidido como tal.
+ */
+export const idsDasVozes = (catalogo = VOZES_NEURAIS) => catalogo.flatMap((v) => [...idsDe(v)]);
+/** Reexportado para quem faz a ponte não ter de importar de dois sítios para responder a uma pergunta. */
+export { vozEmUso, estadoDe } from './voice-plan.js';

package/dist-pkg/ui/fonts.d.ts

@@ -49,6 +49,30 @@ export type FontGroup = {
 export declare const FONT_GROUPS: FontGroup[];
 /** O papel de uma face; ausente no catálogo quer dizer `geral`. */
 export declare function papelDaFonte(it: FontItem): FontRole;
+/**
+ * AS FAMÍLIAS QUE UMA FACE ACEITA, do `fam` que pode ser uma PILHA.
+ *
+ * 📌 A Ronde declara três (`'Ronde Script, OPTIFrench-Script, Merveille'`) porque qualquer uma delas serve —
+ * são três desenhos da mesma letra de mão, e um adulto instala a que encontrar. As outras faces declaram uma
+ * só, e para elas isto devolve uma lista de um.
+ */
+export declare function familiasDaFace(it: FontItem): string[];
+/**
+ * ESTA FACE PODE SER USADA AGORA? — o `off` deixa de ser uma sentença e passa a ser uma CONDIÇÃO.
+ *
+ * O ADR-0012 decidiu que a opção da ronde «fica DESABILITADA enquanto nenhuma fonte estiver presente», e o
+ * ADR-0108 §4 acrescentou o que ela diz. A palavra «enquanto» é o que esta função constrói: uma face `off`
+ * volta a ficar disponível no instante em que o adulto instala uma das que a mensagem nomeia.
+ *
+ * ⚠️ O DETECTOR É INJECTADO, e nunca `document.fonts` lido daqui: este módulo é o catálogo, corre em node nos
+ * gates, e ler um global do navegador aqui é o ACHADO 15 outra vez — o `srAlert` que rebentou o boot contra um
+ * documento injectado.
+ * 📌 E o PADRÃO É «não instalada», que é seguro por uma razão que não vale para todos os padrões deste
+ * repositório: sem detector a opção fica desabilitada COM a mensagem, e a mensagem diz ao adulto exactamente
+ * o que fazer. O silêncio não decide nada contra a criança — ele mantém o estado que já existia e que é
+ * accionável. É o oposto do `seguraTeclas`, onde os dois lados do padrão erravam.
+ */
+export declare function faceDisponivel(it: FontItem, instalada?: (familia: string) => boolean): boolean;
 /** As faces que o MENU pode oferecer: só as gerais (emenda do ADR-0012). */
 export declare const OFERECIVEIS: FontItem[];
 export declare const FONT_BY_KEY: Record<string, FontItem>;

package/dist-pkg/ui/fonts.js

@@ -38,7 +38,42 @@ export const FONT_GROUPS = [
             // ⚠️ `comicneue` NÃO é caligráfica, e está neste grupo só por aparência: é uma face de propósito geral,
             // frequentemente recomendada para dislexia. Marcá-la como caligráfica tirá-la-ia do menu — removendo uma
             // opção legitimamente acessível pelo formato do grupo em vez de pelo papel.
-            { k: 'comicneue', fam: 'Comic Neue', fb: 'cursive', d: 'font.desc.comicneue' }
+            { k: 'comicneue', fam: 'Comic Neue', fb: 'cursive', d: 'font.desc.comicneue' },
+            /*
+             * A RONDE FRANCESA — o item 4 da #87, decidido no ADR-0108 §4. Ela NUNCA é empacotada: as três faces são
+             * livres só para uso PESSOAL (ADR-0012), e distribuí-las seria distribuir o que não foi licenciado para
+             * distribuição. O que muda é que a opção passa a FALAR.
+             *
+             * ⚠️ E ISTO NÃO É A ENTRADA `.off` QUE ESTE CATÁLOGO JÁ REMOVEU. O cabeçalho acima tirou a `learningcurve`
+             * e a `kindergarten` com a razão certa — «uma linha que só serve para dizer "ainda não" é uma linha que a
+             * criança lê e não pode usar». A diferença é ACCIONABILIDADE, e é a razão que o ADR-0108 dá por extenso:
+             * aquelas diziam «ainda não», que ninguém pode resolver; esta diz QUAIS TRÊS FONTES INSTALAR, que um
+             * adulto resolve numa tarde. 📌 «Instale uma fonte ronde» seria o defeito de volta — um adulto não age
+             * sobre uma categoria —, e é por isso que a mensagem nomeia as três.
+             *
+             * ⚠️ `papel` AUSENTE, logo `geral`, e é deliberado apesar de a ronde ser caligráfica por natureza: as
+             * caligráficas são filtradas do menu (`papelDaFonte === 'geral'`), e uma linha filtrada não pode dizer
+             * nada a ninguém. Marcar o papel «certo» aqui apagaria a única coisa que este item existe para fazer.
+             */
+            /*
+             * AS OITO PLAYWRITE — o item 3 da #87, decidido no ADR-0108 §2 e entregue em 2026-09-09.
+             *
+             * ⚠️ `papel: caligrafica`, logo FORA DO MENU: elas são a mão que se aprende a escrever, para os botões
+             * DENTRO das atividades escolares, e não uma opção de interface. É a divisão do item 1 desta issue.
+             *
+             * 📌 `minPx: 20` é o mesmo piso que as outras três cursivas carregam. A lista de mínimos da #87 não
+             * nomeia a Playwrite — o número é o das irmãs, e não uma medição própria; corrigir-se com uma linha.
+             */
+            { k: 'pwbr', fam: 'Playwrite BR', fb: 'cursive', d: 'font.desc.pw.br', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwustrad', fam: 'Playwrite US Trad', fb: 'cursive', d: 'font.desc.pw.ustrad', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwusmod', fam: 'Playwrite US Modern', fb: 'cursive', d: 'font.desc.pw.usmod', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwca', fam: 'Playwrite CA', fb: 'cursive', d: 'font.desc.pw.ca', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwmx', fam: 'Playwrite MX', fb: 'cursive', d: 'font.desc.pw.mx', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwar', fam: 'Playwrite AR', fb: 'cursive', d: 'font.desc.pw.ar', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwcl', fam: 'Playwrite CL', fb: 'cursive', d: 'font.desc.pw.cl', papel: 'caligrafica', minPx: 20 },
+            { k: 'pwco', fam: 'Playwrite CO', fb: 'cursive', d: 'font.desc.pw.co', papel: 'caligrafica', minPx: 20 },
+            { k: 'ronde', fam: 'Ronde Script, OPTIFrench-Script, Merveille', fb: 'cursive',
+                d: 'font.desc.ronde', off: 'font.off.ronde' }
         ] },
     // ⚠️ A FACE DO JOGO, e ela tem grupo próprio porque não é nem sans, nem serifada, nem manuscrita — é uma
     // face de PIXEL, e pô-la em qualquer um dos três diria a coisa errada sobre ela na lista.
@@ -52,6 +87,36 @@ export const FONT_GROUPS = [
 ];
 /** O papel de uma face; ausente no catálogo quer dizer `geral`. */
 export function papelDaFonte(it) { return it.papel ?? 'geral'; }
+/**
+ * AS FAMÍLIAS QUE UMA FACE ACEITA, do `fam` que pode ser uma PILHA.
+ *
+ * 📌 A Ronde declara três (`'Ronde Script, OPTIFrench-Script, Merveille'`) porque qualquer uma delas serve —
+ * são três desenhos da mesma letra de mão, e um adulto instala a que encontrar. As outras faces declaram uma
+ * só, e para elas isto devolve uma lista de um.
+ */
+export function familiasDaFace(it) {
+    return it.fam.split(',').map((f) => f.trim().replace(/^['"]|['"]$/g, '')).filter(Boolean);
+}
+/**
+ * ESTA FACE PODE SER USADA AGORA? — o `off` deixa de ser uma sentença e passa a ser uma CONDIÇÃO.
+ *
+ * O ADR-0012 decidiu que a opção da ronde «fica DESABILITADA enquanto nenhuma fonte estiver presente», e o
+ * ADR-0108 §4 acrescentou o que ela diz. A palavra «enquanto» é o que esta função constrói: uma face `off`
+ * volta a ficar disponível no instante em que o adulto instala uma das que a mensagem nomeia.
+ *
+ * ⚠️ O DETECTOR É INJECTADO, e nunca `document.fonts` lido daqui: este módulo é o catálogo, corre em node nos
+ * gates, e ler um global do navegador aqui é o ACHADO 15 outra vez — o `srAlert` que rebentou o boot contra um
+ * documento injectado.
+ * 📌 E o PADRÃO É «não instalada», que é seguro por uma razão que não vale para todos os padrões deste
+ * repositório: sem detector a opção fica desabilitada COM a mensagem, e a mensagem diz ao adulto exactamente
+ * o que fazer. O silêncio não decide nada contra a criança — ele mantém o estado que já existia e que é
+ * accionável. É o oposto do `seguraTeclas`, onde os dois lados do padrão erravam.
+ */
+export function faceDisponivel(it, instalada) {
+    if (!it.off)
+        return true;
+    return !!instalada && familiasDaFace(it).some((f) => instalada(f));
+}
 /** As faces que o MENU pode oferecer: só as gerais (emenda do ADR-0012). */
 export const OFERECIVEIS = FONT_GROUPS.flatMap((g) => g.items).filter((it) => papelDaFonte(it) === 'geral');
 export const FONT_BY_KEY = {};

package/dist-pkg/ui/pause-icons.d.ts

@@ -179,13 +179,32 @@ export declare function iconBtnMarkup(ic: PauseIcon): string;
  * ⚠️ Isto NÃO é o mesmo que `soon`. `soon` é «ainda não construímos»; isto é «este jogo não tem por onde», e
  * um botão que anuncia «em breve» diria a coisa errada.
  */
-export interface EscritoresVisuais {
+export interface AccionaveisDoJogo {
     /** Há quem escreva o TEMA (o alto contraste)? Sem ele, o ícone `contrast` não é montado. */
     readonly tema: boolean;
     /** Há quem escreva a CORREÇÃO de cor? Sem ela, o ícone `cvd` não é montado. */
     readonly correcao: boolean;
+    /**
+     * ESTE JOGO SEGURA ALGUMA TECLA? — `GameDeclaration.seguraTeclas`, o campo do ADR-0115.
+     *
+     * 🔴 Sem ele o ícone `altmove` não é montado, e a AUSÊNCIA é a decisão. A alternância existe para quem não
+     * consegue manter uma tecla premida; num jogo onde nada se segura ela não tem o que travar, e um controle
+     * que não faz nada ensina a uma criança que o ajuste de que ela depende está partido.
+     *
+     * ⚠️ E ISTO É UMA AUSÊNCIA DIFERENTE DA DO ADR-0113 cláusula 3, que também vive neste ficheiro: lá o
+     * controle fica DESABILITADO com o motivo, porque o aparelho EXIGE a alternância e ela não se pode
+     * desligar. Aqui não há nada a travar, e um controle que explica por que não faz nada continua a ser um
+     * controle que não faz nada.
+     */
+    readonly seguraTeclas: boolean;
 }
-export declare function iconesQueAccionam(escritores: EscritoresVisuais): readonly PauseIcon[];
+/**
+ * @deprecated O nome dizia «escritores VISUAIS» e a pergunta deixou de ser só visual quando o `seguraTeclas`
+ * entrou (ADR-0115). Use `AccionaveisDoJogo`. O alias fica para o consumidor não pagar duas quebras no mesmo
+ * major — uma pelo campo novo e outra pelo nome.
+ */
+export type EscritoresVisuais = AccionaveisDoJogo;
+export declare function iconesQueAccionam(escritores: AccionaveisDoJogo): readonly PauseIcon[];
 /**
  * OS TRÊS ITENS QUE A ENGINE ACCIONA SOZINHA, e que por isso nunca dependem do `getPauseActs` de um jogo.
  *
@@ -397,6 +416,21 @@ export interface PauseIconsCtx {
     /** Os escritores POR EIXO (#104): mexer no tema não apaga a correção, e vice-versa. */
     setTemaDoJogador?: (i: number, tema: Tema) => void;
     setCorrecaoDoJogador?: (i: number, correcao: Correcao) => void;
+    /**
+     * ESTE JOGO SEGURA ALGUMA TECLA? — o valor de `GameDeclaration.seguraTeclas` (ADR-0115). Sem ele o ícone
+     * `altmove` não é montado.
+     *
+     * ⚠️ OBRIGATÓRIO, e vai contra a direcção do ADR-0106, que passou a tornar campos deste ctx OPCIONAIS para
+     * a engine poder montar sozinha. A excepção tem razão medida: os campos que ganharam padrão têm um padrão
+     * SEGURO — o modo cego começa desligado, a lista de botões vem da engine. Aqui não há: `true` monta um
+     * controle que pode não fazer nada, e `false` esconde um de que uma criança depende. Os dois lados erram, e
+     * é essa a condição que o `holdsAtOnce` já usou para ser obrigatório também.
+     *
+     * 📌 Quem passa pelo `createGame` não escreve isto: a raiz lê a declaração, que já é obrigatória. O campo
+     * só é visível para um cartucho que chame `initPauseIcons` por fora — e é exactamente esse que não pode
+     * ficar em silêncio.
+     */
+    seguraTeclas: boolean;
 }
 export interface PauseIconsApi {
     /** Builds one `.screen-pause` (hidden), wired for click + hover/focus caption. Caller appends it. */

package/dist-pkg/ui/pause-icons.js

@@ -230,9 +230,13 @@ export function iconesQueAccionam(escritores) {
     // tiravam os DOIS escritores. O `&&` escondia um ícone que FUNCIONA quando só um escritor falta, e o `||`
     // mostrava um que NÃO funciona. Os dois erram, em direcções opostas, e a pergunta certa nunca foi «este
     // jogo tem escritores visuais» — é «este ÍCONE tem quem o accione».
+    // 📌 E o `altmove` entra pela MESMA porta, que é o achado: «este jogo segura teclas?» é a mesma pergunta
+    // que «este ícone tem quem o accione», feita a um campo do contrato em vez de a um escritor injectado.
+    // Um terceiro ramo, e não uma regra nova.
     return PAUSE_ICONS.filter((ic) => (ic.k === 'contrast' ? escritores.tema
         : ic.k === 'cvd' ? escritores.correcao
-            : true));
+            : ic.k === 'altmove' ? escritores.seguraTeclas
+                : true));
 }
 /**
  * OS TRÊS ITENS QUE A ENGINE ACCIONA SOZINHA, e que por isso nunca dependem do `getPauseActs` de um jogo.
@@ -422,6 +426,10 @@ export function initPauseIcons(ctx) {
     const iconesDoJogo = iconesQueAccionam({
         tema: Boolean(ctx.setTemaDoJogador),
         correcao: Boolean(ctx.setCorrecaoDoJogador),
+        // 📌 Sem `Boolean(...)`: os dois de cima perguntam «existe escritor?» a um campo opcional; este é uma
+        // RESPOSTA que o jogo deu, e envolvê-la faria um `undefined` de um ctx mal montado virar `false` —
+        // esconder o controle em silêncio, que é metade do defeito que este campo existe para não cometer.
+        seguraTeclas: ctx.seguraTeclas,
     });
     /*
      * ⚠️ RESOLVIDOS UMA VEZ, no arranque, pela mesma razão do `settings-motion`: o `rm` é mutado in-place e