@zaip-ai/cli 6.2.0 → 7.5.0

package/templates/.agents/skills/zaip-skill-lead-measurement/references/examples/solar.json

@@ -0,0 +1,165 @@
+{
+  "schema_version": 2,
+  "status": "draft",
+  "synthetic": true,
+  "opt_in": true,
+  "adoption_authorized": false,
+  "company": {
+    "code": "solar_ficticia",
+    "name": "Oficina Solar Fictícia",
+    "offer": "Projeto solar residencial inventado",
+    "owner": "Comercial Solar Fictício"
+  },
+  "versions": { "contract": 2, "questionnaire": 3, "rule": 2, "consent": 4, "mapping": 1 },
+  "approval": {
+    "simulated": true,
+    "reviewer": "Revisor comercial fictício Solar",
+    "date": "2026-10-29"
+  },
+  "questions": [
+    {
+      "code": "budget",
+      "dimension": "B",
+      "label": "Orçamento total por projeto",
+      "type": "number",
+      "unit": "BRL/projeto",
+      "currency": "BRL",
+      "minimum": 0,
+      "maximum": 1000000,
+      "required": true
+    },
+    {
+      "code": "authority",
+      "dimension": "A",
+      "label": "Como participa da decisão?",
+      "type": "single_choice",
+      "options": [
+        { "code": "sole", "label": "Decido só" },
+        { "code": "shared", "label": "Decidimos juntos" },
+        { "code": "researcher", "label": "Pesquiso" }
+      ],
+      "required": true
+    },
+    {
+      "code": "need",
+      "dimension": "N",
+      "label": "Quais necessidades?",
+      "type": "multi_choice",
+      "max_selections": 2,
+      "options": [
+        { "code": "solar", "label": "Energia solar" },
+        { "code": "maintenance", "label": "Manutenção" }
+      ],
+      "required": true
+    },
+    {
+      "code": "timing",
+      "dimension": "T",
+      "label": "Dias até início",
+      "type": "number",
+      "unit": "dias/início",
+      "minimum": 0,
+      "maximum": 365,
+      "required": true
+    },
+    {
+      "code": "capacity",
+      "dimension": "extension",
+      "label": "Potência desejada",
+      "type": "number",
+      "unit": "kWp",
+      "minimum": 1,
+      "maximum": 100,
+      "required": true,
+      "required_when": { "op": "contains", "question": "need", "value": "solar" }
+    }
+  ],
+  "policy": {
+    "code": "solar_fit_draft",
+    "questionnaire_version": 3,
+    "expression_ast": {
+      "op": "all",
+      "args": [
+        { "op": "gte", "question": "budget", "value": 10000 },
+        { "op": "in", "question": "authority", "value": ["sole", "shared"] },
+        { "op": "contains", "question": "need", "value": "solar" },
+        { "op": "lte", "question": "timing", "value": 60 }
+      ]
+    }
+  },
+  "cases": [
+    {
+      "id": "positive",
+      "kind": "positive",
+      "receipt_accepted": true,
+      "authority_type": "shared",
+      "answers": {
+        "budget": { "state": "answered", "value": 20000 },
+        "authority": { "state": "answered", "value": "shared" },
+        "need": { "state": "answered", "value": ["solar", "maintenance"] },
+        "timing": { "state": "answered", "value": 30 },
+        "capacity": { "state": "answered", "value": 6 }
+      },
+      "expected": { "cadastro": true, "profile": true, "outcome": "qualified" }
+    },
+    {
+      "id": "negative",
+      "kind": "negative",
+      "receipt_accepted": true,
+      "answers": {
+        "budget": { "state": "answered", "value": 9999 },
+        "authority": { "state": "answered", "value": "sole" },
+        "need": { "state": "answered", "value": ["solar"] },
+        "timing": { "state": "answered", "value": 30 },
+        "capacity": { "state": "answered", "value": 6 }
+      },
+      "expected": { "cadastro": true, "profile": true, "outcome": "not_qualified" }
+    },
+    {
+      "id": "boundary",
+      "kind": "boundary",
+      "receipt_accepted": true,
+      "answers": {
+        "budget": { "state": "answered", "value": 10000 },
+        "authority": { "state": "answered", "value": "sole" },
+        "need": { "state": "answered", "value": ["solar"] },
+        "timing": { "state": "answered", "value": 60 },
+        "capacity": { "state": "answered", "value": 1 }
+      },
+      "expected": { "cadastro": true, "profile": true, "outcome": "qualified" }
+    },
+    {
+      "id": "override",
+      "kind": "override",
+      "receipt_accepted": true,
+      "answers": {
+        "budget": { "state": "unknown", "value": null },
+        "authority": { "state": "answered", "value": "researcher" },
+        "need": { "state": "answered", "value": ["maintenance"] },
+        "timing": { "state": "withheld", "value": null },
+        "capacity": { "state": "not_applicable", "value": null }
+      },
+      "manual_override": {
+        "id": "solar_review_1",
+        "owner": "Closer fictício",
+        "reason": "Análise técnica simulada",
+        "rule_version": 2,
+        "outcome": "human_review",
+        "simulated": true
+      },
+      "expected": { "cadastro": true, "profile": false, "outcome": "human_review" }
+    },
+    {
+      "id": "uncertainty",
+      "kind": "uncertainty",
+      "receipt_accepted": true,
+      "answers": {
+        "budget": { "state": "unknown", "value": null },
+        "authority": { "state": "withheld", "value": null },
+        "need": { "state": "answered", "value": ["solar"] },
+        "timing": { "state": "not_applicable", "value": null }
+      },
+      "expected": { "cadastro": true, "profile": false, "outcome": "pending" }
+    }
+  ]
+}

package/templates/.agents/skills/zaip-skill-lead-measurement/references/identity-contract.md

@@ -0,0 +1,53 @@
+# Identidade e idempotência de mensuração
+
+Referência documental C03, revisão 2026-10-29, opt-in. Não implementa backend/adaptador, banco ou autenticação. Compõe [arquitetura e D-01](architecture.md), [autoridade](authority.md), [BANT v2](bant-contract.md) e [persistência proposta](persistence-reference.md). Decisão técnica de origem: `DEC-AI-2026-10-29-07-56-MEASUREMENT-IDENTITY-CONTRACT-CPB9RZGKTZ`; o ID é rastreabilidade, não dependência de runtime.
+
+## Dicionário de identidades
+
+| Identidade / origem confiável | Significado e fronteira | Relação / representação |
+| --- | --- | --- |
+| tenant_id / contexto verificado no servidor | Empresa/conta autorizada; nunca autoridade de um UUID do formulário | UUID opaco; participa de toda relação tenant-scoped |
+| contact_id / resolução de identidade aprovada | Registro de contato; não prova quem é a pessoa nem se é solicitação nova | UUID opaco; pode ter várias ocorrências; e-mail não é PK global |
+| occurrence_id / comando persistido | Uma solicitação ou revisão aceita e imutável | UUID opaco; kind new/resume/amend, parent opcional e root explícita validada |
+| evaluation_id / avaliação autorizada | Resultado comercial para respostas/regra/versionamento exatos | UUID distinto; append-only, preserva avaliação automática e override |
+| event_id / fato persistido | Cadastro, perfil ou qualificação; não é uma tentativa HTTP | UUID distinto e estável no retry; referencia fato e ocorrência raiz |
+| delivery_id / destino resolvido no servidor | Uma entrega lógica de um evento a recurso/ambiente/modo específicos | UUID distinto; tentativas e lease não geram outro evento |
+| client_idempotency_key / emissor da operação | Token aleatório de operação; estável para duplo clique, retry e resposta perdida | UUID opaco validado; não é segredo HMAC, ID de contato, autenticação ou autorização |
+| request_fingerprint / servidor | HMAC do comando canônico validado, restrito ao propósito de integridade | Digest binário completo, key_version e canonicalization_version; nunca identidade pública |
+| legacy_id / origem inventariada | ID numérico existente, preservado sem perda | Bigint sai em JSON como string decimal; nunca converter via Number |
+
+UUIDs de negócio são gerados pelo componente confiável; não derivar de contato, e-mail, telefone ou hash pessoal. ID opaco não concede acesso. Na colisão UUID antes de persistir, gerar outro ID sob limite e unicidade; após referência persistida, não substituir nem sobrescrever: interromper e investigar. Colisão de token de operação com conteúdo divergente produz conflito, nunca merge. Mesmos textos de IDs em tenants diferentes não permitem associação: FK/lookup são compostos e autorizados. Imports mantêm mapa explícito legado→novo e origem, sem renomear contratos publicados.
+
+## Identidade da operação e fingerprint
+
+Lookup proposto: `(tenant_id verificado, environment resolvido, operation_code versionado, client_idempotency_key)`. O escopo da operação de cadastro não depende do destino publicitário; escolher outro mapping/dataset não cria outra aceitação. A identidade de entrega separada inclui `(tenant, environment, provider, resource, mode, event_id)` e fingerprint do snapshot. Alterar mapping_version ou destination_id não autoriza replay de fato já entregue; transição entre versões exige reconciliação e aprovação próprias.
+
+O segredo HMAC vem exclusivamente do backend/cofre autorizado. `client_idempotency_key` é uma entrada pública aleatória, não chave criptográfica. Não usar SHA de PII, HMAC da client key isolada ou e-mail como fingerprint do pedido inteiro. Um hash de match de contato, se aprovado, tem propósito/chave/domínio separados; não reutilizar esse digest como recibo ou identificador de publicidade.
+
+Contrato proposto: HMAC-SHA-256 sobre uma codificação sem ambiguidades de domínio, tenant, ambiente, operação, client key, versão canônica e comando validado. Usar tupla tipada com comprimentos explícitos, serialização UTF-8 determinística e chaves de objetos ordenadas. Não concatenar campos sem delimitadores/comprimentos. Recusar campos desconhecidos e tipos inválidos antes do digest. `missing`, `null`, `false`, zero e texto vazio são estados distintos; não coagir números/textos, aceitar NaN/infinito ou depender de arredondamento Number de IDs. Representação numérica e política de normalização precisam ser versionadas; arrays preservam ordem, exceto conjuntos expressamente declarados e canonicamente ordenados. Limitar tamanho/profundidade do comando.
+
+Incluir campos de negócio normalizados segundo política aprovada, questionário/versões, respostas tipadas e escolha de finalidade declarada nessa operação. PII necessária ao comando pode integrar a entrada restrita do HMAC, mas nunca o log; o digest continua dado pseudônimo restrito. Excluir relógio de retry, request ID volátil, trace, user-agent variável e configuração atual de publicidade. Uma nova escolha de consentimento posterior é fato separado; não reescrever o fingerprint antigo para refletir o estado vigente. O gate de envio consulta esse estado vigente independentemente do snapshot.
+
+Guardar junto ao registro a versão da chave, versão canônica, versão de política, fingerprint, criação, expiração/janela aprovada e referência ao resultado. Comparar digests completos com mecanismo apropriado resistente a timing. Comando semanticamente diferente deve produzir entrada canônica diferente; não alegar impossibilidade matemática de colisão de hash. Unicidade da operação, vinculação ao registro e invariantes transacionais são defesas adicionais; ambiguidades de canonicalização bloqueiam adoção.
+
+## Retry, rotação e replay
+
+1. Resolver autorização e escopo da operação antes da consulta. Buscar o registro pela chave composta, sem limitar a busca à versão de HMAC corrente.
+2. Se existir, usar a `key_version` e a `canonicalization_version` persistidas. Conteúdo equivalente recupera o mesmo resultado; divergente retorna conflito, sem novo contato, ocorrência, evento ou entrega. A versão fornecida pelo cliente não seleciona segredo.
+3. Após commit confirmado, responder recibo mínimo permitido. Se o commit ocorreu mas a resposta se perdeu, retry equivalente recupera o mesmo recibo. Commit de resultado desconhecido fica incerto; reconciliar pela chave, nunca assumir rollback e criar outra ocorrência.
+4. Se não existir, admitir nova operação somente dentro da política aprovada; serializar/garantir unicidade da chave composta. Dois comandos concorrentes equivalentes convergem ao mesmo resultado. Corrida com conteúdo divergente não adota silenciosamente o primeiro resultado: reconsultar e comparar, devolvendo conflito ao perdedor.
+5. Rotação usa chave nova para registros novos; manter leitura/verificação de chaves históricas pelo prazo de compatibilidade aprovado, com acesso mínimo. Não recalcular fingerprint histórico com chave nova ou misturar versões numa comparação.
+6. Janela de idempotência/replay/retenção é decisão de adoção, sem default de 24h. Registrar prazo e tratamento pós-expiração antes de ativar. Chave expirada conhecida não vira ausência nem solicitação nova: negar ou recuperar de modo restrito conforme política, sem efeito novo. Reter marcador mínimo de não reutilização pelo horizonte aprovado; se purge impedir distinguir replay antigo de novo, bloquear reuso e exigir protocolo aprovado de nova operação.
+7. Se chave histórica/canonicalizador/registro verificável estiver indisponível, não comparar usando fallback nem tratar como cadastro novo. Pausar a recuperação com erro sanitizado e reconciliação. Comprometimento exige plano específico; rotação não autoriza replay/backfill.
+
+Uma nova solicitação intencional recebe outra client key e occurrence_id, mesmo para contato existente, sujeita a elegibilidade/recorrência aprovada. Trocar a key em retry para superar timeout não é nova intenção de negócio. Não inferir identidade de pessoa, consentimento ou nova solicitação apenas por igualdade de e-mail.
+
+## Linhagem e recibo
+
+`new` cria a solicitação raiz. `resume/amend` exige pai existente do mesmo tenant/contato e root validada até a solicitação original, sem ciclo, ancestral inválido ou travessia de tenant. Preservar snapshots anteriores e versões; não atualizar respostas históricas. A profundidade máxima e política de edição precisam ser aprovadas, com limite finito de travessia.
+
+Perfil completo é cobertura de perguntas obrigatórias aplicáveis do [contrato BANT](bant-contract.md); qualificação é avaliação da regra aprovada. Uma avaliação nova possui ID próprio, motivo e versão; override não apaga avaliação anterior. Eventos de perfil/qualificação referenciam root_occurrence_id e fato/evaluation_id exatos. O funil conta uma raiz `new` elegível, não quatro dimensões BANT, complementos ou avaliações. Deduplicar o fato `(tenant, root, event_code, fact_key)`; nova avaliação não recria `lead_accepted`.
+
+Recibo público contém somente identificadores/estado permitidos pelo contrato público após commit; não expõe contato, fingerprint, client key, segredo, consentimento integral ou payload interno. Recuperação requer contexto/ação autorizados e controles antiabuso; client key sozinha não autoriza consultar cadastro de outra pessoa. Formulário público precisa de protocolo de recuperação aprovado, sem enumeração de contatos nem ampliação de acesso. Falha de analytics posterior preserva o cadastro aceito.
+
+Veja a [matriz estática](persistence-reference.md). Esta referência não prova geração criptográfica, unicidade, persistência, transação, RLS, pool ou concorrência em execução.

package/templates/.agents/skills/zaip-skill-lead-measurement/references/implementation-plan.md

@@ -0,0 +1,60 @@
+# Matriz de implementação e prova
+
+Contrato documental v1, revisão 2026-10-29. Origem: auditoria local de sete documentos e PreparedPlan revisão 2 da `SPEC-2026-10-29-06-45-MEASUREMENT-8A4R`, hash `eb22daa957c5c789d2b54230a4771e072d6185be29a83c8c2cef13df515c673b`. Responsável técnico: manutenção de lead-measurement. Este mapa define obrigações; não registra as próximas Tasks como entregues.
+
+## Fontes e escopo de leitura
+
+Fontes de auditoria sob `.local/audits/2026-10-29-measurement/`: `README.md` delimita o pacote; `01-relatorio.md` contém F01–F12 e cobertura; `02-plano-runbooks.md` contém composição e fluxos; `03-kit-bant.md` contém descoberta e fixture; `04-banco-ddl.md` contém dicionário e referência de dados; `05-banco-operacoes.md` contém pseudofluxos/transações documentais; `06-banco-diagnostico-migracao.md` contém diagnóstico/compatibilidade/rollback; `07-fontes-inventario.md` contém fontes e limites. Esses arquivos locais são evidência de origem, não dependências de instalação do pacote. Nenhum SQL neles foi executado por C01. Referências de consumidores são históricas da auditoria; C01 não os acessa novamente.
+
+Snapshot da stack e D-01 estão em [arquitetura](architecture.md); gates e ficha draft em [autoridade](authority.md). Fontes oficiais citadas na auditoria descrevem o snapshot observado em 2026-10-29, sem afirmar que contas/API foram revalidadas nesta Task.
+
+## Delta funcional — proposed
+
+Estabelecer um contrato portável de mensuração por empresa/ambiente que conecte descoberta BANT versionada, ocorrência distinta de contato, recibo somente pós-persistência, perfil e qualificação sem recriar cadastro, consentimento por finalidade com revogação vigente, projeções mínimas Google/Meta e sincronização Kommo, entrega com aceite semântico/isolamento/reconciliação, diagnóstico sanitizado, migração compatível e distribuição opt-in. A aceitação futura exige matriz F01–F12→Tasks C01–C11→provas por camada; contrato/helper offline não comprovam DB, navegador, conta, API, dedupe ou atribuição reais. D-01 conserva o contexto atual PostgreSQL via Supabase e mantém PostgreSQL 16 como referência condicionada, sem selecionar provedor, major ou empresa. Adoção depende de decisões e autorizações específicas; nenhum SQL, backend/adaptador produtivo, conta ou envio é autorizado por este delta.
+
+Status **proposed**, registrado na Change C01 pela Decision `DEC-AI-2026-10-29-07-08-MEASUREMENT-FUNCTIONAL-DELTA-PROPOSED-BRG3GV28N3`. Nenhum Requirement ativo é promovido, criado ou reinterpretado aqui. `REQ-ARCH-005` / `AC-ARCH-005-05` governam stack/planejamento de C01; IDs de assurance/distribuição das outras Tasks conservam sua garantia original e não se tornam Requirements funcionais BANT/Google. C01.1–C11.4 permanecem resultados conjuntivos do pedido humano; Evidence de uma Task não cobre automaticamente outra.
+
+## Tasks seriais e resultados
+
+Todos os IDs da tabela usam o prefixo completo `TASK-2026-10-29-06-45-MEASURE-` e sufixo `-8A4R`; a coluna chave identifica o segmento intermediário. Cada linha depende da anterior, exceto C01. Gates parentais só após todas as Tasks e provas próprias.
+
+| Resultado / chave | Resultado obrigatório resumido | Camada e prova prevista |
+| --- | --- | --- |
+| C01 / CONTRACTS | C01.1 F01–F12/delta proposed; C01.2 stack canônica sem backend/adaptador; C01.3 D-01 aberta; C01.4 gates futuros | Contrato: regressão limitada, static-check e review independente dos sete documentos/stack/links |
+| C02 / BANT | Entrevista/aprovação por empresa; duas fixtures fictícias diferentes, multi_choice, estados tipados; 22 alternativas Moradigna e aliases; cadastro/perfil/qualified e AST sem eval | Contrato/helper: schema, limites, branching, versões e revisão comercial; sem regra real ativada |
+| C03 / IDENTITY | IDs distintos, bigint string, recibo pós-commit; retry/fingerprint, raiz de amend; HMAC/key_version/rotação; tenant autenticado, não por GUC | Referência estática: tenant A/B, pool/roles, colisão, linhagem, concorrência proposta; sem prova DB |
+| C04 / CONSENT | Finalidades distintas; bloqueio antes de base/PageView e retry; revogação vigente e cookieless separado | Helper local: spies sem rede, unknown/denied/revoked e mutação negativa; review de segurança; sem CMP real |
+| C05 / DELIVERY | v2 opt-in; corrigir/depreciar 2xx→sent; separar transporte/aceite/queued/uncertain/confirmed/attributed; chave completa, lease/fence, reconciliação | Helper local: 200 inválido/202/MP, dois tenants/datasets, test/prod, mapping drift, timeout/crash/429; mutação/review; sem fila/DB produtivos |
+| C06 / GOOGLE | API/browser/manual; loader/SPA/CSP/DLVv2/CE/regex; backup/diff/draft/rollback; quotas e provas GA4 distintas; Ads direct/import por ação e metas; fontes corretas/MP opcional | Runbooks e exemplos sintéticos; review de links por assunto e fonte; Preview/DebugView/contas reais só adoção |
+| C07 / META | Inventário, destino server-owned, matching mínimo; Node/TS/Hono/Kysely; nome/ID/dedupe; Test Events→produção efetiva; evento/conversão e métricas CRM separados | Fixtures/contrato sem rede e review de fontes vigentes ou limite explícito; dedupe real pendente |
+| C08 / KOMMO | Auth/conta/paginação; match ambíguo/incompleto; carteira/override preservados; checkpoints/timeout e coordenação por contato/destino | Fixtures sintéticas/review OAuth/retomada; sem ativar exemplo ou integração CRM produtiva |
+| C09 / OPERATIONS | Separar log técnico/histórico/payload; matriz SHA/contrato; expand/contract/backfill autorizado; aging/reconciliação/owner | Revisão estática de dicionário/pseudofluxos, redaction e rollback; sem SQL, migração ou restore executado |
+| C10 / DISTRIBUTION | Compor skills; routing por impacto; fonte/template/pacote; install/upgrade opt-in preserva consumer-owned; aliases; gerados oficiais | Candidato offline/fixtures e digests; não atualizar consumidores nem editar perfis protegidos manualmente |
+| C11 / QA | Cenário sintético integrado, DB apenas estático; matriz parental por outcome/owner/hash/camada; três provas parentais e revisores independentes | Integração offline + spec review + quality review; QA nativa só em raiz Git independente autorizada, não `.local` aninhada |
+
+## F01–F12 → Tasks, resultados e limites
+
+| Achado | Tasks/resultados responsáveis | Discriminante do pacote | Camada futura de adoção |
+| --- | --- | --- | --- |
+| F01 — conflito de stack | C01, C03, C11 | D-01 explícita, snapshot exato, Node/Hono/Kysely sem dependência Supabase nova | Banco/provedor/major/roles confirmados e adaptação aprovada |
+| F02 — BANT fixo | C02, C10, C11 | Duas empresas, arrays/estados/versões, aliases e distribuição | Entrevista e regra comercial aprovadas; formulário real |
+| F03 — 2xx→sent | C05, C11 | 200 malformed/202 queued/MP não confirmam ingestão; timeout incerto | Resposta semântica API e evento visível, separadamente |
+| F04 — isolamento/recovery | C03, C05, C09, C11 | Chave tenant/env/provider/resource/mode/event, fingerprint, lease/fence e reconciliação | Constraints, pool, workers concorrentes e recuperação DB reais |
+| F05 — consentimento | C04, C11 | Unknown/denied/revoked não emitem, incluindo retry; base/PageView sob gate | CMP/estado vigente e tráfego browser efetivos |
+| F06 — percurso Google | C06, C10, C11 | Checklist de operador, exemplos/filtros, quotas e metas sem defaults | Preview, DebugView, publicação e ingestão autorizadas |
+| F07 — percurso CAPI | C07, C10, C11 | Contrato Node, matching, destino, test/prod e limites de fonte | Token/versão/aceite/dedupe reais e autorização própria |
+| F08 — percurso Kommo | C08, C10, C11 | Incomplete ≠ not_found; checkpoints e revisão de match/carteira | OAuth/permissões, páginas completas e efeitos CRM confirmados |
+| F09 — regra da empresa | C01, C02, C07, C08, C11 | Authority shared não reprova globalmente; MQL CRM e métrica Meta distintos | Aprovação comercial identificada por empresa/destino |
+| F10 — fontes invertidas | C06, C10, C11 | Conferir título/assunto de link, owner/data; HTTP200 isolado insuficiente | UI/API atual e fonte oficial disponível antes da configuração |
+| F11 — drift de contrato | C01, C03, C06, C07, C09, C11 | Matriz SHA/nomes, recibo por ocorrência e aliases; sem nova leitura de consumidor | Inventário e migração de cada consumidor autorizados |
+| F12 — logs/histórico | C03, C09, C11 | `leads_logs` legado não vira fila/log técnico; retenções distintas | Schema/dados/retention/restore revisados no consumidor |
+
+Cada prova final registra Task, outcome, autor/revisor, candidato SHA/hash, cenário, camada, resultado observado e limitações. C01 entrega o mapa e as fronteiras; não fecha os achados funcionais das Tasks seguintes. Os 25 testes da auditoria são baseline histórico; mesmo uma nova regressão verde não prova o contrato documental inteiro nem operação externa.
+
+## Verificação C01 e manutenção
+
+Três modalidades planejadas: teste do helper existente via `node scripts/run-mixed-tests.mjs .agents/skills/zaip-skill-lead-measurement/scripts/lead-measurement.test.mjs` (regressão limitada); `node scripts/validate-skills.mjs` (estrutura, frontmatter e links de SKILL.md); review independente C01.1–C01.4, matriz de stack e sete fontes. O validador não percorre links Markdown internos das referências: conferir cada destino e assunto no review. Sem harness novo/artificial e sem alegação de execução só porque o comando consta aqui.
+
+Review deve rejeitar: F faltante, Task/outcome trocados, D-01 resolvida por default, major/provedor/empresa inventados, Redis cliente confundido com servidor, SQL executado, requisito ativo promovido, ficha draft ativada ou prova local promovida a produção. Comprovar isolamento do diff nos quatro scopes C01. O host autorizado registra validações/Evidence no commit candidato; o executor não aprova a própria entrega.
+
+Revisar após mudança de stack/API/UI/schema/contrato, nova finalidade/destino, erro observado ou depreciação. Preservar v1, códigos/nomes publicados e configuração consumer-owned; mudança semântica exige versão e compatibilidade explícitas. Rollback textual somente do diff próprio; adoção e rollback operacional seguem [autoridade](authority.md).

package/templates/.agents/skills/zaip-skill-lead-measurement/references/kommo-contract.md

@@ -0,0 +1,83 @@
+# Kommo — contrato documental de mensuração e recuperação
+
+Owner: mantenedores lead-measurement/external-integrations; revisão 2026-10-29. Compor [runbook Kommo](../../zaip-skill-external-integrations/references/kommo.md), [identidade](identity-contract.md), [delivery v2](delivery-contract.md), [BANT](bant-contract.md) e [autoridade](authority.md). C08 altera quatro documentos, não cria adapter/backend, script, JSON separado, SQL, manifest ou integração ativa. O [exemplo API](../../../tools/api/kommo-crm/README.md) permanece desabilitado.
+
+## Fronteiras e contrato versionado
+
+Conta/tenant/ambiente/host/pipelines/campos e mapping são server-owned, aprovados na adoção; formulário não escolhe carteira, responsável ou destino. Contato, ocorrência, avaliação, evento e entrega continuam IDs distintos. IDs externos numéricos cruzam JSON como strings decimais, inclusive acima de2^53; match não é autenticação de pessoa ou nova solicitação. Cadastro persistido não se desfaz por falha CRM.
+
+Política por empresa deve fixar versão de questionário/regra/match, normalização, critérios de igualdade, visibilidade/filtros, cobertura de páginas e ações comerciais permitidas. Não usar regra fixa de24h, e-mail único global ou MQL solo universal. Authority shared elegível em Meta e regra específica CRM podem coexistir sem equivalência automática. Mesmo perfil completo não concede estágio/owner ou supera manual_override.
+
+| Estado de match | Condição necessária | Decisão segura |
+| --- | --- | --- |
+| unique | Um candidato distinto após comparação aprovada, leitura completa e visibilidade suficiente | Identifica candidato dentro do escopo; ação depende de política/autoridade próprias |
+| ambiguous | Mais de um candidato distinto elegível, sem critério aprovado para desambiguar | Human review; não escolher primeiro nem criar outro |
+| incomplete | Página/limite/filtro/visibilidade/erro/consistência não resolvidos | Continuar leitura segura ou revisar; zero parcial não vira ausência |
+| absent_within_authorized_scope | Leitura concluída sem match no escopo permitido e suficientemente conhecido | Somente proposta/revisão; não afirma ausência global nem cria automaticamente |
+
+Mesma entidade repetida em páginas só é colapsada se ID/conteúdo forem consistentes; conflito para o mesmo ID exige releitura/revisão. Request query busca candidatos, não comprova igualdade. Critério de matching/ausência é versão da política, não retorno HTTP200 sozinho.
+
+## Checkpoints e aceite normalizado
+
+Cada suboperação tem intenção/payload versionado, tentativas, estado e resultado próprios. Persistir somente em adoção autorizada: operation_id, tenant/conta/destino, occurrence/contact/event/delivery refs, coordenação/fence, IDs externos conhecidos, before/expected_after restritos e evidência sanitizada. Não colocar contato, hash pessoal, token, erro bruto ou URL query em log técnico.
+
+| Checkpoint | Prova futura para confirmar | Retomada após falha |
+| --- | --- | --- |
+| discovered / matched | Inventário/páginas/visibilidade e decisão de match | Não executar writes com incomplete/ambiguous |
+| contact_intent → contact_confirmed | Criação/leitura correlacionada e ID da conta correta | Timeout mantém uncertain; reconciliar antes de repetir create |
+| lead_intent → lead_confirmed | Oportunidade e política comercial/carteira corretas | Preservar contact_id; não recriar contato |
+| link_intent → link_confirmed | Relação contato/lead/ocorrência verificada | Reconsultar relação; não recriar entidades para refazer link |
+| fields_intent → fields_confirmed | Patch permitido efetivo; tags/override preservados | Reconciliar campos, não reaplicar snapshot inteiro |
+| transition_intent → complete | Transição separadamente aprovada, estado atual/override e resultado verificados | Drift manual bloqueia transição; não completar por inferência |
+
+O JSON abaixo é **sintético, normalizado, documental e não executado**. Não é schema/retorno Kommo real, payload importável ou prova de chamada:
+
+```json
+{
+  "schema_version": 1,
+  "synthetic": true,
+  "executed": false,
+  "tenant_ref": "synthetic_tenant_a",
+  "account_ref": "synthetic_account_a",
+  "operation": "create_contact",
+  "transport": { "http_status": 200 },
+  "semantic_acceptance": "confirmed",
+  "entity_ref": { "kind": "contact", "id": "9007199254740993" },
+  "checkpoint": "contact_confirmed",
+  "workflow_complete": false,
+  "effect": "confirmed",
+  "next_operation": "review_lead_intent"
+}
+```
+
+Adapter futuro valida origem/conta/HTTP/content type/schema/erros/entidade e efeito real antes de normalizar; body parcial/inválido/202/página incompleta não confirma workflow. Aceite de contato não confirma lead/link/fields. Recibo unitário completo de C05 (`entity_id`, `checkpoint:complete`) só pode ser produzido depois dos checkpoints aplicáveis concluídos, nunca pela confirmação prematura de uma suboperação. Request ID local não é garantia de idempotência Kommo.
+
+## Cenários discriminantes K01–K13
+
+Todas as entradas são referências sintéticas sem PII/conta real. `rows`, coverage e checkpoints são normalizações documentais, não campos oficiais da API. Cada resultado é **esperado**, não observado em execução. O limite comum é inspeção estática; API/OAuth/DB/concorrência reais continuam não comprovados.
+
+```json
+[
+  { "id": "K01", "input": { "page_1": { "rows": [], "next_page": 2 }, "page_2_error": 429 }, "precondition": "synthetic policy requires all authorized pages", "expected": { "match": "incomplete", "checkpoint": "discovered", "writes": 0 }, "proof_limit": "no pagination or HTTP executed" },
+  { "id": "K02", "input": { "contact_ids": ["101", "102"], "both_match_policy": true }, "precondition": "complete authorized coverage; two distinct candidates", "expected": { "match": "ambiguous", "decision": "human_review", "creates": 0 }, "proof_limit": "identity equality and CRM not executed" },
+  { "id": "K03", "input": { "page_1_ids": ["101"], "page_2_ids": ["101"], "same_relevant_content": true }, "precondition": "coverage complete and visibility sufficient", "expected": { "match": "unique", "contact_id": "101", "creates": 0 }, "proof_limit": "dedupe is a documentary expectation, not a live result" },
+  { "id": "K04", "input": { "rows": [], "visibility": "unknown_or_restricted" }, "precondition": "account identity known but contact visibility unproven", "expected": { "match": "incomplete", "decision": "inspect_permissions_and_filters", "writes": 0 }, "proof_limit": "account read does not prove visibility" },
+  { "id": "K05", "input": { "rows": [], "coverage": "complete_authorized_scope", "visibility": "sufficient_for_policy" }, "precondition": "approved match policy and stable filters", "expected": { "match": "absent_within_authorized_scope", "decision": "proposal_review_only", "creates": 0 }, "proof_limit": "not global absence or a create authorization" },
+  { "id": "K06", "input": { "cursor": "synthetic_page_3", "status": 429, "retry_after_ms": 5000 }, "precondition": "prior pages retained; validated same-account cursor", "expected": { "match": "incomplete", "resume": "read_same_cursor_after_allowed_delay", "repeat_confirmed_writes": false }, "proof_limit": "rate limit and headers not observed" },
+  { "id": "K07", "input": { "operation": "create_contact", "transport": "timeout_after_possible_effect" }, "precondition": "contact intent recorded; no confirmed contact ID", "expected": { "checkpoint": "contact_intent", "effect": "uncertain", "next": "reconcile_contact_before_retry", "automatic_create_retry": false }, "proof_limit": "no native idempotency or remote absence proved" },
+  { "id": "K08", "input": { "contact_id": "101", "operation": "create_lead", "transport": "timeout_after_possible_effect" }, "precondition": "contact_confirmed; lead_intent recorded", "expected": { "checkpoint": "lead_intent", "preserve_contact_id": "101", "next": "reconcile_lead", "recreate_contact": false }, "proof_limit": "lead creation and reconciliation not executed" },
+  { "id": "K09", "input": { "contact_id": "101", "lead_id": "201", "operation": "link", "transport": "timeout_after_possible_effect" }, "precondition": "both entities confirmed; relation not confirmed", "expected": { "checkpoint": "link_intent", "next": "read_relation_then_reconcile", "recreate_entities": false }, "proof_limit": "a link response is not a verified relation" },
+  { "id": "K10", "input": { "operation": "update_fields", "transport": "timeout_after_possible_effect", "manual_owner_changed": true }, "precondition": "link_confirmed; update intent known", "expected": { "checkpoint": "fields_intent", "next": "reconcile_fields_and_preserve_manual_owner", "repeat_full_snapshot": false }, "proof_limit": "no CAS or remote race protection proved" },
+  { "id": "K11", "input": { "contact_id": "101", "lead_id": "201", "link_confirmed": true, "fields_error": "invalid_enum" }, "precondition": "earlier checkpoints confirmed", "expected": { "checkpoint": "fields_intent", "decision": "fix_mapping_under_new_review", "recreate_contact_or_lead": false, "workflow_complete": false }, "proof_limit": "mapping repair requires future authority" },
+  { "id": "K12", "input": { "deliveries": ["synthetic_d1", "synthetic_d2"], "same_contact_destination": true, "delivery_leases_valid": true, "old_coordinator_response_late": true }, "precondition": "two events may affect the same CRM entity", "expected": { "coordination": "one_contact_destination_owner", "stale_fence_commit": false, "next": "reconcile_possible_late_effect_before_create" }, "proof_limit": "delivery leases alone do not prove contact coordination" },
+  { "id": "K13", "input": { "authority_type": "shared", "crm_manual_override": true, "protected": ["wallet", "owner", "stage", "commercial_tags"] }, "precondition": "company policy and technical tag allowlist reviewed", "expected": { "decision": "preserve_override_and_protected_state", "tags": "add_only_approved_technical_tags_without_replacing_commercial", "meta_mql_equivalence": false }, "proof_limit": "no commercial approval or CRM update executed" }
+]
+```
+
+K03 com mesmo ID/conteúdo divergente mudaria para incomplete/review, não unique. K05 não resolve políticas de pessoa/recorrência. K06 não representa retry de escrita; K07–K10 nunca inferem ausência por timeout. K12 exige chave física tenant/ambiente/contato/conta-destino, distinta de delivery_id e de mapping_version; lease expirada não prova efeito ausente. Coordenação local não impede ação humana remota, exigindo preservação/revisão de drift.
+
+## Aceite, manutenção e rollback
+
+Inspecionar realmente K01–K13 contra C08.1–5 e os links dos quatro documentos; registrar resultado/candidato/owner/limites. Regressão executada existente C05 (44 casos) é complementar, não simulação dos JSONs ou prova Kommo. Não existe teste/harness documental novo a executar nesta Task. C10/C11 poderão compor o harness integrado sob seus scopes; nenhum resultado futuro é antecipado.
+
+Review independente verifica runbook OAuth/retomada, cobertura de páginas/permissões, respostas normalizadas e decisão comercial separada. Adoção exige conta, BANT/política, direitos/credenciais/retention, adapter e testes próprios autorizados. Reverter apenas diff documental C08; preservar exemplo/manifest desabilitados, históricos, IDs e checkpoints. Nenhum contato/lead real será criado, excluído ou revertido.

package/templates/.agents/skills/zaip-skill-lead-measurement/references/meta-mapping.md

@@ -0,0 +1,28 @@
+# Mapeamento Meta — contrato portável C07
+
+Revisão 2026-10-29; owner: mantenedores lead-measurement/Meta Conversions. [Runbook Meta](../../zaip-skill-meta-conversions/references/implementation.md), [evento](event-contract.md), [delivery](delivery-contract.md) e [consentimento](consent-contract.md) são complementares. Output é referência/simulador offline, não backend/adaptador produtivo. D-01 e fontes Meta indisponíveis permanecem gates da adoção.
+
+| Fato / representação | Projeção pública | Material restrito / regra |
+| --- | --- | --- |
+| lead_accepted pós-persistência | Pixel Lead + eventID opaco, dataLayer do fato com enums aprovados | CAPI Lead + mesmo event_id, horário congelado, dataset server-owned e user_data mínimo aprovado |
+| lead_qualified posterior | Nome distinto explicitamente versionado (fixture QualifiedLead), ID próprio | Outra avaliação/fato; não recria cadastro nem reclassifica retroativamente evento anterior |
+| Perfil completo | Evento próprio somente quando contrato/versão o suportar | Helper legado não suporta esse nome; simulador recusa fallback para Lead |
+| Evento consolidado | Evento + parâmetros enum versionados | Pode sustentar custom conversion com condição aprovada; receber evento não cria configuração |
+| Evento por resposta / aliases | Nomes/IDs já publicados preservados até migração explícita | Autority_* e autority não são corrigidos silenciosamente;22 opções não viram22 cadastros |
+
+Dataset/tenant/ambiente/mode/mapping vêm do servidor confiável. Cliente não escolhe outro dataset; mesmo nome/ID em recurso diferente não é o mesmo par. Par local correto é invariante, não dedupe observado ou janela comprovada. Documentação oficial de dedupe respondeu429 na fonte da execução; sem números de janela ou suporte Graph inventados.
+
+Separar três superfícies: Pixel/dataLayer/URL recebem somente projeção allowlist; matching hash/raw e recibos ficam restritos; log recebe código/destino/fase/mode sem contato/hash/token/testcode. SHA256 de matching não é HMAC de idempotência nem anonimização. Modelo suporta apenas email/telefone autorizados e meta_measurement vigente; fbp/fbc/IP/UA exigem contrato/origem/finalidade reais próprios e não são fabricados.
+
+Authority shared pode corresponder à condição Meta aprovada; regra comercial e suas versões não vêm de default do simulador. MQL CRM de decisão solo é métrica específica separada, sem desqualificação universal ou equivalência automática. Condições são avaliadas no fato correto, preservando snapshots e override.
+
+Test Events→produção exige remover código de teste da configuração efetiva, payloads e filas; modo literal false e jobs produtivos novos após marco, sem converter/reemitir jobs de teste ou backfill de fatos existentes. Registro de IDs e horários do simulador é contexto sintético; implantação exige observação efetiva e autorização próprias. SDKmain observado é mutável; arquitetura Node/TS/Hono/Kysely não cria Supabase/Edge Functions novos.
+
+Comandos locais (sem rede/conta/DB):
+
+```sh
+node .agents/skills/zaip-skill-meta-conversions/scripts/meta-model.test.mjs
+node .agents/skills/zaip-skill-meta-conversions/scripts/check-meta-links.mjs
+```
+
+`productionCutover` só valida um snapshot sintético e retorna deployment_verified:false; não apaga filas ou remove credenciais/configuração real. Recibos semânticos são normalizados pelo adaptador futuro após validação real; 2xx/malformed/queued não comprovam ingestão. Rollback textual preserva modelos/nomes legados e histórico, sem reenviar.

package/templates/.agents/skills/zaip-skill-lead-measurement/references/migration.md

@@ -0,0 +1,65 @@
+# Migração e compatibilidade de mensuração
+
+Owner documental: mantenedores lead-measurement/migrações; revisão 2026-10-29. Somente plano de referência. Nenhum SQL, PGlite, psql, migration, DB, consumidor ou restore foi executado/acessado em C09. Schema/dados/retention exigem contrato e autoridade por consumidor; publicar aplicação não concede autoridade de banco. Compor [arquitetura/D-01](architecture.md), [identidade](identity-contract.md), [persistência proposta](persistence-reference.md), [operações](operations.md) e [referência de migrações](../../zaip-skill-database-migrations/references/lead-measurement.md).
+
+## Matriz por SHA e nome de contrato
+
+SHAs de consumidores abaixo são **snapshots históricos fornecidos pela auditoria local de 2026-10-29**, reproduzidos de `.local/audits/2026-10-29-measurement/01-relatorio.md` e inventário07. Não são atuais, revalidados ou prova de deploy. Nenhum consumidor foi relido. Caminhos de contratos são nomes históricos de origem, não dependências executáveis da instalação.
+
+| Origem / SHA conhecido e classe | Nome do contrato/superfície no snapshot | Compatibilidade e lacuna registrada |
+| --- | --- | --- |
+| Builder ZAIP-AIOS `99add695d0e8362b2b873b05647c24882d6bccf7` — histórico fornecido | lead-measurement/event-contract v1; delivery-ledger v1; package7.5.0/ciclo7.5 aberto no snapshot | Formatos legados preserváveis; 2xx→sent não comprova entrega. Não prova pacote publicado ou instalação no consumidor |
+| Moradigna backend `81748effbbb6bf2006332df427249fd3eee636fd` — histórico fornecido | api_meta/README.md, RECADASTRO_24H.md, BANT.md; kommo-create-lead/README.md; governança legada .agents_zaip | Regras de recorrência/MQL e histórico leads_logs pertencem ao consumidor; versão global/schema integral/DB real não comprovados |
+| LP Daniel `eb9a6ef8d700f85797769bae5313a54e30f157c0` — histórico fornecido | google-lead-gtm.md, google-bant-gtm.md, meta-pixel.md, tag-marketing.md; código de recibo por submissão | Framework instalado7.4.0 e app package1.0.0 no snapshot são versões distintas. Drift INSERT versus nova solicitação recorrente foi registrado, não corrigido/validado agora |
+| Base de autoria C09 `703f707b8a6691754b060c5eaf8fbbda20bc7bf2` — comunicada pelo host | Contratos locais C01–C08: v1 legado, v2 opt-in, consentimento e referências Google/Meta/Kommo | Base Git do trabalho documental, não SHA candidato C09 nem compatibilidade instalada em consumidor |
+| Adoção futura — SHA não informado | Nome/versão/schema/contrato de cada consumidor a verificar sob autorização própria | Status desconhecido; não preencher SHA/compatibilidade por semelhança de nomes ou versão do builder |
+
+O drift histórico F11 não permite escolher um contrato único atual: código LP por solicitação e documentos backend/Meta sobre INSERT/recorrência precisavam de reconciliação por SHA/fato. Manter matriz específica com source SHA, nome/versão do contrato, forma do ID, definição de ocorrência, evento/alias, mapping, consentimento, destino e evidência. Preservar autority/Autority_* e IDs publicados até migração explícita; não corrigir nomenclatura externa silenciosamente.
+
+Compatibilidade local ou versão7.5 não significa deploy/conta/SQL executados. Uma nova leitura de consumidor, quando autorizada em trabalho próprio, deve criar nova linha datada, sem apagar/reclassificar os snapshots. Não inventar schema integral, PK/FK, data volume, major PostgreSQL ou grant a partir destes documentos.
+
+## Descoberta e contrato de migração futura
+
+Antes de alterar dado/schema, owner do consumidor identifica versão real implantada, contratos/leitores/escritores, banco/provedor/major/D-01, roles/tenancy, volume/consultas, retenção, dados e backups disponíveis. Inventário somente por mecanismo e ambiente autorizados; esta SPEC proíbe inclusive SELECT local. PostgreSQL16 continua dialeto condicionado de referência, não versão encontrada ou escolha de novo provedor. Supabase atual declarado não autoriza serviço/Edge Functions novos.
+
+Classificar leads_logs existente antes de qualquer decisão. Se contém histórico comercial/UTMs/submissões, manter sua finalidade e origem; não renomear para log técnico/outbox, não truncar nem expor em painel. Payload restrito e diagnóstico técnico têm acesso/retenção diferentes. Mudança de retention/exclusão é decisão própria, não subproduto de schema novo.
+
+Contrato futuro identifica origem/repositório/branch/SHA, versão de schema/contrato público, delta pretendido, impacto em leitores/escritores/consultas/roles/locks, mecanismo único de migração e aplicação, responsável, autorização, backup/restore e rollback/forward repair. Hash do SQL/artefato e recibo humano/aplicador pertencem ao fluxo próprio quando autorizado; não existe arquivo SQL a aplicar em C09.
+
+## Expand/contract — pseudofluxo condicionado
+
+1. **Baseline:** preservar snapshot e contratos por SHA; verificar backup recuperável/keys necessárias e autoridade do executor futuro. Não alegar backup seguro/restore testado apenas por existir arquivo ou plano.
+2. **Expand:** propor estrutura compatível ao lado da antiga, com origens/IDs/versões e permissões mínimas; revisar sem executar SQL aqui. Implantar leitores/escritores compatíveis somente depois do procedimento DB autorizado e resultado observado. Não elevar runtime para owner/admin para contornar erro.
+3. **Mapeamento:** registrar source repo/SHA/contrato/ID legado→identidade nova e motivo. Não deduzir occurrence_id do contact_id nem gerar quatro leads para quatro BANTs; lacuna de histórico/consentimento/horário permanece desconhecida. IDs bigint continuam strings; preservar IDs/eventos/aliases e counters originais.
+4. **Dual-read/shadow:** comparar interpretação antiga/nova por mesma coorte/origem, sem publicar/duplicar efeitos. Diferença de definição é decisão de contrato, não ajuste automático de total. Ler duas fontes não cria dois eventos nem converte erro/ausência de fonte em zero.
+5. **Escrita/toggle:** se dual-write for necessário e autorizado, definir transação/idempotência/recuperação e um único publicador efetivo por fato/destino. Toggle versionado e auditável não autoriza replay de confirmado, remoção de marker browser ou nova identidade para evento antigo. Não manter dois caminhos CAPI/CRM/Ads emitindo a mesma conversão.
+6. **Reconciliação:** comparar origens, IDs, raiz new, perfil/avaliação, destinos esperados, entregas/checkpoints e counters, incluindo ausências/duplicidades e estado incerto. Mesmo mapping novo não concede novo efeito. Consentimento vigente e snapshot/retention continuam requisitos próprios.
+7. **Ativação:** marco e ambiente/destino aprovados, jobs teste separados, sem código teste efetivo, sem backfill automático e sem promover job de teste. Apenas fatos novos elegíveis. Backfill/reavaliação/replay histórico exigem autorização separada com intervalo/finalidade/consentimento/limites/dedupe e evidência próprios.
+8. **Contract:** retirar legado só após consumidores efetivamente migrados, compatibilidade observada e retenção aprovada; preservar proveniência e referências necessárias. Não usar DROP/CASCADE/reset de sequence ou limpeza de ledger como rollback padrão.
+
+## Plano de rollback/forward repair de adoção — NÃO executado
+
+Pausar geração/publicação nova pelo controle autorizado, preservando cadastro aceito, filas, leases, snapshots e vínculos. Reconciliar efeitos em voo/incertos; não tratá-los como ausência. Restaurar apenas app/config compatíveis com schema expandido; se versão antiga não entende dados novos, manter leitor compatível ou usar forward repair aprovado, sem downgrade destrutivo por default.
+
+Um toggle desligado não religa automaticamente publicador legado para reenviar os mesmos fatos. Preservar identidades, origens e counters, sem zerar tentativas/sequence ou apagar entregas confirmadas. Código/config revertidos não desfazem evento aceito, atribuição ou contato/lead no provedor. Compensação comercial exige decisão própria; rollback não exclui entidades remotas automaticamente.
+
+Restore DB futuro precisa de ambiente/alvo autorizado, artefato/keys/versão conhecidos, procedimento verificado, impacto/tempo/perda aceitos e conciliação posterior com efeitos externos já existentes. Um restore que volta ledger no tempo não pode provocar replay de efeitos remotos confirmados. Nesta entrega não há backup/restore DB demonstrados nem plano específico aprovado para um consumidor; isso limita a adoção, não reprova os documentos genéricos.
+
+## Cenários estáticos M01–M08
+
+| Entrada/precondição | Resultado esperado | Limite |
+| --- | --- | --- |
+| M01: mesmo nome leads_logs com histórico comercial no snapshot | Classificar/preservar; schema/log/outbox novos só por delta/autoridade próprios | Sem leitura de linhas/schema reais |
+| M02: contato único com duas solicitações e quatro respostas BANT | Origem/contact/occurrences distintos; funil por raízes elegíveis, sem somar respostas como leads | Agregador não executado |
+| M03: v1 sent/HTTP2xx importado para v2 | Preservar estado-fonte; semantic_acceptance permanece não provado | Não converte nem reenvia ledger |
+| M04: dual-read com coortes/definições diferentes | Registrar divergência/mapping; não ajustar contagem silenciosamente nem duplicar publicação | Comparação DB não executada |
+| M05: rollback de app após efeito externo incerto | Pausar/reconciliar; IDs/counters/checkpoints intactos; sem reenfileirar automático | Sem restore ou efeito remoto observado |
+| M06: consentimento/horário legado ausentes em backfill proposto | Permanecer unknown; exigir contrato/autorização próprios; não fabricar snapshots | Nenhum dado preenchido |
+| M07: restore de ledger anterior a evento remoto confirmado | Reconciliar antes de ativar publicador e impedir replay | Procedimento DB é apenas referência |
+| M08: SHA consumidor desconhecido e contrato homônimo | Compatibilidade/adopção desconhecidas; nova verificação só sob autoridade futura | Snapshot histórico não é estado atual |
+
+## Prova atual e reversão textual
+
+Fixtures/pseudofluxos são inspecionados estaticamente, sem redaction/SQL/migration/restore executados. Regressão de consentimento existente é complementar; review independente cobre C09.1–4. C10/C11 integrarão provas offline sob seus próprios scopes, sem resultado antecipado.
+
+Baseline textual C09 comunicado pelo host: `703f707b8a6691754b060c5eaf8fbbda20bc7bf2`, com inventário exclusivo dos quatro documentos da Task. Reversão da entrega, se necessária, é só seu diff textual, mantendo C01–C08/trabalho alheio/registros; não constitui rollback DB testado, restauração de conta ou autorização de publicação.