@zaip-ai/cli 6.3.0 → 7.5.0

package/templates/.agents/skills/zaip-skill-google-ads-conversions/SKILL.md

@@ -0,0 +1,18 @@
+---
+name: zaip-skill-google-ads-conversions
+description: Configure and verify Google Ads lead conversion actions from GA4 import or direct tags when the user requests conversion measurement, primary-source selection or duplicate-count diagnosis.
+---
+
+# Configurar conversões Google Ads
+
+1. Identifique projeto/ambiente, conta Ads, ação/objetivo, container e propriedade/fluxo GA4 envolvidos. Descubra ferramentas por `$zaip-skill-use-connectors`; não confunda Ads Manager de outro produto com Google Ads. Verifique acesso na conta exata.
+2. Leia [configuração e verificação](references/implementation.md). Inventarie ações existentes, suas origens, status primário/secundário e objetivos usados pelas campanhas. Preserve histórico e trabalho concorrente.
+3. Aplique `$zaip-skill-lead-measurement` e escolha por ação/fato uma fonte primária: `ga4_import` ou `direct`, sem envio direto duplicado da importada. A alternativa existente fica secundária; confira também metas personalizadas, pois podem usar secundárias nos lances. Registre escolha, contagem, valor/moeda, janela, modelo e mapeamento antes de editar.
+4. Para `ga4_import`, configure/valide `generate_lead` com `$zaip-skill-google-analytics`, confira vínculo conta/propriedade e importe a ação acordada. Para `direct`, configure a tag de conversão com o ID/label oficiais da ação correta e o trigger de aceitação confirmada, usando `$zaip-skill-google-tag-manager` quando aplicável.
+5. Aponte a ação escolhida como primária e confira os objetivos efetivos da campanha. Uma dimensão GA4, tag GTM ou conta vinculada não comprova que a ação foi importada, selecionada ou contabilizada.
+6. Separe qualificação tardia do cadastro. Se houver objetivo de lead qualificado, configure uma ação/regra própria aprovada; não reenvie o cadastro primário e não derive classificação do nome da campanha.
+7. Confirme todos os sinais de consentimento exigidos pela finalidade e a ausência de contato/formulário no GA4. Não coloque credenciais de servidor em tags públicas; integrações backend usam o Infisical autorizado.
+8. Execute teste sintético autorizado e confira tag/importação, ação selecionada e diagnóstico na conta. Faça sucesso persistido, backend rejeitado, consentimento negado/desconhecido e retry. Compare as duas fontes para confirmar que não existem duas ações primárias para o mesmo cadastro.
+9. Entregue configuração/código revisáveis e as provas separadas de instalação, recebimento e contabilização/atribuição. Execute alterações já autorizadas; peça só a autorização externa que de fato faltar, com conta e ação concretas. Não altere orçamento, lance ou campanha fora do pedido.
+
+O [runbook](references/implementation.md) cobre API/browser/manual e distingue conversão, público e segmentação. Use o [checklist Google](../zaip-skill-google-tag-manager/references/operator-checklist.md); não trate um rótulo secundário como prova de exclusão de bidding.

package/templates/.agents/skills/zaip-skill-google-ads-conversions/agents/openai.yaml

@@ -0,0 +1,4 @@
+interface:
+  display_name: "Google Ads Conversions"
+  short_description: "Configure a single primary lead conversion"
+  default_prompt: "Use $zaip-skill-google-ads-conversions to configure one primary conversion source for authorized leads."

package/templates/.agents/skills/zaip-skill-google-ads-conversions/references/implementation.md

@@ -0,0 +1,61 @@
+# Google Ads: fonte primária única
+
+Owner: mantenedor da skill Google Ads Conversions; revisão documental 2026-10-29. Adoção exige responsável comercial/operador e conta/ação concretos, ainda não informados. C06 não configura contas/campanhas, envia eventos ou comprova atribuição.
+
+Antes de alterar, registre conta, ação de cadastro, origem, vínculo GA4 e objetivo usado pela campanha. Nomes de contas/ações não bastam para desambiguar IDs.
+
+| Escolha | Implementação | Alternativa existente |
+| --- | --- | --- |
+| `ga4_import` | GA4 `generate_lead` configurado, propriedade vinculada, ação importada e escolhida como primária | Ação direta existente fica secundária; tag emissora desse mesmo fato fica desativada |
+| `direct` | Tag nativa com ID/label oficiais da ação e trigger de aceitação confirmada | Ação importada GA4 fica secundária |
+
+Execute a escolha autorizada e confira os objetivos efetivos da campanha; não altere orçamento/lance/criativo fora do pedido. Se não houver acesso suficiente, prepare a configuração concreta e registre a etapa faltante.
+
+O contrato [lead-measurement](../../zaip-skill-lead-measurement/references/event-contract.md) impede projetar duas fontes primárias. Essa validação local não inspeciona as configurações reais Ads: a conta ainda precisa ser verificada.
+
+## Verificação
+
+- Sucesso persistido com consentimento permitido produz somente a ação de cadastro escolhida.
+- Backend rejeitado e consentimento denied/unknown não produzem a conversão deste fluxo.
+- Retry conserva identidade; não conte um novo cadastro só por reentrega.
+- Qualificação posterior usa ação/regra própria explicitamente aprovada e não recria a ação primária de cadastro.
+- Confira tag/importação e diagnóstico na conta; registre separadamente envio, recebimento e atribuição/contabilização.
+- Confirme a alternativa como secundária e os objetivos da campanha. Evento no GA4 não comprova importação ou contabilização.
+
+Parâmetros e classificações vêm de enums versionados, nunca de contato, formulário livre ou do nome da campanha. Dados/credenciais de backend ficam fora de tags públicas.
+
+Fontes oficiais corrigidas por assunto: [primárias/secundárias](https://support.google.com/google-ads/answer/11461796?hl=en), [importar eventos GA4](https://support.google.com/google-ads/answer/10632359?hl=en). URLs/rótulos anteriores estavam invertidos. Confira interfaces/documentação atuais antes de configuração real.
+
+## Descoberta e ficha por ação
+
+Compor [GA4](../../zaip-skill-google-analytics/references/implementation.md), [GTM](../../zaip-skill-google-tag-manager/references/implementation.md) e [checklist Google](../../zaip-skill-google-tag-manager/references/operator-checklist.md). Para CADA fato/ação aprovada registrar: conta/customer ID, action ID, fonte direct OU ga4_import, categoria, contagem one/every conforme negócio, valor/moeda, janela, modelo de atribuição, primária/secundária e metas efetivas. Budget declarado pelo lead não é receita/valor de conversão. Nada disso recebe default comercial global; números da fixture são fictícios.
+
+Direct requer Conversion ID AW-... e label oficiais da ação, Google tag/Conversion Linker quando aplicáveis e trigger pós-aceitação; reutilizar instalações existentes. Import requer propriedade/evento principal/vínculo/ação importada confirmados. Não enviar tag direta para projeção ga4_import: ela é metadata da futura importação. Qualificação posterior tem ação/fato próprios e não reminta cadastro primário. Aliases/IDs publicados mudam só por migração aprovada.
+
+## API
+
+Descobrir conector Google Ads, operações/schema e conta/customer efetivos; Ads Manager de outro produto não serve como substituto. Ler ações/origens/status e metas das campanhas com paginação/permissões verificadas, preservando histórico. Preparar diff da ação por ID e fonte, incluindo relação GA4 e objetivos; alteração de conta/metas/campanhas só se a autorização cobrir cada recurso. Reler ação e metas depois da escrita autorizada; falha de acesso/lista incompleta não prova inexistência. C06 não observou schema/permissões de API de uma conta real; se operação não estiver disponível, seguir browser/manual sem inventar runner/campo/API.
+
+## Browser
+
+1. Selecionar conta correta, inventariar conversões e origem, abrir ação pretendida e registrar campos da ficha. Interface e permissões podem variar; conferir nomes atuais e IDs na conta, não apenas nome comercial.
+2. Para direct, usar fluxo de ação de site vigente e obter ID/label; configurar tag nativa/CE correto e ID transacional dinâmico quando suportado pelo contrato. Para ga4_import, conferir vínculo e evento principal, escolher evento e confirmar ação criada/importada. Uma tag/dimensão/vínculo sozinho não comprova ação importada.
+3. Revisar metas padrão da conta, específicas de campanha e personalizadas. **Ação secundária incluída em meta personalizada pode participar de bidding.** Mudar primária para secundária não garante remoção dos lances; conferir metas efetivas e impedir dupla otimização do mesmo fato. Não editar orçamento/lance/campanha fora da autorização.
+4. Deduplicação transacional é por ação, não conjunção entre quatro ações BANT. Quatro classificações não viram quatro leads. Se objetivo for combinação de respostas, definir condição combinada aprovada na fonte correta, sem inferir pelo nome da campanha.
+5. Validar emissão/tag/importação, estado da ação e diagnósticos separadamente; unknown/denied/revoked bloqueiam este fluxo. Sem interação elegível com anúncio e evidência da plataforma, atribuição permanece não comprovada; não clicar anúncio só para fabricar teste.
+
+## Manual
+
+Entregar ficha antes/depois com IDs/labels públicos confirmados, campos/decisões pendentes e owner, plano de tag ou importação, metas efetivas e critérios positivo/negativo. Operador da conta confere fonte, categoria/contagem/valor/moeda/janela/modelo, alternativas e metas personalizadas, e fornece evidência sanitizada da ação. Falta de acesso/quota/documentação não se resolve com defaults ou outra conta conectada. Credenciais nunca são solicitadas no chat.
+
+## Conversão, público e segmentação
+
+Conversão mede ação/fato. Público agrupa usuários elegíveis por condições e consentimento. Segmentação escolhe audiência/campanha. Criar conversão não cria público nem muda segmentação; nenhuma dessas três ações autoriza as outras. Registrar propósito e efeito esperado separadamente; qualificação não é orçamento/lance inferido.
+
+## Rollback
+
+Nesta entrega, reverter só runbooks/fixtures próprios. Na futura conta autorizada, pausar tag nova ou restaurar fonte/meta/estado anterior revisados, manter histórico e reconciliar efeitos já enviados. Não apagar ação/lead para reenviar ou habilitar fonte alternativa automaticamente. Rollback de código não desfaz conversão aceita/atribuída.
+
+## Fontes e manutenção
+
+Revisar após mudança de UI/API/objetivo/fonte ou incidente; registrar owner/data/candidato e limite das provas. [Tag de conversão Ads no GTM](https://support.google.com/tagmanager/answer/6105160?hl=en), [IDs transacionais por ação](https://support.google.com/google-ads/answer/6386790?hl=en). Fontes por assunto corrigidas acima foram verificadas no refresh público da execução; nenhuma leitura pública comprova a conta.

package/templates/.agents/skills/zaip-skill-google-analytics/SKILL.md

@@ -0,0 +1,24 @@
+---
+name: zaip-skill-google-analytics
+description: Install or configure GA4 lead events, consent, custom dimensions and key events when the user requests Google Analytics measurement implementation or diagnosis.
+---
+
+# Instalar e configurar GA4
+
+Ao criar ou alterar carregamento, componha
+[performance de terceiros](../zaip-skill-performance-engineering/references/third-party-performance.md).
+Preserve consentimento, atribuição e eventos aceitos antes de o SDK estar pronto.
+
+1. Fixe projeto/ambiente, conta, propriedade, fluxo web e Measurement ID exatos. Descubra acesso por `$zaip-skill-use-connectors`; verifique identidade e capacidade antes de configurar recursos. Sem acesso, prepare código/configuração revisáveis e identifique o passo externo pendente.
+2. Inspecione instalação existente. Escolha Google tag via GTM ou a integração direta já autorizada; evite loaders e eventos duplicados. Use `$zaip-skill-google-tag-manager` quando o container for o caminho escolhido.
+3. Leia [eventos e prova GA4](references/implementation.md) e o contrato de `$zaip-skill-lead-measurement`. O backend é a fonte de aceitação; somente persistência confirmada pode originar `generate_lead`.
+4. Implemente o mapeamento `lead_accepted` → `generate_lead` com parâmetros allowlist `service`, `budget_band`, `qualification` e ID opaco estável. Os valores pertencem ao catálogo versionado aprovado; não copie formulário nem texto livre.
+5. Cadastre somente dimensões necessárias com escopo de evento e nomes exatos, após consultar quota/uso da propriedade e sua edição Standard/360. Não transforme IDs únicos em dimensões de alta cardinalidade. Marque `generate_lead` como key event somente para o objetivo acordado; filtro/latência de relatórios não se confundem com DebugView/Realtime.
+6. Configure um mapeamento explícito separado para `lead_qualified`; não recrie `generate_lead` a cada mudança de classificação. A identidade local não comprova deduplicação automática GA4.
+7. Verifique consentimento e a ordem CMP/tag. Negado ou desconhecido não habilitam o envio deste contrato. Pings cookieless/Consent Mode são uma configuração própria autorizada, não um fallback implícito.
+8. Teste Preview/requisição, DebugView ou Realtime e definições da propriedade. Confira sucesso, rejeição do backend, consentimento negado/desconhecido e qualificação posterior sem novo cadastro primário. Examine URLs/query strings para PII, além dos parâmetros explícitos.
+9. Registre candidato, propriedade/fluxo, mapeamento, cenário, horário e resultado sanitizado. Conclua configuração externa já autorizada e sua verificação; publicação ou envio não cobertos ficam como passo preciso pendente. GA4 recebido não prova Ads importado ou atribuído.
+
+Nunca envie nome, e-mail, telefone, hash de contato, recibo interno ou formulário completo ao GA4. Esta skill não configura campanhas Ads nem substitui a autorização da conta.
+
+O [runbook](references/implementation.md) separa API/browser/manual, quotas e provas; componha o [checklist Google](../zaip-skill-google-tag-manager/references/operator-checklist.md). Measurement Protocol é opcional por necessidade aprovada; não cria backend para corrigir trigger. HTTP2xx/debug não comprovam ingestão; transaction_id não garante dedupe universal de generate_lead.

package/templates/.agents/skills/zaip-skill-google-analytics/agents/openai.yaml

@@ -0,0 +1,4 @@
+interface:
+  display_name: "Google Analytics"
+  short_description: "Configure GA4 lead events and dimensions"
+  default_prompt: "Use $zaip-skill-google-analytics to configure and validate authorized GA4 lead events."

package/templates/.agents/skills/zaip-skill-google-analytics/references/implementation.md

@@ -0,0 +1,64 @@
+# GA4: instalação, classificação e verificação
+
+Owner: mantenedor da skill GA4; revisão documental 2026-10-29. Responsável/propriedade/conta da adoção continuam pendentes. Runbook genérico, sem acesso a propriedade real, envio, DebugView ou relatório. Fontes públicas relidas pelo host não comprovam grants/UI da conta.
+
+Use a propriedade e o fluxo web autorizados. Inspecione Google tag/GTM existentes, escolha uma instalação e confirme o Measurement ID. Crie recursos novos somente quando o pedido cobrir essa configuração.
+
+| Fato interno | Configuração GA4 |
+| --- | --- |
+| `lead_accepted` persistido | `generate_lead`, parâmetros aprovados, key event do cadastro |
+| `lead_qualified` posterior | Evento separado com nome explicitamente versionado |
+| Clique, submit, backend rejeitado | Nenhum evento de cadastro confirmado |
+
+Defina `service`, `budget_band`, `qualification` como parâmetros enum e crie somente as dimensões personalizadas necessárias com escopo de evento. Confira os nomes exatos na propriedade e no payload. Não registre IDs únicos de leads como dimensões de alta cardinalidade.
+
+Leia o [envelope e projeções](../../zaip-skill-lead-measurement/references/event-contract.md). O `event_id` local serve à identidade do contrato; não comprova dedupe automático GA4. Um retry não pode ser deliberadamente tratado como um novo cadastro.
+
+## Provas por etapa
+
+1. Instalação: loader único e tag/Measurement ID corretos na aplicação/container.
+2. Envio: sucesso backend confirmado, evento `generate_lead`, parâmetros allowlist e consentimento concedido. Examine URLs/query strings para contato ou PII capturados automaticamente.
+3. Recebimento: DebugView/Realtime na propriedade correta com cenário sintético autorizado.
+4. Configuração: dimensões e key event inspecionados; recebimento do parâmetro não comprova sua definição.
+5. Negativos: backend rejeitado e consentimento denied/unknown não enviam o cadastro deste fluxo; qualificação posterior não aumenta novamente o cadastro primário.
+
+Não inclua nome, e-mail, telefone, hash de contato, formulário, texto livre nem recibo interno. Consent Mode/cookieless requer configuração separada e autorizada. Para Ads, confira vínculo/importação/ação com a skill própria; GA4 recebido não comprova conversão Ads.
+
+Fontes oficiais: [eventos recomendados](https://developers.google.com/analytics/devguides/collection/ga4/reference/events), [configurar eventos e observar recebimento](https://developers.google.com/analytics/devguides/collection/ga4/events), [evitar PII](https://support.google.com/analytics/answer/6366371/), [consentimento](https://developers.google.com/tag-platform/security/guides/consent).
+
+## Descoberta e decisões
+
+Compor [GTM](../../zaip-skill-google-tag-manager/references/implementation.md) e [checklist de operador](../../zaip-skill-google-tag-manager/references/operator-checklist.md). Fixar account/property ID/edição/fluxo/Measurement ID/domínio/ambiente, versão do container e responsável. Property ID numérico não é Measurement ID G-..., e conta vinculada Ads não é prova de importação. Inventariar Google tag, configurações GTM/diretas, Enhanced Measurement, eventos derivados, CMP e filtros internos/desenvolvedor.
+
+Uma rota de emissão por fato: GTM ou direta; derivar evento no GTM OU GA4, não ambos. Uma origem page_view SPA, observando referrer/virtual page em navegação. Perfil completo/lead_qualified são fatos distintos e aprovados, não novos generate_lead. Evento+allowlist vêm da mesma mensagem validada pós-persistência; não herdar campo DLV de ocorrência anterior. Cookie/blocker não justificam criar backend por default.
+
+## API
+
+Descobrir operações e schemas realmente expostos para leitura/configuração da propriedade; conferir identidade, acesso e paginação antes de inferir ausência. Não presumir tool, escopo ou permissão por login. Exportar baseline de streams, definições, eventos principais/derivados, vínculos e filtros quando suportado. Preparar diff por property ID e nome de parâmetro; escrever somente operações explicitamente autorizadas e reler resultado. API sem recurso suficiente segue rota browser/manual com campo exato pendente. C06 não verificou endpoint/schema/grants administrativos de uma propriedade e não os inventa.
+
+## Browser
+
+1. Selecionar conta/propriedade/fluxo web e conferir IDs. Na área de definições personalizadas vigente, consultar Quota information/uso e edição da propriedade antes de criar dimensões. Registrar snapshot e nomes existentes; não contar definição já existente como nova.
+2. Criar somente dimensões necessárias de escopo Evento com nomes idênticos aos parâmetros, como service/budget_band/qualification aprovados. Não cadastrar event_id/transaction_id/occurrence_id/recibo ou valores únicos como dimensões. Avaliar cardinalidade dos enums antes de aumentar catálogo; não enviar contato/hash/texto livre.
+3. Referência pública de quotas Standard/360 na revisão: dimensões usuário25/100, evento50/125, item10/25; métricas50/125; calculadas5/50. Esses números NÃO substituem quota/uso da propriedade. Se leitura não for possível, criação fica pendente; não assumir espaço disponível. Remoção pode exigir48h para liberar quota segundo fonte, sem promessa própria.
+4. Marcar apenas evento de negócio acordado como evento principal (key event); conferir condições e ausência de derivação duplicada. Configuração não reprocessa histórico por si. Se a interface/nome mudou, registrar o que foi observado e usar fonte atual, sem inventar rótulo.
+5. Preview/request mostra configuração/emissão. DebugView exige debug habilitado e propriedade correta; Realtime é outra janela de observação. Relatórios processados podem ter latência, filtros e cardinalidade distintos. Fonte orienta24–48h para relatórios de dimensões, não SLA universal. Examinar filtros interno/desenvolvedor, timezone, período, tráfego e ambiente antes de concluir perda.
+6. Vincular Ads somente sob autorização das duas contas, registrar relação e depois inspecionar ação importada/metas. Evento visto no GA4 não prova contabilização ou atribuição Ads.
+
+## Manual
+
+Preparar ficha com property/stream/Measurement IDs confirmados ou explicitamente pendentes; mapa de eventos/parâmetros/escopo, quota/uso, definições existentes, evento principal desejado, filtro/período/debug e rota de emissão escolhida. Operador deve abrir propriedade certa, conferir esses campos, devolver evidência sanitizada de configuração→request→DebugView/Realtime→relatório. Ausência de acesso/fonte identifica próximo passo e owner; não fornecer ID/quota inventados nem usar fixture como conta real.
+
+## Dedupe e Measurement Protocol
+
+transaction_id tem dedupe documentado para purchase web; isso não dá garantia universal a generate_lead ou qualquer evento customizado. ID local/proteção de replay no emissor são best effort, não exactly-once entre dispositivos. Não limpar marker para testar nem somar as respostas BANT como leads.
+
+MP é ramo opcional apenas por necessidade aprovada (por exemplo, qualificação offline), com contrato client/session/consentimento/fonte próprios e autorização futura de backend. Não instalar backend para corrigir trigger ou contornar consentimento/bloqueador. Endpoint debug valida aspectos do payload, não envia aos relatórios nem valida necessariamente api_secret/firebase_app_id. HTTP2xx do collect pode ocorrer sem evento válido; separar transporte, validação, recebimento e atribuição. Tokens não entram em navegador/log/fixture.
+
+## Rollback
+
+Reverter diff documental/sintético próprio nesta entrega. Em adoção autorizada: desativar tag/derivação nova, restaurar configuração compatível e preservar versões/definições/histórico. Não apagar dados para reenviar, alterar fonte silenciosamente ou executar migration/conta por este runbook. Registrar candidato e resultado de cada camada, inclusive pendência.
+
+## Fontes e manutenção
+
+Revisar por mudança de UI/API/quota, evento/consentimento, filtro ou incidente; owner/data e limites acompanham o candidato. Fontes: [dimensões e quotas](https://support.google.com/analytics/answer/14240153?hl=en), [transaction_id e purchase](https://support.google.com/analytics/answer/12313109?hl=en), [validar Measurement Protocol](https://developers.google.com/analytics/devguides/collection/protocol/ga4/validating-events), [referência MP](https://developers.google.com/analytics/devguides/collection/protocol/ga4/reference), [SPA](https://developers.google.com/analytics/devguides/collection/ga4/single-page-applications).

package/templates/.agents/skills/zaip-skill-google-tag-manager/SKILL.md

@@ -0,0 +1,24 @@
+---
+name: zaip-skill-google-tag-manager
+description: Install or configure Google Tag Manager containers, consent-aware tags and verified lead events when the user requests GTM implementation or troubleshooting.
+---
+
+# Instalar e configurar Google Tag Manager
+
+Ao criar ou alterar carregamento de tags, componha
+[performance e consentimento](../zaip-skill-performance-engineering/references/third-party-performance.md).
+Meça a jornada com tags previstas; não adie tudo por timeout/interação nem quebre a fila.
+
+1. Identifique projeto/ambiente, conta, container e workspace exatos. Descubra conectores e schemas disponíveis com `$zaip-skill-use-connectors`; se não houver ferramenta GTM suficiente, use a interface autenticada autorizada ou prepare as alterações locais e registre o acesso faltante. Não invente runners nem troque de conta.
+2. Inspecione loaders, CMP, tags, triggers, variáveis e versões existentes. Escolha um único caminho de instalação por aplicação; preserve configuração útil e a fila `dataLayer`. Planeje instalação local e versão draft concretas antes de qualquer publicação não coberta pelo pedido.
+3. Leia [instalação e verificação](references/implementation.md). Para conversões, aplique `$zaip-skill-lead-measurement`: o backend confirma persistência antes de `lead_accepted`; clique/submit não são sucesso. Congele os enums e o mapeamento aprovado.
+4. Obtenha o snippet oficial do container correto e integre nos pontos suportados pelo framework, com roteamento SPA/SSR quando aplicável. Execute a alteração autorizada com o especialista adequado, dentro dos scopes da Task; não crie diretórios de exemplo para substituir o layout real.
+5. Defina consentimento padrão antes das tags e conecte a CMP pelos mecanismos suportados. Configure bloqueio efetivo das tags quando qualquer sinal exigido não for `granted`; `default:denied` e checks internos, isoladamente, não provam ausência de envio/pings. Cookieless avançado é outra configuração expressamente autorizada. Não implemente consentimento ou `gtag` por Custom HTML; teste a ordem de execução.
+6. Crie DLV versão 2 para `event_id`, `service`, `budget_band` e `qualification`. Valide a projeção completa antes de um único push com evento e parâmetros: DLV v2 pode reter valores anteriores, logo campo omitido não pode herdar resposta do lead anterior. Configure Custom Event (CE) exato `lead_accepted`; qualificação posterior usa outro fato. Escolha uma única origem de page_view SPA.
+7. Configure as tags dos destinos solicitados com as respectivas skills: `$zaip-skill-google-analytics`, `$zaip-skill-google-ads-conversions` e `$zaip-skill-meta-conversions`. Não faça o mesmo cadastro disparar por clique, submit e resposta do backend.
+8. No Preview/Tag Assistant, execute casos sintéticos autorizados: sucesso persistido, backend rejeitado, consentimento negado/desconhecido e retry. Confira evento, parâmetros dessa mensagem, consentimento efetivo e tags disparadas/bloqueadas. Inspeção de configuração não prova recebimento externo.
+9. Entregue o diff local, workspace/versão draft e evidência sanitizada. Publique apenas quando a autorização existente cobrir esse container e versão; se cobrir, conclua e verifique sem pedir confirmação repetida. Registre a versão anterior para rollback autorizado, sem sobrescrever trabalho concorrente.
+
+Não coloque recibos internos, formulário completo, texto livre, contato ou credenciais de servidor no `dataLayer`. A skill é de instalação/implementação, não de relatório de campanhas.
+
+Use o [checklist de operador](references/operator-checklist.md) e seus cenários offline antes da adoção. Draft de workspace não equivale a `create_version`: essa operação pode apagar/substituir o workspace; confirme compilerError, syncStatus e newWorkspacePath antes de avançar. Edição não autoriza publicação.

package/templates/.agents/skills/zaip-skill-google-tag-manager/agents/openai.yaml

@@ -0,0 +1,4 @@
+interface:
+  display_name: "Google Tag Manager"
+  short_description: "Install GTM with verified lead events"
+  default_prompt: "Use $zaip-skill-google-tag-manager to configure and validate authorized lead events."

package/templates/.agents/skills/zaip-skill-google-tag-manager/references/implementation.md

@@ -0,0 +1,71 @@
+# GTM: implementação verificável
+
+Owner de manutenção: mantenedor da skill GTM; revisão documental 2026-10-29. Owner/conta/permissões da adoção: pendentes. C06 entrega documentos/fixtures offline, sem acessar contas, Preview real ou publicar. Fontes públicas foram relidas pelo host na data indicada; nomes/UI e grants efetivos devem ser confirmados na adoção.
+
+Fixe conta, container, workspace e ambiente antes de editar. Instale o snippet oficial obtido nesse container, preservando o layout real da aplicação e a instalação existente. Uma integração local pronta não comprova container publicado.
+
+## Contrato de evento
+
+Leia o [contrato de mensuração](../../zaip-skill-lead-measurement/references/event-contract.md). Depois de resposta backend com aceitação comprovada:
+
+```js
+window.dataLayer = window.dataLayer || [];
+window.dataLayer.push({
+  event: "lead_accepted",
+  event_id: "evt_synthetic_A7p2",
+  service: "renovation",
+  budget_band: "medium",
+  qualification: "qualified"
+});
+```
+
+O exemplo é sintético; não envie o envelope interno nem o recibo. Evento e variáveis entram na mesma mensagem. Crie Data Layer Variables com esses nomes e um Custom Event trigger exato; não acrescente triggers de clique/submit para representar o mesmo sucesso.
+
+## Configurar e testar
+
+1. Confira duplicação de snippet, carregamento por rota e tags antigas. Em SPA, conecte o marco de sucesso ao fluxo de aplicação, sem reenviar por renderização ou navegação repetida.
+2. Configure consentimento padrão antes das tags, atualização da CMP e bloqueio efetivo de cada tag por todos os sinais exigidos. `default:denied` e consent checks internos não comprovam ausência de pings; confirme bloqueio de rede nos negativos. Consent Mode avançado/cookieless requer configuração própria autorizada. Use templates/APIs suportados, sem inventar labels de interface nem injetar consentimento ou `gtag` por Custom HTML.
+3. Crie tags nativas para os destinos escolhidos e preserve a fonte primária única Ads. Crie uma versão draft concreta para revisão se publicação não estiver autorizada.
+4. No Preview, confronte backend aceito/rejeitado, consentimento granted/denied/unknown e replay. Confira mensagem exata, enums, evento único e tags autorizadas/bloqueadas.
+5. Registre versão anterior, draft/versão candidata e evidências sanitizadas. Publique e verifique somente com autorização vigente para esse container; rollback usa a versão anterior identificada, preservando outras alterações.
+
+Preview, requisição enviada e recebimento na plataforma são provas distintas. Se ferramentas não estiverem disponíveis, entregue o código/draft preparado e o passo externo preciso pendente.
+
+Fontes oficiais: [dataLayer](https://developers.google.com/tag-platform/tag-manager/datalayer), [Custom Event trigger](https://support.google.com/tagmanager/answer/7679219?hl=en), [consentimento](https://developers.google.com/tag-platform/security/guides/consent). Confirme a documentação atual durante a integração real.
+
+## Descoberta e ficha
+
+Aplicar [checklist de operador](operator-checklist.md). Registrar domínio/ambiente, responsável, account ID, container público GTM-..., container/workspace paths da API, versão publicada e candidato. GA4 property ID/Measurement ID G-... e Ads customer ID/AW-.../label são recursos diferentes. Resolver capacidade da sessão e direito sobre cada recurso, sem presumir tool pelo nome; nenhuma credencial entra na ficha.
+
+Inventariar app/SSR/SPA/plugins, GTM e gtag direto, loader/base/autoeventos/noscript e CMP antes de tocar o snippet. Uma origem de loader por app; preservar dataLayer existente. Uma origem de page_view: Enhanced Measurement/history ou custom, com configuração restante desativada para esse fato. Lead vem do recibo backend válido, nunca render, clique, submit ou rota obrigado. SPA repetida não recarrega loader nem duplica evento de aceitação.
+
+DLV é Data Layer Variable: criar versão2, nome exato e sem default inventado para cada parâmetro. CE é Custom Event: trigger com nome exato e filtros de formulário/domínio/ambiente do contrato. Para OR usar regex ancorada e revisada; AND exige condições da mesma mensagem, sem Trigger Group juntando ocorrências. ID legado/publicado não muda silenciosamente; conferir regex antiga/nova e casos positivos/negativos. DLVv2 pode conservar valores: validar presença/tipo/catálogo de TODOS os campos antes do push único; não completar campo omitido com estado anterior.
+
+CSP: nonce imprevisível por resposta propagado ao snippet ou alternativa hash revisada; hosts mínimos conforme tags e Preview. Não liberar unsafe-inline/* por conveniência. Default de consentimento antes de config/event, update antes da navegação; templates GTM usam APIs apropriadas (setDefaultConsentState/updateConsentState), não consentimento por Custom HTML/gtag enfileirado. Consent Mode não persiste escolhas. Basic/advanced/cookieless é decisão própria: default denied não prova ausência de pings. Unknown/denied/revoked bloqueiam loader/base/PageView/lead/retry deste contrato, inclusive efeitos de plugins/noscript.
+
+## API
+
+1. Descobrir conector/API e schema efetivos. Leitura OAuth2 requer usuário autorizado no recurso; inventariar contas/containers/workspaces/objetos com paginação completa. Scopes são distintos: tagmanager.readonly, tagmanager.edit.containers, tagmanager.edit.containerversions e tagmanager.publish, sob `https://www.googleapis.com/auth/`. Edição não implica publish; tokens/refresh ficam no cofre autorizado.
+2. Exportar baseline da versão publicada e do workspace, com inventário completo das dependências, paths/fingerprints e digest sanitizado; export parcial pode omitir objetos referenciados. Preparar diff por IDs/criação/alteração/remoção, evitar duplicar tags e preservar trabalho concorrente. Export/API metadata não é backup verificado de conta inteira.
+3. Para tags.update, PUT no path completo observado; usar query fingerprint correspondente à leitura atual. Conflito exige GET/releitura+diff e nova revisão, nunca forçar fingerprint antigo. Após escrita autorizada, reler objeto/configuração e comparar. Não inventar tipos de tag ou bodies: usar schema atual/objeto exportado revisado.
+4. Workspace com objetos salvos e não publicados é draft; NÃO chamar create_version só para salvar esse draft. A operação cria versão a partir do workspace e pode apagá-lo/substituí-lo. Exige edit.containerversions e autoridade específica; antes, backup/diff/concorrência resolvidos.
+5. Em create_version, verificar compilerError, syncStatus conforme schema oficial vigente e newWorkspacePath efetivo. Missing/unknown/erro/conflito interrompe; não tratar HTTP200 como versão válida. Atualizar locator para workspace retornado antes de novas operações; não continuar gravando no antigo nem inventar um path. A fixture usa syncStatusVerified como normalização sintética, não campo da API Google.
+6. Create_version não publica. Publicação futura exige versão/container exatos, revisão e autorização próprias; registrar versão anterior e nova. Nenhuma chamada API é feita por C06.
+
+## Browser
+
+Na interface autorizada, selecionar conta→container→workspace e comparar IDs/ambiente com ficha. Inspecionar lista de variáveis/triggers/tags, consentimento e versão publicada; exportar baseline e guardar diff antes de importar. Em import, selecionar workspace isolado, comparar merge/overwrite e IDs/renomes/remoções; overwrite pode apagar tags/triggers/variáveis existentes. Salvar draft somente após revisão, sem publicar por conveniência.
+
+Preview/Tag Assistant futuro: domínio servido/container/versão corretos, um loader, CSP sem bloqueio inesperado, DLVv2 da mesma mensagem/CE/filtros exatos. Rodar aceite/rejeição, retry/resposta perdida, navegação, unknown/denied/revoked e projeção incompleta após lead anterior. Conferir fired/blocked e tráfego efetivo separado: fired não prova recebimento. Navegador interceptado, se a sessão permitir, usa página totalmente sintética e bloqueio de rede; registrar capacidade observada e execução real. C06 não afirma que essa capacidade foi exercitada ou esteja indisponível.
+
+## Manual
+
+Sem API/UI verificável, entregar ficha e diff não secretos com objetos/nomes/condições concretos: quatro DLVv2, CE lead_accepted, filtros aprovados, uma tag por destino selecionado, origem de page_view e decisões de consentimento. O operador da conta deve confirmar IDs, tipo/body/labels atuais, export/backup, alteração em workspace e resultado de Preview. Marcar cada campo não observado como pendente, com responsável e próxima leitura; não inventar valores ou substituir acesso por fixture. Segredo nunca deve ser colado no chat.
+
+## Rollback
+
+Da entrega C06: reverter apenas runbooks/scripts/objetos sintéticos próprios, preservando contratos C01–5 e configurações consumer-owned. Na futura conta: pausar caminho novo, preservar workspace e mudanças concorrentes, revisar diff e republicar versão anterior aprovada somente sob autorização específica. Não apagar eventos já enviados ou limpar marcadores para fabricar novo teste. Se create_version trocou workspace, usar o locator retornado e revalidar baseline; não sobrescrever trabalho de outro operador.
+
+## Fontes e manutenção
+
+Revisar após mudança de UI/API/permissão, novo destino, CSP, contrato de evento ou incidente. Registrar owner, data, versão do candidato e limite de cada prova. Fontes primárias: [OAuth e scopes GTM](https://developers.google.com/tag-platform/tag-manager/api/v2/authorization), [tags.update e fingerprint](https://developers.google.com/tag-platform/tag-manager/api/reference/rest/v2/accounts.containers.workspaces.tags/update), [create_version e workspace](https://developers.google.com/tag-platform/tag-manager/api/reference/rest/v2/accounts.containers.workspaces/create_version), [import/export](https://support.google.com/tagmanager/answer/6106997?hl=en), [CSP](https://developers.google.com/tag-platform/security/guides/csp), [SPA](https://developers.google.com/analytics/devguides/collection/ga4/single-page-applications).

package/templates/.agents/skills/zaip-skill-google-tag-manager/references/operator-checklist.md

@@ -0,0 +1,51 @@
+# Checklist de operador Google — C06
+
+Owner do kit: mantenedores GTM/GA4/Google Ads Conversions. Revisão documental 2026-10-29. Estado: runbook genérico + exemplos sintéticos, sem autorização operacional. Conta, recursos, aprovadores e decisões comerciais reais permanecem não preenchidos. Começar aqui permite operar o roteiro sem depender da conversa original.
+
+## Antes de qualquer conta
+
+1. Ler [GTM](implementation.md), [GA4](../../zaip-skill-google-analytics/references/implementation.md), [Ads](../../zaip-skill-google-ads-conversions/references/implementation.md) e [autoridade de mensuração](../../zaip-skill-lead-measurement/references/authority.md).
+2. Preencher ficha com projeto/domínio/ambiente, owner técnico/comercial/privacidade, autorização e versão do contrato. Registrar account/container/workspace/versão GTM, property/stream/Measurement IDs GA4 e customer/action/Conversion ID/label Ads separadamente. Sem recursos confirmados, preparar diff/ficha e manter etapa externa pendente.
+3. Descobrir ferramenta efetiva e schema/direitos em leitura antes de escolher API, browser ou manual. Não inventar nomes de tools/labels, usar conta diferente ou colar tokens no chat. Cada recurso precisa de permissão própria; edição não autoriza publicação/campanha/envio.
+4. Inventariar loader/base/autoeventos/noscript/plugins/CMP, fontes de page_view, consentimento, versões e trabalho concorrente. Somente um loader e uma origem de page_view; default denied não comprova ausência de rede.
+
+## Sequência operacional por resultado
+
+| Resultado | Procedimento verificável | Critério de parada / próxima prova |
+| --- | --- | --- |
+| C06.1 — evento e instalação | Validar recibo pós-persistência, catálogo e projeção COMPLETA antes de push único; DLVv2 sem defaults, CE exato e filtros/regex da mesma mensagem; verificar loader único, origem SPA e CSP | Campo omitido, PII, trigger de submit/obrigado ou duas origens impede draft; corrigir antes de Preview |
+| C06.2 — baseline/draft/concorrência | Export/digest/backup completos, diff por objetos, merge vs overwrite revisados; leitura/fingerprint/releitura; workspace salvo não chama create_version por default | Conflito requer nova leitura; create_version exige backup/autoridade e inspeção compilerError/syncStatus/newWorkspacePath, sem continuar no workspace antigo |
+| C06.3 — GA4 | Confirmar propriedade/edição/quota/uso existentes, dimensões Evento necessárias e baixa cardinalidade; uma derivação por fato; filtros/período/debug registrados | ID único como dimensão ou quota não observada bloqueia criação; DebugView, Realtime e relatório têm evidências distintas; sem dedupe universal de generate_lead |
+| C06.4 — Ads | Ficha por ação/fato com fonte direct OU ga4_import, ID/label, categoria/contagem/valor/moeda/janela/modelo e metas efetivas | Sem tag direta duplicada da importação; secundária em custom goal pode participar de bidding; não confundir conversão, público e segmentação |
+| C06.5 — fontes/limites | Conferir assunto da URL, owner/data e mudança de API/UI; MP somente por requisito aprovado | Fonte/API não verificável exige rota manual precisa com campo/owner pendente; MP2xx/debug não provam ingestão nem justificam backend arbitrário |
+
+## Exercício offline sem contexto prévio
+
+[operator-fixtures.json](operator-fixtures.json) contém página/export/ações/quotas normalizados, explicitamente synthetic/importable:false. Não é export Google real, formato para importar, configuração ativa ou aprovação comercial. IDs/valores/contagem/janela/digest são fictícios e não devem ser copiados para conta real. syncStatusVerified é normalização da fixture, não campo publicado da API.
+
+Abrir a fixture e preencher a ficha apenas como exercício fictício. Conferir que a página tem um loader/uma origem SPA e inventário completo; comparar export/draft por conta/container/workspace/fingerprint. Calcular novas dimensões contra quota/uso daquela propriedade. Para Ads, explicar qual requisição é local e qual efeito depende de importação na conta. Ao avaliar create_version, registrar o novo locator recebido e por que o antigo não pode ser reutilizado cegamente.
+
+Rodar testes locais sem rede:
+
+```sh
+node .agents/skills/zaip-skill-google-tag-manager/scripts/google-runbooks.test.mjs
+node .agents/skills/zaip-skill-google-tag-manager/scripts/check-runbook-links.mjs
+```
+
+O [modelo de operador](../scripts/operator-model.mjs) produz traces sintéticos, sem SDK, CMP, HTTP, persistência ou conta. A [suíte](../scripts/google-runbooks.test.mjs) verifica loader/SPA duplicados, projeção incompleta sem herança DLV, backend rejeitado, consentimento unknown/denied/revoked/retry, PII, replay/conflito, fonte Ads e custom goal, quota por propriedade, fingerprint/overwrite e resposta de versão. O [check estático](../scripts/check-runbook-links.mjs) resolve links locais e associa assuntos a URLs oficiais conhecidas; não consulta sites nem comprova a completude semântica dos runbooks. Review independente cobre essa completude.
+
+## Evidência em adoção futura
+
+| Camada | O que registrar | Não promove automaticamente |
+| --- | --- | --- |
+| Kit offline | Candidato SHA, comando, cenários/expectativas/resultados, fixture/digest, owner e limites | Conta, navegador servido ou CMP real |
+| Browser interceptado, se capacidade observada permitir | Ferramenta/sessão, página sintética, bloqueio de rede, ações e requests observadas, candidato | Preview real, ingestão ou publicação |
+| Preview/configuração | Container/versão/domínio, DLV/CE/filtros/consentimento e tags fired/blocked; backup/diff | Requisição entregue à plataforma |
+| Request/recebimento | Payload allowlist, cenário/horário/destino, DebugView/Realtime e filtros | Relatório processado, Ads importado ou atribuição |
+| Conta/relatórios | Definições, ação/metas, janela/período/latência e resultado observado | Atribuição em campanha sem evidência própria |
+
+Este executor do kit não exercitou browser interceptado, Preview, DebugView ou conta real e não declara capacidade indisponível sem observação. Host/operador avaliam a modalidade condicional e registram a capacidade efetivamente observada. Falta de acesso mantém etapa exata pendente, sem resultado inventado; não é falha comprovada do produto.
+
+## Fechamento e rollback
+
+Preservar versão anterior/draft/diff, configuração consumer-owned e alterações concorrentes. Entrega C06 reverte somente seus runbooks/scripts/fixtures. Rollback de conta exige autorização própria e versão/recurso exatos; não apaga eventos nem altera orçamento/lances para produzir prova. Separar testes do kit, configuração, recebimento, dedupe e atribuição, incluindo tudo que continua pendente.

package/templates/.agents/skills/zaip-skill-google-tag-manager/references/operator-fixtures.json

@@ -0,0 +1,93 @@
+{
+  "schema_version": 1,
+  "synthetic": true,
+  "importable": false,
+  "description": "Normalized offline page/export snapshots; no real account or GTM import schema.",
+  "page": {
+    "loaders": ["gtm"],
+    "page_view_sources": ["enhanced_history"],
+    "csp_reviewed": true,
+    "inventory": ["loader", "base", "autoevents", "noscript"],
+    "consent_mode": "basic_blocked",
+    "initial_consent": { "analytics": "granted", "google_ads": "granted", "revision": 1 }
+  },
+  "catalog": {
+    "service": ["renovation", "painting"],
+    "budget_band": ["medium", "unknown"],
+    "qualification": ["new", "qualified"]
+  },
+  "export_snapshot": {
+    "account": "synthetic_account_a",
+    "container": "synthetic_container_a",
+    "workspace": "synthetic_workspace_a",
+    "fingerprint": "synthetic_fingerprint_a",
+    "backup_digest": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+    "objects": [{ "id": "synthetic_old_tag", "kind": "normalized_tag", "enabled": false }]
+  },
+  "draft": {
+    "account": "synthetic_account_a",
+    "container": "synthetic_container_a",
+    "workspace": "synthetic_workspace_a",
+    "fingerprint": "synthetic_fingerprint_a",
+    "mode": "merge",
+    "overwrite_reviewed": false,
+    "objects": [{ "id": "synthetic_new_tag", "kind": "normalized_tag", "enabled": false }]
+  },
+  "ga4": {
+    "property": "synthetic_property_a",
+    "edition": "standard",
+    "quota_snapshot": {
+      "property": "synthetic_property_a",
+      "synthetic": true,
+      "event_dimension_limit": 50,
+      "used": 47
+    },
+    "existing_dimensions": [],
+    "requested_dimensions": ["service", "budget_band", "qualification"],
+    "mp_enabled": false,
+    "approved_mp_requirement": null
+  },
+  "ads": {
+    "sources_by_fact": { "lead_accepted": "ga4_import" },
+    "goal_mode": "standard",
+    "custom_goal_action_ids": [],
+    "actions": [
+      {
+        "id": "synthetic_import",
+        "fact": "lead_accepted",
+        "source": "ga4_import",
+        "primary": true,
+        "category": "lead",
+        "counting": "one",
+        "value": 0,
+        "currency": "BRL",
+        "window_days": 30,
+        "attribution": "synthetic_approved_model"
+      },
+      {
+        "id": "synthetic_direct",
+        "fact": "lead_accepted",
+        "source": "direct",
+        "primary": false,
+        "category": "lead",
+        "counting": "one",
+        "value": 0,
+        "currency": "BRL",
+        "window_days": 30,
+        "attribution": "synthetic_approved_model"
+      }
+    ]
+  },
+  "message": {
+    "event": "lead_accepted",
+    "event_id": "evt_synthetic_google_01",
+    "service": "renovation",
+    "budget_band": "medium",
+    "qualification": "new"
+  },
+  "version_response": {
+    "compilerError": false,
+    "syncStatusVerified": true,
+    "newWorkspacePath": "synthetic/accounts/a/containers/a/workspaces/next"
+  }
+}

package/templates/.agents/skills/zaip-skill-google-tag-manager/scripts/check-runbook-links.mjs

@@ -0,0 +1,103 @@
+import assert from "node:assert/strict";
+import { readFile, realpath } from "node:fs/promises";
+import { dirname, isAbsolute, relative, resolve } from "node:path";
+import { fileURLToPath } from "node:url";
+
+const here = dirname(fileURLToPath(import.meta.url));
+const root = resolve(here, "../../../..");
+const skillsRoot = await realpath(resolve(root, ".agents/skills"));
+const skills = [
+  "zaip-skill-google-tag-manager",
+  "zaip-skill-google-analytics",
+  "zaip-skill-google-ads-conversions",
+];
+const documents = skills.flatMap((skill) => [
+  `.agents/skills/${skill}/SKILL.md`,
+  `.agents/skills/${skill}/references/implementation.md`,
+]);
+documents.push(".agents/skills/zaip-skill-google-tag-manager/references/operator-checklist.md");
+const subjects = new Map([
+  ["primárias/secundárias", "https://support.google.com/google-ads/answer/11461796?hl=en"],
+  ["importar eventos GA4", "https://support.google.com/google-ads/answer/10632359?hl=en"],
+  [
+    "OAuth e scopes GTM",
+    "https://developers.google.com/tag-platform/tag-manager/api/v2/authorization",
+  ],
+  [
+    "tags.update e fingerprint",
+    "https://developers.google.com/tag-platform/tag-manager/api/reference/rest/v2/accounts.containers.workspaces.tags/update",
+  ],
+  [
+    "create_version e workspace",
+    "https://developers.google.com/tag-platform/tag-manager/api/reference/rest/v2/accounts.containers.workspaces/create_version",
+  ],
+  ["dimensões e quotas", "https://support.google.com/analytics/answer/14240153?hl=en"],
+  [
+    "validar Measurement Protocol",
+    "https://developers.google.com/analytics/devguides/collection/protocol/ga4/validating-events",
+  ],
+]);
+try {
+  let localLinks = 0;
+  const found = new Set();
+  for (const path of documents) {
+    const absolute = resolve(root, path),
+      source = await readFile(absolute, "utf8");
+    if (path.endsWith("references/implementation.md")) {
+      for (const section of [
+        "## API",
+        "## Browser",
+        "## Manual",
+        "## Rollback",
+        "## Fontes e manutenção",
+      ]) {
+        assert.ok(source.includes(section), `${path}: missing procedural section`);
+      }
+      assert.match(source, /2026-10-29/);
+      assert.match(source, /Owner/);
+    }
+    for (const match of source.matchAll(/\[([^\]]+)\]\(([^)]+)\)/g)) {
+      const [, title, href] = match;
+      if (/^https?:/.test(href)) {
+        new URL(href);
+        if (subjects.has(title)) {
+          assert.equal(href, subjects.get(title), `source subject mismatch: ${title}`);
+          found.add(title);
+        }
+        continue;
+      }
+      if (href.startsWith("#")) continue;
+      const target = await realpath(
+        resolve(dirname(absolute), decodeURIComponent(href.split("#")[0])),
+      );
+      const offset = relative(skillsRoot, target);
+      assert.ok(
+        !isAbsolute(offset) &&
+          offset !== ".." &&
+          !offset.startsWith("..\\") &&
+          !offset.startsWith("../"),
+        "local link outside skills",
+      );
+      localLinks++;
+    }
+  }
+  assert.equal(found.size, subjects.size, "missing official subject mapping");
+  const checklist = await readFile(resolve(root, documents.at(-1)), "utf8");
+  for (const id of ["C06.1", "C06.2", "C06.3", "C06.4", "C06.5"]) assert.ok(checklist.includes(id));
+  process.stdout.write(
+    JSON.stringify({
+      kind: "google_runbook_static",
+      passed: true,
+      documents: documents.length,
+      local_links: localLinks,
+      official_subjects: found.size,
+      completeness: "mechanical_only",
+      network_used: false,
+    }) + "\n",
+  );
+} catch {
+  process.stdout.write(
+    JSON.stringify({ kind: "google_runbook_static", passed: false, network_used: false }) + "\n",
+  );
+  process.exitCode = 1;
+}