auroq-os 2.1.3 → 2.1.4

package/.claude/commands/AuroqOS/agents/ops.md

@@ -63,6 +63,8 @@ commands:
     description: "Setup do nucleo (Bootstrap 1) — ambiente, MCPs, GitHub, Vercel, Supabase, Companion"
   - name: bootstrap-2
     description: "Conexoes extras (Bootstrap 2, opcional recomendado) — valida o cofre e conecta Cloudflare, Drive, Gmail, Calendar, Notion e Canva"
+  - name: conectar-1password
+    description: "Conectar o cofre 1Password ao Auroq — o expert so copia o token (Ctrl+C), o Ops roda o resto"
   - name: yolo
     description: "Trocar modo de permissao do Claude Code (auto/acceptEdits/default)"
   - name: install
@@ -855,8 +857,9 @@ Conexoes extras — OPCIONAL, RECOMENDADO. Roda depois do bootstrap principal, q
    - `OP_SERVICE_ACCOUNT_TOKEN` esta definido, mostrando somente `configurado` ou `ausente` — NUNCA imprimir o valor
    - uma leitura de item de teste no vault funciona, quando existir
 3. SE a verificacao passar: definir o modo desta execucao como **`1password`**. Toda nova credencial sensivel deve ser salva no vault `Claude`; em `business/vault/`, guardar apenas metadados/status e referencias `op://...`, nunca o valor.
-4. SE nao configurou ou a verificacao falhar, explicar as duas opcoes e pedir uma escolha explicita:
-   - **Voltar ao Step anterior e configurar o 1Password (RECOMENDADO):** parar o Bootstrap 2 sem marcar conexoes como concluidas. Quando o aluno voltar, repetir este pre-gate.
+4. SE nao configurou ou a verificacao falhar, explicar as opcoes e pedir uma escolha explicita:
+   - **Conectar agora pelo Ops (RECOMENDADO se ele ja tem o token):** rodar `*conectar-1password` — o expert so copia o token e o Ops faz o resto. Ao terminar, repetir este pre-gate.
+   - **Voltar ao Step anterior da plataforma:** se ele ainda nao criou a conta/token do 1Password. Parar o Bootstrap 2 sem marcar conexoes como concluidas. Quando o aluno voltar, repetir este pre-gate.
    - **Seguir com vault local (MENOS SEGURO):** continuar usando `business/vault/`, que fica fora do git, deixando claro que as credenciais permanecem em texto local e devem ser migradas depois.
 5. Registrar somente a escolha e o estado em `business/vault/credential-storage.md`: `mode: 1password` ou `mode: local`, data e verificacoes realizadas. NUNCA registrar token, senha ou chave nesse arquivo quando o modo for 1Password.
 
@@ -989,6 +992,44 @@ O fluxo e sempre o mesmo:
 Se o expert quiser conectar outros servicos que aparecem nas Integrations do claude.ai no futuro, o fluxo e esse mesmo.
 
 
+### *conectar-1password
+
+Conecta o cofre 1Password ao Auroq. O expert NAO abre terminal e NAO digita comando — ele so copia o token e o Ops roda tudo. Aciona por linguagem natural ("conecta meu 1Password", "configura o cofre") ou pelo comando.
+
+**REGRA DE OURO — o token NUNCA passa pelo chat:**
+- NUNCA pedir pro expert colar o token na conversa. Se ele colar por conta propria, avisar que aquele token foi exposto e deve ser revogado e gerado de novo no painel do 1Password.
+- NUNCA imprimir, ecoar ou ler o valor do token em nenhum comando (`echo`, `cat`, `pbpaste` solto, etc.). O comando `conectar-1password` do CLI ja le a area de transferencia internamente sem expor nada.
+
+**Fluxo:**
+
+1. **Checar se ja esta conectado** (sem expor segredos):
+   ```bash
+   op whoami
+   ```
+   - SE funciona → ja conectado. Informar e encerrar (rodar de novo so se o expert quiser trocar o token).
+   - SE `op` nem existe ou falha → seguir.
+
+2. **Confirmar que o expert tem o token em maos.** Perguntar: "Voce ja gerou o seu token de Service Account no 1Password (aquele codigo grandao que comeca com `ops_`)?" 
+   - SE nao → orientar a voltar no Step Sistema de Senhas e Credenciais da plataforma e gerar. Parar aqui ate ele ter o token.
+   - ATENCAO: o 1Password mostra o token UMA vez, na criacao. Se o expert fechou a tela sem salvar, precisa gerar um novo.
+
+3. **Pedir a UNICA acao dele:** "Copia o token agora (Cmd+C no Mac / Ctrl+C no Windows) e me avisa quando copiar. NAO cola ele aqui no chat — so copia."
+
+4. **Quando ele confirmar, rodar:**
+   ```bash
+   npx auroq-os conectar-1password
+   ```
+   O comando le o token direto da area de transferencia, instala o 1Password CLI se faltar, valida a conexao online e salva permanente. O output NUNCA contem o token — e seguro.
+
+5. **Interpretar o resultado pro expert:**
+   - `✅ 1Password conectado com sucesso` → confirmar com gate real: rodar `op vault list` e mostrar que o cofre apareceu. Dai em diante toda credencial nova vai pro vault via `op`, nunca em texto plano.
+   - `nao contem um token valido` → ele copiou outra coisa por cima (o clipboard guarda so a ULTIMA copia). Pedir pra copiar o token de novo e repetir o passo 4. Sem stress, acontece.
+   - `token foi lido mas a conexao falhou` → token revogado/expirado ou sem internet. Orientar a gerar token novo no painel se a internet estiver ok.
+
+6. **Pos-conexao por sistema:**
+   - **Mac:** os proximos comandos ja enxergam a conexao nesta mesma sessao. Nada a fazer.
+   - **Windows:** a sessao atual NAO enxerga a conexao nova. Orientar: fechar TODAS as janelas do terminal (ou o VS Code inteiro), abrir de novo e voltar pro Claude. Verificar com `op whoami` quando ele voltar.
+
 ### *pr
 1. Verificar branch atual
 2. `git log` — resumir commits desde main

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.1.3",
+  "version": "2.1.4",
   "description": "Auroq OS — Sistema Operacional de IA para Experts",
   "bin": {
     "auroq-os": "bin/auroq-os.js"

package/tests/installer-hybrid.test.mjs

@@ -33,8 +33,10 @@ test('installer entrega projeto hibrido funcional sem sobrescrever package scrip
 
     const installedOps = fs.readFileSync(path.join(target, '.claude', 'commands', 'AuroqOS', 'agents', 'ops.md'), 'utf8');
     assert.match(installedOps, /PRE-GATE OBRIGATORIO — sistema de senhas e credenciais/);
-    assert.match(installedOps, /Voltar ao Step anterior e configurar o 1Password/);
+    assert.match(installedOps, /Conectar agora pelo Ops \(RECOMENDADO se ele ja tem o token\)/);
+    assert.match(installedOps, /Voltar ao Step anterior da plataforma/);
     assert.match(installedOps, /Seguir com vault local \(MENOS SEGURO\)/);
+    assert.match(installedOps, /\*conectar-1password/);
     assert.doesNotMatch(installedOps, /#### 1\. 1Password — cofre cifrado/);
 
     const check = execFileSync(process.execPath, [path.join(target, 'scripts', 'sync-codex-skills.mjs'), '--check'], {