auroq-os 2.1.3 → 2.1.5

package/.claude/CLAUDE.md

@@ -258,6 +258,19 @@ O Auroq OS carrega regras de `.claude/rules/` automaticamente.
 | `commit-inteligente.md` | Ritual de checkpoint do negocio |
 | `tool-response-filtering.md` | Reducao de tokens em respostas MCP |
 | `natural-language-first.md` | Linguagem natural como interface primaria — nunca exigir comandos |
+| `custom-do-aluno.md` | **Suas regras** — sobrevive a updates, nunca e sobrescrito |
+
+### Onde customizar (sobrevive a updates)
+
+O update do Auroq OS atualiza o framework — `CLAUDE.md`, as rules acima, o companion.
+Se voce editar esses arquivos direto, sua mudanca e perdida no proximo update.
+
+Os UNICOS lugares de config que o update **preserva** sao:
+
+- **`.claude/rules/custom-do-aluno.md`** — regras de comportamento e overrides seus
+- **`.claude/settings.local.json`** — suas configuracoes locais
+
+Coloque suas customizacoes la. O Auroq carrega tudo de `.claude/rules/` automaticamente.
 
 ## Niveis de Sofisticacao (N0-N3)
 

package/.claude/commands/AuroqOS/agents/ops.md

@@ -63,6 +63,8 @@ commands:
     description: "Setup do nucleo (Bootstrap 1) — ambiente, MCPs, GitHub, Vercel, Supabase, Companion"
   - name: bootstrap-2
     description: "Conexoes extras (Bootstrap 2, opcional recomendado) — valida o cofre e conecta Cloudflare, Drive, Gmail, Calendar, Notion e Canva"
+  - name: conectar-1password
+    description: "Conectar o cofre 1Password ao Auroq — o expert so copia o token (Ctrl+C), o Ops roda o resto"
   - name: yolo
     description: "Trocar modo de permissao do Claude Code (auto/acceptEdits/default)"
   - name: install
@@ -855,8 +857,9 @@ Conexoes extras — OPCIONAL, RECOMENDADO. Roda depois do bootstrap principal, q
    - `OP_SERVICE_ACCOUNT_TOKEN` esta definido, mostrando somente `configurado` ou `ausente` — NUNCA imprimir o valor
    - uma leitura de item de teste no vault funciona, quando existir
 3. SE a verificacao passar: definir o modo desta execucao como **`1password`**. Toda nova credencial sensivel deve ser salva no vault `Claude`; em `business/vault/`, guardar apenas metadados/status e referencias `op://...`, nunca o valor.
-4. SE nao configurou ou a verificacao falhar, explicar as duas opcoes e pedir uma escolha explicita:
-   - **Voltar ao Step anterior e configurar o 1Password (RECOMENDADO):** parar o Bootstrap 2 sem marcar conexoes como concluidas. Quando o aluno voltar, repetir este pre-gate.
+4. SE nao configurou ou a verificacao falhar, explicar as opcoes e pedir uma escolha explicita:
+   - **Conectar agora pelo Ops (RECOMENDADO se ele ja tem o token):** rodar `*conectar-1password` — o expert so copia o token e o Ops faz o resto. Ao terminar, repetir este pre-gate.
+   - **Voltar ao Step anterior da plataforma:** se ele ainda nao criou a conta/token do 1Password. Parar o Bootstrap 2 sem marcar conexoes como concluidas. Quando o aluno voltar, repetir este pre-gate.
    - **Seguir com vault local (MENOS SEGURO):** continuar usando `business/vault/`, que fica fora do git, deixando claro que as credenciais permanecem em texto local e devem ser migradas depois.
 5. Registrar somente a escolha e o estado em `business/vault/credential-storage.md`: `mode: 1password` ou `mode: local`, data e verificacoes realizadas. NUNCA registrar token, senha ou chave nesse arquivo quando o modo for 1Password.
 
@@ -989,6 +992,44 @@ O fluxo e sempre o mesmo:
 Se o expert quiser conectar outros servicos que aparecem nas Integrations do claude.ai no futuro, o fluxo e esse mesmo.
 
 
+### *conectar-1password
+
+Conecta o cofre 1Password ao Auroq. O expert NAO abre terminal e NAO digita comando — ele so copia o token e o Ops roda tudo. Aciona por linguagem natural ("conecta meu 1Password", "configura o cofre") ou pelo comando.
+
+**REGRA DE OURO — o token NUNCA passa pelo chat:**
+- NUNCA pedir pro expert colar o token na conversa. Se ele colar por conta propria, avisar que aquele token foi exposto e deve ser revogado e gerado de novo no painel do 1Password.
+- NUNCA imprimir, ecoar ou ler o valor do token em nenhum comando (`echo`, `cat`, `pbpaste` solto, etc.). O comando `conectar-1password` do CLI ja le a area de transferencia internamente sem expor nada.
+
+**Fluxo:**
+
+1. **Checar se ja esta conectado** (sem expor segredos):
+   ```bash
+   op whoami
+   ```
+   - SE funciona → ja conectado. Informar e encerrar (rodar de novo so se o expert quiser trocar o token).
+   - SE `op` nem existe ou falha → seguir.
+
+2. **Confirmar que o expert tem o token em maos.** Perguntar: "Voce ja gerou o seu token de Service Account no 1Password (aquele codigo grandao que comeca com `ops_`)?" 
+   - SE nao → orientar a voltar no Step Sistema de Senhas e Credenciais da plataforma e gerar. Parar aqui ate ele ter o token.
+   - ATENCAO: o 1Password mostra o token UMA vez, na criacao. Se o expert fechou a tela sem salvar, precisa gerar um novo.
+
+3. **Pedir a UNICA acao dele:** "Copia o token agora (Cmd+C no Mac / Ctrl+C no Windows) e me avisa quando copiar. NAO cola ele aqui no chat — so copia."
+
+4. **Quando ele confirmar, rodar:**
+   ```bash
+   npx auroq-os conectar-1password
+   ```
+   O comando le o token direto da area de transferencia, instala o 1Password CLI se faltar, valida a conexao online e salva permanente. O output NUNCA contem o token — e seguro.
+
+5. **Interpretar o resultado pro expert:**
+   - `✅ 1Password conectado com sucesso` → confirmar com gate real: rodar `op vault list` e mostrar que o cofre apareceu. Dai em diante toda credencial nova vai pro vault via `op`, nunca em texto plano.
+   - `nao contem um token valido` → ele copiou outra coisa por cima (o clipboard guarda so a ULTIMA copia). Pedir pra copiar o token de novo e repetir o passo 4. Sem stress, acontece.
+   - `token foi lido mas a conexao falhou` → token revogado/expirado ou sem internet. Orientar a gerar token novo no painel se a internet estiver ok.
+
+6. **Pos-conexao por sistema:**
+   - **Mac:** os proximos comandos ja enxergam a conexao nesta mesma sessao. Nada a fazer.
+   - **Windows:** a sessao atual NAO enxerga a conexao nova. Orientar: fechar TODAS as janelas do terminal (ou o VS Code inteiro), abrir de novo e voltar pro Claude. Verificar com `op whoami` quando ele voltar.
+
 ### *pr
 1. Verificar branch atual
 2. `git log` — resumir commits desde main

package/.claude/rules/custom-do-aluno.md

@@ -0,0 +1,27 @@
+# Suas Customizações — Sobrevivem a Updates
+
+> Este arquivo é SEU. O update do Auroq OS (e do Pack Arcane) **nunca** sobrescreve ele.
+> Tudo que você quer que valha pra sempre — regras de comportamento, preferências,
+> overrides — escreve AQUI, não no CLAUDE.md nem nas outras rules.
+
+## Por que aqui e não no CLAUDE.md?
+
+O `CLAUDE.md` e as outras rules (`agent-authority.md`, `natural-language-first.md`, etc.)
+são **framework** — toda atualização do Auroq atualiza elas pra trazer melhorias. Se você
+editar uma delas direto, sua mudança é perdida no próximo update.
+
+Este arquivo (`custom-do-aluno.md`) e o `settings.local.json` são os únicos lugares de
+config que o update **preserva**. Coloque suas regras aqui.
+
+## Como escrever uma regra
+
+Linguagem natural, direto. O Auroq carrega este arquivo automaticamente junto com as
+outras rules. Exemplos:
+
+- "Quando eu pedir pra rodar algo, executa direto sem ficar pedindo confirmação a cada passo."
+- "Nunca commita sem eu mandar."
+- "Responde sempre em português, casual."
+
+## Suas regras
+
+<!-- Escreva abaixo. Apague estes exemplos quando colocar as suas. -->

package/bin/auroq-os.js

@@ -194,6 +194,7 @@ async function init() {
     '.claude/rules/project-tracker.md',
     '.claude/rules/tool-response-filtering.md',
     '.claude/rules/natural-language-first.md',
+    '.claude/rules/custom-do-aluno.md',
 
     // Hooks
     '.claude/hooks/synapse-engine.cjs',
@@ -267,6 +268,10 @@ async function init() {
 
   // Arquivos do ALUNO — nunca sobrescrever se ja existem
   const studentFiles = [
+    // Config/customizacao pessoal — o lugar oficial pra regras e overrides do aluno.
+    // O update do framework cria a semente na 1a vez e NUNCA mais toca.
+    '.claude/rules/custom-do-aluno.md',
+    '.claude/settings.local.json',
     'agents/companion/data/contexto-dinamico.md',
     'agents/companion/data/log-decisoes.md',
     'agents/companion/data/padroes-observados.md',
@@ -503,6 +508,10 @@ ${DIM}  Proximo passo:${RESET}
 
 ${DIM}  O Companion vai te receber e guiar a partir daqui.${RESET}
 
+${DIM}  Suas customizacoes (sobrevivem a todo update):${RESET}
+    ${CYAN}.claude/rules/custom-do-aluno.md${RESET}   ${DIM}— suas regras e overrides${RESET}
+    ${CYAN}.claude/settings.local.json${RESET}        ${DIM}— suas configuracoes locais${RESET}
+
 ${DIM}  Agentes core disponiveis:${RESET}
     ${PURPLE}/companion${RESET}              ${DIM}— Parceiro cognitivo${RESET}
     ${PURPLE}/AuroqOS:agents:ops${RESET}     ${DIM}— Git, deploy, ambiente${RESET}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.1.3",
+  "version": "2.1.5",
   "description": "Auroq OS — Sistema Operacional de IA para Experts",
   "bin": {
     "auroq-os": "bin/auroq-os.js"

package/tests/installer-hybrid.test.mjs

@@ -33,8 +33,10 @@ test('installer entrega projeto hibrido funcional sem sobrescrever package scrip
 
     const installedOps = fs.readFileSync(path.join(target, '.claude', 'commands', 'AuroqOS', 'agents', 'ops.md'), 'utf8');
     assert.match(installedOps, /PRE-GATE OBRIGATORIO — sistema de senhas e credenciais/);
-    assert.match(installedOps, /Voltar ao Step anterior e configurar o 1Password/);
+    assert.match(installedOps, /Conectar agora pelo Ops \(RECOMENDADO se ele ja tem o token\)/);
+    assert.match(installedOps, /Voltar ao Step anterior da plataforma/);
     assert.match(installedOps, /Seguir com vault local \(MENOS SEGURO\)/);
+    assert.match(installedOps, /\*conectar-1password/);
     assert.doesNotMatch(installedOps, /#### 1\. 1Password — cofre cifrado/);
 
     const check = execFileSync(process.execPath, [path.join(target, 'scripts', 'sync-codex-skills.mjs'), '--check'], {