auroq-os 2.6.4 → 2.6.5

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.6.4
+  version: 2.6.5
   installedAt: '2026-03-16'
 
 ide:

package/.claude/CLAUDE.md

@@ -4,6 +4,6 @@ Sistema operacional de IA para o negócio. Você manda e julga; a IA executa.
 
 Ative um agente pelo comando (`/companion`, `$companion`, `@companion`). Todo conteúdo Arcane (Companion interno, Consultor, forjas, Pack) vem pelo MCP `arcane` — nunca procurar em `agents/`.
 
-Sua memória, seus documentos e suas conversas nunca saem da sua máquina. O que registramos é qual conteúdo licenciado foi entregue, quando e pra qual conta — igual a uma nota de entrega.
+Sua memória e seus documentos ficam na sua máquina e no seu GitHub privado (senhas e `business/vault/` ficam fora). O histórico das sessões com os squads só vai para a Arka se você autorizar na plataforma, e você pode retirar a autorização quando quiser. Além disso, a Arka registra qual conteúdo licenciado foi entregue, quando e pra qual conta — igual a uma nota de entrega.
 
 Rules em `.claude/rules/`. Constitution em `.auroq-core/constitution.md`.

package/CHANGELOG.md

@@ -1,3 +1,26 @@
+## 2.6.5 — 2026-10-02
+
+### Pasta do negocio nunca vai inteira pro ar na Vercel
+
+- O Bootstrap 1 ligava a publicacao automatica da Vercel (`vercel link` + `vercel git connect`) na raiz da pasta do negocio. Sem site, a Vercel publica a pasta inteira: memoria, `business/`, `docs/`, `.claude/`, `.synapse/` num endereco aberto (conferido com `vercel build` num projeto de teste).
+- Ops (auroq-core 2.3.21): a FASE 6 so faz login e confere a trava. A publicacao automatica liga no primeiro site, com `--root-directory` na pasta do site e conferencia em `vercel project inspect` antes do `git connect`. Pasta ja ligada na raiz: o Ops aponta a raiz pro site ou desliga o git (sem apagar nada no ar).
+- `instalar`, `manutencao`, `clone` e `fix-gitignore` gravam um `.vercelignore` que nega memoria, negocio, documentos e configuracao. Linhas proprias do aluno ficam; rodar de novo nao duplica.
+
+### Supabase sem segredo na conversa
+
+- Ops FASE 7: o login do Supabase vai numa janela separada do Terminal/PowerShell aberta pelo aluno na pasta do negocio. Acabou o roteiro "gera token com validade Nunca e cola aqui no terminal" (o terminal, ali, era a conversa). Token, codigo e senha do banco colados por engano: o Ops avisa, nao repete e manda revogar.
+- Windows: Supabase pelo instalador oficial (Scoop ou o `.exe` da pagina de releases), nunca `npm install -g`.
+- Antes do `supabase link`, o Ops mostra os projetos da conta e o aluno confirma qual e deste negocio; projeto de outro produto ou de producao nao e usado.
+
+### Instalador do Mac nao tira mais o `claude` do caminho
+
+- `auroq_aplicar_path` reescrevia o bloco do perfil so com a pasta da vez: no Mac sem Node, a pasta do motor (segunda chamada) apagava `~/.local/bin` e o aluno ficava com `claude: command not found`. O bloco agora guarda as duas pastas (motor na frente), sem duplicar ao reinstalar, descarta pasta que nao existe mais e aceita caminho com espaco. Testes com shell limpo (bash e zsh).
+
+### Texto de privacidade verdadeiro
+
+- `casca/.claude/CLAUDE.md` dizia que memoria, documentos e conversas "nunca saem da sua maquina". Agora: ficam na maquina e no GitHub privado do aluno; o historico das sessoes com squads so vai para a Arka se ele autorizar na plataforma, e a autorizacao pode ser retirada.
+- Mantem `arcane-mcp@0.7.0`. Instaladores do repositorio preparados para 2.6.5.
+
 ## 2.6.4 — 2026-09-29
 
 ### Companion com o nome do aluno nao trava mais a atualizacao

package/README.md

@@ -55,6 +55,11 @@ O caminho manual antigo foi aposentado. Use a instalacao guiada acima. Em negoci
 | `auroq-os sync-codex` | Regenera e verifica as skills locais do Codex |
 | `auroq-os conectar-1password` | Conecta o 1Password CLI — le o token de Service Account direto do Ctrl+C (nunca digitado nem exposto), instala o `op` se faltar, valida online e salva permanente (Mac/Windows) |
 
+> **Seguranca do token 1Password:** o token fica salvo no computador e qualquer programa seu consegue usa-lo.
+> Crie a Service Account com acesso a **um cofre so**, dedicado ao Auroq (o cofre `Claude`), sem senhas
+> pessoais, de banco ou da empresa. Permissao **so leitura**; libere escrita apenas nesse cofre se quiser
+> que o Auroq guarde ali as credenciais novas que voce conectar.
+
 Dentro do projeto instalado, os mesmos checks ficam disponiveis como
 `npm run auroq:sync:codex`, `npm run auroq:sync:codex:check` e
 `npm run auroq:validate`. O instalador adiciona esses scripts sem sobrescrever
@@ -241,13 +246,13 @@ agents/             → Seu exercito (companion, workers, minds, squads)
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.6.4 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.6.4 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.6.5 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.6.5 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.0` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.6.4; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.6.5; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/bin/auroq-os.js

@@ -353,6 +353,30 @@ async function untrackSecrets(targetDir) {
   return tracked;
 }
 
+// ─── TRAVA DA VERCEL (.vercelignore canonico) ────────────
+// A pasta do negocio nao e um site. Se alguem ligar a Vercel na raiz do repositorio
+// (Bootstrap antigo: `vercel link` + `vercel git connect` sem site), sem esta trava a
+// Vercel publica memoria, documentos e configuracao num endereco aberto. Com a raiz
+// na pasta do site (o certo), este arquivo nem e lido. Linhas proprias do expert ficam.
+const VERCELIGNORE_HEADER = '# ── Trava do Auroq OS: a pasta do negocio nao vai ao ar (adicionada automaticamente) ──';
+const VERCELIGNORE_PROTECTIONS = [
+  '.claude/', '.codex/', '.agents/', '.synapse/', '.auroq-core/', '.auroq/', '.git/',
+  'agents/', 'business/', 'docs/', 'memoria/', 'memory/', 'squads/',
+  'AGENTS.md', 'CLAUDE.md', '*.md', '.env', '.env.*', '*.key', '*.pem', '.npmrc',
+];
+
+async function ensureVercelignore(targetDir) {
+  const viPath = path.join(targetDir, '.vercelignore');
+  const existing = (await fs.pathExists(viPath)) ? await fs.readFile(viPath, 'utf8') : '';
+  const have = new Set(existing.split('\n').map(l => l.trim()).filter(Boolean));
+  const missing = VERCELIGNORE_PROTECTIONS.filter(l => !have.has(l));
+  if (!missing.length) return [];
+  const base = existing.trim().length ? existing.replace(/\s*$/, '\n\n') : '';
+  const header = have.has(VERCELIGNORE_HEADER) ? '' : `${VERCELIGNORE_HEADER}\n`;
+  await fs.writeFile(viPath, base + header + missing.join('\n') + '\n');
+  return missing;
+}
+
 async function applySecretProtections(targetDir) {
   const added = await ensureGitignore(targetDir);
   if (added.length) {
@@ -360,6 +384,10 @@ async function applySecretProtections(targetDir) {
   } else {
     success('.gitignore ja protege segredos e runtime');
   }
+  const travaVercel = await ensureVercelignore(targetDir);
+  if (travaVercel.length) {
+    success('Trava da Vercel no lugar: memoria, documentos e configuracao do negocio nunca vao ao ar');
+  }
   const untracked = await untrackSecrets(targetDir);
   if (untracked.length) {
     warn(`${untracked.length} arquivo(s) sensivel(is) removido(s) do controle de versao (continuam no seu disco):`);
@@ -2430,6 +2458,6 @@ if (['init', 'install', 'update'].includes(command)) {
   log('');
 }
 
-if (process.env.AUROQ_EXPORTA_INTERNOS === '1') module.exports = { blocoCodexArcane, envCodexArcane, lerBlocoArcane, lerEnvDoBloco, limparArcaneDoGlobal, envComoCodex, argumentosCodexSmoke, avaliarEventosCodex, rotulo, ARCANE_MCP_PIN };
+if (process.env.AUROQ_EXPORTA_INTERNOS === '1') module.exports = { blocoCodexArcane, envCodexArcane, lerBlocoArcane, lerEnvDoBloco, limparArcaneDoGlobal, envComoCodex, argumentosCodexSmoke, avaliarEventosCodex, rotulo, ARCANE_MCP_PIN, ensureVercelignore, VERCELIGNORE_PROTECTIONS };
 
 }

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.6.4 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.6.5 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.6.4 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.6.5 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.6.4 "$@"
+    npx -y auroq-os@2.6.5 "$@"
   else
-    npx -y auroq-os@2.6.4 "$@" < /dev/tty
+    npx -y auroq-os@2.6.5 "$@" < /dev/tty
   fi
 }
 
@@ -245,6 +245,32 @@ auroq_aplicar_path() {
   local bin="${2:-}"
   local tmp="${arquivo}.auroq-tmp.$$"
   [ -f "$arquivo" ] || : > "$arquivo"
+  # O instalador publica DUAS pastas, em chamadas separadas: a da ferramenta
+  # (~/.local/bin, onde mora o `claude`) e a do motor. Reescrever o bloco so com
+  # a pasta da vez apagava a outra: Mac sem Node terminava com `claude: command
+  # not found`. Agora o bloco guarda todas as pastas do Auroq que ainda existem,
+  # a da vez na frente (o motor entra por ultimo e fica na frente do Node velho).
+  local pastas="$bin"
+  local antiga
+  while IFS= read -r antiga; do
+    [ -n "$antiga" ] || continue
+    [ "$antiga" = "$bin" ] && continue
+    [ -d "$antiga" ] || continue
+    case ":${pastas}:" in *":${antiga}:"*) continue ;; esac
+    pastas="${pastas}:${antiga}"
+  done <<EOF
+$(awk '
+    /^# >>> auroq >>>$/ { dentro=1; next }
+    /^# <<< auroq <<<$/ { dentro=0; next }
+    dentro == 1 && /^export PATH="/ {
+      linha=$0
+      sub(/^export PATH="/, "", linha)
+      sub(/:\$PATH"$/, "", linha)
+      n=split(linha, partes, ":")
+      for (i=1; i<=n; i++) if (partes[i] != "") print partes[i]
+    }
+  ' "$arquivo" 2>/dev/null)
+EOF
   # tira o bloco antigo (se houver) e escreve o novo — nunca empilha
   awk '
     /^# >>> auroq >>>$/ { pulando=1; next }
@@ -253,8 +279,8 @@ auroq_aplicar_path() {
   ' "$arquivo" > "$tmp" 2>/dev/null || cp "$arquivo" "$tmp"
   {
     printf '# >>> auroq >>>\n'
-    printf '# Motor do Auroq OS. Bloco gerado pelo instalador — pode apagar se desinstalar.\n'
-    printf 'export PATH="%s:$PATH"\n' "$bin"
+    printf '# Motor e ferramentas do Auroq OS. Bloco gerado pelo instalador — pode apagar se desinstalar.\n'
+    printf 'export PATH="%s:$PATH"\n' "$pastas"
     printf '# <<< auroq <<<\n'
   } >> "$tmp"
   mv "$tmp" "$arquivo"

package/lib/onepassword.js

@@ -191,6 +191,19 @@ function persistToken(token) {
 
 // ─── Comando principal ───────────────────────────────────
 
+// Orientacao de escopo: o token fica salvo no computador e qualquer programa do
+// aluno consegue usa-lo, entao a Service Account deve alcancar so um cofre
+// dedicado. "Claude" e o cofre que os agentes do Auroq usam (ops.md).
+function accessTips() {
+  log(`${BOLD}Seguranca do token (recomendado):${RESET}`);
+  log('  - Crie a Service Account com acesso a UM cofre so, dedicado ao Auroq');
+  log(`    (o cofre ${CYAN}"Claude"${RESET}), sem suas senhas pessoais, de banco ou da empresa.`);
+  log('  - Permissao: so leitura. Se quiser que o Auroq guarde credenciais novas');
+  log('    pra voce nesse cofre, libere tambem escrita — mas so nesse cofre.');
+  log(`  ${DIM}- O token fica salvo neste computador e qualquer programa seu consegue usa-lo:${RESET}`);
+  log(`  ${DIM}  com o cofre dedicado, um vazamento so alcanca o que esta nele.${RESET}`);
+}
+
 async function connect() {
   console.log(`\n${PURPLE}${BOLD}  Conectar 1Password — Auroq OS${RESET}`);
 
@@ -223,6 +236,8 @@ async function connect() {
     log(`${BOLD}Como resolver:${RESET}`);
     log(`  1. Abra o 1Password e copie o seu token de Service Account (${CYAN}Ctrl/Cmd + C${RESET})`);
     log(`  2. ${BOLD}Sem copiar mais nada${RESET}, rode este comando de novo`);
+    log('');
+    accessTips();
     process.exit(1);
   }
   ok('Token encontrado (formato valido)');
@@ -258,6 +273,8 @@ ${GREEN}${BOLD}  ✅ 1Password conectado com sucesso.${RESET}
 ${DIM}  A conexao e permanente — voce nao precisa repetir este processo.${RESET}
 ${restartHint}
 `);
+  accessTips();
+  log('');
 }
 
 module.exports = {

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.6.4",
+  "version": "2.6.5",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "3052aab9e21a7b36788f5141a7d34ce6baa87c482ac18762c306b84b24ffc5c9"
+      "sha256": "8134b48404278f57dd5fa423638a486ffc0b9d6fd8e0c8207ee0332e6ffc3456"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -206,7 +206,7 @@
     },
     {
       "path": "bin/auroq-os.js",
-      "sha256": "7a9fd719e1ddc2fb18000b9f237ec2fdb0b605ed111c6e58dccef890f2d68cb1"
+      "sha256": "f0cfd3e5434118c618a1a48b93902ff38eb70b340c44a5af13bcc7130b45c853"
     },
     {
       "path": "lib/ahi/client.mjs",
@@ -242,7 +242,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "a65d425182e0698d3f80b8d81bb088b13c5e5b60ae1aa92b095ab38d60e22ea9"
+      "sha256": "e14a7b5347e46f48d7f319c010e019f503f206d6dee8a37455ae71c77bed2635"
     },
     {
       "path": "lib/supabase.js",
@@ -258,7 +258,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "9c2cafc77bfc679534da059fbcb7a847ca284da5d9074e138308d329aa6aef76"
+      "sha256": "687f311ba5fadb11f900e924d16ac3ec683f6459d3164907a008229621889444"
     },
     {
       "path": "scripts/build-pack.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.6.4",
+  "version": "2.6.5",
   "arcaneMcpPin": "0.7.0",
   "description": "Auroq OS — Sistema Operacional de IA para Experts",
   "bin": {