auroq-os 2.8.1 → 2.8.4

package/CHANGELOG.md

@@ -1,3 +1,98 @@
+## Unreleased
+
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.52, 27/10): **documentação revisada para o jeito de hoje.** O guia do sistema que o Companion usa com o aluno, a fundação do Companion e as fichas do Consultor não apresentam mais o Ops como técnico nem o nome personalizado do Companion; ensinam a abrir uma conversa nova dentro do projeto e chamar o Companion (quantas quiser, uma por assunto, nunca um chat por squad) e dizem que, com o app aberto, o salvamento na internet é automático a cada 15 minutos e ao abrir e fechar. A skill `configurar-computador` e o guia longo do Ops dizem que as contas são conectadas pelo Companion na primeira conversa, não na instalação.
+- Motor: README com o app Auroq OS como caminho novo e o terminal como o caminho que a plataforma ensina hoje; segunda máquina pelo app ("Trazer projeto que já existe"); atualizar, primeiro uso e agentes core sem o Ops; endereço da plataforma `arcane.arka.education`. `AGENTS.md` e `.auroq-core/como-funciona.md` dizem que, com o app aberto, salvar e entregar são automáticos a cada 15 minutos.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.51, 27/10): a renovação diz o salvamento certo: o app guarda a cópia na internet sozinho a cada 15 minutos e ao abrir e fechar (antes dizia 3 vezes por dia).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.50, 27/10): na renovação, o jeito padrão de trabalhar é abrir uma conversa nova dentro do projeto e chamar o Companion ali (não a tela Início), e dá para abrir quantas conversas quiser, uma por assunto (correção do Euriler).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.49, 27/10): o "como era, como é agora" da renovação virou uma fala pronta em linguagem de leigo (pedido do Euriler: "não na sua linguagem de IA"): o gerente que ia de mesa em mesa × o braço direito que chama a equipe; uma conversa por assunto, não por ajudante; as janelinhas da equipe trabalhando; sem palavras técnicas nesta etapa.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.48, 27/10): na renovação do aluno antigo, o Companion explica com destaque o jeito de trabalhar agora: tudo começa no Companion (não existe mais um chat por squad); ele chama os squads da equipe Arcane e abre os especialistas em abas próprias do app, acompanha e entrega; conversa nova é para frente nova de trabalho, não para squad.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.47, 27/10): ajustes da renovação depois do teste com uma aluna antiga simulada (pasta da versão 2.6.10 com Companion "Atlas"): o Companion não para mais para pedir licença em passo de rotina (abertura segue direto para a atualização; "ficou alguma dúvida?" saiu), e na etapa de ligar o que falta, uma conexão recusada ou que não conectou em 10 minutos vai para o backlog e ele oferece a próxima, sem pular para o pente-fino com itens ainda não oferecidos. A etapa em `.auroq/renovacao.json` é gravada antes da mensagem que fecha cada etapa.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.46, 27/10): **revisão do mês e plano da empresa no Companion.** Decisão do Euriler: além da revisão semanal (projetos) e da meta de 90 dias, o Companion olha o negócio uma vez por mês e mantém um plano de 12 meses. Skill nova `revisao-mensal` (`*mensal`, "como foi o mês?"): o Companion puxa sozinho no briefing quando chega a data `Proxima revisao do mes` do cockpit (vale pela revisão semanal daquela semana; nesse dia não tem pergunta do dia); uns 20 minutos e no máximo 4 perguntas: números do mês (pode pular), o que funcionou, se os projetos levam à meta (meta vencida é revista ali), o plano e o foco do mês que vem; grava o bloco do mês em `business/revisoes-do-mes.md` e o foco no cockpit. Skill nova `plano-da-empresa` (`*plano`): aonde o negócio quer chegar em 12 meses, produtos, canais, os 4 trimestres (cada um é uma meta de 90 dias), o que fica de fora, tempo e dinheiro, em `business/plano-da-empresa.md`; proposto na primeira revisão do mês, nunca na primeira conversa; a cada 90 dias a próxima meta vem do trimestre seguinte; no fim do ano, plano novo. O `*primeiro-uso` grava as datas da próxima revisão semanal e do mês. Pelo npm (próxima versão): a semente do cockpit ganha `Proxima revisao do mes` e a seção `FOCO DO MES`, e o `como-funciona.md` explica o mês e o ano.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.45, 27/10): **renovação do aluno que já usava o Auroq.** Decisão do Euriler: quem chega no app com uma pasta de antes não refaz a primeira conversa do zero. Skill nova `renovacao` no Companion (também por `*renovacao` ou "o que mudou?"): atualiza e confere o sistema; mostra o que mudou comparando com o que o aluno fazia (terminal, squads, Ops, Pack, Bootstrap, salvar), o que ele não precisa mais fazer e os superpoderes novos; explica que o Companion não tem mais nome personalizado e aposenta o atalho com o nome antigo; oferece todas as conexões e liberações que faltam, uma de cada vez (exceção à skill `liberacoes`); e passa um pente-fino no negócio (Mapa, projetos, nuvem, presença, equipe que ele não usa), pede o material que falta e fecha com um plano de 3 a 5 ações. Retomável em `.auroq/renovacao.json`; o fim grava também o `.auroq/primeiro-uso.json` que o app vigia.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.44, 27/10): o aluno também pode pedir uma liberação por conta própria (por exemplo, numa etapa do Embarque da plataforma); o Companion faz na hora, uma por pedido, sem emendar as outras.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.43, 27/10): a skill `liberacoes` aponta só para o guia do app (que mostra as telas de Logins dos sites e Controle do computador); a plataforma ainda não tem aula sobre elas.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.42, 27/10): **as liberações do app entram uma de cada vez, na hora em que a tarefa precisa.** Decisão do Euriler: o aluno não libera tudo de uma vez. Skill nova `liberacoes` no Companion: logins dos sites (quando uma tarefa precisa entrar num site com a conta do aluno), controle do computador (quando precisa usar um programa do computador; no Windows nada a fazer), cofre (skill `conectar-cofre`) e as conexões do nível 2 (quando a tarefa usa o serviço). O Companion explica em uma linha por que precisa agora, mostra onde clicar e confere fazendo a tarefa; "agora não" vai para o backlog sem insistir. A IA sem pedir permissão já vem ligada pelo app.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.41, 26/10): na conexão do GitHub, o Companion diz o que o app faz de verdade: o app copia o código e abre a página; o aluno cola o código no GitHub (Cmd+V / Ctrl+V), clica em Continue e em Authorize. Antes a skill mandava "conferir" o código.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.40, 26/10): **as contas do nível 1 (GitHub, Vercel e Supabase) passam a ser conectadas pelo Companion na primeira conversa.** Decisão do Euriler: conectar na instalação do app não funciona bem para o aluno iniciante. Skill nova `conexoes-essenciais`: o Companion explica cada conta em uma linha, abre as páginas (GitHub primeiro, com a conta criada junto se o aluno não tiver; a Vercel e o Supabase entram com o GitHub), confere e segue; o aluno só cria a conta, entra e autoriza, sem senha nem código na conversa, sempre no plano grátis. Usa o comando `auroq conexoes` do app quando existir; antes disso, a tela Configurações → Conexões. O `*primeiro-uso` ficou: conferência e instalação do que faltar (o aluno nunca baixa nem instala programa), material, perguntas, Mapa, conexões (P6), organizar (P7) e fecho (P8).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.39, 26/10): **o cofre de senhas saiu da primeira conversa.** Decisão do Euriler: é técnico demais para o aluno iniciante e é conexão do nível 2 (com domínio próprio e Google, que o app chama de "conecte quando precisar"). No `*primeiro-uso` o Companion confere só o sistema e as contas do nível 1 (GitHub, Vercel e Supabase, que o app conecta na tela "Conectar suas contas") e vai para a entrevista; o cofre entra quando a primeira tarefa precisar de uma senha, chave ou token (skill `conectar-cofre`).
+- **Regra de projetos do aluno sem o nome do Euriler.** `project-tracker.md` mandava "avisar o Euriler" quando faltava o acompanhamento de um projeto e dizia que só "o Euriler/Jarvis" mudam objetivo e fases (cópia da regra pessoal dele). Agora o Companion cria o acompanhamento pelo modelo e avisa o aluno em uma linha; quem decide objetivo e fases é o aluno (o Companion propõe). Chega pelo npm.
+## 2.8.4 — 2026-10-27
+
+- **O freio "trabalhar até o fim" parou de mostrar as instruções dele na tela do aluno.** Ele era um gancho de IA (`type: "prompt"`), e quando segurava uma resposta o Claude Code mostrava ao aluno o texto inteiro da conferência ("Você confere a última resposta de uma IA para um aluno leigo..."), sem como esconder (alunos relataram em 27/10). Agora é um gancho de comando (`.claude/hooks/auroq-ate-o-fim.cjs`): segura só quando a resposta termina pedindo licença para passo de rotina ("quer que eu...?", "posso seguir?") ou manda o aluno rodar comando que ele não pediu para rodar sozinho, e o aluno vê só uma linha curta ("Auroq: faça você mesmo..."). Libera o que é do aluno (senha, código, pagamento, apagar, mensagem, publicar, GitHub e entregar), "Decide: A ou B?" e IA da equipe. Saiu a conferência de "disse que está pronto sem conferir", que precisava de IA; essa regra segue no `AGENTS.md`. A manutenção troca o freio antigo pelo novo sozinha. Provado num Claude Code de verdade e em `tests/ate-o-fim.test.mjs`.
+- Leva junto o que estava pronto na 2.8.3 (que não chegou ao npm). Instaladores fixam `auroq-os@2.8.4`.
+
+## 2.8.3 — 2026-10-27
+
+Motor com a documentação e os avisos do jeito de hoje: README com o app Auroq OS como caminho novo; o Companion no lugar do Ops nos avisos do terminal (doctor, manutenção, proteção de segredos) e na segunda máquina; `AGENTS.md` e `.auroq-core/como-funciona.md` dizem que, com o app aberto, salvar e entregar são automáticos a cada 15 minutos; regra de projetos do aluno sem o nome do Euriler; cockpit novo com a revisão do mês. Instaladores fixam `auroq-os@2.8.3`. O conteúdo ao vivo (catálogo `auroq-core`) segue publicado à parte, versão a versão, na lista acima.
+
+## 2.8.2 — 2026-10-23
+
+- Publicação final de 23/10 (ordem do Euriler: ele testa num Windows como aluno novo, do zero): o núcleo sai com o Companion orquestrador e sem o Ops para o aluno, e o catálogo ao vivo `auroq-core` vai para 2.3.38. O cliente do MCP passa a ser o `arcane-mcp` 0.7.1 (o exemplo da descrição do `squad_conhecimento` não mistura mais tópicos de squads diferentes, EMB-093). Os instaladores fixam `auroq-os@2.8.2`.
+
+- **O Companion vira o braço direito do aluno (orquestrador mestre), decisão do Euriler (23/10).** Toda conversa na pasta é com o Companion: o aluno pede, e ele passa para quem faz (squad, skill ou agente), escolhe a IA de cada parte (Opus para pensar, Sonnet para produzir, Haiku para tarefa mecânica), escreve o briefing, solta as partes independentes ao mesmo tempo (sem teto fixo de quantas; os freios são o limite de uso do plano e a memória do computador), acompanha, revisa (o que vai a público passa também por outra IA), manda refazer (até duas voltas) e entrega pronto. A dica do aluno ("usa o squad de anúncios") manda. Conteúdo ao vivo (próximo catálogo `auroq-core`): skill nova `orquestrar` no Companion, persona 3.0.0 e modo de operar. No pacote: `AGENTS.md` (toda conversa é o Companion; quem foi aberto com "BRIEFING DA EQUIPE" faz só a sua parte; fala curta, com uma linha de andamento quando demora; duas conferências antes de responder).
+- **Trabalhar até o fim (Claude Code).** Freio novo no fim de cada resposta, um gancho do próprio Claude do aluno (`type: "prompt"` no `.claude/settings.json`): se a resposta devolve ao aluno algo que a IA consegue fazer sozinha, ou diz que algo está pronto sem ter conferido, a IA volta, faz ou confere e responde de novo; no máximo uma volta por resposta. Libera conversa, explicação, decisão de negócio e o que é do aluno (senha, código, pagamento, mensagem a terceiro, apagar). Custa uma consulta rápida ao modelo de fundo do plano do aluno (~1 s, provado em 23/10). Codex e Grok seguem a mesma regra pelo `AGENTS.md`. A manutenção reconhece o freio pela marca `[auroq-ate-o-fim]` e não o duplica (teste em `manutencao-agente`).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.37, 23/10): **o Ops não existe mais para o aluno.** Tudo o que ele fazia virou skill do Companion, que roda na mesma conversa: `conserto-tecnico` (conferir e consertar o computador), `salvar-e-sincronizar` (salvar, entregar, puxar e conflito), `publicar-site`, `atualizar-sistema` (sistema e squads), `configurar-computador` (quem não usa o app e conexões extras), `companion-externo` e o Bitwarden dentro de `conectar-cofre`. O `AGENTS.md` não cita mais o Ops nem o atalho dele, e o primeiro uso conserta pela skill (decisão do Euriler: "não existe Ops; tudo vira skill que o Companion usa").
+
+### 1Password automático: você liga uma chave e aprova, o Ops faz o resto
+
+Decisão do Euriler (22/10): a credencial do aluno passa a ficar num cofre de verdade (o 1Password, recomendado; desde 23/10 o aluno que não quer gastar pode usar o Infisical grátis, ver a seção seguinte). O "cofre local" (a pasta `business/vault/` com os valores em texto) deixa de ser um caminho para guardar senha, chave ou token.
+
+- **O que você faz agora são só quatro coisas.** Criar a conta do 1Password, instalar o app, ligar a chave "Integrar com a CLI do 1Password" nas configurações do app (Configurações > Desenvolvedor) e aprovar com a digital (Touch ID no Mac, Windows Hello no Windows) ou com a senha. Normalmente a aprovação é uma vez; se a janela aparecer de novo, é só aprovar de novo. O app precisa ficar aberto.
+- **O Ops faz o resto sozinho.** Cria o cofre `Claude` na sua conta (se já existir, usa o que está lá e não mexe em nada) e a chave do agente (uma "conta de serviço" chamada `Auroq`), sem data de validade e com acesso só ao cofre `Claude`. O agente não enxerga mais nada da sua conta, nem o seu cofre pessoal. Depois confere, num terminal novo, se a chave funciona, e só então diz que está pronto.
+- **A chave nunca aparece.** Ela nasce dentro do comando e vai direto para o arquivo do seu computador (Mac: `~/.zshenv`; Linux: `~/.bashrc`; Windows: variável de ambiente do seu usuário), com permissão só sua (se o arquivo for um atalho para uma pasta de configurações versionada no git, o comando recusa gravar ali, para a chave não ir parar no GitHub). O comando nunca mostra a chave nem a passa pela linha de comando; depois de gravada ela vira uma variável de ambiente sua, então o Ops nunca roda `env` nem abre esses arquivos.
+- **Uma cópia no seu cofre pessoal.** O item "Auroq OS - token da conta de servico" fica guardado no seu cofre pessoal, que o agente não enxerga. Num segundo computador seu, o comando acha essa cópia e reaproveita a mesma chave em vez de criar outra (o 1Password aceita ~100 contas de serviço por conta). Se a cópia não puder ser guardada, a conexão vale do mesmo jeito e o Ops avisa.
+- **O cofre local saiu como rota de credencial.** `business/vault/` continua existindo só para o status e para as referências `op://...`, nunca com o valor. A oferta "seguir com cofre local (menos seguro)" saiu do Ops, do `AGENTS.md` e dos guias.
+- **Quem não tem 1Password é guiado a criar.** O Ops explica o caminho: teste grátis de 14 dias, sem cartão; depois, o plano Individual custa ~US$ 2,99 por mês (promoção do 1º ano, cobrança anual) a ~US$ 3,99 por mês (anual, preço regular) ou ~US$ 4,99 no mensal, e o Families ~US$ 4,49 a ~US$ 5,99 por mês. Os preços mudam: confira na tela. O Ops nunca digita dados de pagamento nem cria a conta por você.
+- **Mais de uma conta no app?** O comando não adivinha: lista as contas e pede para você escolher em qual vai ficar o cofre (`--conta "<e-mail>"`). Se a única conta do app for de empresa (Teams ou Business), ele também pergunta antes de criar o cofre nela. Em conta de empresa (Teams ou Business) só o dono ou o administrador cria conta de serviço, por padrão; sem permissão, o comando para antes de criar qualquer coisa e explica.
+- **O Companion liga o cofre sozinho (skill `conectar-1password`, hoje `conectar-cofre`).** Pipeline de 8 etapas, cada uma com o critério de "pronto": conta e plano → app instalado e chave "Integrar com a CLI" ligada → ferramenta `op` → aprovação com a digital → cofre `Claude` → chave do agente → teste em terminal novo → pronto (só depois do teste). Ele aciona no primeiro uso (conferência técnica), quando uma tarefa precisa de uma credencial e não acha a chave, e quando o `op` dá erro de autenticação; também responde ao `*cofre`. Fica retomável: o comando grava, em `~/.arcane/1password-etapas.json` (só neste computador, fora do GitHub, sem segredo e sem e-mail), até onde chegou; `--estado` mostra a etapa sem falar com o 1Password e sem gastar a cota, e rodar o comando de novo reconfere tudo e continua de onde parou, sem criar nada em duplicidade. O Ops e o Companion leem a cota com cuidado: cada credencial uma vez por conversa, com `op read`, e nunca rodam `env`/`printenv` nem abrem o arquivo onde a chave fica.
+- **Mais cuidado com a sua conta.** Falha passageira (limite de uso, falta de internet, resposta estranha de um proxy) nunca é tratada como "chave morta": o comando para sem criar outra conta de serviço e sem arquivar a cópia boa, e diz para tentar de novo em alguns minutos. Antes de criar qualquer coisa ele confere que consegue guardar a chave: se o arquivo de configurações do seu terminal for um atalho ou estiver guardado no git (como repositórios de "dotfiles"), ou já tiver uma linha sua para essa chave, ele não grava (a chave iria para o GitHub, ou apagaria o que é seu) e avisa. Só uma execução por vez, e uma cópia da chave só é reaproveitada se for da mesma conta e só enxergar o cofre `Claude`.
+- **Modo manual só como plano B.** O jeito antigo (você cria a conta de serviço no site do 1Password e copia o token) continua existindo atrás de `--manual`, escondido, para quem não puder usar o automático. Não faz parte do caminho principal.
+- **Limite de uso.** Nos planos Individual e Families, a chave aceita ~1.000 leituras e ~100 escritas por hora, e a conta inteira ~1.000 chamadas por dia (confira na tela do 1Password). O Ops lê o que precisa uma vez por conversa e reaproveita o valor, em vez de ler de novo.
+- **Trocar a chave.** `--rotacionar` cria uma chave nova mesmo com a atual funcionando. A antiga só deixa de valer quando você a revoga em 1password.com > Developer > Service accounts (o 1Password não tem comando para apagar conta de serviço). Se o endereço de login da conta mudar, a chave precisa ser trocada assim.
+
+### Para o suporte
+
+- **Comando:** `npx -y auroq-os@latest conectar-1password --agente` (Windows: `npx.cmd`; dê 10 minutos de tempo-limite à ferramenta). Sem `--agente` (aluno no terminal), se a chave do app ainda não estiver ligada, o comando espera até 5 min, olhando a cada 3 s, e segue sozinho.
+- **Flags:** `--agente` (usado pelo Ops e pelo app: não espera, não pergunta e termina com uma linha só); `--conta "<e-mail>"` (escolhe a conta do app quando há mais de uma; aceita e-mail, endereço de login ou ID); `--rotacionar`; `--esperar N` (segundos; 0 não espera); `--manual` (plano B).
+- **Linha lida pelo Ops (só com `--agente`):** `AUROQ_RESULTADO 1password=<ok|aguardando|erro> codigo=<codigo> [aviso=cofres-extras] [contas="a|b"] mensagem="..."`, no mesmo padrão da `manutencao --agente`. Código de saída: 0 para `ok` e para `aguardando` (falta uma ação do aluno, não é falha; assim a telemetria não registra falso `INSTALL_FAILED`) e 1 para `erro`.
+- **Códigos `ok`:** `criada`, `reaproveitada` (achou a cópia no cofre pessoal), `ja-conectado` (pode vir com `aviso=cofres-extras`: a chave antiga enxerga mais cofres que o `Claude`; rode com `--rotacionar`).
+- **Estado e retomada:** `--estado` (com `--agente`) imprime `AUROQ_ESTADO 1password=<pronto|em-andamento|nao-iniciado> proxima=<etapa> feitas=... token=<configurado|ausente> ultimo=<codigo> conferido=nao` (`conferido=nao`: não falou com o 1Password). O arquivo de estado fica em `~/.arcane/1password-etapas.json`; a trava de instância única, em `~/.arcane/1password.lock`.
+- **Códigos `aguardando`:** `ligar-integracao` (a chave "Integrar com a CLI do 1Password" está desligada; o app aberto e desbloqueado é pré-requisito, e o erro `No accounts configured` também cai aqui), `escolher-conta` (mais de uma conta no app; as contas vêm no campo `contas`), `aprovar-no-app` (o aluno não aprovou a janela da digital), `confirmar-conta` (a conta do app parece de empresa: só segue com `--conta`) e `outra-execucao` (já tem uma conexão rodando neste computador; vale por até 15 minutos).
+- **Códigos `erro`:** `sem-op` e `op-antigo` (o `op` não instalou ou é anterior à 2.30.0; ele atualiza sozinho quando consegue), `rede`, `conta-nao-encontrada` (o `--conta` não existe no app), `sem-cofre`, `cofre-duplicado` (a conta tem dois cofres `Claude`; o `op` deixa duplicar e o comando para sem criar nada), `sem-permissao` (conta de empresa em que o aluno não é dono nem administrador), `falha-criar`, `nao-gravou` (não conseguiu salvar a chave no computador), `token-recusado` (a chave foi salva, mas o teste falhou; a chave não se perde, rode de novo), `cofres-extras` (a chave nova enxerga mais que o `Claude`), `app-tem-prioridade` (o `op` respondeu pelo app e não pela chave), `conta-ambigua` (duas contas com o mesmo e-mail: use o endereço de login em `--conta`) e `token-indisponivel` (limite de uso, falta de internet ou demora do 1Password na hora de conferir a chave que já existe: o comando para SEM criar outra conta de serviço; tente de novo em alguns minutos), `arquivo-ambiente` (o arquivo de configurações do terminal é um atalho, está no git ou já tem uma linha do aluno para a chave: nada foi criado) e `falha` (exceção inesperada). Erros que o aluno ou o plano dele resolvem (`sem-op`, `op-antigo`, `rede`, `conta-nao-encontrada`, `conta-ambigua`, `cofre-duplicado`, `sem-permissao`, `token-indisponivel`, `arquivo-ambiente`) saem com 1 mas a telemetria os registra como etapa do fluxo, não como instalação quebrada.
+- **Sinais conhecidos:** `(429) Too Many Requests` é limite de uso estourado; no macOS 27, se o `op` disser `No accounts configured` com o app aberto, libere o terminal em Privacidade e Segurança > Arquivos e Pastas ("Data shared by 1Password") e abra o terminal de novo. Windows: a documentação do 1Password só cita o PowerShell como terminal suportado; Git Bash e WSL ficam para conferir no teste manual.
+- **Nunca peça o token ao aluno** nem o aceite colado na conversa: o comando automático não precisa dele.
+
+### Plano B grátis: Infisical, para quem não quer gastar nem 1 real
+
+Decisão do Euriler (23/10): além do 1Password (pago, recomendado), o aluno que diz "não quero gastar nem 1 real, mas quero resolver" tem o **Infisical**, um cofre de código aberto com plano grátis na nuvem. Não é tão bom quanto o 1Password (não preenche senha no navegador; só guarda as chaves que o agente usa), mas resolve. O cofre local, com os valores em texto, continua proibido.
+
+- **A escolha vem no começo.** Quando o aluno precisa de um cofre e ainda não tem nenhum, o Companion pergunta: "Quer o 1Password (uns 3 dólares por mês, confira o preço na tela, preenche senha no navegador, recomendado) ou o grátis (Infisical, só guarda as chaves do agente)?". Sem resposta clara, ele oferece o 1Password e diz que o grátis existe. O comando novo `conectar-cofre` faz essa escolha; o `conectar-1password` continua com as mesmas flags e respostas (só passa a marcar o cofre ativo em `~/.arcane/cofre.json`).
+- **O que o aluno faz no grátis são duas coisas.** Criar a conta grátis no Infisical (app.infisical.com/signup) e entrar na conta na página que abre sozinha no navegador. Ele **não** clica em "Start a free trial" (o teste do plano pago pede cartão e pode virar cobrança se não for cancelado). O resto é do Companion.
+- **O Companion faz o resto, em 7 etapas, cada uma com o seu "pronto".** Conta → ferramenta `infisical` → entrar no navegador → projeto `Auroq` → chave do agente → teste em terminal novo → pronto (só depois do teste). Ele instala a ferramenta sem pedir senha de administrador e sem mexer no PATH (baixa a versão 0.44.8 da página oficial de versões, confere o código de verificação SHA-256 e guarda no computador do aluno; se não der, tenta Homebrew no Mac e winget no Windows), cria o projeto `Auroq`, cria a chave do agente **só desse projeto** (uma "identidade de máquina" do projeto, com papel `member`: lê e grava segredos, sem validade) e guarda a chave no computador, no mesmo lugar da chave do 1Password. Por último confere num terminal novo: grava, lê e apaga um segredo de teste usando só a chave do agente. O segredo de teste tem nome novo a cada teste (`AUROQ_TESTE_<12 caracteres 0-9 e A-F>`), então nunca pisa num segredo do aluno e dois computadores testando juntos não se atrapalham; depois de gravar ele é sempre apagado, mesmo se a leitura falhar, e se nem o apagar der certo a tela diz o nome para o aluno apagar no painel (a migração para o 1Password ignora esse nome).
+- **A sessão do aluno só existe na configuração.** O login do navegador vale alguns dias (o padrão do Infisical é 10; na nuvem o prazo exato não foi confirmado) e a ferramenta não o renova, então o agente não depende dele: trabalha só com a chave do agente, que não vence e entra sozinha a cada uso. O login do aluno é encerrado no fim de **toda** execução que o usou, com sucesso ou com erro (a tela avisa "O Auroq saiu da sua sessão do Infisical"), para o acesso de administrador da organização não ficar parado alguns dias no computador. Se o encerramento falhar, a tela avisa e traz o caminho do programa que o Auroq instalou para o aluno sair na mão (`<caminho> logout --profile auroq`); isso não muda o resultado da conexão. Só não é encerrado quando o login ainda não terminou (o aluno ainda não aprovou). Consequência: depois de um erro posterior ao login (por exemplo `falha-identidade` ou `rede`), a rodada seguinte abre o navegador de novo para entrar ou aprovar; e os erros que só se resolvem trocando de organização ou de conta (`sem-organizacao`, `projeto-sem-acesso`, `sem-permissao`) dizem "Encerrei a sessão" e a próxima rodada reabre o navegador.
+- **A chave nunca aparece.** Nem na tela, nem na conversa, nem em linha de comando, nem nos arquivos do projeto ou da configuração do Auroq: ela nasce dentro do comando e é gravada direto no arquivo de ambiente do seu usuário (Mac/Linux, permissão só dele, com as mesmas recusas da rota A para atalho, arquivo no git e linha própria do aluno) ou nas variáveis do usuário (Windows). Qualquer programa do aluno consegue usá-la. Se não der para gravar, a chave que acabou de ser criada é revogada na hora, para não sobrar nada solto; se nem a revogação der certo, o resultado traz `aviso=chave-orfa` e a descrição da chave a apagar no painel.
+- **Uma chave por computador.** Quem usa dois computadores tem uma chave em cada (descrição "Auroq OS - <nome do computador> [código de 10 caracteres] - <data>"). O código vem de um identificador que o sistema já tem (não do nome, que pode repetir ou mudar) e só ele identifica o computador: trocar a chave (`--rotacionar`) revoga só as antigas daquele computador, nunca as dos outros, mesmo com dois computadores de mesmo nome. Além das que têm o código do computador na descrição, a troca também revoga a chave que este computador usa agora, reconhecida pelos 4 primeiros caracteres que o Infisical lista (vale para computador novo com a pasta copiada, em que o código da descrição é de antes). A troca lista as chaves antigas antes de criar a nova, só revoga depois que o teste da nova passa e, se a revogação falhar, termina `ok` com `aviso=revogacao-pendente` ("a chave antiga AINDA vale"): a rodada seguinte, sem `--rotacionar`, termina a troca. Se não achar nenhuma chave antiga para revogar (e havia chaves vivas), termina `ok` com `aviso=chave-antiga-nao-identificada`: nenhuma foi revogada, a que vazou (se for uma antiga) continua valendo e a mensagem manda apagá-la no painel; não há o que terminar rodando de novo. Chave de outro computador (perdido, roubado) a rotação não revoga: apagar no painel do Infisical.
+- **Um comando só para ler e gravar, qualquer que seja o cofre.** `npx -y auroq-os@latest segredo ler|gravar|listar|apagar|qual <Item>[/<campo>]` funciona igual no 1Password e no Infisical, para os agentes, squads e skills não precisarem saber qual dos dois está por trás. O valor para gravar vai por stdin (ou `--arquivo`), nunca na linha de comando; o `gravar` confere lendo de volta e tira o BOM, a quebra de linha final e os espaços das pontas; `ler` escreve só o valor e **nunca** sai com sucesso e saída vazia (segredo que não existe, ou que existe sem valor, sai com código 3); `ler` imprime o valor, então os textos mandam usá-lo sempre dentro do comando que o usa, numa variável, e nunca sozinho. Apagar exige `--confirmo`; no 1Password isso arquiva o **item inteiro** (todos os campos dele; volta pelo Arquivo do app), por isso a confirmação avisa antes, lista os campos com valor e recusa `ITEM/CAMPO` quando o item tem outros campos. As mensagens de erro não repetem o que foi digitado. No 1Password, `op read "op://Claude/<Item>/<campo>"` continua valendo.
+- **Começou no grátis e assinou o 1Password?** O Companion conecta o 1Password e roda `conectar-cofre --migrar`: as chaves são levadas para o cofre `Claude`, cada uma lida de volta para conferir, sem mostrar valor nenhum. Nada é apagado do Infisical. **Ligar o 1Password sozinho não troca o cofre de quem já usa o Infisical** (a linha `AUROQ_AVISO cofre=infisical mantido=sim` avisa): o cofre ativo só vira o 1Password quando a migração leva **todas** as chaves (ou não havia nenhuma); com falhas (`migrado-parcial`), segue o grátis. Nomes que só diferem na caixa (`abc` e `ABC`) são falha explícita (no 1Password seriam o mesmo nome) e nenhuma das duas é passada; nomes que o Auroq não usa (espaço, mais de 64 caracteres) não se resolvem rodando de novo: renomear no painel ou usar `--ignorar-fora-do-formato`, que os deixa no Infisical sem apagar. Chave que já existia no 1Password com outro valor fica com o valor do Infisical e a mensagem avisa quais (só nomes). Se o Infisical recusar a chave deste computador (revogada, ou identidade ou projeto apagado), a migração para com `origem-indisponivel` e manda gerar a chave de novo (`conectar-cofre --cofre infisical --agente`) em vez de mandar esperar; só instabilidade (rede, limite, bloqueio) continua pedindo para esperar. O segredo de teste da conexão (`AUROQ_TESTE_<código>`) nunca é levado. O caminho contrário não é automático: conectar o Infisical com o 1Password ativo troca o cofre ativo (escolha explícita do aluno) e avisa (`AUROQ_AVISO cofre=infisical chaves-antigas=1password`) que as chaves do 1Password não foram levadas, mas continuam lá e se leem com `segredo ler NOME --cofre 1password`.
+- **Limites do plano grátis (confira na tela do Infisical):** 5 vagas no total, somando o aluno e cada agente (identidade) que ele criar (o Auroq usa 1 identidade, então o aluno usa 2; um segundo computador ganha só uma chave nova e não gasta vaga); projetos ilimitados; 3 ambientes por projeto; sem histórico de versões dos segredos nem registro de auditoria; o plano grátis pode ser alterado ou encerrado pela empresa e os termos do Infisical falam em uso profissional. Região: Estados Unidos por padrão; Europa com `--regiao eu`.
+- **O Companion aciona sozinho, nos mesmos gatilhos do 1Password** (primeiro uso, tarefa que precisa de credencial sem cofre, erro de autenticação, `*cofre`, computador novo). A skill agora se chama `conectar-cofre` (`agents/companion/tasks/conectar-cofre.md`; o gatilho e o comando antigos continuam funcionando).
+
+### Para o suporte (cofre grátis)
+
+- **Comandos:** `npx -y auroq-os@latest conectar-cofre --cofre infisical --agente` (Windows: `npx.cmd`; dê 10 minutos de tempo-limite à ferramenta: o comando espera o aluno entrar no navegador por até 9 minutos). Sem `--cofre` e sem cofre em andamento, devolve `AUROQ_RESULTADO cofre=aguardando codigo=escolher-cofre`. `conectar-cofre --estado --agente` imprime `AUROQ_ESTADO cofre=<1password|infisical|nenhum> ...`. `--migrar` leva as chaves do Infisical para o 1Password (`--ignorar-fora-do-formato` deixa no Infisical as chaves com nome que o Auroq não usa).
+- **Flags da rota B:** `--agente`, `--estado`, `--rotacionar`, `--regiao us|eu`, `--dominio <https://...>`, `--esperar N` (segundos; teto 570, descontado o tempo gasto antes, como instalar a ferramenta; mínimo 5, então `--esperar 0` devolve `aguardando` na hora). Numa máquina já conectada, o endereço novo (`--regiao`/`--dominio`) só é gravado quando a chave nova fica guardada: depois de um `aguardando` numa troca de região, repetir `--regiao eu` na rodada seguinte.
+- **Linhas lidas pelo Ops:** `AUROQ_RESULTADO infisical=<ok|aguardando|erro> codigo=<codigo> [aviso=identidades-extras|revogacao-pendente|chave-antiga-nao-identificada|chave-orfa] [url="..."] mensagem="..."` (um aviso por resultado, na prioridade `revogacao-pendente`, `chave-antiga-nao-identificada`, `identidades-extras`; a `url` é de um login que já terminou, não serve para o aluno abrir: o link vivo sai na tela durante a espera), `AUROQ_AVISO cofre=infisical mantido=sim mensagem="..."` (depois do resultado do 1Password, quando o Infisical continua o cofre ativo), `AUROQ_AVISO cofre=infisical chaves-antigas=1password mensagem="..."` (depois do resultado do Infisical, quando ele trocou o 1Password como cofre ativo; pode vir também depois de `ja-conectado`, quando o aluno volta do 1Password para o grátis, e diz que nada foi copiado: o Infisical só tem o que já foi guardado nele) e `AUROQ_ESTADO infisical=<pronto|em-andamento|nao-iniciado> proxima=<etapa> feitas=... credencial=<configurado|ausente> ultimo=<codigo> conferido=nao`. Migração: `AUROQ_RESULTADO cofre=<ok|aguardando|erro> codigo=<migrado|migrado-parcial|nada-a-migrar|conectar-1password-primeiro|origem-indisponivel|falha> movidos=N iguais=M falhas=K mensagem="..."`. Código de saída: 0 para `ok` e `aguardando`, 1 para `erro`.
+- **Códigos `ok`:** `criada` (identidade nova), `reaproveitada` (a identidade `Auroq` já existia; se o comando criou chave, ela é só deste computador; numa troca pendente ou numa configuração perdida ele só reaproveita a chave que já estava aqui, sem criar outra, e a linha de resultado é a mesma; é aqui que vêm `aviso=identidades-extras`, `aviso=revogacao-pendente` e `aviso=chave-antiga-nao-identificada`, este só com `--rotacionar`: a chave nova existe, mas nenhuma chave antiga foi revogada) e `ja-conectado` (a chave do computador já entra no projeto; confere sem abrir navegador, mas só diz isso depois de provar que um terminal novo a enxerga e que ela grava, e nunca com uma troca de chave pela metade).
+- **Códigos `aguardando`:** `login-no-navegador` (o aluno ainda não entrou na conta; a sessão vencida cai aqui também, e o código antigo `sessao-expirada` nunca é devolvido) e `outra-execucao`.
+- **Códigos `erro`:** `sem-cli`, `cli-antigo` (precisa da 0.43.139 ou mais), `rede`, `sem-organizacao`, `projeto-sem-acesso` (o endereço `auroq` já é de outro projeto da organização), `falha-projeto`, `limite-plano` (só aqui é falta de vaga: as 5 do grátis acabaram; apagar uma **identidade** que não usa no painel), `plano-restringe` (o plano grátis barrou outra etapa, como papel, faixa de IP, ambiente ou projeto: **não** é falta de vaga e apagar identidade não resolve), `sem-permissao`, `falha-identidade`, `falha-chave`, `nao-gravou` (a chave criada é revogada; se nem isso der, `aviso=chave-orfa`), `teste-falhou` (a chave ficou gravada: rodar de novo, sem `--rotacionar`; numa troca, a chave antiga não foi revogada), `credencial-indisponivel`, `arquivo-ambiente`, `bloqueada` (3 falhas de login seguidas travam a chave por 5 minutos: esperar 6), `limite` (limite de uso) e `falha`. Os que o aluno ou o plano dele resolve saem com 1 mas a telemetria os registra como etapa do fluxo.
+- **Arquivos no computador do aluno (sem segredo, fora do git), em `~/.arcane/`:** `cofre.json` (qual cofre está ativo), `infisical.json` (endereço, projeto, identidade, caminho da ferramenta), `infisical-etapas.json` (as 7 etapas), `infisical.lock` (uma execução por vez), e, do comando `segredo`, `cofre-op.lock` (uma gravação por vez no 1Password), `cofre-infisical-login.lock` (um login por vez no Infisical) e `cofre-infisical-bloqueio.json` (marca de "chave bloqueada por uns 5 minutos", só com o código da chave e a hora). O `infisical.json` pode ganhar `instalacaoId` (só quando o sistema não informa o identificador do computador) e `rotacaoPendente` (só códigos das chaves antigas a revogar). As chaves ficam nas variáveis `AUROQ_INFISICAL_CLIENT_ID` e `AUROQ_INFISICAL_CLIENT_SECRET` (nome próprio para não colidir com as `INFISICAL_*` do trabalho do aluno).
+- **Falha passageira nunca cria chave nova:** erro 500, limite de uso, falta de internet ou bloqueio na hora de conferir a chave do computador param com `credencial-indisponivel`/`limite`/`rede`/`bloqueada` e não criam nada (vale também quando a chave está válida mas a configuração se perdeu). Só "credenciais inválidas" prova chave morta e gera outra. Pelo mesmo motivo, erro 5xx ou de rede ao CRIAR projeto, identidade ou chave não repete sozinho: vira `falha-projeto`/`falha-identidade`/`falha-chave` e a rodada seguinte reaproveita o que o servidor gravou.
+- **Desfazer:** `infisical logout --profile auroq` (a sessão já é encerrada no fim da conexão; se o `infisical` não estiver no PATH, use o caminho do programa que o Auroq instalou, o mesmo que a tela mostra quando não consegue sair da sessão: `<caminho> logout --profile auroq`); apagar a identidade `Auroq` e o projeto `Auroq` no painel do Infisical revoga tudo (apagar a identidade é o que libera vaga; apagar só uma chave dentro dela não); remover o bloco "Infisical - identidade do agente" do arquivo de ambiente (ou as duas variáveis do usuário no Windows) e a pasta `~/.arcane/infisical*`; a ferramenta instalada fica em `~/.local/bin/infisical` (Mac) ou `%LOCALAPPDATA%\Programs\infisical` (Windows).
+
+### Ainda não publicado
+
+Precisa de nova versão do npm ANTES de subir o catálogo `auroq-core`: o `ops.md` e a skill `conectar-cofre` vivem no catálogo e mandam rodar comandos novos (`conectar-1password --agente`, `conectar-cofre`, `segredo`). A versão atual do npm não entende `--agente` nem `conectar-cofre` e cai no jeito antigo de colar o token. Ainda falta o teste manual numa conta 1Password nova **e numa conta Infisical nova**, em Mac e em Windows (ver `docs/stories/AUROQ-1password-automatico.md`). Sem número de versão por enquanto.
+
 ## 2.8.1 — 2026-10-22
 
 ### Mapa do Negócio: o sistema conhece o seu negócio e toda a equipe lê isso primeiro
@@ -8,6 +103,11 @@
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.30): **skill `auroq-contexto` no Companion.** 11 blocos (quem é você, o que vende, para quem, como vende, meta e o que trava, posicionamento, provas, tom e valores, referências, vida pessoal opcional, equipe e ferramentas). Primeiro lê o seu material (bio, site, Instagram, apresentação, PDF, prints, áudio, página de vendas) e só pergunta o que faltou, uma pergunta por vez, em português simples. Cada fato fica com a fonte (`o aluno disse, 22/10`, `do site, 22/10`); o que o Companion só deduziu fica "a confirmar" e nunca vira fato sem você dizer que está certo. Nunca pede senha, token ou dado bancário; vida pessoal é opcional e qualquer pergunta pode ser pulada.
 - **Primeiro uso mais rápido** (decisão do Euriler, 22/10: ver resultado logo). O `*primeiro-uso` agora pede o material primeiro, faz só o bloco essencial (blocos 1 a 5) e termina como antes: organiza os projetos no app e no GitHub e grava `.auroq/primeiro-uso.json`. O resto do mapa vem aos poucos.
 - **Pergunta do dia.** Na conversa normal, se o mapa tem lacunas, o Companion faz UMA pergunta no começo (pode pular), no máximo uma por dia, nunca no meio de uma tarefa. Comando novo `*contexto [bloco]` para ver, completar, revisar ou refazer uma parte do mapa. "Lancei um produto" ou "mudei o preço" atualizam o mapa na hora; a cada 90 dias o Companion propõe revisar a meta.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.31, 22/10): **o Companion confere e conserta o computador.** O primeiro uso começa com uma conferência técnica (`doctor --leve` e as contas): o que faltar de programa ou do sistema o próprio Companion conserta na mesma conversa, seguindo o guia do Ops, e confere de novo; conta faltando vira um aviso de uma linha para Configurações → Conexões; conserto que demora ou falha duas vezes vai para as pendências e a entrevista segue. Fora do primeiro uso, "algo do computador quebrou" também fica com o Companion, sem trocar de agente (decisão do Euriler: o aluno só fala com o Companion).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.34, 22/10): **depoimento não é obrigatório.** O Companion nunca pergunta por provas e depoimentos (nem no primeiro uso, nem na pergunta do dia) e não ter não vira lacuna; o bloco só se preenche quando aparece no material ou o aluno conta.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.33, 22/10): quem ainda não vende nada fica registrado em `produto/ainda-nao-vende.md` (o app conta como respondido).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.32, 22/10): **a entrevista nunca trava o aluno.** Toda pergunta aceita "não tenho ainda" (vira fato no mapa, ex.: "ainda não tem produto", e não fica cobrando), "não sei ainda" e "pular" (viram lacuna, sem repetir antes de 30 dias). Sem material, segue direto para a entrevista básica. No primeiro uso, no máximo 7 perguntas; quem ainda não tem negócio responde só quem é, o que gostaria de vender e a meta.
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.35, 22/10): **no app, o aluno não é mais mandado ao Ops.** Conflito ao salvar, cofre de senhas (1Password ou Bitwarden) e publicar site ficam com o próprio Companion, seguindo o guia técnico do Ops; atualizar o sistema é do app. O Ops segue como o Bootstrap de quem não usa o app (decisão do Euriler: "não faz sentido chamar ops").
 - Mantém `arcane-mcp@0.7.0`. Instaladores do repositório preparados para 2.8.1.
 
 ### Também nesta versão

package/README.md

@@ -1,22 +1,27 @@
 # Auroq OS — Sistema Operacional de IA para o negócio do aluno
 
-Transforma Claude Code, Codex CLI ou Grok Build num centro de comando inteligente para operar seu negocio digital.
+O app **Auroq OS** (Mac e Windows) vira o centro de comando do seu negocio, com o Claude ou o ChatGPT (Codex)
+por dentro. Este pacote (`auroq-os`) e o motor que o app instala e atualiza na pasta do seu negocio.
 
 **Pensar. Fazer. Lembrar.** Tudo com IA.
 
 ## Instalacao
 
-### Pre-requisitos
-- Mac com Apple Silicon (recomendado)
-- Node.js 22+
-- Git
-- Claude Code, Codex CLI ou Grok Build (um deles basta)
+### O app Auroq OS (o caminho novo, chegando aos alunos)
 
-### Setup
+Baixe o app pelo link que a mentoria passa, abra e entre com o mesmo e-mail e senha da plataforma
+([arcane.arka.education](https://arcane.arka.education)). O app instala sozinho tudo o que precisa (Git, Node,
+Python, os programas do GitHub, da Vercel e do Supabase e este motor), cria a pasta do seu negocio e abre a
+primeira conversa com o Companion, que conhece voce e o seu negocio e conecta as suas contas. Voce nao abre
+terminal nem baixa programa nenhum.
 
-Cole **um endereco** no terminal (o de dentro do Claude Code ou do Codex serve).
-Ele instala o Git, o motor do sistema, faz o login da mentoria, cria a pasta do seu
-negocio e monta tudo — sem senha e sem voce baixar nada na mao:
+Ja usava o Auroq pelo terminal? Abra o app: ele acha a pasta do seu negocio sozinho, e o Companion faz a
+renovacao (atualiza, mostra o que mudou e liga o que falta). Nada do que voce construiu se perde.
+
+### Pelo terminal (o caminho que a plataforma ensina hoje, e o do Linux)
+
+Cole **um endereco** no terminal (o de dentro do Claude Code ou do Codex serve). Ele instala o Git, o motor,
+faz o login da mentoria, cria a pasta do seu negocio e monta tudo:
 
 ```bash
 # Mac
@@ -26,25 +31,24 @@ curl -fsSL https://arka.education/install.sh | bash
 irm https://arka.education/install.ps1 | iex
 ```
 
-Depois, **feche e abra** o Claude Code ou o Codex — senao ele nao enxerga o que
-acabou de ser instalado.
-
-O caminho manual antigo foi aposentado. Use a instalacao guiada acima. Em negocio existente, peca ao Ops "atualiza o sistema" (no Claude Code ou no Codex). Os agentes e squads chegam pelo MCP, sem instalacao ou atualizacao de Pack.
-
+Depois, **feche e abra** o Claude Code ou o Codex e chame o Companion (`/auroq-companion` ou `$companion`). Em
+negocio existente, peca ao Companion "atualiza o sistema" (em pasta de antes de 23/10/2026, o atalho do Ops
+ainda atende esse pedido). Os agentes e squads chegam ao vivo, sem instalar
+nem atualizar Pack.
 
 > **Grok:** nao precisa de `sync:codex`. Ele descobre `.claude/commands/`,
 > `.claude/rules/` e `AGENTS.md` sozinho. Use Claude/Grok com slash commands;
 > use Codex com `$nome` apos o sync de skills.
 
 > **Acesso exclusivo para alunos da Mentoria Arcane.** O instalador pede o mesmo email + senha
-> que voce usa em [mentoria-arcane.vercel.app](https://mentoria-arcane.vercel.app).
+> que voce usa em [arcane.arka.education](https://arcane.arka.education).
 > A sessao fica salva em `~/.arcane/credentials.json` e renova automaticamente.
 
 ### Comandos de sessao
 
 | Comando | O que faz |
 |---------|-----------|
-| `auroq-os manutencao` | Manutencao do motor no negocio existente; conteudo vem pelo MCP. **Caminho normal: pedir ao Ops "atualiza o sistema"** — ele roda `manutencao --agente` (sem perguntas; ultima linha `AUROQ_RESULTADO ...`). Rodar no terminal e so reserva |
+| `auroq-os manutencao` | Manutencao do motor no negocio existente; conteudo vem pelo MCP. **Caminho normal: pedir ao Companion "atualiza o sistema"** — ele roda `manutencao --agente` (sem perguntas; ultima linha `AUROQ_RESULTADO ...`). Rodar no terminal e so reserva |
 | `auroq-os clone` | Continua o SEU negocio em outra maquina (ou na maquina de um colaborador) — baixa tudo do GitHub, ja instalado |
 | `auroq-os fix-gitignore` | Garante as protecoes de segredo no .gitignore (vault, .env, midia) e destraqueia segredos versionados |
 | `auroq-os login` | Forca novo login (substitui credencial atual) |
@@ -53,12 +57,45 @@ O caminho manual antigo foi aposentado. Use a instalacao guiada acima. Em negoci
 | `auroq-os doctor` | Diagnostico do suporte: arquivos, motor do sistema (e se o programa aberto pelo icone enxerga ele), registro do conteudo ao vivo, login e servidor |
 | `auroq-os register-mcp` | Reescreve o registro do conteudo ao vivo no projeto (use se o `doctor` apontar que ele falta) |
 | `auroq-os sync-codex` | Regenera e verifica as skills locais do Codex |
-| `auroq-os conectar-1password` | Conecta o 1Password CLI — le o token de Service Account direto do Ctrl+C (nunca digitado nem exposto), instala o `op` se faltar, valida online e salva permanente (Mac/Windows) |
-
-> **Seguranca do token 1Password:** o token fica salvo no computador e qualquer programa seu consegue usa-lo.
-> Crie a Service Account com acesso a **um cofre so**, dedicado ao Auroq (o cofre `Claude`), sem senhas
-> pessoais, de banco ou da empresa. Permissao **so leitura**; libere escrita apenas nesse cofre se quiser
-> que o Auroq guarde ali as credenciais novas que voce conectar.
+| `auroq-os conectar-1password` | Liga o 1Password ao Auroq sozinho (Mac/Windows): instala o `op` se faltar, cria o cofre `Claude` e uma conta de servico que so enxerga esse cofre (sem data de validade), guarda a chave no computador e testa. Voce so aprova no app do 1Password. O Companion roda isto por voce (`--agente`). Opcoes: `--conta "<e-mail>"` (escolhe a conta quando o app tem mais de uma), `--rotacionar` (cria uma chave nova), `--estado` (mostra em que etapa voce parou, sem falar com o 1Password; com `--agente` imprime a linha `AUROQ_ESTADO ...`). Pode ser retomado a qualquer hora: ele reconfere cada etapa e continua de onde parou. O Companion roda isto sozinho quando falta o cofre (skill `conectar-cofre`, que pergunta qual cofre) |
+| `auroq-os conectar-cofre` | Escolhe e liga o cofre de senhas: **1Password** (pago, uns US$ 3 por mes, confira o preco na tela, recomendado; preenche senha no navegador) ou **Infisical** (gratis, so guarda as chaves que o agente usa). Opcoes: `--cofre 1password\|infisical` (sem ela, pergunta qual), `--regiao us\|eu` (Infisical), `--estado` (em que etapa voce parou, sem falar com o cofre; com `--agente` imprime a linha `AUROQ_ESTADO ...`), `--rotacionar` (chave nova) e `--migrar` (passa as chaves do Infisical para o 1Password, sem apagar nada; so depois que todas passaram o 1Password vira o cofre ativo, e `--ignorar-fora-do-formato` deixa no Infisical as chaves com nome que o Auroq nao usa). Ligar o 1Password sozinho nao troca o cofre de quem ja usa o Infisical; ligar o Infisical com o 1Password ativo troca, e as chaves do 1Password nao sao levadas (continuam la, `segredo ler NOME --cofre 1password`). O Companion roda isto por voce (`--agente`) |
+| `auroq-os segredo` | Le e guarda credenciais no cofre que voce escolheu, igual nos dois: `segredo ler\|gravar\|listar\|apagar\|qual <referencia>`. O valor de `gravar` entra por stdin, nunca como argumento; `ler` imprime o valor, entao use sempre dentro do comando que o usa (`X="$(auroq-os segredo ler Item/campo)" && comando "$X"`), nunca sozinho; a referencia e `op://Claude/<Item>/<campo>` ou `cofre://<Item>/<campo>`. Com 1Password, `op read` direto continua valendo. Squads, skills e agentes usam este comando |
+
+> **Um cofre de senhas e obrigatorio** para guardar credenciais: senha, token e chave nunca ficam em arquivo do
+> projeto. Em `business/vault/` fica so o status e a referencia `op://...`, nunca o valor. Voce escolhe:
+>
+> - **1Password (recomendado, pago).** Quem nao tem e guiado pelo Companion a criar a conta (teste
+>   gratis de 14 dias, sem cartao; o plano Individual custa ~US$ 2,99 a 3,99/mes, confira o preco na tela). Voce so
+>   (1) cria a conta, (2) instala o app, (3) liga "Integrar com a CLI do 1Password" em Configuracoes >
+>   Desenvolvedor e (4) aprova com a digital (Mac) ou o Windows Hello. O resto o Companion faz. Preenche senha no
+>   navegador.
+> - **Infisical (gratis).** Para quem nao quer gastar nem 1 real. Voce so (1) cria a conta em
+>   https://app.infisical.com/signup (plano gratis; **nao** clique em "Start a free trial", que e o teste dos
+>   planos pagos e pede cartao) e (2) aprova o login que abre no navegador. O resto o Companion faz. Nao e tao bom: **nao
+>   preenche senha no navegador**, so guarda as chaves que o agente usa. Plano gratis (confira os limites na tela):
+>   5 vagas (voce e o agente Auroq; um segundo computador ganha chave nova mas nao gasta vaga), sem historico de versoes e sem registro de auditoria. Os termos do
+>   Infisical falam em uso profissional e o gratis pode mudar. Se um dia assinar o 1Password, `conectar-cofre
+>   --migrar` leva as chaves para la.
+>
+> Nao existe cofre de valores guardado em arquivo no computador, em nenhuma das duas rotas.
+
+> **Seguranca da chave 1Password:** o comando cria sozinho o cofre `Claude` e a conta de servico, e essa
+> chave **so enxerga o cofre `Claude`** (leitura e escrita), nunca suas senhas pessoais, de banco ou da empresa.
+> Ela nao expira. A chave fica salva no computador e qualquer programa seu consegue usa-la; por isso o cofre
+> `Claude` deve ter so o que o Auroq precisa. Em conta de empresa (Teams/Business), em geral so o dono ou
+> administrador cria conta de servico. Se um dia quiser trocar a chave, rode com `--rotacionar` e revogue a
+> antiga em 1password.com > Developer > Service accounts. Plano B escondido: `--manual`, para quem prefere
+> criar a conta de servico na mao e copiar o token (Cmd+C / Ctrl+C), sem colar em lugar nenhum: o comando le da
+> area de transferencia e a limpa depois.
+
+> **Seguranca da chave do Infisical:** o comando cria sozinho o projeto `Auroq` e uma chave do agente que **so
+> enxerga esse projeto** (leitura e escrita), sem data de validade. Ela fica salva no computador (arquivo so seu no
+> Mac, variavel do usuario no Windows) e qualquer programa seu consegue usa-la; por isso o projeto deve ter so o que
+> o Auroq precisa. Para trocar, rode com `--rotacionar` (depois do teste ele revoga as chaves antigas deste
+> computador, reconhecido por um codigo proprio e nao pelo nome, e tambem a chave que este computador usa agora;
+> se a revogacao falhar, ou se ele nao achar nenhuma chave antiga para revogar, avisa que a chave antiga ainda vale
+> e que voce deve apaga-la no painel do Infisical). A sessao do seu login no Infisical so existe durante a conexao e e encerrada no fim. A chave nunca
+> passa pela conversa.
 
 Dentro do projeto instalado, os mesmos checks ficam disponiveis como
 `npm run auroq:sync:codex`, `npm run auroq:sync:codex:check` e
@@ -67,23 +104,19 @@ os comandos existentes do seu negocio.
 
 ### Segunda maquina (ou colaborador)
 
-O Auroq nao mora no computador — mora no GitHub. Pra trabalhar em outra maquina,
-**nao instale de novo**: clone o que ja existe.
+O Auroq nao mora so no computador: o app guarda uma copia do negocio no seu GitHub privado. Pra trabalhar em
+outra maquina, **nao instale um negocio novo**: instale o app nela, entre com a sua conta e use "Trazer projeto
+que ja existe" (do GitHub). Depois peca ao Companion "conecta meu cofre" se precisar das senhas nessa maquina.
 
-```bash
-# na maquina nova (Claude Code instalado e logado)
-npx auroq-os clone          # lista seus repos do GitHub e baixa o negocio inteiro
-cd meu-negocio
-claude
-/AuroqOS:agents:ops
-*conectar-1password         # reconectar o cofre (uma vez so nesta maquina)
-```
+Sem o app: `npx auroq-os clone` lista seus repositorios do GitHub e baixa o negocio inteiro; depois abra o
+`claude` (ou `codex`) na pasta e chame o Companion.
 
-Ritual diario em toda maquina: **abriu o `claude` → o sistema puxa sozinho o que mudou · terminou → diga "salva e entrega"** (qualquer agente executa o ritual do Ops; `*sync`/`*commit`/`*push` seguem como atalhos).
+Com o app aberto, o trabalho e salvo e mandado para o GitHub sozinho (a cada 15 minutos, ao abrir e ao fechar).
+Sem o app, diga "salva e entrega" no fim do trabalho.
 Colaborador usa conta propria de tudo (GitHub via convite, assinatura Claude propria,
-cofre 1Password com escopo) — nunca a senha do dono. **Colaborador nao precisa ser
+cofre 1Password ou Infisical com escopo) — nunca a senha do dono. **Colaborador nao precisa ser
 aluno**: o acesso dele e o convite do GitHub (o `clone` nao pede login); quem atualiza
-o sistema e o dono, e o colaborador recebe as atualizacoes automaticamente ao abrir o `claude`.
+o sistema e o dono, e o colaborador recebe as atualizacoes automaticamente.
 
 ## Conteudo ao vivo
 
@@ -108,14 +141,13 @@ correcoes). Voce nao precisa vigiar nada: quando existe versao nova, o proprio s
 avisa — ao usar um squad ou agente do conteudo ao vivo e ao abrir o Claude Code no seu
 projeto — e pergunta se voce quer atualizar.
 
-Pra atualizar, e uma frase — dentro do Claude Code ou do Codex, com o Ops ativo
-(`/AuroqOS:agents:ops` ou `$ops`), ou respondendo "sim" ao aviso:
+Pra atualizar, e uma frase para o Companion (no app ou no terminal), ou responder "sim" ao aviso:
 
 ```
 atualiza o sistema
 ```
 
-Voce nao abre terminal nem digita comando: o Ops salva um ponto de restauracao (commit)
+Voce nao abre terminal nem digita comando: o Companion salva um ponto de restauracao (commit)
 se houver trabalho seu pendente, roda a manutencao e diz se precisa fechar e abrir o
 aplicativo. Se o login da plataforma tiver expirado, abre uma janela "Login Arcane" pra
 voce digitar o e-mail e a senha (nunca no chat). **Seus dados nunca sao tocados**:
@@ -123,7 +155,7 @@ memoria do Companion, documentos, cockpit, campanhas, squads que voce criou,
 personalizacoes e as suas permissoes do Claude Code ficam exatamente como estavam.
 O que se atualiza e so o framework.
 
-Reserva, so se o Ops nao abrir: na pasta do negocio, `npx -y auroq-os@latest manutencao`
+Reserva, so se o Companion nao conseguir: na pasta do negocio, `npx -y auroq-os@latest manutencao`
 (Windows: `npx.cmd`).
 
 O historico do que mudou em cada versao fica no arquivo `CHANGELOG.md`, dentro do
@@ -198,7 +230,7 @@ exigido e `excluir --account --confirm-delete`. Apagar o historico da conta inte
 permanente); para voltar a gravar, escreva para euriler@arka.education. Excluir uma
 sessao nao encerra a gravacao.
 
-A atualizacao do coletor exige a manutencao no projeto (peca ao Ops "atualiza o sistema")
+A atualizacao do coletor exige a manutencao no projeto (peca ao Companion "atualiza o sistema")
 e reabrir o host. O aviso de nova versao ao iniciar o Claude Code nao instala essa correcao.
 A publicacao do pacote tambem nao comprova que cada aluno ja atualizou.
 
@@ -215,10 +247,9 @@ agents/             → Seu exercito (companion, workers, minds, squads)
 
 ## Agentes Core
 
-| Agente | Comando | O que faz |
+| Agente | Como chamar | O que faz |
 |--------|---------|-----------|
-| Companion | `/auroq-companion` ou `$companion` | Parceiro cognitivo. Situa, lembra, pensa junto |
-| Ops | `/AuroqOS:agents:ops` ou `$ops` | Git, deploy, ambiente, install |
+| Companion | no app: conversa nova dentro do projeto; terminal: `/auroq-companion` ou `$companion` | Braco direito e chefe da equipe: pensa junto, lembra, chama os squads da Arcane e entrega; tambem instala, atualiza, conserta, conecta, salva e publica |
 | Organizer | `/auroq-organizer` ou `$organizer` | Organizacao, guarda documentos, limpeza, backup |
 
 ### Meta Squads (criadores de agentes)
@@ -233,12 +264,16 @@ agents/             → Seu exercito (companion, workers, minds, squads)
 
 ## Primeiro uso
 
-1. Ative o Ops (`/AuroqOS:agents:ops` no Claude/Grok ou `$ops` no Codex) e peca o Bootstrap 1.
-2. O Ops prepara browser oficial, Computer Use quando elegivel e Playwright como fallback, sempre com smoke test real.
-3. Ative o Companion (`/auroq-companion` no Claude/Grok ou `$companion` no Codex).
-4. O Companion monta o seu Mapa do Negocio (`docs/knowledge/mapa-do-negocio.md`): le o material que voce tiver,
-   pergunta so o que faltou e completa o resto aos poucos (`*contexto`). Todo squad le esse resumo primeiro.
-5. Pronto — o sistema ja te conhece.
+1. **No app:** a primeira conversa com o Companion abre sozinha no fim da instalacao. Ele le o material que voce
+   tiver, pergunta so o que faltou, monta o seu Mapa do Negocio (`docs/knowledge/mapa-do-negocio.md`, que todo
+   squad le primeiro), conecta GitHub, Vercel e Supabase e organiza os seus projetos.
+2. **Sem o app:** chame o Companion (`/auroq-companion` no Claude/Grok ou `$companion` no Codex). Ele confere o
+   computador (skill `configurar-computador`) e segue o mesmo caminho.
+3. Daqui pra frente: uma conversa com o Companion por assunto, quantas quiser. Ele chama a equipe; voce nao
+   precisa chamar squad nenhum.
+
+O Companion e Companion para todo mundo (nao tem nome personalizado). O antigo Ops foi aposentado para o aluno:
+a parte tecnica e com o Companion.
 
 ## Filosofia
 
@@ -255,13 +290,13 @@ agents/             → Seu exercito (companion, workers, minds, squads)
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.1 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.1 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.4 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.4 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
-migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.0` — o pin mora no campo
+migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.1; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.4; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/agents/organizer/agents/organizer.md

@@ -68,7 +68,7 @@ business/
   campanhas/               ← Campanhas ativas + _template
   processos/               ← SOPs documentados
   agente/                  ← Agentes autonomos (Bia, etc.)
-  vault/                   ← Chaves e acessos (NUNCA mexer sem permissao)
+  vault/                   ← So status e referencias op:// do cofre (1Password ou Infisical) (NUNCA guardar valor; NUNCA mexer sem permissao)
   cockpit.md               ← Fonte unica de verdade dos projetos
   templates/               ← Moldes reutilizaveis
 docs/knowledge/
@@ -103,7 +103,7 @@ docs/diagrams/             ← Visualizacoes
 | Processo documentado (SOP) | `business/processos/` | Feito, funcionou, documentou |
 | Campanha ativa | `business/campanhas/{slug}/` | Com tracker + arsenal |
 | Template reutilizavel | `business/templates/` ou `business/campanhas/_template/` | Molde, nao instancia |
-| Chave/acesso/login | `business/vault/` | Protegido, .gitignored |
+| Chave/acesso/login | Cofre do aluno (1Password ou Infisical; via Companion/Ops) | `business/vault/` guarda so status e referencia `op://...`, nunca o valor |
 | Agente/squad/worker | `agents/{slug}/` | Todo agente vive aqui |
 | Diagrama/visualizacao | `docs/diagrams/` | HTML, imagens conceituais |
 | Lixo/temporario | DELETAR | Nao acumular |
@@ -216,7 +216,7 @@ Ativado por: `*store`, "guarda isso", "salva esse documento", "armazena", "coloc
 - NUNCA salvar sem confirmar o destino com o aluno (se houver duvida)
 - NUNCA sobrescrever arquivo existente sem aprovacao
 - SE o aluno cola texto bruto longo: organizar minimamente (titulo, secoes) antes de salvar
-- SE o aluno manda algo que nao e documento de negocio (chave, login, senha): redirecionar pro vault
+- SE o aluno manda algo que nao e documento de negocio (chave, login, senha): NAO salvar em arquivo nenhum e redirecionar pro cofre do aluno (1Password ou Infisical; via Companion/Ops); `business/vault/` so guarda status e referencia `op://...`, nunca o valor
 
 ### Modo 6: LIMPAR (*clean)
 
@@ -239,7 +239,7 @@ Ativado por: `*clean`, "limpa", "remove lixo", "tira o que nao precisa"
 
 Ativado por: `*backup`, "faz backup", "espelha no drive"
 
-**Pre-requisito:** rclone configurado com Google Drive (verificar no vault)
+**Pre-requisito:** rclone configurado com Google Drive (verificar no status em `business/vault/`; a chave em si fica no cofre do aluno)
 
 **Protocolo:**
 1. Verificar rclone configurado: `rclone listremotes`