auroq-os 2.8.2 → 2.8.5

package/bin/auroq-os.js

@@ -236,7 +236,7 @@ function mudouAlgoDeAbertura(antes, depois) {
 // permissions (modo sem pedir permissao), statusLine, env e hooks proprios. Agora: o que o modelo
 // controla vem do modelo; permissions/statusLine/env do aluno ficam; chave que o modelo nao tem
 // fica; hooks do aluno ficam e os do framework sao trocados pelos do modelo, sem duplicar.
-const HOOK_DO_FRAMEWORK = /(?:^|[\s"'\\/])(?:auroq-sync|synapse-engine|ahi-capture|precompact-session-digest)\.cjs\b/;
+const HOOK_DO_FRAMEWORK = /(?:^|[\s"'\\/])(?:auroq-sync|auroq-ate-o-fim|synapse-engine|ahi-capture|precompact-session-digest)\.cjs\b/;
 // Gancho de IA do sistema (type "prompt", sem `command`): o texto comeca com uma marca `[auroq-...]`.
 // Sem ela, a manutencao o tomava por gancho do aluno e o duplicava a cada versao.
 const MARCA_DO_FRAMEWORK = /^\s*\[auroq-[a-z-]+\]/;
@@ -405,7 +405,7 @@ async function applySecretProtections(targetDir) {
     try { hasRemote = execFileSync('git', ['remote'], { cwd: targetDir, encoding: 'utf8' }).trim().length > 0; } catch { /* sem git */ }
     if (hasRemote) {
       warn(`${GOLD}IMPORTANTE: esses arquivos podem ja ter subido pro GitHub em commits antigos.${RESET}`);
-      warn(`${GOLD}Troque as chaves que estavam neles — peca ajuda ao Ops: "minhas chaves do vault${RESET}`);
+      warn(`${GOLD}Troque as chaves que estavam neles — peca ajuda ao Companion: "minhas chaves do vault${RESET}`);
       warn(`${GOLD}podem ter vazado no git, me ajuda a trocar e limpar".${RESET}`);
     }
   }
@@ -565,7 +565,7 @@ async function runHealthChecks(targetDir) {
   if (await synapseDesatualizado(targetDir)) {
     // Aviso, nao trava: um clone de negocio antigo traz o arquivo velho pelo git e so a
     // manutencao nesta maquina (ou na outra, depois entregue) troca.
-    warn('Synapse antigo nesta pasta (erro "hookEventName" a cada mensagem). Peca ao Ops: "atualiza o sistema".');
+    warn('Synapse antigo nesta pasta (erro "hookEventName" a cada mensagem). Peca ao Companion: "atualiza o sistema".');
   }
   if (passed === HEALTH_CHECKS.length) {
     success(`${passed}/${HEALTH_CHECKS.length} verificacoes OK`);
@@ -603,7 +603,7 @@ async function runDoctor(targetDir, { leve = false } = {}) {
     success(`Arquivos do sistema: ${HEALTH_CHECKS.length}/${HEALTH_CHECKS.length} no lugar`);
   } else {
     error(`Arquivos do sistema: faltam ${faltando}`);
-    problemas.push('Peca ao Ops, no Claude Code ou no Codex: "atualiza o sistema" (a manutencao vai repor o que falta).');
+    problemas.push('Peca ao Companion, no Claude Code ou no Codex: "atualiza o sistema" (a manutencao vai repor o que falta).');
   }
   if (!(await synapseRegistrado(targetDir))) {
     error('O hook do Synapse nao esta registrado: as regras do sistema nao chegam ao modelo');
@@ -611,7 +611,7 @@ async function runDoctor(targetDir, { leve = false } = {}) {
   }
   if (await synapseDesatualizado(targetDir)) {
     error('Synapse antigo: o Claude Code recusa as regras a cada mensagem ("hookEventName")');
-    problemas.push('Peca ao Ops, no Claude Code ou no Codex: "atualiza o sistema" (a manutencao troca o Synapse antigo). Reserva, so se o Ops nao abrir: npx -y auroq-os@latest manutencao na pasta.');
+    problemas.push('Peca ao Companion, no Claude Code ou no Codex: "atualiza o sistema" (a manutencao troca o Synapse antigo). Reserva, so se o Companion nao abrir: npx -y auroq-os@latest manutencao na pasta.');
   }
 
   // 2. O motor — e, principalmente, se quem abre pelo icone vai enxergar ele.
@@ -1694,7 +1694,7 @@ async function init({ pasta = null, maintenance = false, modoAgente = false, mig
       log('');
       log(`${BOLD}Entao o caminho certo NAO e instalar do zero — e clonar o que ja existe.${RESET}`);
       log('');
-      log('O seu negocio ja vive no GitHub (o Ops fez isso no Bootstrap 1).');
+      log('O seu negocio ja vive no GitHub.');
       log('Instalar do zero aqui criaria um segundo Auroq desconectado do primeiro.');
       log('');
       log(`Rode: ${CYAN}npx auroq-os clone${RESET}`);
@@ -1846,6 +1846,7 @@ async function init({ pasta = null, maintenance = false, modoAgente = false, mig
     '.claude/hooks/ahi/auth-config.cjs',
     '.claude/hooks/precompact-session-digest.cjs',
     '.claude/hooks/auroq-sync.cjs',
+    '.claude/hooks/auroq-ate-o-fim.cjs', // 2.8.4 — freio de comando no lugar do gancho de IA
 
     // Synapse domain files
     '.synapse/manifest',
@@ -2118,7 +2119,7 @@ async function init({ pasta = null, maintenance = false, modoAgente = false, mig
   try {
     execSync('node scripts/sync-codex-skills.mjs --clean', { cwd: targetDir, stdio: 'pipe' });
     execSync('node scripts/sync-codex-skills.mjs --check', { cwd: targetDir, stdio: 'pipe' });
-    success('Codex CLI pronto — skills locais verificadas ($companion, $ops, etc.)');
+    success('Codex CLI pronto — skills locais verificadas ($companion, $consultor, etc.)');
   } catch (e) {
     warn('Sync de skills do Codex falhou — rode "npx auroq-os sync-codex" para diagnosticar');
     // Sem o motivo, o suporte so via o efeito ("Codex Companion faltando") e nunca a causa.
@@ -2219,8 +2220,7 @@ ${DIM}  Suas customizacoes (sobrevivem a todo update):${RESET}
     ${CYAN}.claude/settings.local.json${RESET}        ${DIM}— suas configuracoes locais${RESET}
 
 ${DIM}  Agentes core disponiveis:${RESET}
-    ${PURPLE}/auroq-companion${RESET}        ${DIM}— Chefe da sua equipe: fale com ele, ele aciona o resto${RESET}
-    ${PURPLE}/AuroqOS:agents:ops${RESET}     ${DIM}— O tecnico: instala, atualiza, conserta e conecta${RESET}
+    ${PURPLE}/auroq-companion${RESET}        ${DIM}— Chefe da sua equipe: fale com ele, ele aciona o resto e cuida do tecnico${RESET}
     ${PURPLE}/auroq-organizer${RESET}        ${DIM}— Organizacao e backup${RESET}
 
 ${DIM}  Meta Squads (criadores de agentes; o Companion chama quando precisa):${RESET}
@@ -2391,7 +2391,7 @@ ${DIM}  Uma vez so, nesta maquina:${RESET}
 
     ${CYAN}cd ${destName}${RESET}
     ${CYAN}claude${RESET} ${DIM}ou${RESET} ${CYAN}codex${RESET}
-    ${CYAN}/AuroqOS:agents:ops${RESET}
+    ${CYAN}/auroq-companion${RESET}
     ${CYAN}*conectar-cofre${RESET}   ${DIM}— reconectar o cofre de senhas (1Password ou Infisical gratis; ele pergunta qual)${RESET}
     ${DIM}(dono do negocio: se o sistema pedir login em algum momento, ${RESET}${CYAN}npx auroq-os login${RESET}${DIM})${RESET}
 
@@ -2417,7 +2417,7 @@ const command = process.argv[2];
 if (['init', 'install', 'update'].includes(command)) {
   error('Comando aposentado. Nada foi instalado ou alterado.');
   error('Primeira instalacao: https://arcane.arka.education/auroq');
-  error('No negocio existente, peca ao Ops, no Claude Code ou no Codex: "atualiza o sistema". Conteudo chega pelo MCP.');
+  error('No negocio existente, peca ao Companion, no Claude Code ou no Codex: "atualiza o sistema". Conteudo chega pelo MCP.');
   error(`Diagnostico: npx -y auroq-os@${PKG_VERSION} doctor. Reserva no terminal: npx -y auroq-os@${PKG_VERSION} manutencao.`);
   process.exitCode = 1;
 } else if (command === 'instalar' || command === 'manutencao') {
@@ -2552,7 +2552,7 @@ if (['init', 'install', 'update'].includes(command)) {
   try {
     execSync('node scripts/sync-codex-skills.mjs --clean', { cwd: process.cwd(), stdio: 'inherit' });
     execSync('node scripts/sync-codex-skills.mjs --check', { cwd: process.cwd(), stdio: 'inherit' });
-    success('Skills locais do Codex atualizadas e verificadas. Use $companion, $ops, $consultor, ...');
+    success('Skills locais do Codex atualizadas e verificadas. Use $companion, $consultor, ...');
   } catch (err) {
     error(`Falha ao sincronizar skills do Codex: ${err.message}`);
     process.exit(1);
@@ -2567,13 +2567,13 @@ if (['init', 'install', 'update'].includes(command)) {
   log(`  ${CYAN}logout${RESET}   Encerrar sessao local`);
   log(`  ${CYAN}whoami${RESET}   Mostrar usuario autenticado`);
   log(`  ${CYAN}check-access${RESET}  Validar acesso ativo (online; exit 0=ativo, 1=bloqueado)`);
-  log(`  ${CYAN}manutencao${RESET} Atualizar o motor e a conexao MCP (caminho normal: peca ao Ops "atualiza o sistema")`);
+  log(`  ${CYAN}manutencao${RESET} Atualizar o motor e a conexao MCP (caminho normal: peca ao Companion "atualiza o sistema")`);
   log(`  ${CYAN}doctor${RESET}   Diagnostico: arquivos, Node, MCP arcane, login e servidor`);
   log(`  ${CYAN}register-mcp${RESET}  Reescrever o registro do conteudo ao vivo (MCP arcane) no projeto`);
   log(`  ${CYAN}sync-codex${RESET}  Gerar e verificar as skills locais do Codex CLI ($nome)`);
   log(`  ${CYAN}historico${RESET}  Estado da captura do trabalho (prevista nos Termos de Uso; desliga em Minha Conta)`);
   log(`  ${CYAN}conectar-cofre${RESET}  Escolher e conectar o cofre de senhas: 1Password (pago, recomendado) ou Infisical (gratis)`);
-  log(`  ${CYAN}conectar-1password${RESET}  Conectar o 1Password (cria o cofre e a chave sozinho; voce so aprova uma vez no app)`);
+  log(`  ${CYAN}conectar-1password${RESET}  Conectar o 1Password (cria o cofre e a chave sozinho; voce so aprova uma vez no app; --instalar-app instala o app)`);
   log(`  ${CYAN}segredo${RESET}  Ler, gravar, listar ou apagar uma credencial no cofre do aluno (vale para 1Password e Infisical)`);
   log('');
   log(`${DIM}Primeira instalacao: https://arcane.arka.education/auroq${RESET}`);

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.2 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.5 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.2 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.5 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.2 "$@"
+    npx -y auroq-os@2.8.5 "$@"
   else
-    npx -y auroq-os@2.8.2 "$@" < /dev/tty
+    npx -y auroq-os@2.8.5 "$@" < /dev/tty
   fi
 }
 

package/lib/cofre.js

@@ -50,9 +50,11 @@ const ESCOLHA_MSG = 'Quer o 1Password (uns 3 dolares por mes, confira o preco na
 
 // Codigos do comando `segredo` (stderr: AUROQ_ERRO codigo=<c> mensagem="...").
 // `uso` = uso errado da linha de comando (ref faltando, valor em argumento, opcao desconhecida).
+// `op-nao-achado` = Windows: o programa `op` do 1Password nao foi achado nesta janela nem depois de recompor o PATH.
+// Sai 1 (erro geral, como `credencial-indisponivel`), NAO 4: com 4 o agente roda a rota A de novo e cai no laco.
 const SEGREDO_CODIGOS = ['nome-invalido', 'cofre-nao-configurado', 'nao-encontrado', 'sem-valor', 'ja-existe-confirmar',
-  'credencial-invalida', 'credencial-indisponivel', 'sem-permissao', 'rede', 'limite', 'bloqueada', 'falha', 'uso'];
-// Saida: 0 ok, 1 erro geral, 2 uso errado, 3 nao encontrado, 4 cofre nao configurado.
+  'credencial-invalida', 'credencial-indisponivel', 'op-nao-achado', 'sem-permissao', 'rede', 'limite', 'bloqueada', 'falha', 'uso'];
+// Saida: 0 ok, 1 erro geral (inclui op-nao-achado), 2 uso errado, 3 nao encontrado, 4 cofre nao configurado.
 const SEGREDO_EXIT = Object.freeze({ ok: 0, erro: 1, uso: 2, 'nao-encontrado': 3, 'cofre-nao-configurado': 4 });
 const CODIGOS_DE_USO = new Set(['uso', 'nome-invalido', 'sem-valor', 'ja-existe-confirmar']);
 
@@ -81,6 +83,11 @@ function envOf(d) {
   return (d && d.env) || process.env;
 }
 
+/** Windows? (`d.platform` troca nos testes.) */
+function ehWindows(d) {
+  return ((d && d.platform) || process.platform) === 'win32';
+}
+
 function nowOf(d) {
   return d && typeof d.now === 'function' ? d.now() : Date.now();
 }
@@ -387,6 +394,10 @@ function opReference(ref) {
 
 // ─── Mensagens por codigo ────────────────────────────────
 
+// Windows, `op` fora do PATH desta janela: primeiro fechar e abrir o programa (o PATH novo so chega a processos novos);
+// a rota A so se isso nao resolver (rodar a rota A de novo logo de cara e o laco que o teste real viveu).
+const MSG_OP_NAO_ACHADO = 'O programa do 1Password (op) nao foi achado nesta janela. Se ele foi instalado agora ha pouco, feche e abra o programa (Claude Code, Codex ou o app) e tente de novo. Se continuar, rode UMA vez: npx auroq-os conectar-cofre --cofre 1password --agente (ele confere o programa e instala se faltar); se ele disser ja-conectado e isto voltar, peca ajuda ao Arcano com este codigo: op-nao-achado.';
+
 function messageFor(codigo, tipo, detalhe = '') {
   const nome = NOME_TIPO[tipo] || 'cofre';
   switch (codigo) {
@@ -402,6 +413,8 @@ function messageFor(codigo, tipo, detalhe = '') {
     }
     case 'credencial-indisponivel':
       return `Nao consegui usar a chave deste computador no ${nome} agora. Tente de novo em alguns minutos.`;
+    case 'op-nao-achado':
+      return MSG_OP_NAO_ACHADO;
     case 'sem-permissao':
       return `A chave do agente nao tem permissao para isso no ${nome}.`;
     case 'rede':
@@ -430,7 +443,9 @@ const OP_PERMISSION_RE = /(forbidden|permission|not allowed|insufficient|denied|
 function classifyOp(d, r, secrets = []) {
   const o = mod(d, 'onepassword');
   const stderr = String((r && r.stderr) || '');
-  if (r && r.missing) return { codigo: 'cofre-nao-configurado', detalhe: '' };
+  // sem o `op`: no Windows (ja tentou recompor o PATH) e "nao achei o programa", que rodar a rota A de novo NAO resolve;
+  // fora dele segue como sempre foi
+  if (r && r.missing) return { codigo: ehWindows(d) ? 'op-nao-achado' : 'cofre-nao-configurado', detalhe: '' };
   if (OP_NOT_VAULT_RE.test(stderr)) return { codigo: 'cofre-nao-configurado', detalhe: '' };
   if (OP_AMBIGUOUS_RE.test(stderr)) return { codigo: 'falha', detalhe: `Tem mais de um item com esse nome no cofre ${VAULT_NAME}; apague ou renomeie o repetido.` };
   if (OP_NOT_FOUND_RE.test(stderr)) return { codigo: 'nao-encontrado', detalhe: '' };
@@ -472,24 +487,52 @@ function findField(fields, campo) {
 function makeOpBackend(d) {
   const tipo = '1password';
 
-  async function token() {
+  const validToken = (t) => {
+    const o = mod(d, 'onepassword');
+    return t && o.isValidToken(String(t).trim()) ? String(t).trim() : null;
+  };
+  const fromEnv = () => validToken(envOf(d)[mod(d, 'onepassword').TOKEN_VAR]);
+  async function fromDisk() {
     const o = mod(d, 'onepassword');
-    const valid = (t) => (t && o.isValidToken(String(t).trim()) ? String(t).trim() : null);
-    const fromEnv = valid(envOf(d)[o.TOKEN_VAR]);
-    if (fromEnv) return fromEnv;
-    try { return valid(await (d.readOpToken ? d.readOpToken() : o.readPersistedToken())); } catch { return null; }
+    try { return validToken(await (d.readOpToken ? d.readOpToken() : o.readPersistedToken())); } catch { return null; }
+  }
+  async function token() {
+    return fromEnv() || fromDisk();
+  }
+
+  // Windows: o `op` instalado DEPOIS de o programa-pai abrir (winget so muda o PATH no registro) nao esta no PATH deste
+  // processo: o spawn da ENOENT. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
+  // comando de novo; chamadas em paralelo esperam a mesma recomposicao. Devolve false se nao ha como recompor.
+  let recomposicao = null;
+  function recomporPathUmaVez() {
+    if (!recomposicao) {
+      recomposicao = (async () => {
+        const o = mod(d, 'onepassword');
+        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : o.refreshWindowsPath;
+        if (typeof recompor !== 'function') return false;
+        try { await recompor(); } catch { /* melhor esforco: o comando decide se achou */ }
+        return true;
+      })();
+    }
+    return recomposicao;
   }
 
   async function call(tk, args, input = '') {
     const o = mod(d, 'onepassword');
     const run = d.op || o.runOp;
-    // `isolate`: o agente nunca pode cair na janela da digital do app; vale so a chave
-    const env = o.opEnv(String(tk).trim(), { isolate: true });
-    // a chave do Infisical (ID e segredo) nao tem nada a ver com o `op`: nao vai para o ambiente dele
-    for (const k of Object.keys(env)) {
-      if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
-    }
-    return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+    // o ambiente e montado a cada tentativa: o PATH recomposto vale so para quem copia process.env DEPOIS
+    const tentar = () => {
+      // `isolate`: o agente nunca pode cair na janela da digital do app; vale so a chave
+      const env = o.opEnv(String(tk).trim(), { isolate: true });
+      // a chave do Infisical (ID e segredo) nao tem nada a ver com o `op`: nao vai para o ambiente dele
+      for (const k of Object.keys(env)) {
+        if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
+      }
+      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+    };
+    let r = await tentar();
+    if (r && r.missing && ehWindows(d) && (await recomporPathUmaVez())) r = await tentar();
+    return r;
   }
 
   const semChave = () => failure('cofre-nao-configurado', tipo);
@@ -501,12 +544,34 @@ function makeOpBackend(d) {
   });
 
   async function run(args, input, secrets) {
-    const tk = await token();
+    let tk = await token();
     if (!tk) return { erro: semChave() };
-    const r = await call(tk, args, input);
+    let r = await call(tk, args, input);
+    let c = r.ok ? null : classifyOp(d, r, secrets);
+    // A variavel do programa pode estar velha: janela aberta com uma chave que depois foi revogada e trocada (a
+    // nova esta gravada no computador). Chave RECUSADA vinda da variavel => tenta a gravada, se for outra. So esta
+    // recusa clara conta; rede, limite ou o que for nao muda de chave.
+    if (c && c.codigo === 'credencial-invalida' && tk === fromEnv()) {
+      const gravada = await fromDisk();
+      if (gravada && gravada !== tk) {
+        const r2 = await call(gravada, args, input);
+        tk = gravada;
+        r = r2;
+        c = r.ok ? null : classifyOp(d, r, secrets);
+      }
+    }
     if (r.ok) return { r, tk };
-    const c = classifyOp(d, r, secrets);
-    return { erro: failure(c.codigo, tipo, c.detalhe) };
+    const erro = failure(c.codigo, tipo, c.detalhe);
+    // Campos extras so para quem precisa saber a causa (a migracao); nenhum entra na mensagem do `segredo`.
+    // `semOp`: o programa nem rodou. `diag`: o que o `op` disse (stderr, uma linha, sem a chave nem o valor gravado:
+    // oneLine tira ops_..., o token e os segredos que esta execucao conhece). Nunca o stdout.
+    if (r.missing) {
+      erro.semOp = true;
+    } else {
+      const diag = oneLine(r.stderr, 160, [...(secrets || []), tk, tk.replace(/^ops_/, '')]);
+      if (diag) erro.diag = diag;
+    }
+    return { erro };
   }
 
   const backend = {
@@ -1281,6 +1346,24 @@ function migracao(status, codigo, mensagem, n = {}) {
   return { status, codigo, movidos: n.movidos || 0, iguais: n.iguais || 0, falhas: n.falhas || 0, mensagem };
 }
 
+// Mensagens do 'conectar-1password-primeiro': cada uma diz o que de fato aconteceu. Com o complemento do `op` (diagDoOp)
+// ainda cabem nos 400 caracteres da linha AUROQ_RESULTADO (o texto corta ali).
+const ROTA_A = 'npx auroq-os conectar-cofre --cofre 1password --agente';
+// A chave NAO foi achada (nem na variavel do programa nem gravada no computador).
+const MSG_MIGRAR_SEM_CHAVE = `Nao achei a chave do 1Password nesta janela (nem na variavel do programa nem no que o computador tem gravado). Rode: ${ROTA_A} (se a chave ja estiver gravada ele responde ja-conectado na hora). Se responder ja-conectado e esta mensagem voltar, feche e abra o programa e rode a migracao de novo.`;
+// A chave foi achada e o 1Password disse que ela nao vale.
+const MSG_MIGRAR_CHAVE_RECUSADA = `O 1Password recusou a chave gravada neste computador (revogada ou invalida). Rode: ${ROTA_A} (ele cria outra) e depois a migracao de novo.`;
+// A chave foi achada e o `op` rodou, mas o cofre Claude nao aparece para ela (ou ela nao tem permissao nele).
+const MSG_MIGRAR_COFRE_INVISIVEL = `A chave do 1Password foi achada, mas nao enxerga o cofre ${VAULT_NAME}. Rode: ${ROTA_A}. Depois rode a migracao de novo.`;
+// A chave foi achada, mas o programa `op` nao existe aqui (fora do Windows; no Windows e o codigo op-nao-achado).
+const MSG_MIGRAR_SEM_OP = `A chave do 1Password foi achada, mas o programa do 1Password (op) nao foi achado neste computador. Rode: ${ROTA_A}. Depois rode a migracao de novo.`;
+
+/** " (O 1Password disse: ...)" com a linha que o `op` devolveu (guardada na falha); '' se nao ha. Nunca traz a chave nem o valor. */
+function diagDoOp(falha) {
+  const linha = falha && typeof falha.diag === 'string' ? falha.diag.trim() : '';
+  return linha ? ` (O 1Password disse: ${linha})` : '';
+}
+
 /**
  * Leva as chaves do Infisical para o cofre Claude do 1Password e, so se TUDO foi, troca o cofre ativo (e a UNICA
  * coisa que troca para o 1Password quem ja usa o Infisical: conectar o 1Password sozinho nao troca). Nao apaga
@@ -1304,13 +1387,19 @@ async function migrar(options = {}, d = {}) {
     return migracao('erro', 'origem-indisponivel', 'O Infisical nao esta conectado neste computador, entao nao tenho de onde levar as chaves.');
   }
   if (!(await destino.pronto())) {
-    return migracao('aguardando', 'conectar-1password-primeiro', 'Falta conectar o 1Password neste computador. Rode: npx auroq-os conectar-cofre --cofre 1password --agente. Depois rode a migracao de novo.');
+    return migracao('aguardando', 'conectar-1password-primeiro', MSG_MIGRAR_SEM_CHAVE);
   }
   // o cofre Claude precisa estar visivel para a chave do 1Password
   const vis = await destino.listar();
   if (!vis.ok) {
-    if (['cofre-nao-configurado', 'credencial-invalida', 'sem-permissao'].includes(vis.codigo)) {
-      return migracao('aguardando', 'conectar-1password-primeiro', `A chave do 1Password deste computador nao enxerga o cofre ${VAULT_NAME}. Rode: npx auroq-os conectar-cofre --cofre 1password --agente. Depois rode a migracao de novo.`);
+    // programa `op` nao achado (Windows): rodar a rota A de novo nao resolve (e foi o laco de "conectar primeiro")
+    if (vis.codigo === 'op-nao-achado') return migracao('aguardando', 'op-nao-achado', vis.mensagem);
+    if (vis.codigo === 'credencial-invalida') {
+      return migracao('aguardando', 'conectar-1password-primeiro', `${MSG_MIGRAR_CHAVE_RECUSADA}${diagDoOp(vis)}`);
+    }
+    if (vis.semOp) return migracao('aguardando', 'conectar-1password-primeiro', MSG_MIGRAR_SEM_OP); // fora do Windows: a rota A confere o programa
+    if (['cofre-nao-configurado', 'sem-permissao'].includes(vis.codigo)) {
+      return migracao('aguardando', 'conectar-1password-primeiro', `${MSG_MIGRAR_COFRE_INVISIVEL}${diagDoOp(vis)}`);
     }
     return migracao('erro', 'falha', `Nao consegui olhar o cofre ${VAULT_NAME} do 1Password agora (${vis.codigo}). Tente de novo em alguns minutos.`);
   }