auroq-os 2.8.2 → 2.8.5

package/lib/onepassword.js

@@ -478,6 +478,7 @@ const BACKUP_TAG = 'auroq-os';
 // Contas pessoais (Individual e Families) entram em my.1password.<regiao>; Teams e Business em <time>.1password.*.
 const PERSONAL_ACCOUNT_URL = /^my\.1password\.(com|eu|ca)$/;
 const LOCK_STALE_MS = 2 * 60 * 60 * 1000;
+const APPROVAL_TIMEOUT_MS = 180000; // o aluno tem ate 3 min para aprovar a janela da digital
 const MAX_WAIT_SECONDS = 30 * 60; // espera da chave do app nunca passa disso (a trava de instancia vale 2 h)
 // "Aguardando" (falta uma acao do aluno) e uma ETAPA do fluxo, nao falha: sai com 0 e a linha
 // AUROQ_RESULTADO diz o que falta. Sair com erro faria a telemetria do instalador registrar
@@ -642,13 +643,14 @@ function pickAccount(accounts, wanted) {
 /** Argumentos de `auroq-os conectar-1password [...]`. */
 function parseArgs(argv) {
   const args = Array.isArray(argv) ? argv : [];
-  const opts = { manual: false, rotacionar: false, agente: false, estado: false, conta: null, esperar: null };
+  const opts = { manual: false, rotacionar: false, agente: false, estado: false, instalarApp: false, conta: null, esperar: null };
   for (let i = 0; i < args.length; i++) {
     const a = args[i];
     if (a === '--manual') opts.manual = true;
     else if (a === '--rotacionar') opts.rotacionar = true;
     else if (a === '--agente') opts.agente = true;
     else if (a === '--estado') opts.estado = true;
+    else if (a === '--instalar-app') opts.instalarApp = true;
     else if (a === '--conta' && args[i + 1] && !args[i + 1].startsWith('--')) opts.conta = args[++i];
     else if (a.startsWith('--conta=')) opts.conta = a.slice('--conta='.length) || null;
     else if (a === '--esperar' && args[i + 1] && !args[i + 1].startsWith('--')) opts.esperar = Number(args[++i]);
@@ -664,8 +666,8 @@ function enableIntegrationSteps(platform) {
     ? 'Abra as Configuracoes: no menu de cima do Mac, 1Password > Configuracoes (ou Cmd + virgula). Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.'
     : 'Abra as Configuracoes: clique no nome da sua conta (canto de cima, a esquerda) > Configuracoes. Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.';
   const digital = platform === 'darwin'
-    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o app pede a senha do Mac.'
-    : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem isso o app pede a senha.';
+    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o Mac pede a senha do seu usuario do Mac.'
+    : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem o Windows Hello ligado a janela de aprovacao pode nem aparecer.';
   return [
     'Abra o app do 1Password, entre na sua conta e deixe o app aberto.',
     abrir,
@@ -674,20 +676,42 @@ function enableIntegrationSteps(platform) {
   ];
 }
 
+/**
+ * Receita curta para ligar a digital (Windows Hello / Touch ID) quando nao esta ligada. A documentacao da integracao
+ * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele vale a senha do usuario do Mac). A
+ * senha da conta 1Password NAO faz esse papel. O codigo nao liga nada disso por ele.
+ */
+function biometricSteps(platform) {
+  if (platform === 'darwin') {
+    return [
+      'No Mac, cadastre a digital: Ajustes do Sistema > Touch ID e Senha > Adicionar digital.',
+      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Touch ID".',
+      'O Touch ID e opcional: se o seu Mac nao tem, o Mac pede a senha do seu usuario do Mac na janela de aprovacao.',
+    ];
+  }
+  return [
+    'No Windows, ligue o Windows Hello: Configuracoes do Windows > Contas > Opcoes de entrada, e configure o PIN, a digital ou o reconhecimento facial (o que o seu computador tiver).',
+    'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Windows Hello".',
+    'No Windows o 1Password pede o Windows Hello ligado (PIN, digital ou rosto: serve o que o computador tiver); sem ele a janela de aprovacao pode nem aparecer.',
+  ];
+}
+
 // ─── Dependencias reais (trocaveis nos testes) ───────────
 
 /**
  * Roda o `op`. Nunca lanca. A saida pode ter segredo (token): quem chama decide o que mostrar.
  * O token NUNCA vai em `args`: so por `env` ou por `input` (stdin).
  */
-function runOp(args, { env, input, timeoutMs = 120000 } = {}) {
+function runOp(args, { env, input, timeoutMs = 120000, noStdin = false } = {}) {
   // Sem texto para mandar e com terminal de verdade: o `op` herda o terminal, como se o aluno
   // tivesse digitado (a aprovacao do app e amarrada ao terminal; com pipe nao ha terminal).
-  const useTerminal = input === undefined && Boolean(process.stdin.isTTY);
+  // `noStdin`: o `op` recusa `--template` se o stdin for um pipe, ate vazio ("You can't use both piping and the
+  // --template flag"; o `input: ''` do Node vira pipe), entao esse comando roda com o stdin desligado (NUL/dev/null).
+  const useTerminal = input === undefined && !noStdin && Boolean(process.stdin.isTTY);
   const r = spawnSync('op', args, {
     encoding: 'utf8',
     env: env || opEnv(),
-    ...(useTerminal ? { stdio: ['inherit', 'pipe', 'pipe'] } : { input: input === undefined ? '' : input }),
+    ...(noStdin ? { stdio: ['ignore', 'pipe', 'pipe'] } : useTerminal ? { stdio: ['inherit', 'pipe', 'pipe'] } : { input: input === undefined ? '' : input }),
     timeout: timeoutMs,
     maxBuffer: 16 * 1024 * 1024,
     windowsHide: true,
@@ -767,6 +791,181 @@ function refreshWindowsPath() {
   if (parts.length) process.env.PATH = [...parts, process.env.PATH || ''].join(';');
 }
 
+// ─── O app do 1Password (instalacao) ─────────────────────
+
+const WINGET_APP_ID = 'AgileBits.1Password';
+// Instalador oficial (reserva do winget, que falhou no teste real de 27/10 com 0x80070002 depois de conferir o hash).
+const APP_INSTALLER_URL = 'https://downloads.1password.com/win/1PasswordSetup-latest.exe';
+// Assinante do instalador oficial: "Valid | CN=Agilebits, O=Agilebits, L=Toronto, S=Ontario, C=CA".
+const APP_SIGNER_RE = /(?:^|,\s*)CN=Agilebits(?:,|$)/i;
+
+/** O app do 1Password esta neste computador? true | false | null (sistema sem instalacao automatica: nao sabe). */
+function appInstalled(platform = process.platform, env = process.env) {
+  // AUROQ_APP_1PASSWORD=instalado|ausente: so para os testes de processo real, que rodam em Mac/Windows de verdade
+  // (onde o app nao esta) e nao podem depender de o app existir na maquina.
+  const forcado = String(env.AUROQ_APP_1PASSWORD || '').toLowerCase();
+  if (forcado === 'instalado') return true;
+  if (forcado === 'ausente') return false;
+  if (platform === 'darwin') {
+    return ['/Applications/1Password.app', path.join(os.homedir(), 'Applications', '1Password.app')].some((p) => fs.existsSync(p));
+  }
+  if (platform === 'win32') {
+    // Instalador do aluno: %LOCALAPPDATA%\1Password\app\8\1Password.exe; instalacao para a maquina: Arquivos de Programas.
+    const roots = [env.LOCALAPPDATA, env.ProgramFiles, env['ProgramFiles(x86)']].filter(Boolean);
+    return roots.some((root) => {
+      const appDir = path.join(root, '1Password', 'app');
+      try {
+        return fs.readdirSync(appDir).some((v) => fs.existsSync(path.join(appDir, v, '1Password.exe')));
+      } catch {
+        return false;
+      }
+    });
+  }
+  return null;
+}
+
+/**
+ * Confere a assinatura Authenticode do instalador ANTES de rodar: precisa ser valida e do publicador "Agilebits".
+ * O caminho do arquivo vai por variavel de ambiente (nunca dentro do texto do comando). Nao lanca.
+ */
+function checkInstallerSignature(file, run = spawnSync) {
+  const script = "$s = Get-AuthenticodeSignature -LiteralPath $env:AUROQ_INSTALADOR; $a = ''; if ($s.SignerCertificate) { $a = $s.SignerCertificate.Subject }; Write-Output ($s.Status.ToString() + '|' + $a)";
+  let r;
+  try {
+    r = run('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], {
+      encoding: 'utf8', windowsHide: true, timeout: 120000, env: { ...opEnv(), AUROQ_INSTALADOR: file },
+    });
+  } catch (e) {
+    return { ok: false, motivo: `nao consegui conferir a assinatura (${oneLine(e && e.message, 80)})` };
+  }
+  if (!r || r.error || r.status !== 0) return { ok: false, motivo: 'nao consegui conferir a assinatura' };
+  const line = String(r.stdout || '').trim().split(/\r?\n/).pop() || '';
+  const cut = line.indexOf('|');
+  const status = cut === -1 ? line : line.slice(0, cut);
+  const subject = cut === -1 ? '' : line.slice(cut + 1);
+  if (status !== 'Valid') return { ok: false, motivo: `a assinatura do arquivo nao e valida (${oneLine(status, 40) || 'sem resposta'})` };
+  if (!APP_SIGNER_RE.test(subject)) return { ok: false, motivo: 'o arquivo e assinado por outro publicador, nao pelo 1Password' };
+  return { ok: true, assunto: oneLine(subject, 120) };
+}
+
+/** Baixa um arquivo grande direto para o disco (https so). `curl` primeiro (respeita o proxy do sistema); reserva: fetch do Node. */
+async function downloadToFile(url, dest) {
+  const curl = process.platform === 'win32' ? 'curl.exe' : 'curl';
+  const r = spawnSync(curl, ['-fL', '--proto', '=https', '--proto-redir', '=https', '--silent', '--show-error', '--connect-timeout', '30', '--max-time', '900', '-o', dest, url], {
+    encoding: 'utf8', windowsHide: true, timeout: 16 * 60 * 1000, stdio: ['ignore', 'ignore', 'pipe'], env: opEnv(),
+  });
+  if (!r.error && r.status === 0 && fs.existsSync(dest)) return;
+  if (typeof fetch !== 'function') throw new Error(`download falhou (${r.error ? r.error.code || r.error.message : `curl saiu com ${r.status}`})`);
+  try { fs.rmSync(dest, { force: true }); } catch { /* recomeca */ }
+  const res = await fetch(url, { redirect: 'follow', headers: { 'User-Agent': 'auroq-os' } });
+  if (!res.ok || !res.body) throw new Error(`download falhou (HTTP ${res.status})`);
+  const { Readable } = require('stream');
+  const { pipeline } = require('stream/promises');
+  await pipeline(Readable.fromWeb(res.body), fs.createWriteStream(dest, { flags: 'w' }));
+}
+
+/** Roda um programa sem terminal. Nunca lanca. O ambiente sai sem a chave do agente (opEnv). */
+function runProgram(cmd, args, { timeoutMs = 15 * 60 * 1000 } = {}) {
+  const r = spawnSync(cmd, args, { encoding: 'utf8', env: opEnv(), timeout: timeoutMs, maxBuffer: 16 * 1024 * 1024, windowsHide: true, stdio: ['ignore', 'pipe', 'pipe'] });
+  return {
+    ok: !r.error && r.status === 0,
+    status: r.status,
+    stdout: r.stdout || '',
+    stderr: r.stderr || '',
+    timedOut: !!(r.error && r.error.code === 'ETIMEDOUT'),
+    missing: !!(r.error && r.error.code === 'ENOENT'),
+  };
+}
+
+function makeAppDeps() {
+  return {
+    platform: process.platform,
+    lock: makeLock(),
+    hasCommand,
+    appInstalled: () => appInstalled(),
+    refreshPath: refreshWindowsPath,
+    run: runProgram,
+    download: downloadToFile,
+    checkSignature: checkInstallerSignature,
+    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-1p-app-')),
+    out: { log, step, ok, warn, err },
+  };
+}
+
+const APP_NEXT_STEPS = 'Agora abra o app do 1Password, entre na sua conta (ou crie uma: guarde a Secret Key e o Kit de Emergencia que ele oferece) e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor. Depois rode o conectar-1password de novo.';
+
+/**
+ * Instala o app do 1Password (`conectar-1password --instalar-app`). Windows: winget e, se ele falhar, o instalador
+ * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask).
+ * O app e um programa novo no computador do aluno: quem chama pede o OK dele antes.
+ */
+async function installApp(deps = {}) {
+  const d = { ...makeAppDeps(), ...deps };
+  const out = d.out;
+  if (d.platform !== 'darwin' && d.platform !== 'win32') {
+    return fim('erro', 'app-nao-instalou', 'A instalacao automatica do app so existe no macOS e no Windows. Baixe em https://1password.com/downloads');
+  }
+  if (!d.lock.acquire()) {
+    return fim('aguardando', 'outra-execucao', 'Ja tem outra execucao do conectar-1password em andamento neste computador. Espere ela terminar e rode de novo; nao instalei nada em duplicidade.');
+  }
+  try {
+    out.step('Verificando o app do 1Password...');
+    if (d.appInstalled()) {
+      out.ok('O app do 1Password ja esta instalado.');
+      return fim('aguardando', 'app-instalado', `O app do 1Password ja esta instalado neste computador. ${APP_NEXT_STEPS}`);
+    }
+    const falhou = (msg) => fim('erro', 'app-nao-instalou', `${msg} Instale a mao em https://1password.com/downloads e rode o conectar-1password de novo.`);
+    const pronto = (via) => {
+      d.refreshPath();
+      out.ok(`App do 1Password instalado (${via}).`);
+      return fim('aguardando', 'app-instalado', `App do 1Password instalado. ${APP_NEXT_STEPS}`);
+    };
+
+    if (d.platform === 'darwin') {
+      if (!d.hasCommand('brew')) return falhou('Homebrew nao encontrado, entao nao consigo instalar o app daqui.');
+      out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
+      const r = d.run('brew', ['install', '--cask', '1password']);
+      if (r.ok || d.appInstalled()) return pronto('Homebrew');
+      return falhou(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+    }
+
+    // Windows 1: winget (rapido, mas falhou no teste real com 0x80070002 mesmo depois de conferir o hash)
+    if (d.hasCommand('winget')) {
+      out.log(`${DIM}Instalando via winget (pode levar um minuto)...${RESET}`);
+      const w = d.run('winget', ['install', '--id', WINGET_APP_ID, '-e', '--source', 'winget', '--accept-source-agreements', '--accept-package-agreements', '--silent']);
+      d.refreshPath();
+      if (w.ok && d.appInstalled()) return pronto('winget');
+      out.warn(`O winget nao conseguiu instalar o app (${w.timedOut ? 'demorou demais' : `codigo de saida ${w.status === null || w.status === undefined ? 'desconhecido' : w.status}`}). Vou usar o instalador oficial do 1Password.`);
+      if (d.appInstalled()) return pronto('winget');
+    } else {
+      out.warn('O winget nao esta disponivel. Vou usar o instalador oficial do 1Password.');
+    }
+
+    // Windows 2: instalador oficial, com a assinatura conferida ANTES de rodar
+    let dir = null;
+    try {
+      dir = d.mkdtemp();
+      const file = path.join(dir, '1PasswordSetup.exe');
+      out.log(`${DIM}Baixando o instalador oficial (${APP_INSTALLER_URL})...${RESET}`);
+      try {
+        await d.download(APP_INSTALLER_URL, file);
+      } catch (e) {
+        return falhou(`Nao consegui baixar o instalador oficial (${oneLine(e && e.message, 120)}).`);
+      }
+      const sig = d.checkSignature(file);
+      if (!sig.ok) return falhou(`Nao executei o instalador baixado: ${sig.motivo}.`);
+      out.ok(`Assinatura conferida: ${sig.assunto || 'Agilebits'}`);
+      const r = d.run(file, ['--silent']);
+      if (!r.ok) return falhou(`O instalador oficial nao terminou bem (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+      return pronto('instalador oficial');
+    } finally {
+      if (dir) { try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ } }
+    }
+  } finally {
+    d.lock.release();
+  }
+}
+
 // Pasta do aluno fora do git, a mesma onde ficam as credenciais do Auroq (~/.arcane). Aqui vivem a trava de
 // instancia unica e o estado das etapas (nenhum segredo).
 function auroqDir() {
@@ -905,6 +1104,7 @@ function makeDefaultDeps() {
     platform: process.platform,
     openUrl,
     refreshPath: refreshWindowsPath,
+    appInstalled: () => appInstalled(),
     lock: makeLock(),
     state: { read: readState, write: writeState },
     envFileProblem,
@@ -1017,11 +1217,45 @@ function backupItemTemplate(token) {
 function saveBackup(d, account, token) {
   // Sem --vault: o `op` guarda no cofre pessoal da conta, que se chama Personal, Private ou Employee
   // conforme o plano (e pode vir traduzido), por isso nunca se usa o nome.
-  const r = d.op(
-    ['item', 'create', '-', '--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'],
-    { env: opEnv(), input: JSON.stringify(backupItemTemplate(token)) },
-  );
-  return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  const body = JSON.stringify(backupItemTemplate(token));
+  const common = ['--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'];
+  if (d.platform !== 'win32') {
+    const r = d.op(['item', 'create', '-', ...common], { env: opEnv(), input: body });
+    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  }
+  // Windows: o `op item create -` por pipe falha no PowerShell 5.1 ("invalid JSON in piped input", teste real de 27/10),
+  // entao o molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
+  // continua fora de argumento e de log; o arquivo e apagado em seguida, aconteca o que acontecer. O `op` roda com o
+  // stdin desligado (`noStdin`): com `--template` ele nao aceita nenhum pipe, nem vazio.
+  let tmp = null;
+  try {
+    tmp = writeTemplateFile(body);
+  } catch (e) {
+    return { ok: false, detalhe: `nao consegui preparar o arquivo temporario do molde (${oneLine(e && e.message, 120)})` };
+  }
+  try {
+    const r = d.op(['item', 'create', '--template', tmp.file, ...common], { env: opEnv(), noStdin: true });
+    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  } finally {
+    try { fs.rmSync(tmp.dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ }
+  }
+}
+
+/**
+ * Grava `content` num arquivo novo, dentro de uma pasta nova e de nome aleatorio na pasta temporaria do usuario
+ * (%TEMP% do perfil, que so ele, o SYSTEM e os administradores leem; o modo 0600 vale no Mac e no Linux e e ignorado no
+ * Windows). UTF-8 SEM BOM: o BOM faria o `op` recusar o JSON. Devolve { dir, file }; quem chama apaga a pasta.
+ */
+function writeTemplateFile(content) {
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-op-'));
+  const file = path.join(dir, 'molde.json');
+  try {
+    fs.writeFileSync(file, Buffer.from(content, 'utf8'), { flag: 'wx', mode: 0o600 });
+  } catch (e) {
+    try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* nada a fazer */ }
+    throw e;
+  }
+  return { dir, file };
 }
 
 /**
@@ -1084,12 +1318,57 @@ function showIntegrationHelp(d, out) {
   out.log('');
 }
 
-const APP_PRIORITY_MSG = 'O 1Password continua respondendo pelo app (pedindo digital) em vez de usar a chave. Sem isso o agente nao fica sem pedir digital. Nao criei nada novo; peca ajuda ao Arcano com este codigo: app-tem-prioridade.';
+/**
+ * Ajuda quando a conta aparece mas a aprovacao nao passou. Nao abre a tela do app (a chave provavelmente ja esta
+ * ligada): so lista o que conferir. `semSessao`: o `op` disse que nao ha sessao, entao tambem lembra da chave do app.
+ */
+function showApprovalHelp(d, out, semSessao) {
+  out.warn('O app do 1Password nao liberou o acesso ainda. Confira:');
+  const passos = ['Abra o app do 1Password e deixe-o desbloqueado (com a sua senha).'];
+  if (semSessao) passos.push('Em Configuracoes > Desenvolvedor, deixe marcado "Integrar com a CLI do 1Password" (Integrate with 1Password CLI).');
+  passos.push('Quando a janela da digital aparecer, aprove.');
+  passos.push(...biometricSteps(d.platform).map((s, i) => (i === 0 ? `Se a digital nunca aparece: ${s}` : s)));
+  passos.forEach((line, i) => out.log(`  ${i + 1}. ${line}`));
+  out.log('');
+}
+
+const APPROVAL_REFUSED_RE = /(dismiss|cancel|declin|denied|reject|refus)/i;
+
+/**
+ * Vale tentar o `op signin`? So quando o `op` disse que nao ha sessao. Janela da digital dispensada ou negada pelo
+ * aluno nao se repete sozinha (seriam mais janelas na cara dele), nem tempo esgotado.
+ */
+function needsSignin(r) {
+  if (!r || r.timedOut) return false;
+  if (APPROVAL_REFUSED_RE.test(String(r.stderr || ''))) return false;
+  return ['sem-sessao', 'sessao'].includes(classifyFailure(r));
+}
+
+/**
+ * Pede a aprovacao do app. O `op whoami` NAO serve: ele nao abre a janela da digital e, sem sessao aberta, responde na
+ * hora "account is not signed in" (teste real no Windows, 27/10). Quem pede a aprovacao e qualquer comando que precise
+ * de login; o exemplo da documentacao oficial da integracao com o app e o `op vault list` (so leitura). Segunda
+ * tentativa, so se a primeira voltar "sem sessao" (needsSignin): `op signin --account`. A sessao que o app abre pertence a este
+ * processo: os `op` seguintes sao filhos do mesmo node e a reaproveitam (e por isso a aprovacao NUNCA e feita num
+ * processo a parte).
+ */
+function requestApproval(d, account) {
+  const key = accountKey(account);
+  const approve = () => d.op(['vault', 'list', '--account', key, '--format', 'json'], { env: opEnv(), timeoutMs: APPROVAL_TIMEOUT_MS });
+  let r = approve();
+  if (!r.ok && needsSignin(r)) {
+    d.op(['signin', '--account', key], { env: opEnv(), timeoutMs: APPROVAL_TIMEOUT_MS }); // a saida nao interessa (e nunca e mostrada)
+    r = approve();
+  }
+  return r;
+}
+
+const APP_PRIORITY_MSG ='O 1Password continua respondendo pelo app (pedindo digital) em vez de usar a chave. Sem isso o agente nao fica sem pedir digital. Nao criei nada novo; peca ajuda ao Arcano com este codigo: app-tem-prioridade.';
 const NET_STRONG_RE = /(dial tcp|no such host|tls handshake|network is unreachable|no route to host|i\/o timeout)/i;
 
 // Erros que o aluno (ou o plano dele) resolve: a linha AUROQ_RESULTADO ja diz o que fazer. Saem com 1 mas a
 // telemetria do instalador nao os conta como instalacao quebrada.
-const STUDENT_ACTIONABLE = new Set(['sem-op', 'op-antigo', 'rede', 'conta-nao-encontrada', 'conta-ambigua', 'cofre-duplicado', 'sem-permissao', 'token-indisponivel', 'arquivo-ambiente']);
+const STUDENT_ACTIONABLE = new Set(['sem-op', 'op-antigo', 'rede', 'conta-nao-encontrada', 'conta-ambigua', 'cofre-duplicado', 'sem-permissao', 'token-indisponivel', 'arquivo-ambiente', 'app-nao-instalou']);
 
 function isStudentActionable(codigo) {
   return STUDENT_ACTIONABLE.has(codigo);
@@ -1203,6 +1482,11 @@ async function runConnect(opts, d, prog) {
   // 2. Sessao do aluno: o app do 1Password com a chave "Integrate with 1Password CLI" ligada
   out.step('Procurando a sua conta no app do 1Password...');
   let accounts = listAccounts(d);
+  if (!accounts.length && d.appInstalled() === false) {
+    // Sem app nao ha o que ligar: dizer "ligue a chave" mandaria o aluno procurar uma tela que nao existe (teste real de 27/10).
+    prog.reset('app');
+    return fim('aguardando', 'instalar-app', 'Nao achei o app do 1Password neste computador. Instale com: npx -y auroq-os@latest conectar-1password --instalar-app --agente (ou baixe em https://1password.com/downloads). Se ele ja esta instalado num lugar fora do comum, abra o app, entre na sua conta e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor; depois rode de novo.');
+  }
   if (!accounts.length) {
     showIntegrationHelp(d, out);
     if (waitSeconds > 0) {
@@ -1242,18 +1526,22 @@ async function runConnect(opts, d, prog) {
   out.ok(`Conta: ${accountLabel(account)}`);
 
   out.step('Pedindo sua aprovacao ao app do 1Password...');
-  out.log(`${BOLD}Vai abrir uma janela do 1Password pedindo a sua digital (Touch ID / Windows Hello) ou a senha. Aprove. Se ela aparecer mais de uma vez, e so aprovar de novo.${RESET}`);
-  const auth = d.op(['whoami', '--account', accountKey(account), '--format', 'json'], { env: opEnv(), timeoutMs: 180000 });
+  const digital = d.platform === 'win32' ? 'Windows Hello' : (d.platform === 'darwin' ? 'Touch ID' : 'Touch ID / Windows Hello');
+  out.log(`${BOLD}Vai abrir uma janela do 1Password pedindo a sua digital (${digital}) ou a senha. Aprove. Se ela aparecer mais de uma vez, e so aprovar de novo.${RESET}`);
+  const auth = requestApproval(d, account);
   if (!auth.ok) {
     const text = String(auth.stderr || '');
     if (NET_STRONG_RE.test(text)) return fim('erro', 'rede', `Sem conexao com o 1Password. ${oneLine(text)}`.trim());
-    if (!auth.timedOut && classifyFailure(auth) === 'sem-sessao') {
-      // Conta so adicionada na mao (`op account add`): aparece na lista mas sem sessao; falta a chave do app.
-      showIntegrationHelp(d, out);
-      return fim('aguardando', 'ligar-integracao', 'Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.');
-    }
+    // A conta JA apareceu na lista do app, entao a chave "Integrar com a CLI" nao e o que falta: nunca devolve
+    // 'ligar-integracao' aqui (o laco do teste real no Windows: o aluno ligava a chave, dizia "pronto" e ouvia de novo
+    // que faltava ligar). Falta a aprovacao no app, ou, so no caso da conta adicionada na mao (`op account add`), a chave.
+    const semSessao = !auth.timedOut && ['sem-sessao', 'sessao'].includes(classifyFailure(auth));
+    showApprovalHelp(d, out, semSessao);
     const detail = oneLine(text, 160);
-    return fim('aguardando', 'aprovar-no-app', `Nao consegui entrar na conta${auth.timedOut ? ': a janela da digital nao foi aprovada a tempo' : ''}. Confira se o app do 1Password esta aberto e desbloqueado, aprove a janela da digital e rode de novo.${detail ? ` (O 1Password disse: ${detail})` : ''}`);
+    const falta = semSessao
+      ? 'A conta aparece no app, mas ele nao liberou o acesso. Desbloqueie o app, confira "Integrar com a CLI" e aprove a janela (Windows: o Windows Hello precisa estar ligado). Rode de novo.'
+      : 'Abra e desbloqueie o app do 1Password e aprove a janela da digital (no Windows, o Windows Hello precisa estar ligado). Rode de novo.';
+    return fim('aguardando', 'aprovar-no-app', `Nao consegui entrar na conta${auth.timedOut ? ': a janela da digital nao foi aprovada a tempo' : ''}. ${falta}${detail ? ` (O 1Password disse: ${detail})` : ''}`);
   }
   prog.mark('aprovacao');
   out.ok('Aprovado');
@@ -1486,7 +1774,7 @@ function showState(st) {
 // ─── Entrada do comando ──────────────────────────────────
 
 /**
- * `auroq-os conectar-1password [--agente] [--conta X] [--rotacionar] [--esperar N] [--manual]`
+ * `auroq-os conectar-1password [--agente] [--conta X] [--rotacionar] [--esperar N] [--manual] [--instalar-app]`
  * Codigo de saida: 0 conectado OU falta uma acao do aluno (ligar a chave no app, escolher conta: a
  * linha AUROQ_RESULTADO diz qual), 1 erro.
  */
@@ -1503,7 +1791,7 @@ async function connect(options = {}) {
   if (!opts.agente) console.log(`\n${PURPLE}${BOLD}  Conectar 1Password — Auroq OS${RESET}`);
   let result;
   try {
-    result = await connectAutomatic(opts);
+    result = opts.instalarApp ? await installApp() : await connectAutomatic(opts);
   } catch (e) {
     // Excecao inesperada: o Ops sempre recebe a linha de resultado (e a mensagem nunca leva token).
     result = fim('erro', 'falha', `Falha inesperada: ${oneLine(e && e.message)}`);
@@ -1556,6 +1844,13 @@ module.exports = {
   shellKind,
   freshShellFor,
   clearClipboard,
+  requestApproval,
+  biometricSteps,
+  appInstalled,
+  installApp,
+  checkInstallerSignature,
+  writeTemplateFile,
+  APP_INSTALLER_URL,
   ETAPAS,
   makeLock,
   isPersonalAccount,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.2",
+  "version": "2.8.5",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "5279389b3f0227711bc930cf2b30f09672ac86e9c85b0fa9e8ca2005b97e3395"
+      "sha256": "dd74b039850ad9a109e644f60489b65745c85a86295c694c478e341026e00ad8"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -158,7 +158,7 @@
     },
     {
       "path": ".claude/commands/AuroqOS/agents/ops.md",
-      "sha256": "03442300808805fe99ac558b21fdc80b1bdffc034929bdd5d0526db6f7040547"
+      "sha256": "6c615d5d99781865b0256be9166837d851fdd5eafdf02a48b9c7c0ce5764c793"
     },
     {
       "path": ".claude/commands/auroq-companion.md",
@@ -188,6 +188,10 @@
       "path": ".claude/hooks/ahi/worker.cjs",
       "sha256": "3eabd293f3c9c6887f6850ca4be9ad7021d6659967f2f5eecadefb2bb78e9b85"
     },
+    {
+      "path": ".claude/hooks/auroq-ate-o-fim.cjs",
+      "sha256": "eafc89d69d18a7ff821f586715e703e3b8fd4c4c4a941000e0fca9cbe2bf98c7"
+    },
     {
       "path": ".claude/hooks/auroq-sync.cjs",
       "sha256": "f916fbac4b1236dded1f5253807a5147674081e416ebe215bebd6d6f97b1469b"
@@ -202,7 +206,7 @@
     },
     {
       "path": ".claude/settings.json",
-      "sha256": "cec96fc50b88a418cf880fa8f96272b0dd3d7092459b72e7f495613e5e022fb9"
+      "sha256": "a059b6e15cfe6822f00d1a39c563d6335839c8ac63a5763f6a4cf1af204df284"
     },
     {
       "path": ".claude/settings.local.json",
@@ -210,7 +214,7 @@
     },
     {
       "path": "bin/auroq-os.js",
-      "sha256": "f6486360804d4410475e8e750818395847695320c11e3411690e066192c91dfa"
+      "sha256": "937e6e3b748e05f324b196891ea46663b950aa12e1ca20c9aa9dacf6d2bd8962"
     },
     {
       "path": "lib/ahi/client.mjs",
@@ -250,7 +254,7 @@
     },
     {
       "path": "lib/cofre.js",
-      "sha256": "98e3a471b613cd26a23aeb8affc0b6d2a1de881fade35a6902db1c8e1fa45c2f"
+      "sha256": "8dff20e576fda737f5039ceaca64e8e18fe79e19460c3ce0bac1262f7fa490df"
     },
     {
       "path": "lib/credentials.js",
@@ -278,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "0be8cb4e4f7bf1ff5ae3f0ad1ac26f8402963908c0b4010253becc7decf8b34b"
+      "sha256": "0f5ec74682668925ea078334dcceeb2bbe32e2aad7211b57ad47a41230d64146"
     },
     {
       "path": "lib/supabase.js",
@@ -294,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "6a645f5cc731d474415f71b3af759c8109d31c7c2500ccd71a019617854f98e7"
+      "sha256": "43885cac0063a63f1d1bb1ad5281daaec8a0c2de8c240c23708073f356dd0c2a"
     },
     {
       "path": "scripts/build-pack.mjs",
@@ -314,7 +318,7 @@
     },
     {
       "path": "scripts/runtime-integrity.mjs",
-      "sha256": "3d9c15e96e58f9eb883edab46533ddaacc18895c5255f06767de3f149469efb2"
+      "sha256": "e185ab4937628ac1be733f087638a4121b3c16e0c2a3ea76fd5c68cae571f802"
     },
     {
       "path": "scripts/sync-codex-skills.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.2",
+  "version": "2.8.5",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {
@@ -19,7 +19,7 @@
     "auroq:sync:codex:check": "npm run sync:codex:check",
     "auroq:validate": "npm run validate:hybrid",
     "validate:hybrid": "node scripts/validate-hybrid.mjs",
-    "lint": "node --check bin/auroq-os.js && node --check lib/barra/index.js && node --check lib/barra/barra.cjs && node --check lib/auth.js && node --check lib/diagnostico.js && node --check lib/credentials.js && node --check lib/onepassword.js && node --check lib/infisical.js && node --check lib/infisical-api.js && node --check lib/infisical-cli.js && node --check lib/cofre.js && node --check lib/supabase.js && node --check scripts/sync-codex-skills.mjs && node --check scripts/validate-hybrid.mjs && node --check scripts/prepack-casca.mjs && node --check scripts/postpack-casca.mjs && node --check scripts/assert-mcp-pin.mjs && node --check lib/telemetry.mjs && node --check scripts/synapse-hashes.mjs && node --check lib/ahi/historico.mjs && node --check .claude/hooks/ahi-capture.cjs && node --check .claude/hooks/precompact-session-digest.cjs && node --check .claude/hooks/ahi/security.cjs && node --check .claude/hooks/ahi/runtime.cjs && node --check .claude/hooks/ahi/worker.cjs && node --check lib/ahi/install.cjs && node --check lib/codex-windows.cjs && node --check .claude/hooks/ahi/auth-config.cjs && node --check lib/ahi/client.mjs && node --check scripts/build-pack.mjs && node --check scripts/assert-native-release.mjs && node --check scripts/runtime-integrity.mjs && node --check scripts/pack-state.mjs && node --check tests/rodar.mjs",
+    "lint": "node --check bin/auroq-os.js && node --check lib/barra/index.js && node --check lib/barra/barra.cjs && node --check lib/auth.js && node --check lib/diagnostico.js && node --check lib/credentials.js && node --check lib/onepassword.js && node --check lib/infisical.js && node --check lib/infisical-api.js && node --check lib/infisical-cli.js && node --check lib/cofre.js && node --check lib/supabase.js && node --check scripts/sync-codex-skills.mjs && node --check scripts/validate-hybrid.mjs && node --check scripts/prepack-casca.mjs && node --check scripts/postpack-casca.mjs && node --check scripts/assert-mcp-pin.mjs && node --check lib/telemetry.mjs && node --check scripts/synapse-hashes.mjs && node --check lib/ahi/historico.mjs && node --check .claude/hooks/ahi-capture.cjs && node --check .claude/hooks/precompact-session-digest.cjs && node --check .claude/hooks/auroq-ate-o-fim.cjs && node --check .claude/hooks/ahi/security.cjs && node --check .claude/hooks/ahi/runtime.cjs && node --check .claude/hooks/ahi/worker.cjs && node --check lib/ahi/install.cjs && node --check lib/codex-windows.cjs && node --check .claude/hooks/ahi/auth-config.cjs && node --check lib/ahi/client.mjs && node --check scripts/build-pack.mjs && node --check scripts/assert-native-release.mjs && node --check scripts/runtime-integrity.mjs && node --check scripts/pack-state.mjs && node --check tests/rodar.mjs",
     "typecheck": "npm run validate:hybrid",
     "test": "node tests/rodar.mjs",
     "release:verify": "node scripts/assert-mcp-pin.mjs && node scripts/assert-native-release.mjs",

package/scripts/runtime-integrity.mjs

@@ -25,7 +25,7 @@ export const REQUIRED_FILES = [
   ...SYNAPSE_LAYERS.map(layer => `${SYNAPSE_ROOT}layers/${layer}.js`),
   '.claude/settings.json', '.claude/settings.local.json',
   '.claude/commands/AuroqOS/agents/ops.md', '.claude/commands/auroq-companion.md',
-  '.claude/hooks/synapse-engine.cjs', '.claude/hooks/auroq-sync.cjs', '.claude/hooks/precompact-session-digest.cjs',
+  '.claude/hooks/synapse-engine.cjs', '.claude/hooks/auroq-sync.cjs', '.claude/hooks/precompact-session-digest.cjs', '.claude/hooks/auroq-ate-o-fim.cjs',
   '.claude/hooks/ahi-capture.cjs', '.claude/hooks/ahi/runtime.cjs',
   '.claude/hooks/ahi/security.cjs', '.claude/hooks/ahi/win-vault.ps1', '.claude/hooks/ahi/worker.cjs', '.claude/hooks/ahi/auth-config.cjs',
 ];

package/seeds/business/cockpit.md

@@ -6,6 +6,15 @@
 
 **Ultima atualizacao:** {data}
 **Proximo review:** {data}
+**Proxima revisao do mes:** {data}
+
+---
+
+## FOCO DO MES
+
+> Definido na revisao do mes (1 a 3 focos). As revisoes da semana conferem se o trabalho serve a ele.
+
+-
 
 ---