auroq-os 2.8.4 → 2.8.6

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.8.4
+  version: 2.8.6
   installedAt: '2026-03-16'
 
 ide:

package/.claude/rules/operacao-autonoma.md

@@ -13,7 +13,8 @@
    dentro do comando que usa o valor, numa variável (`X="$(npx -y auroq-os@latest segredo ler Item/campo)" && comando "$X"`),
    para o valor não voltar na conversa; para guardar, ligue por pipe a saída de quem gerou o valor. Nunca exponha segredo no chat ou em logs; `business/vault/` guarda só
    status e referência `op://...`, nunca o valor. Cofre ainda não conectado, ou `op`/`segredo` com erro de
-   autenticação: conecte você mesmo pela skill `conectar-cofre` (`agents/companion/tasks/conectar-cofre.md`) e
+   autenticação: conecte você mesmo pela skill `conectar-cofre` (`agents/companion/tasks/conectar-cofre.md`; MCP `arcane`, `squad_passo`
+   com recurso_id `companion` e passo `conectar-cofre`, cuja entrada diz qual das peças carregar) e
    retome a tarefa. Leia cada credencial uma vez por conversa e reaproveite o valor (a chave tem teto de leituras
    por hora, por minuto ou por dia, conforme o cofre); nunca rode `env`/`printenv` nem abra o arquivo de ambiente
    onde a chave fica.

package/AGENTS.md

@@ -76,6 +76,10 @@ nunca como fonte do método.
 - Pedido de explicar, revisar ou diagnosticar: olhe e responda, sem mudar nada.
 - Pedido de fazer, mudar, corrigir ou publicar: faça até o resultado conferido. A ordem vale para
   todos os passos de rotina daquele pedido.
+- **Vai e faz até o final, sempre que der.** Só pare para perguntar diante de um impeditivo real: uma
+  das travas abaixo, senha pessoal, código do celular, CAPTCHA ou decisão de negócio que só o aluno toma.
+  Com a resposta, continue até o fim sem pedir outro OK. Passo de rotina do pedido não pede licença:
+  quanto mais a IA faz sem o aluno precisar fazer, melhor.
 - Antes de perguntar, procure no arquivo, na memória, no histórico ou na ferramenta. Decidiu sozinho:
   diga a suposição em uma linha.
 - Resolva antes de devolver: ferramentas, CLIs, MCPs e logins já configurados primeiro. Credencial vem

package/CHANGELOG.md

@@ -1,5 +1,7 @@
 ## Unreleased
 
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.54, 04/11): a peça do 1Password da skill do cofre avisa o Companion de que, no Windows, o app pode estar instalado só como pacote MSIX (é o que o `winget` instala hoje) e não aparece nas pastas de sempre: antes de dizer "o app não está instalado" (resultado `instalar-app`, ou o aluno dizendo que não acha) ele confere a lista de pacotes do Windows, e, se o app estiver lá, vai direto para entrar na conta e ligar a chave. Também descreve o instalador de reserva com limite de 3 minutos; o mesmo aviso entra no pré-gate da skill `configurar-computador`. Precisa do auroq-os 2.8.6 no npm (a detecção e o limite vivem no comando).
+- Conteúdo ao vivo (catálogo `auroq-core` 2.3.53, 29/10): **a skill do cofre de senhas foi dividida em seis peças** (entrada, 1Password, Infisical grátis com os resultados à parte, passar do grátis para o 1Password, e uso do dia a dia). Antes era um texto só de 62 mil caracteres, grande demais para o Claude Code ler de uma vez (o Marcos viu isso no teste de 27/10). O Companion continua entrando pelo mesmo gatilho (`conectar-cofre`) e a entrada diz qual peça abrir. O Companion agora pede o OK do aluno em uma frase antes de criar a chave do agente, de instalar o app e de passar as chaves (a proteção do Claude Code barrava esses passos sem aviso), explica a Chave Secreta e o Kit de Emergência do 1Password (guardar o PDF fora do computador e fora do GitHub), ensina a ligar o Windows Hello ou o Touch ID quando a digital não aparece, e não manda mais ligar a chave do app de novo quando ela já está ligada. Precisa do auroq-os 2.8.5 no npm (comando `--instalar-app` e códigos novos).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.52, 27/10): **documentação revisada para o jeito de hoje.** O guia do sistema que o Companion usa com o aluno, a fundação do Companion e as fichas do Consultor não apresentam mais o Ops como técnico nem o nome personalizado do Companion; ensinam a abrir uma conversa nova dentro do projeto e chamar o Companion (quantas quiser, uma por assunto, nunca um chat por squad) e dizem que, com o app aberto, o salvamento na internet é automático a cada 15 minutos e ao abrir e fechar. A skill `configurar-computador` e o guia longo do Ops dizem que as contas são conectadas pelo Companion na primeira conversa, não na instalação.
 - Motor: README com o app Auroq OS como caminho novo e o terminal como o caminho que a plataforma ensina hoje; segunda máquina pelo app ("Trazer projeto que já existe"); atualizar, primeiro uso e agentes core sem o Ops; endereço da plataforma `arcane.arka.education`. `AGENTS.md` e `.auroq-core/como-funciona.md` dizem que, com o app aberto, salvar e entregar são automáticos a cada 15 minutos.
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.51, 27/10): a renovação diz o salvamento certo: o app guarda a cópia na internet sozinho a cada 15 minutos e ao abrir e fechar (antes dizia 3 vezes por dia).
@@ -16,6 +18,28 @@
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.40, 26/10): **as contas do nível 1 (GitHub, Vercel e Supabase) passam a ser conectadas pelo Companion na primeira conversa.** Decisão do Euriler: conectar na instalação do app não funciona bem para o aluno iniciante. Skill nova `conexoes-essenciais`: o Companion explica cada conta em uma linha, abre as páginas (GitHub primeiro, com a conta criada junto se o aluno não tiver; a Vercel e o Supabase entram com o GitHub), confere e segue; o aluno só cria a conta, entra e autoriza, sem senha nem código na conversa, sempre no plano grátis. Usa o comando `auroq conexoes` do app quando existir; antes disso, a tela Configurações → Conexões. O `*primeiro-uso` ficou: conferência e instalação do que faltar (o aluno nunca baixa nem instala programa), material, perguntas, Mapa, conexões (P6), organizar (P7) e fecho (P8).
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.39, 26/10): **o cofre de senhas saiu da primeira conversa.** Decisão do Euriler: é técnico demais para o aluno iniciante e é conexão do nível 2 (com domínio próprio e Google, que o app chama de "conecte quando precisar"). No `*primeiro-uso` o Companion confere só o sistema e as contas do nível 1 (GitHub, Vercel e Supabase, que o app conecta na tela "Conectar suas contas") e vai para a entrevista; o cofre entra quando a primeira tarefa precisar de uma senha, chave ou token (skill `conectar-cofre`).
 - **Regra de projetos do aluno sem o nome do Euriler.** `project-tracker.md` mandava "avisar o Euriler" quando faltava o acompanhamento de um projeto e dizia que só "o Euriler/Jarvis" mudam objetivo e fases (cópia da regra pessoal dele). Agora o Companion cria o acompanhamento pelo modelo e avisa o aluno em uma linha; quem decide objetivo e fases é o aluno (o Companion propõe). Chega pelo npm.
+## 2.8.6 — 2026-11-04
+
+Correção do re-teste real do Marcos (03/11, Windows 11, auroq-os 2.8.5). O resto da rota A (aprovação, cofre `Claude`, chave do agente, teste e migração) passou liso e não foi mexido. Nenhuma máquina de aluno foi tocada; o que dá para provar sem Windows foi provado com PowerShell, winget e instalador simulados (veja a story `AUROQ-1password-automatico`, seção "Re-teste do Marcos 03/11").
+
+- **O app do 1Password instalado pelo `winget` agora é reconhecido.** O `winget` instala o 1Password como pacote MSIX (`C:\Program Files\WindowsApps\Agilebits.1Password_...`), pasta que o comando não olhava e que um usuário comum nem consegue listar. Agora, além das pastas de sempre, ele pergunta ao Windows pela lista de pacotes do próprio usuário (`Get-AppxPackage`, sem admin, em texto claro). Se o Windows não responder, o comando diz "não sei" e nunca "ausente".
+- **Saída 0 do `winget` = confia.** Antes, como o app não aparecia nas pastas, o comando achava que o `winget` tinha falhado, avisava isso (não era verdade) e rodava o instalador oficial por cima, que travou escondido por 6 minutos no teste. Agora saída 0 encerra a instalação; o instalador de reserva só roda se o `winget` falhou **e** o app de fato não está no computador.
+- **Instalador de reserva mais seguro.** Limite de 3 minutos (era 15): passou disso, o comando interrompe o instalador e os processos filhos, diz a verdade ("passou de 3 minutos sem terminar e eu o interrompi; não sei dizer por que") e devolve `app-nao-instalou`. Roda sem janela escondida (a hipótese, não provada, é que o travamento vinha de uma janela invisível esperando resposta; rodado à vista ele terminou em 13 segundos). A pasta temporária é apagada ao terminar, no prazo estourado e também com Ctrl+C ou terminal fechado; pasta velha de uma execução morta à força é varrida na próxima vez.
+- **O comando principal não manda mais reinstalar o app que já está instalado.** Com o app só como MSIX e a conta ainda não listada, devolvia `instalar-app` de novo (risco de laço). Agora devolve `ligar-integracao`.
+- Skill do Companion: aviso do pacote MSIX antes de dizer "não instalado" (veja a nota do catálogo `auroq-core` 2.3.54 acima).
+- Instaladores fixam `auroq-os@2.8.6`.
+
+## 2.8.5 — 2026-10-29
+
+Correções do teste real do Marcos (27/10, Windows 11 zerado). O cofre grátis (Infisical) rodou liso; o 1Password travou em quatro pontos, e o Companion girava em círculo. Nenhuma máquina de aluno foi tocada; o que dá para provar sem Windows foi provado com um 1Password de mentira que agora se comporta como o de verdade (veja a story `AUROQ-1password-automatico`, seção "Teste real do Marcos 27/10").
+
+- **O laço "liga a chave do app" acabou.** O comando pedia a digital com um comando (`op whoami`) que o 1Password não usa para isso: ele responde "não está conectado" na hora, sem abrir a janela. O Companion lia isso como "a chave do app está desligada" e mandava o aluno ligar de novo, mesmo ligada. Agora a digital é pedida do jeito certo (`op vault list`, e se o app disser "sem sessão", `op signin` e mais uma tentativa), a aprovação vale para o resto da execução, e "a conta aparece mas o app não liberou" vira o aviso `aprovar-no-app`, com a receita do Windows Hello ou do Touch ID. O aviso `ligar-integracao` só sai quando o app não mostra conta nenhuma. Vale no Mac e no Windows.
+- **Instalar o app do 1Password.** Novo `conectar-1password --instalar-app`: no Windows tenta o winget e, se ele falhar (no teste deu o erro 0x80070002), baixa o instalador oficial do 1Password, confere que a assinatura é válida e do 1Password (Agilebits) e só então instala; no Mac usa o Homebrew. O comando também percebe quando o app nem está no computador (`instalar-app`) em vez de mandar ligar uma chave que não existe.
+- **Cópia da chave no cofre pessoal, no Windows.** O jeito antigo (mandar o molde por "pipe") falhava no PowerShell 5.1 com "invalid JSON in piped input". Agora o molde vai num arquivo temporário, só do usuário, e é apagado logo depois, com sucesso ou erro. A chave continua fora de argumento de comando e fora de log.
+- **`--migrar` e `segredo` quando o programa do 1Password acabou de ser instalado.** No Windows, o programa `op` recém-instalado não aparece para a janela que já estava aberta, e o comando respondia "não enxerga o cofre Claude". Agora o comando atualiza a lista de programas e tenta de novo; se o `op` continuar sem aparecer, diz a verdade (`op-nao-achado`: "não achei o programa nesta janela, feche e abra") e não manda refazer a conexão à toa. As mensagens do `--migrar` também dizem qual foi o caso (chave não achada, chave recusada, cofre `Claude` invisível) e mostram a linha que o 1Password devolveu. Aviso honesto: ler a chave gravada já era feito (a hipótese do relatório do Marcos não bate com o código); a causa exata do caso dele não foi provada e só um novo teste no Windows mostra.
+- Skill do Companion: dividida em seis peças, com o OK do aluno antes dos passos que a proteção do Claude Code barrava, Chave Secreta e Kit de Emergência, receita do Windows Hello e do Touch ID (veja a nota do catálogo `auroq-core` 2.3.53 acima).
+- Instaladores fixam `auroq-os@2.8.5`.
+
 ## 2.8.4 — 2026-10-27
 
 - **O freio "trabalhar até o fim" parou de mostrar as instruções dele na tela do aluno.** Ele era um gancho de IA (`type: "prompt"`), e quando segurava uma resposta o Claude Code mostrava ao aluno o texto inteiro da conferência ("Você confere a última resposta de uma IA para um aluno leigo..."), sem como esconder (alunos relataram em 27/10). Agora é um gancho de comando (`.claude/hooks/auroq-ate-o-fim.cjs`): segura só quando a resposta termina pedindo licença para passo de rotina ("quer que eu...?", "posso seguir?") ou manda o aluno rodar comando que ele não pediu para rodar sozinho, e o aluno vê só uma linha curta ("Auroq: faça você mesmo..."). Libera o que é do aluno (senha, código, pagamento, apagar, mensagem, publicar, GitHub e entregar), "Decide: A ou B?" e IA da equipe. Saiu a conferência de "disse que está pronto sem conferir", que precisava de IA; essa regra segue no `AGENTS.md`. A manutenção troca o freio antigo pelo novo sozinha. Provado num Claude Code de verdade e em `tests/ate-o-fim.test.mjs`.

package/README.md

@@ -57,7 +57,7 @@ nem atualizar Pack.
 | `auroq-os doctor` | Diagnostico do suporte: arquivos, motor do sistema (e se o programa aberto pelo icone enxerga ele), registro do conteudo ao vivo, login e servidor |
 | `auroq-os register-mcp` | Reescreve o registro do conteudo ao vivo no projeto (use se o `doctor` apontar que ele falta) |
 | `auroq-os sync-codex` | Regenera e verifica as skills locais do Codex |
-| `auroq-os conectar-1password` | Liga o 1Password ao Auroq sozinho (Mac/Windows): instala o `op` se faltar, cria o cofre `Claude` e uma conta de servico que so enxerga esse cofre (sem data de validade), guarda a chave no computador e testa. Voce so aprova no app do 1Password. O Companion roda isto por voce (`--agente`). Opcoes: `--conta "<e-mail>"` (escolhe a conta quando o app tem mais de uma), `--rotacionar` (cria uma chave nova), `--estado` (mostra em que etapa voce parou, sem falar com o 1Password; com `--agente` imprime a linha `AUROQ_ESTADO ...`). Pode ser retomado a qualquer hora: ele reconfere cada etapa e continua de onde parou. O Companion roda isto sozinho quando falta o cofre (skill `conectar-cofre`, que pergunta qual cofre) |
+| `auroq-os conectar-1password` | Liga o 1Password ao Auroq sozinho (Mac/Windows): instala o `op` se faltar, cria o cofre `Claude` e uma conta de servico que so enxerga esse cofre (sem data de validade), guarda a chave no computador e testa. Voce so aprova no app do 1Password. O Companion roda isto por voce (`--agente`). Opcoes: `--conta "<e-mail>"` (escolhe a conta quando o app tem mais de uma), `--rotacionar` (cria uma chave nova), `--instalar-app` (instala o app do 1Password: Windows pelo winget, que se terminar bem encerra o assunto, e, so se ele falhar e o app nao estiver la, pelo instalador oficial depois de conferir a assinatura, com limite de 3 minutos; Mac pelo Homebrew), `--estado` (mostra em que etapa voce parou, sem falar com o 1Password; com `--agente` imprime a linha `AUROQ_ESTADO ...`). Pode ser retomado a qualquer hora: ele reconfere cada etapa e continua de onde parou. O Companion roda isto sozinho quando falta o cofre (skill `conectar-cofre`, que pergunta qual cofre) |
 | `auroq-os conectar-cofre` | Escolhe e liga o cofre de senhas: **1Password** (pago, uns US$ 3 por mes, confira o preco na tela, recomendado; preenche senha no navegador) ou **Infisical** (gratis, so guarda as chaves que o agente usa). Opcoes: `--cofre 1password\|infisical` (sem ela, pergunta qual), `--regiao us\|eu` (Infisical), `--estado` (em que etapa voce parou, sem falar com o cofre; com `--agente` imprime a linha `AUROQ_ESTADO ...`), `--rotacionar` (chave nova) e `--migrar` (passa as chaves do Infisical para o 1Password, sem apagar nada; so depois que todas passaram o 1Password vira o cofre ativo, e `--ignorar-fora-do-formato` deixa no Infisical as chaves com nome que o Auroq nao usa). Ligar o 1Password sozinho nao troca o cofre de quem ja usa o Infisical; ligar o Infisical com o 1Password ativo troca, e as chaves do 1Password nao sao levadas (continuam la, `segredo ler NOME --cofre 1password`). O Companion roda isto por voce (`--agente`) |
 | `auroq-os segredo` | Le e guarda credenciais no cofre que voce escolheu, igual nos dois: `segredo ler\|gravar\|listar\|apagar\|qual <referencia>`. O valor de `gravar` entra por stdin, nunca como argumento; `ler` imprime o valor, entao use sempre dentro do comando que o usa (`X="$(auroq-os segredo ler Item/campo)" && comando "$X"`), nunca sozinho; a referencia e `op://Claude/<Item>/<campo>` ou `cofre://<Item>/<campo>`. Com 1Password, `op read` direto continua valendo. Squads, skills e agentes usam este comando |
 
@@ -290,13 +290,13 @@ a parte tecnica e com o Companion.
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.4 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.4 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.6 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.6 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.4; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.6; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/bin/auroq-os.js

@@ -2573,7 +2573,7 @@ if (['init', 'install', 'update'].includes(command)) {
   log(`  ${CYAN}sync-codex${RESET}  Gerar e verificar as skills locais do Codex CLI ($nome)`);
   log(`  ${CYAN}historico${RESET}  Estado da captura do trabalho (prevista nos Termos de Uso; desliga em Minha Conta)`);
   log(`  ${CYAN}conectar-cofre${RESET}  Escolher e conectar o cofre de senhas: 1Password (pago, recomendado) ou Infisical (gratis)`);
-  log(`  ${CYAN}conectar-1password${RESET}  Conectar o 1Password (cria o cofre e a chave sozinho; voce so aprova uma vez no app)`);
+  log(`  ${CYAN}conectar-1password${RESET}  Conectar o 1Password (cria o cofre e a chave sozinho; voce so aprova uma vez no app; --instalar-app instala o app)`);
   log(`  ${CYAN}segredo${RESET}  Ler, gravar, listar ou apagar uma credencial no cofre do aluno (vale para 1Password e Infisical)`);
   log('');
   log(`${DIM}Primeira instalacao: https://arcane.arka.education/auroq${RESET}`);

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.4 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.6 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.4 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.6 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.4 "$@"
+    npx -y auroq-os@2.8.6 "$@"
   else
-    npx -y auroq-os@2.8.4 "$@" < /dev/tty
+    npx -y auroq-os@2.8.6 "$@" < /dev/tty
   fi
 }
 

package/lib/cofre.js

@@ -50,9 +50,11 @@ const ESCOLHA_MSG = 'Quer o 1Password (uns 3 dolares por mes, confira o preco na
 
 // Codigos do comando `segredo` (stderr: AUROQ_ERRO codigo=<c> mensagem="...").
 // `uso` = uso errado da linha de comando (ref faltando, valor em argumento, opcao desconhecida).
+// `op-nao-achado` = Windows: o programa `op` do 1Password nao foi achado nesta janela nem depois de recompor o PATH.
+// Sai 1 (erro geral, como `credencial-indisponivel`), NAO 4: com 4 o agente roda a rota A de novo e cai no laco.
 const SEGREDO_CODIGOS = ['nome-invalido', 'cofre-nao-configurado', 'nao-encontrado', 'sem-valor', 'ja-existe-confirmar',
-  'credencial-invalida', 'credencial-indisponivel', 'sem-permissao', 'rede', 'limite', 'bloqueada', 'falha', 'uso'];
-// Saida: 0 ok, 1 erro geral, 2 uso errado, 3 nao encontrado, 4 cofre nao configurado.
+  'credencial-invalida', 'credencial-indisponivel', 'op-nao-achado', 'sem-permissao', 'rede', 'limite', 'bloqueada', 'falha', 'uso'];
+// Saida: 0 ok, 1 erro geral (inclui op-nao-achado), 2 uso errado, 3 nao encontrado, 4 cofre nao configurado.
 const SEGREDO_EXIT = Object.freeze({ ok: 0, erro: 1, uso: 2, 'nao-encontrado': 3, 'cofre-nao-configurado': 4 });
 const CODIGOS_DE_USO = new Set(['uso', 'nome-invalido', 'sem-valor', 'ja-existe-confirmar']);
 
@@ -81,6 +83,11 @@ function envOf(d) {
   return (d && d.env) || process.env;
 }
 
+/** Windows? (`d.platform` troca nos testes.) */
+function ehWindows(d) {
+  return ((d && d.platform) || process.platform) === 'win32';
+}
+
 function nowOf(d) {
   return d && typeof d.now === 'function' ? d.now() : Date.now();
 }
@@ -387,6 +394,10 @@ function opReference(ref) {
 
 // ─── Mensagens por codigo ────────────────────────────────
 
+// Windows, `op` fora do PATH desta janela: primeiro fechar e abrir o programa (o PATH novo so chega a processos novos);
+// a rota A so se isso nao resolver (rodar a rota A de novo logo de cara e o laco que o teste real viveu).
+const MSG_OP_NAO_ACHADO = 'O programa do 1Password (op) nao foi achado nesta janela. Se ele foi instalado agora ha pouco, feche e abra o programa (Claude Code, Codex ou o app) e tente de novo. Se continuar, rode UMA vez: npx auroq-os conectar-cofre --cofre 1password --agente (ele confere o programa e instala se faltar); se ele disser ja-conectado e isto voltar, peca ajuda ao Arcano com este codigo: op-nao-achado.';
+
 function messageFor(codigo, tipo, detalhe = '') {
   const nome = NOME_TIPO[tipo] || 'cofre';
   switch (codigo) {
@@ -402,6 +413,8 @@ function messageFor(codigo, tipo, detalhe = '') {
     }
     case 'credencial-indisponivel':
       return `Nao consegui usar a chave deste computador no ${nome} agora. Tente de novo em alguns minutos.`;
+    case 'op-nao-achado':
+      return MSG_OP_NAO_ACHADO;
     case 'sem-permissao':
       return `A chave do agente nao tem permissao para isso no ${nome}.`;
     case 'rede':
@@ -430,7 +443,9 @@ const OP_PERMISSION_RE = /(forbidden|permission|not allowed|insufficient|denied|
 function classifyOp(d, r, secrets = []) {
   const o = mod(d, 'onepassword');
   const stderr = String((r && r.stderr) || '');
-  if (r && r.missing) return { codigo: 'cofre-nao-configurado', detalhe: '' };
+  // sem o `op`: no Windows (ja tentou recompor o PATH) e "nao achei o programa", que rodar a rota A de novo NAO resolve;
+  // fora dele segue como sempre foi
+  if (r && r.missing) return { codigo: ehWindows(d) ? 'op-nao-achado' : 'cofre-nao-configurado', detalhe: '' };
   if (OP_NOT_VAULT_RE.test(stderr)) return { codigo: 'cofre-nao-configurado', detalhe: '' };
   if (OP_AMBIGUOUS_RE.test(stderr)) return { codigo: 'falha', detalhe: `Tem mais de um item com esse nome no cofre ${VAULT_NAME}; apague ou renomeie o repetido.` };
   if (OP_NOT_FOUND_RE.test(stderr)) return { codigo: 'nao-encontrado', detalhe: '' };
@@ -472,24 +487,52 @@ function findField(fields, campo) {
 function makeOpBackend(d) {
   const tipo = '1password';
 
-  async function token() {
+  const validToken = (t) => {
+    const o = mod(d, 'onepassword');
+    return t && o.isValidToken(String(t).trim()) ? String(t).trim() : null;
+  };
+  const fromEnv = () => validToken(envOf(d)[mod(d, 'onepassword').TOKEN_VAR]);
+  async function fromDisk() {
     const o = mod(d, 'onepassword');
-    const valid = (t) => (t && o.isValidToken(String(t).trim()) ? String(t).trim() : null);
-    const fromEnv = valid(envOf(d)[o.TOKEN_VAR]);
-    if (fromEnv) return fromEnv;
-    try { return valid(await (d.readOpToken ? d.readOpToken() : o.readPersistedToken())); } catch { return null; }
+    try { return validToken(await (d.readOpToken ? d.readOpToken() : o.readPersistedToken())); } catch { return null; }
+  }
+  async function token() {
+    return fromEnv() || fromDisk();
+  }
+
+  // Windows: o `op` instalado DEPOIS de o programa-pai abrir (winget so muda o PATH no registro) nao esta no PATH deste
+  // processo: o spawn da ENOENT. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
+  // comando de novo; chamadas em paralelo esperam a mesma recomposicao. Devolve false se nao ha como recompor.
+  let recomposicao = null;
+  function recomporPathUmaVez() {
+    if (!recomposicao) {
+      recomposicao = (async () => {
+        const o = mod(d, 'onepassword');
+        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : o.refreshWindowsPath;
+        if (typeof recompor !== 'function') return false;
+        try { await recompor(); } catch { /* melhor esforco: o comando decide se achou */ }
+        return true;
+      })();
+    }
+    return recomposicao;
   }
 
   async function call(tk, args, input = '') {
     const o = mod(d, 'onepassword');
     const run = d.op || o.runOp;
-    // `isolate`: o agente nunca pode cair na janela da digital do app; vale so a chave
-    const env = o.opEnv(String(tk).trim(), { isolate: true });
-    // a chave do Infisical (ID e segredo) nao tem nada a ver com o `op`: nao vai para o ambiente dele
-    for (const k of Object.keys(env)) {
-      if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
-    }
-    return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+    // o ambiente e montado a cada tentativa: o PATH recomposto vale so para quem copia process.env DEPOIS
+    const tentar = () => {
+      // `isolate`: o agente nunca pode cair na janela da digital do app; vale so a chave
+      const env = o.opEnv(String(tk).trim(), { isolate: true });
+      // a chave do Infisical (ID e segredo) nao tem nada a ver com o `op`: nao vai para o ambiente dele
+      for (const k of Object.keys(env)) {
+        if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
+      }
+      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+    };
+    let r = await tentar();
+    if (r && r.missing && ehWindows(d) && (await recomporPathUmaVez())) r = await tentar();
+    return r;
   }
 
   const semChave = () => failure('cofre-nao-configurado', tipo);
@@ -501,12 +544,34 @@ function makeOpBackend(d) {
   });
 
   async function run(args, input, secrets) {
-    const tk = await token();
+    let tk = await token();
     if (!tk) return { erro: semChave() };
-    const r = await call(tk, args, input);
+    let r = await call(tk, args, input);
+    let c = r.ok ? null : classifyOp(d, r, secrets);
+    // A variavel do programa pode estar velha: janela aberta com uma chave que depois foi revogada e trocada (a
+    // nova esta gravada no computador). Chave RECUSADA vinda da variavel => tenta a gravada, se for outra. So esta
+    // recusa clara conta; rede, limite ou o que for nao muda de chave.
+    if (c && c.codigo === 'credencial-invalida' && tk === fromEnv()) {
+      const gravada = await fromDisk();
+      if (gravada && gravada !== tk) {
+        const r2 = await call(gravada, args, input);
+        tk = gravada;
+        r = r2;
+        c = r.ok ? null : classifyOp(d, r, secrets);
+      }
+    }
     if (r.ok) return { r, tk };
-    const c = classifyOp(d, r, secrets);
-    return { erro: failure(c.codigo, tipo, c.detalhe) };
+    const erro = failure(c.codigo, tipo, c.detalhe);
+    // Campos extras so para quem precisa saber a causa (a migracao); nenhum entra na mensagem do `segredo`.
+    // `semOp`: o programa nem rodou. `diag`: o que o `op` disse (stderr, uma linha, sem a chave nem o valor gravado:
+    // oneLine tira ops_..., o token e os segredos que esta execucao conhece). Nunca o stdout.
+    if (r.missing) {
+      erro.semOp = true;
+    } else {
+      const diag = oneLine(r.stderr, 160, [...(secrets || []), tk, tk.replace(/^ops_/, '')]);
+      if (diag) erro.diag = diag;
+    }
+    return { erro };
   }
 
   const backend = {
@@ -1281,6 +1346,24 @@ function migracao(status, codigo, mensagem, n = {}) {
   return { status, codigo, movidos: n.movidos || 0, iguais: n.iguais || 0, falhas: n.falhas || 0, mensagem };
 }
 
+// Mensagens do 'conectar-1password-primeiro': cada uma diz o que de fato aconteceu. Com o complemento do `op` (diagDoOp)
+// ainda cabem nos 400 caracteres da linha AUROQ_RESULTADO (o texto corta ali).
+const ROTA_A = 'npx auroq-os conectar-cofre --cofre 1password --agente';
+// A chave NAO foi achada (nem na variavel do programa nem gravada no computador).
+const MSG_MIGRAR_SEM_CHAVE = `Nao achei a chave do 1Password nesta janela (nem na variavel do programa nem no que o computador tem gravado). Rode: ${ROTA_A} (se a chave ja estiver gravada ele responde ja-conectado na hora). Se responder ja-conectado e esta mensagem voltar, feche e abra o programa e rode a migracao de novo.`;
+// A chave foi achada e o 1Password disse que ela nao vale.
+const MSG_MIGRAR_CHAVE_RECUSADA = `O 1Password recusou a chave gravada neste computador (revogada ou invalida). Rode: ${ROTA_A} (ele cria outra) e depois a migracao de novo.`;
+// A chave foi achada e o `op` rodou, mas o cofre Claude nao aparece para ela (ou ela nao tem permissao nele).
+const MSG_MIGRAR_COFRE_INVISIVEL = `A chave do 1Password foi achada, mas nao enxerga o cofre ${VAULT_NAME}. Rode: ${ROTA_A}. Depois rode a migracao de novo.`;
+// A chave foi achada, mas o programa `op` nao existe aqui (fora do Windows; no Windows e o codigo op-nao-achado).
+const MSG_MIGRAR_SEM_OP = `A chave do 1Password foi achada, mas o programa do 1Password (op) nao foi achado neste computador. Rode: ${ROTA_A}. Depois rode a migracao de novo.`;
+
+/** " (O 1Password disse: ...)" com a linha que o `op` devolveu (guardada na falha); '' se nao ha. Nunca traz a chave nem o valor. */
+function diagDoOp(falha) {
+  const linha = falha && typeof falha.diag === 'string' ? falha.diag.trim() : '';
+  return linha ? ` (O 1Password disse: ${linha})` : '';
+}
+
 /**
  * Leva as chaves do Infisical para o cofre Claude do 1Password e, so se TUDO foi, troca o cofre ativo (e a UNICA
  * coisa que troca para o 1Password quem ja usa o Infisical: conectar o 1Password sozinho nao troca). Nao apaga
@@ -1304,13 +1387,19 @@ async function migrar(options = {}, d = {}) {
     return migracao('erro', 'origem-indisponivel', 'O Infisical nao esta conectado neste computador, entao nao tenho de onde levar as chaves.');
   }
   if (!(await destino.pronto())) {
-    return migracao('aguardando', 'conectar-1password-primeiro', 'Falta conectar o 1Password neste computador. Rode: npx auroq-os conectar-cofre --cofre 1password --agente. Depois rode a migracao de novo.');
+    return migracao('aguardando', 'conectar-1password-primeiro', MSG_MIGRAR_SEM_CHAVE);
   }
   // o cofre Claude precisa estar visivel para a chave do 1Password
   const vis = await destino.listar();
   if (!vis.ok) {
-    if (['cofre-nao-configurado', 'credencial-invalida', 'sem-permissao'].includes(vis.codigo)) {
-      return migracao('aguardando', 'conectar-1password-primeiro', `A chave do 1Password deste computador nao enxerga o cofre ${VAULT_NAME}. Rode: npx auroq-os conectar-cofre --cofre 1password --agente. Depois rode a migracao de novo.`);
+    // programa `op` nao achado (Windows): rodar a rota A de novo nao resolve (e foi o laco de "conectar primeiro")
+    if (vis.codigo === 'op-nao-achado') return migracao('aguardando', 'op-nao-achado', vis.mensagem);
+    if (vis.codigo === 'credencial-invalida') {
+      return migracao('aguardando', 'conectar-1password-primeiro', `${MSG_MIGRAR_CHAVE_RECUSADA}${diagDoOp(vis)}`);
+    }
+    if (vis.semOp) return migracao('aguardando', 'conectar-1password-primeiro', MSG_MIGRAR_SEM_OP); // fora do Windows: a rota A confere o programa
+    if (['cofre-nao-configurado', 'sem-permissao'].includes(vis.codigo)) {
+      return migracao('aguardando', 'conectar-1password-primeiro', `${MSG_MIGRAR_COFRE_INVISIVEL}${diagDoOp(vis)}`);
     }
     return migracao('erro', 'falha', `Nao consegui olhar o cofre ${VAULT_NAME} do 1Password agora (${vis.codigo}). Tente de novo em alguns minutos.`);
   }

package/lib/onepassword.js

@@ -478,6 +478,7 @@ const BACKUP_TAG = 'auroq-os';
 // Contas pessoais (Individual e Families) entram em my.1password.<regiao>; Teams e Business em <time>.1password.*.
 const PERSONAL_ACCOUNT_URL = /^my\.1password\.(com|eu|ca)$/;
 const LOCK_STALE_MS = 2 * 60 * 60 * 1000;
+const APPROVAL_TIMEOUT_MS = 180000; // o aluno tem ate 3 min para aprovar a janela da digital
 const MAX_WAIT_SECONDS = 30 * 60; // espera da chave do app nunca passa disso (a trava de instancia vale 2 h)
 // "Aguardando" (falta uma acao do aluno) e uma ETAPA do fluxo, nao falha: sai com 0 e a linha
 // AUROQ_RESULTADO diz o que falta. Sair com erro faria a telemetria do instalador registrar
@@ -642,13 +643,14 @@ function pickAccount(accounts, wanted) {
 /** Argumentos de `auroq-os conectar-1password [...]`. */
 function parseArgs(argv) {
   const args = Array.isArray(argv) ? argv : [];
-  const opts = { manual: false, rotacionar: false, agente: false, estado: false, conta: null, esperar: null };
+  const opts = { manual: false, rotacionar: false, agente: false, estado: false, instalarApp: false, conta: null, esperar: null };
   for (let i = 0; i < args.length; i++) {
     const a = args[i];
     if (a === '--manual') opts.manual = true;
     else if (a === '--rotacionar') opts.rotacionar = true;
     else if (a === '--agente') opts.agente = true;
     else if (a === '--estado') opts.estado = true;
+    else if (a === '--instalar-app') opts.instalarApp = true;
     else if (a === '--conta' && args[i + 1] && !args[i + 1].startsWith('--')) opts.conta = args[++i];
     else if (a.startsWith('--conta=')) opts.conta = a.slice('--conta='.length) || null;
     else if (a === '--esperar' && args[i + 1] && !args[i + 1].startsWith('--')) opts.esperar = Number(args[++i]);
@@ -664,8 +666,8 @@ function enableIntegrationSteps(platform) {
     ? 'Abra as Configuracoes: no menu de cima do Mac, 1Password > Configuracoes (ou Cmd + virgula). Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.'
     : 'Abra as Configuracoes: clique no nome da sua conta (canto de cima, a esquerda) > Configuracoes. Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.';
   const digital = platform === 'darwin'
-    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o app pede a senha do Mac.'
-    : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem isso o app pede a senha.';
+    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o Mac pede a senha do seu usuario do Mac.'
+    : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem o Windows Hello ligado a janela de aprovacao pode nem aparecer.';
   return [
     'Abra o app do 1Password, entre na sua conta e deixe o app aberto.',
     abrir,
@@ -674,20 +676,42 @@ function enableIntegrationSteps(platform) {
   ];
 }
 
+/**
+ * Receita curta para ligar a digital (Windows Hello / Touch ID) quando nao esta ligada. A documentacao da integracao
+ * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele vale a senha do usuario do Mac). A
+ * senha da conta 1Password NAO faz esse papel. O codigo nao liga nada disso por ele.
+ */
+function biometricSteps(platform) {
+  if (platform === 'darwin') {
+    return [
+      'No Mac, cadastre a digital: Ajustes do Sistema > Touch ID e Senha > Adicionar digital.',
+      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Touch ID".',
+      'O Touch ID e opcional: se o seu Mac nao tem, o Mac pede a senha do seu usuario do Mac na janela de aprovacao.',
+    ];
+  }
+  return [
+    'No Windows, ligue o Windows Hello: Configuracoes do Windows > Contas > Opcoes de entrada, e configure o PIN, a digital ou o reconhecimento facial (o que o seu computador tiver).',
+    'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Windows Hello".',
+    'No Windows o 1Password pede o Windows Hello ligado (PIN, digital ou rosto: serve o que o computador tiver); sem ele a janela de aprovacao pode nem aparecer.',
+  ];
+}
+
 // ─── Dependencias reais (trocaveis nos testes) ───────────
 
 /**
  * Roda o `op`. Nunca lanca. A saida pode ter segredo (token): quem chama decide o que mostrar.
  * O token NUNCA vai em `args`: so por `env` ou por `input` (stdin).
  */
-function runOp(args, { env, input, timeoutMs = 120000 } = {}) {
+function runOp(args, { env, input, timeoutMs = 120000, noStdin = false } = {}) {
   // Sem texto para mandar e com terminal de verdade: o `op` herda o terminal, como se o aluno
   // tivesse digitado (a aprovacao do app e amarrada ao terminal; com pipe nao ha terminal).
-  const useTerminal = input === undefined && Boolean(process.stdin.isTTY);
+  // `noStdin`: o `op` recusa `--template` se o stdin for um pipe, ate vazio ("You can't use both piping and the
+  // --template flag"; o `input: ''` do Node vira pipe), entao esse comando roda com o stdin desligado (NUL/dev/null).
+  const useTerminal = input === undefined && !noStdin && Boolean(process.stdin.isTTY);
   const r = spawnSync('op', args, {
     encoding: 'utf8',
     env: env || opEnv(),
-    ...(useTerminal ? { stdio: ['inherit', 'pipe', 'pipe'] } : { input: input === undefined ? '' : input }),
+    ...(noStdin ? { stdio: ['ignore', 'pipe', 'pipe'] } : useTerminal ? { stdio: ['inherit', 'pipe', 'pipe'] } : { input: input === undefined ? '' : input }),
     timeout: timeoutMs,
     maxBuffer: 16 * 1024 * 1024,
     windowsHide: true,
@@ -767,6 +791,339 @@ function refreshWindowsPath() {
   if (parts.length) process.env.PATH = [...parts, process.env.PATH || ''].join(';');
 }
 
+// ─── O app do 1Password (instalacao) ─────────────────────
+
+const WINGET_APP_ID = 'AgileBits.1Password';
+// Instalador oficial (reserva do winget, que falhou no teste real de 27/10 com 0x80070002 depois de conferir o hash).
+const APP_INSTALLER_URL = 'https://downloads.1password.com/win/1PasswordSetup-latest.exe';
+// Assinante do instalador oficial: "Valid | CN=Agilebits, O=Agilebits, L=Toronto, S=Ontario, C=CA".
+const APP_SIGNER_RE = /(?:^|,\s*)CN=Agilebits(?:,|$)/i;
+// Limite do instalador oficial (reserva): o winget leva ~1 min; o limite antigo de 15 min deixava o aluno esperando sem aviso.
+const APP_SETUP_TIMEOUT_MS = 3 * 60 * 1000;
+
+// O winget (e a loja da Microsoft) instalam o 1Password como pacote MSIX: a pasta fica em
+// C:\Program Files\WindowsApps\Agilebits.1Password_<versao>_x64__<id>, que um usuario comum nem consegue listar.
+const MSIX_PACKAGE_NAME = 'Agilebits.1Password';
+const MSIX_QUERY_TIMEOUT_MS = 60 * 1000;
+
+/**
+ * Windows: o 1Password esta instalado como pacote MSIX para ESTE usuario? A lista de pacotes do proprio usuario
+ * (`Get-AppxPackage`) responde sem admin. true | false | null (o PowerShell nao respondeu: nao da para saber).
+ * Comando em texto claro, nunca codificado (antivirus le comando escondido como dropper).
+ */
+function msixInstalled(run = spawnSync) {
+  const script = `$p = @(Get-AppxPackage -Name '${MSIX_PACKAGE_NAME}' -ErrorAction Stop); Write-Output ('AUROQ_MSIX=' + $p.Count)`;
+  let r;
+  try {
+    r = run('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], {
+      encoding: 'utf8', windowsHide: true, timeout: MSIX_QUERY_TIMEOUT_MS, stdio: ['ignore', 'pipe', 'pipe'], env: opEnv(),
+    });
+  } catch {
+    return null;
+  }
+  if (!r || r.error || r.status !== 0) return null;
+  const m = /AUROQ_MSIX=(\d+)/.exec(String(r.stdout || ''));
+  return m ? Number(m[1]) > 0 : null;
+}
+
+/**
+ * O app do 1Password esta neste computador? true | false | null (nao sabe: sistema sem instalacao automatica, ou
+ * o Windows nao deixou conferir o pacote MSIX). O fluxo principal so manda instalar com `=== false`; o `installApp`
+ * trata `null` como "nao esta aqui" e segue (a reserva se protege com limite de tempo).
+ * `run` so existe para os testes simularem o PowerShell.
+ */
+function appInstalled(platform = process.platform, env = process.env, run = spawnSync) {
+  // AUROQ_APP_1PASSWORD=instalado|ausente: so para os testes de processo real, que rodam em Mac/Windows de verdade
+  // (onde o app nao esta) e nao podem depender de o app existir na maquina.
+  const forcado = String(env.AUROQ_APP_1PASSWORD || '').toLowerCase();
+  if (forcado === 'instalado') return true;
+  if (forcado === 'ausente') return false;
+  if (platform === 'darwin') {
+    return ['/Applications/1Password.app', path.join(os.homedir(), 'Applications', '1Password.app')].some((p) => fs.existsSync(p));
+  }
+  if (platform === 'win32') {
+    // Instalador do aluno: %LOCALAPPDATA%\1Password\app\8\1Password.exe; instalacao para a maquina: Arquivos de Programas.
+    const roots = [env.LOCALAPPDATA, env.ProgramFiles, env['ProgramFiles(x86)']].filter(Boolean);
+    const classico = roots.some((root) => {
+      const appDir = path.join(root, '1Password', 'app');
+      try {
+        return fs.readdirSync(appDir).some((v) => fs.existsSync(path.join(appDir, v, '1Password.exe')));
+      } catch {
+        return false;
+      }
+    });
+    if (classico) return true;
+    // Pacote MSIX (o que o winget instala hoje). A lista de pacotes do usuario manda; a pasta WindowsApps so entra
+    // se o PowerShell nao respondeu (so quem e admin consegue listar essa pasta).
+    const msix = msixInstalled(run);
+    if (msix !== null) return msix;
+    try {
+      const base = env.ProgramFiles || 'C:\\Program Files';
+      if (fs.readdirSync(path.join(base, 'WindowsApps')).some((n) => /^Agilebits\.1Password_/i.test(n))) return true;
+    } catch { /* sem permissao para listar: nao e prova de ausencia */ }
+    return null;
+  }
+  return null;
+}
+
+/**
+ * Confere a assinatura Authenticode do instalador ANTES de rodar: precisa ser valida e do publicador "Agilebits".
+ * O caminho do arquivo vai por variavel de ambiente (nunca dentro do texto do comando). Nao lanca.
+ */
+function checkInstallerSignature(file, run = spawnSync) {
+  const script = "$s = Get-AuthenticodeSignature -LiteralPath $env:AUROQ_INSTALADOR; $a = ''; if ($s.SignerCertificate) { $a = $s.SignerCertificate.Subject }; Write-Output ($s.Status.ToString() + '|' + $a)";
+  let r;
+  try {
+    r = run('powershell', ['-NoProfile', '-NonInteractive', '-Command', script], {
+      encoding: 'utf8', windowsHide: true, timeout: 120000, env: { ...opEnv(), AUROQ_INSTALADOR: file },
+    });
+  } catch (e) {
+    return { ok: false, motivo: `nao consegui conferir a assinatura (${oneLine(e && e.message, 80)})` };
+  }
+  if (!r || r.error || r.status !== 0) return { ok: false, motivo: 'nao consegui conferir a assinatura' };
+  const line = String(r.stdout || '').trim().split(/\r?\n/).pop() || '';
+  const cut = line.indexOf('|');
+  const status = cut === -1 ? line : line.slice(0, cut);
+  const subject = cut === -1 ? '' : line.slice(cut + 1);
+  if (status !== 'Valid') return { ok: false, motivo: `a assinatura do arquivo nao e valida (${oneLine(status, 40) || 'sem resposta'})` };
+  if (!APP_SIGNER_RE.test(subject)) return { ok: false, motivo: 'o arquivo e assinado por outro publicador, nao pelo 1Password' };
+  return { ok: true, assunto: oneLine(subject, 120) };
+}
+
+/** Baixa um arquivo grande direto para o disco (https so). `curl` primeiro (respeita o proxy do sistema); reserva: fetch do Node. */
+async function downloadToFile(url, dest) {
+  const curl = process.platform === 'win32' ? 'curl.exe' : 'curl';
+  const r = spawnSync(curl, ['-fL', '--proto', '=https', '--proto-redir', '=https', '--silent', '--show-error', '--connect-timeout', '30', '--max-time', '900', '-o', dest, url], {
+    encoding: 'utf8', windowsHide: true, timeout: 16 * 60 * 1000, stdio: ['ignore', 'ignore', 'pipe'], env: opEnv(),
+  });
+  if (!r.error && r.status === 0 && fs.existsSync(dest)) return;
+  if (typeof fetch !== 'function') throw new Error(`download falhou (${r.error ? r.error.code || r.error.message : `curl saiu com ${r.status}`})`);
+  try { fs.rmSync(dest, { force: true }); } catch { /* recomeca */ }
+  const res = await fetch(url, { redirect: 'follow', headers: { 'User-Agent': 'auroq-os' } });
+  if (!res.ok || !res.body) throw new Error(`download falhou (HTTP ${res.status})`);
+  const { Readable } = require('stream');
+  const { pipeline } = require('stream/promises');
+  await pipeline(Readable.fromWeb(res.body), fs.createWriteStream(dest, { flags: 'w' }));
+}
+
+/** Roda um programa sem terminal. Nunca lanca. O ambiente sai sem a chave do agente (opEnv). */
+function runProgram(cmd, args, { timeoutMs = 15 * 60 * 1000 } = {}) {
+  const r = spawnSync(cmd, args, { encoding: 'utf8', env: opEnv(), timeout: timeoutMs, maxBuffer: 16 * 1024 * 1024, windowsHide: true, stdio: ['ignore', 'pipe', 'pipe'] });
+  return {
+    ok: !r.error && r.status === 0,
+    status: r.status,
+    stdout: r.stdout || '',
+    stderr: r.stderr || '',
+    timedOut: !!(r.error && r.error.code === 'ETIMEDOUT'),
+    missing: !!(r.error && r.error.code === 'ENOENT'),
+  };
+}
+
+/** Mata o processo e os filhos dele (o instalador oficial lanca outros processos; matar so o pai nao basta). Nunca lanca. */
+function killProcessTree(pid) {
+  if (!pid) return;
+  try {
+    if (process.platform === 'win32') spawnSync('taskkill', ['/PID', String(pid), '/T', '/F'], { stdio: 'ignore', windowsHide: true, timeout: 15000 });
+    else process.kill(pid, 'SIGKILL');
+  } catch { /* ja tinha saido */ }
+}
+
+/**
+ * Roda o instalador oficial do app: ASSINCRONO (o Node continua vendo Ctrl+C e o fechar do terminal; com `spawnSync`
+ * parado ele morre sem rodar limpeza nenhuma), com limite de tempo que mata o instalador e os filhos dele, e SEM
+ * janela escondida: no teste real de 03/11 o mesmo instalador travou escondido e terminou em 13 s rodado a vista. Se
+ * ele abrir uma janela, o aluno a ve (e pode responder). Nunca lanca. `signal` (AbortController) cancela de fora.
+ */
+function runInstallerProgram(cmd, args, { timeoutMs = APP_SETUP_TIMEOUT_MS, signal, spawnFn = spawn } = {}) {
+  return new Promise((resolve) => {
+    let settled = false;
+    let timedOut = false;
+    let timer = null;
+    let child = null;
+    const finish = (extra) => {
+      if (settled) return;
+      settled = true;
+      if (timer) clearTimeout(timer);
+      if (signal) signal.removeEventListener('abort', onAbort);
+      resolve({ ok: false, status: null, stdout: '', stderr: '', timedOut, missing: false, interrupted: false, ...extra });
+    };
+    const onAbort = () => { killProcessTree(child && child.pid); finish({ interrupted: true }); };
+    try {
+      child = spawnFn(cmd, args, { stdio: 'ignore', windowsHide: false, env: opEnv() });
+    } catch (e) {
+      finish({ missing: !!(e && e.code === 'ENOENT') });
+      return;
+    }
+    child.on('error', (e) => finish({ missing: !!(e && e.code === 'ENOENT') }));
+    child.on('close', (code) => finish({ ok: code === 0, status: code }));
+    timer = setTimeout(() => { timedOut = true; killProcessTree(child.pid); finish({}); }, timeoutMs);
+    if (signal) {
+      if (signal.aborted) onAbort();
+      else signal.addEventListener('abort', onAbort, { once: true });
+    }
+  });
+}
+
+/**
+ * Ctrl+C, terminal fechado ou encerramento: roda `fn` (limpeza) e sai. Devolve a funcao que desliga o gancho.
+ * So vale com o Node livre para ver o sinal, por isso a parte demorada da instalacao e assincrona.
+ */
+function onInterruptCleanup(fn) {
+  const sinais = ['SIGINT', 'SIGTERM', 'SIGHUP', 'SIGBREAK']; // SIGBREAK so existe no Windows (o Node ignora o nome nos outros)
+  const handler = (sinal) => {
+    try { fn(); } catch { /* sai do mesmo jeito */ }
+    process.exit(sinal === 'SIGINT' ? 130 : 143);
+  };
+  const ligados = [];
+  for (const sinal of sinais) {
+    try { process.on(sinal, handler); ligados.push(sinal); } catch { /* sinal que este sistema nao tem */ }
+  }
+  return () => { for (const sinal of ligados) process.removeListener(sinal, handler); };
+}
+
+const APP_TEMP_PREFIX = 'auroq-1p-app-';
+
+/**
+ * Apaga pastas temporarias do instalador (`auroq-1p-app-*`) que ficaram de uma execucao anterior morta a forca (o
+ * `finally` nao roda se o processo e morto). So mexe em pasta com esse prefixo e mais velha que `maxAgeMs`. Nunca lanca.
+ * Devolve quantas apagou.
+ */
+function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now() } = {}) {
+  let apagadas = 0;
+  let nomes = [];
+  try { nomes = fs.readdirSync(root); } catch { return 0; }
+  for (const nome of nomes) {
+    if (!nome.startsWith(APP_TEMP_PREFIX)) continue;
+    const full = path.join(root, nome);
+    try {
+      const st = fs.lstatSync(full);
+      if (!st.isDirectory() || now - st.mtimeMs < maxAgeMs) continue;
+      fs.rmSync(full, { recursive: true, force: true, maxRetries: 3, retryDelay: 200 });
+      apagadas += 1;
+    } catch { /* em uso ou sem permissao: fica para a proxima */ }
+  }
+  return apagadas;
+}
+
+function makeAppDeps() {
+  return {
+    platform: process.platform,
+    lock: makeLock(),
+    hasCommand,
+    appInstalled: () => appInstalled(),
+    refreshPath: refreshWindowsPath,
+    run: runProgram,
+    runInstaller: runInstallerProgram,
+    onInterrupt: onInterruptCleanup,
+    sweepStale: () => sweepStaleAppDirs(),
+    download: downloadToFile,
+    checkSignature: checkInstallerSignature,
+    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
+    out: { log, step, ok, warn, err },
+  };
+}
+
+const APP_NEXT_STEPS = 'Agora abra o app do 1Password, entre na sua conta (ou crie uma: guarde a Secret Key e o Kit de Emergencia que ele oferece) e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor. Depois rode o conectar-1password de novo.';
+
+/**
+ * Instala o app do 1Password (`conectar-1password --instalar-app`). Windows: winget e, se ele falhar, o instalador
+ * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask).
+ * O app e um programa novo no computador do aluno: quem chama pede o OK dele antes.
+ */
+async function installApp(deps = {}) {
+  const d = { ...makeAppDeps(), ...deps };
+  const out = d.out;
+  if (d.platform !== 'darwin' && d.platform !== 'win32') {
+    return fim('erro', 'app-nao-instalou', 'A instalacao automatica do app so existe no macOS e no Windows. Baixe em https://1password.com/downloads');
+  }
+  if (!d.lock.acquire()) {
+    return fim('aguardando', 'outra-execucao', 'Ja tem outra execucao do conectar-1password em andamento neste computador. Espere ela terminar e rode de novo; nao instalei nada em duplicidade.');
+  }
+  try {
+    out.step('Verificando o app do 1Password...');
+    if (d.appInstalled()) {
+      out.ok('O app do 1Password ja esta instalado.');
+      return fim('aguardando', 'app-instalado', `O app do 1Password ja esta instalado neste computador. ${APP_NEXT_STEPS}`);
+    }
+    const falhou = (msg) => fim('erro', 'app-nao-instalou', `${msg} Instale a mao em https://1password.com/downloads e rode o conectar-1password de novo.`);
+    const pronto = (via) => {
+      d.refreshPath();
+      out.ok(`App do 1Password instalado (${via}).`);
+      return fim('aguardando', 'app-instalado', `App do 1Password instalado. ${APP_NEXT_STEPS}`);
+    };
+
+    if (d.platform === 'darwin') {
+      if (!d.hasCommand('brew')) return falhou('Homebrew nao encontrado, entao nao consigo instalar o app daqui.');
+      out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
+      const r = d.run('brew', ['install', '--cask', '1password']);
+      if (r.ok || d.appInstalled()) return pronto('Homebrew');
+      return falhou(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+    }
+
+    // Windows 1: winget (rapido, mas falhou no teste real com 0x80070002 mesmo depois de conferir o hash)
+    const saidaDe = (r) => (r.timedOut ? 'demorou demais' : `codigo de saida ${r.status === null || r.status === undefined ? 'desconhecido' : r.status}`);
+    if (d.hasCommand('winget')) {
+      out.log(`${DIM}Instalando via winget (pode levar um minuto)...${RESET}`);
+      const w = d.run('winget', ['install', '--id', WINGET_APP_ID, '-e', '--source', 'winget', '--accept-source-agreements', '--accept-package-agreements', '--silent']);
+      d.refreshPath();
+      // Saida 0 = o winget instalou: confia. Ele instala o 1Password como pacote MSIX, que nenhuma checagem de pasta
+      // enxerga (teste real de 03/11); desconfiar dele mandava rodar o instalador de reserva por cima, e ele travava.
+      if (w.ok) return pronto('winget');
+      // O winget falhou. So vale a reserva se o app de fato nao esta aqui (o erro pode ter vindo depois de instalar).
+      if (d.appInstalled()) {
+        out.ok(`O winget saiu com erro (${saidaDe(w)}), mas o app do 1Password ja esta instalado.`);
+        return pronto('winget');
+      }
+      out.warn(`O winget nao conseguiu instalar o app (${saidaDe(w)}). Vou usar o instalador oficial do 1Password.`);
+    } else {
+      out.warn('O winget nao esta disponivel. Vou usar o instalador oficial do 1Password.');
+    }
+
+    // Windows 2: instalador oficial, com a assinatura conferida ANTES de rodar
+    const minutos = Math.round(APP_SETUP_TIMEOUT_MS / 60000);
+    try { d.sweepStale(); } catch { /* faxina e so um extra */ }
+    let dir = null;
+    const limpar = () => {
+      if (!dir) return;
+      try { fs.rmSync(dir, { recursive: true, force: true, maxRetries: 5, retryDelay: 200 }); } catch { /* fica na pasta temporaria do usuario; a proxima execucao varre */ }
+      dir = null;
+    };
+    const cancelar = new AbortController();
+    // Ctrl+C ou terminal fechado no meio: mata o instalador, apaga a pasta temporaria e solta a trava
+    const desligar = d.onInterrupt(() => { cancelar.abort(); limpar(); d.lock.release(); });
+    try {
+      dir = d.mkdtemp();
+      const file = path.join(dir, '1PasswordSetup.exe');
+      out.log(`${DIM}Baixando o instalador oficial (${APP_INSTALLER_URL})...${RESET}`);
+      try {
+        await d.download(APP_INSTALLER_URL, file);
+      } catch (e) {
+        return falhou(`Nao consegui baixar o instalador oficial (${oneLine(e && e.message, 120)}).`);
+      }
+      const sig = d.checkSignature(file);
+      if (!sig.ok) return falhou(`Nao executei o instalador baixado: ${sig.motivo}.`);
+      out.ok(`Assinatura conferida: ${sig.assunto || 'Agilebits'}`);
+      out.log(`${DIM}Rodando o instalador oficial (ele tem ate ${minutos} minutos). Se uma janela do 1Password abrir, deixe terminar.${RESET}`);
+      const r = await d.runInstaller(file, ['--silent'], { timeoutMs: APP_SETUP_TIMEOUT_MS, signal: cancelar.signal });
+      if (r.timedOut) {
+        // Nao terminou no prazo: foi interrompido (ele e os filhos). Pode ter instalado antes de travar; confere.
+        if (d.appInstalled()) {
+          out.ok('O instalador oficial passou do prazo e foi interrompido, mas o app do 1Password ja esta instalado.');
+          return pronto('instalador oficial');
+        }
+        return falhou(`O instalador oficial passou de ${minutos} minutos sem terminar e eu o interrompi (nao sei dizer por que: pode ter ficado esperando uma resposta numa janela, ou a internet estar lenta).`);
+      }
+      if (!r.ok) return falhou(`O instalador oficial nao terminou bem (${saidaDe(r)}).`);
+      return pronto('instalador oficial');
+    } finally {
+      desligar();
+      limpar();
+    }
+  } finally {
+    d.lock.release();
+  }
+}
+
 // Pasta do aluno fora do git, a mesma onde ficam as credenciais do Auroq (~/.arcane). Aqui vivem a trava de
 // instancia unica e o estado das etapas (nenhum segredo).
 function auroqDir() {
@@ -905,6 +1262,7 @@ function makeDefaultDeps() {
     platform: process.platform,
     openUrl,
     refreshPath: refreshWindowsPath,
+    appInstalled: () => appInstalled(),
     lock: makeLock(),
     state: { read: readState, write: writeState },
     envFileProblem,
@@ -1017,11 +1375,45 @@ function backupItemTemplate(token) {
 function saveBackup(d, account, token) {
   // Sem --vault: o `op` guarda no cofre pessoal da conta, que se chama Personal, Private ou Employee
   // conforme o plano (e pode vir traduzido), por isso nunca se usa o nome.
-  const r = d.op(
-    ['item', 'create', '-', '--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'],
-    { env: opEnv(), input: JSON.stringify(backupItemTemplate(token)) },
-  );
-  return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  const body = JSON.stringify(backupItemTemplate(token));
+  const common = ['--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'];
+  if (d.platform !== 'win32') {
+    const r = d.op(['item', 'create', '-', ...common], { env: opEnv(), input: body });
+    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  }
+  // Windows: o `op item create -` por pipe falha no PowerShell 5.1 ("invalid JSON in piped input", teste real de 27/10),
+  // entao o molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
+  // continua fora de argumento e de log; o arquivo e apagado em seguida, aconteca o que acontecer. O `op` roda com o
+  // stdin desligado (`noStdin`): com `--template` ele nao aceita nenhum pipe, nem vazio.
+  let tmp = null;
+  try {
+    tmp = writeTemplateFile(body);
+  } catch (e) {
+    return { ok: false, detalhe: `nao consegui preparar o arquivo temporario do molde (${oneLine(e && e.message, 120)})` };
+  }
+  try {
+    const r = d.op(['item', 'create', '--template', tmp.file, ...common], { env: opEnv(), noStdin: true });
+    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
+  } finally {
+    try { fs.rmSync(tmp.dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ }
+  }
+}
+
+/**
+ * Grava `content` num arquivo novo, dentro de uma pasta nova e de nome aleatorio na pasta temporaria do usuario
+ * (%TEMP% do perfil, que so ele, o SYSTEM e os administradores leem; o modo 0600 vale no Mac e no Linux e e ignorado no
+ * Windows). UTF-8 SEM BOM: o BOM faria o `op` recusar o JSON. Devolve { dir, file }; quem chama apaga a pasta.
+ */
+function writeTemplateFile(content) {
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-op-'));
+  const file = path.join(dir, 'molde.json');
+  try {
+    fs.writeFileSync(file, Buffer.from(content, 'utf8'), { flag: 'wx', mode: 0o600 });
+  } catch (e) {
+    try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* nada a fazer */ }
+    throw e;
+  }
+  return { dir, file };
 }
 
 /**
@@ -1084,12 +1476,57 @@ function showIntegrationHelp(d, out) {
   out.log('');
 }
 
-const APP_PRIORITY_MSG = 'O 1Password continua respondendo pelo app (pedindo digital) em vez de usar a chave. Sem isso o agente nao fica sem pedir digital. Nao criei nada novo; peca ajuda ao Arcano com este codigo: app-tem-prioridade.';
+/**
+ * Ajuda quando a conta aparece mas a aprovacao nao passou. Nao abre a tela do app (a chave provavelmente ja esta
+ * ligada): so lista o que conferir. `semSessao`: o `op` disse que nao ha sessao, entao tambem lembra da chave do app.
+ */
+function showApprovalHelp(d, out, semSessao) {
+  out.warn('O app do 1Password nao liberou o acesso ainda. Confira:');
+  const passos = ['Abra o app do 1Password e deixe-o desbloqueado (com a sua senha).'];
+  if (semSessao) passos.push('Em Configuracoes > Desenvolvedor, deixe marcado "Integrar com a CLI do 1Password" (Integrate with 1Password CLI).');
+  passos.push('Quando a janela da digital aparecer, aprove.');
+  passos.push(...biometricSteps(d.platform).map((s, i) => (i === 0 ? `Se a digital nunca aparece: ${s}` : s)));
+  passos.forEach((line, i) => out.log(`  ${i + 1}. ${line}`));
+  out.log('');
+}
+
+const APPROVAL_REFUSED_RE = /(dismiss|cancel|declin|denied|reject|refus)/i;
+
+/**
+ * Vale tentar o `op signin`? So quando o `op` disse que nao ha sessao. Janela da digital dispensada ou negada pelo
+ * aluno nao se repete sozinha (seriam mais janelas na cara dele), nem tempo esgotado.
+ */
+function needsSignin(r) {
+  if (!r || r.timedOut) return false;
+  if (APPROVAL_REFUSED_RE.test(String(r.stderr || ''))) return false;
+  return ['sem-sessao', 'sessao'].includes(classifyFailure(r));
+}
+
+/**
+ * Pede a aprovacao do app. O `op whoami` NAO serve: ele nao abre a janela da digital e, sem sessao aberta, responde na
+ * hora "account is not signed in" (teste real no Windows, 27/10). Quem pede a aprovacao e qualquer comando que precise
+ * de login; o exemplo da documentacao oficial da integracao com o app e o `op vault list` (so leitura). Segunda
+ * tentativa, so se a primeira voltar "sem sessao" (needsSignin): `op signin --account`. A sessao que o app abre pertence a este
+ * processo: os `op` seguintes sao filhos do mesmo node e a reaproveitam (e por isso a aprovacao NUNCA e feita num
+ * processo a parte).
+ */
+function requestApproval(d, account) {
+  const key = accountKey(account);
+  const approve = () => d.op(['vault', 'list', '--account', key, '--format', 'json'], { env: opEnv(), timeoutMs: APPROVAL_TIMEOUT_MS });
+  let r = approve();
+  if (!r.ok && needsSignin(r)) {
+    d.op(['signin', '--account', key], { env: opEnv(), timeoutMs: APPROVAL_TIMEOUT_MS }); // a saida nao interessa (e nunca e mostrada)
+    r = approve();
+  }
+  return r;
+}
+
+const APP_PRIORITY_MSG ='O 1Password continua respondendo pelo app (pedindo digital) em vez de usar a chave. Sem isso o agente nao fica sem pedir digital. Nao criei nada novo; peca ajuda ao Arcano com este codigo: app-tem-prioridade.';
 const NET_STRONG_RE = /(dial tcp|no such host|tls handshake|network is unreachable|no route to host|i\/o timeout)/i;
 
 // Erros que o aluno (ou o plano dele) resolve: a linha AUROQ_RESULTADO ja diz o que fazer. Saem com 1 mas a
 // telemetria do instalador nao os conta como instalacao quebrada.
-const STUDENT_ACTIONABLE = new Set(['sem-op', 'op-antigo', 'rede', 'conta-nao-encontrada', 'conta-ambigua', 'cofre-duplicado', 'sem-permissao', 'token-indisponivel', 'arquivo-ambiente']);
+const STUDENT_ACTIONABLE = new Set(['sem-op', 'op-antigo', 'rede', 'conta-nao-encontrada', 'conta-ambigua', 'cofre-duplicado', 'sem-permissao', 'token-indisponivel', 'arquivo-ambiente', 'app-nao-instalou']);
 
 function isStudentActionable(codigo) {
   return STUDENT_ACTIONABLE.has(codigo);
@@ -1203,6 +1640,11 @@ async function runConnect(opts, d, prog) {
   // 2. Sessao do aluno: o app do 1Password com a chave "Integrate with 1Password CLI" ligada
   out.step('Procurando a sua conta no app do 1Password...');
   let accounts = listAccounts(d);
+  if (!accounts.length && d.appInstalled() === false) {
+    // Sem app nao ha o que ligar: dizer "ligue a chave" mandaria o aluno procurar uma tela que nao existe (teste real de 27/10).
+    prog.reset('app');
+    return fim('aguardando', 'instalar-app', 'Nao achei o app do 1Password neste computador. Instale com: npx -y auroq-os@latest conectar-1password --instalar-app --agente (ou baixe em https://1password.com/downloads). Se ele ja esta instalado num lugar fora do comum, abra o app, entre na sua conta e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor; depois rode de novo.');
+  }
   if (!accounts.length) {
     showIntegrationHelp(d, out);
     if (waitSeconds > 0) {
@@ -1242,18 +1684,22 @@ async function runConnect(opts, d, prog) {
   out.ok(`Conta: ${accountLabel(account)}`);
 
   out.step('Pedindo sua aprovacao ao app do 1Password...');
-  out.log(`${BOLD}Vai abrir uma janela do 1Password pedindo a sua digital (Touch ID / Windows Hello) ou a senha. Aprove. Se ela aparecer mais de uma vez, e so aprovar de novo.${RESET}`);
-  const auth = d.op(['whoami', '--account', accountKey(account), '--format', 'json'], { env: opEnv(), timeoutMs: 180000 });
+  const digital = d.platform === 'win32' ? 'Windows Hello' : (d.platform === 'darwin' ? 'Touch ID' : 'Touch ID / Windows Hello');
+  out.log(`${BOLD}Vai abrir uma janela do 1Password pedindo a sua digital (${digital}) ou a senha. Aprove. Se ela aparecer mais de uma vez, e so aprovar de novo.${RESET}`);
+  const auth = requestApproval(d, account);
   if (!auth.ok) {
     const text = String(auth.stderr || '');
     if (NET_STRONG_RE.test(text)) return fim('erro', 'rede', `Sem conexao com o 1Password. ${oneLine(text)}`.trim());
-    if (!auth.timedOut && classifyFailure(auth) === 'sem-sessao') {
-      // Conta so adicionada na mao (`op account add`): aparece na lista mas sem sessao; falta a chave do app.
-      showIntegrationHelp(d, out);
-      return fim('aguardando', 'ligar-integracao', 'Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.');
-    }
+    // A conta JA apareceu na lista do app, entao a chave "Integrar com a CLI" nao e o que falta: nunca devolve
+    // 'ligar-integracao' aqui (o laco do teste real no Windows: o aluno ligava a chave, dizia "pronto" e ouvia de novo
+    // que faltava ligar). Falta a aprovacao no app, ou, so no caso da conta adicionada na mao (`op account add`), a chave.
+    const semSessao = !auth.timedOut && ['sem-sessao', 'sessao'].includes(classifyFailure(auth));
+    showApprovalHelp(d, out, semSessao);
     const detail = oneLine(text, 160);
-    return fim('aguardando', 'aprovar-no-app', `Nao consegui entrar na conta${auth.timedOut ? ': a janela da digital nao foi aprovada a tempo' : ''}. Confira se o app do 1Password esta aberto e desbloqueado, aprove a janela da digital e rode de novo.${detail ? ` (O 1Password disse: ${detail})` : ''}`);
+    const falta = semSessao
+      ? 'A conta aparece no app, mas ele nao liberou o acesso. Desbloqueie o app, confira "Integrar com a CLI" e aprove a janela (Windows: o Windows Hello precisa estar ligado). Rode de novo.'
+      : 'Abra e desbloqueie o app do 1Password e aprove a janela da digital (no Windows, o Windows Hello precisa estar ligado). Rode de novo.';
+    return fim('aguardando', 'aprovar-no-app', `Nao consegui entrar na conta${auth.timedOut ? ': a janela da digital nao foi aprovada a tempo' : ''}. ${falta}${detail ? ` (O 1Password disse: ${detail})` : ''}`);
   }
   prog.mark('aprovacao');
   out.ok('Aprovado');
@@ -1486,7 +1932,7 @@ function showState(st) {
 // ─── Entrada do comando ──────────────────────────────────
 
 /**
- * `auroq-os conectar-1password [--agente] [--conta X] [--rotacionar] [--esperar N] [--manual]`
+ * `auroq-os conectar-1password [--agente] [--conta X] [--rotacionar] [--esperar N] [--manual] [--instalar-app]`
  * Codigo de saida: 0 conectado OU falta uma acao do aluno (ligar a chave no app, escolher conta: a
  * linha AUROQ_RESULTADO diz qual), 1 erro.
  */
@@ -1503,7 +1949,7 @@ async function connect(options = {}) {
   if (!opts.agente) console.log(`\n${PURPLE}${BOLD}  Conectar 1Password — Auroq OS${RESET}`);
   let result;
   try {
-    result = await connectAutomatic(opts);
+    result = opts.instalarApp ? await installApp() : await connectAutomatic(opts);
   } catch (e) {
     // Excecao inesperada: o Ops sempre recebe a linha de resultado (e a mensagem nunca leva token).
     result = fim('erro', 'falha', `Falha inesperada: ${oneLine(e && e.message)}`);
@@ -1556,6 +2002,18 @@ module.exports = {
   shellKind,
   freshShellFor,
   clearClipboard,
+  requestApproval,
+  biometricSteps,
+  appInstalled,
+  msixInstalled,
+  installApp,
+  runInstallerProgram,
+  onInterruptCleanup,
+  makeAppDeps,
+  sweepStaleAppDirs,
+  checkInstallerSignature,
+  writeTemplateFile,
+  APP_INSTALLER_URL,
   ETAPAS,
   makeLock,
   isPersonalAccount,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.4",
+  "version": "2.8.6",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "ac1028498a2ac2756bafd2736cba9380f3734f8977b85bdb1afd14cd112e7685"
+      "sha256": "51edca56ab55af77a40dc2fa1290022ee3d608916994a518da779f2e138284da"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -214,7 +214,7 @@
     },
     {
       "path": "bin/auroq-os.js",
-      "sha256": "aceefa70ea90f3bc2d379493919a6141a636a2e55dfeb1c75c5f90f5e57141b7"
+      "sha256": "937e6e3b748e05f324b196891ea46663b950aa12e1ca20c9aa9dacf6d2bd8962"
     },
     {
       "path": "lib/ahi/client.mjs",
@@ -254,7 +254,7 @@
     },
     {
       "path": "lib/cofre.js",
-      "sha256": "98e3a471b613cd26a23aeb8affc0b6d2a1de881fade35a6902db1c8e1fa45c2f"
+      "sha256": "8dff20e576fda737f5039ceaca64e8e18fe79e19460c3ce0bac1262f7fa490df"
     },
     {
       "path": "lib/credentials.js",
@@ -282,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "0be8cb4e4f7bf1ff5ae3f0ad1ac26f8402963908c0b4010253becc7decf8b34b"
+      "sha256": "64d449d0d8f7fdc30d912dd7163d44ab235e83d495e0ad9573addf574f010ec4"
     },
     {
       "path": "lib/supabase.js",
@@ -298,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "1977563cbd4da43a7d87ffe8c1faa3e7ff3359cd8847776b511aaea05fee1fb3"
+      "sha256": "5d4c499b938bf1426747f0f7f5b3c7f760a5b1cbbf926f0523d00bdb34fbca91"
     },
     {
       "path": "scripts/build-pack.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.4",
+  "version": "2.8.6",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {