auroq-os 2.8.8 → 2.8.10

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.8.8
+  version: 2.8.10
   installedAt: '2026-03-16'
 
 ide:

package/CHANGELOG.md

@@ -1,5 +1,7 @@
 ## Unreleased
 
+- 2.8.10 — Cofre no Mac, segunda rodada do teste real num usuário novo do macOS (07/11/2026). **Guardar senha no 1Password voltou a funcionar:** no 1Password CLI 2.41, o molde do item por pipe parou de funcionar (`item create -` recusa com "provide the item category" e `item edit` por pipe sai 0 sem mudar nada); `segredo gravar` e a cópia da chave no cofre pessoal passam a usar o molde num arquivo temporário só do usuário (`--template`, apagado em seguida), como o Windows já fazia. **Mac, "acessar dados de outros apps":** o `op` lê a pasta do 1Password e o Mac pergunta se o Auroq OS (ou o Terminal) pode acessar dados de outros apps; negada ou cancelada, a conta some e o aluno ouvia "ligue a integração" em laço. Agora, sem conta à vista no Mac, o comando zera só essa decisão do programa que o abriu (`tccutil reset SystemPolicyAppData <app>`) para a pergunta voltar e diz para clicar em Permitir. O atalho para Configurações > Desenvolvedor abre o 1Password atual, não o "1Password 7" antigo. **Infisical no Safari:** a página do Infisical não consegue entregar o login ao computador no Safari e mostra "Unable to reach CLI" com "Copy to clipboard"; sem terminal o programa do Infisical não aceitava colar. Agora, enquanto o login espera (Mac e Windows), o comando reconhece esse código na área de transferência (só esse formato), entrega ao programa pelo endereço local e limpa a área de transferência: o aluno só clica em "Copy to clipboard". Textos do Mac: "Desbloquear usando Touch ID" e, sem Touch ID, a janela pede só "Autorizar". Catálogo `auroq-core` 2.3.56 (peça do 1Password da skill do cofre).
+- 2.8.9 — 1Password no Mac sem Homebrew (teste real num usuário novo do macOS, 06/11/2026): o Mac de aluno não tem Homebrew, e o `conectar-1password` parava em `app-nao-instalou` e `sem-op`. Agora, sem Homebrew (ou se ele falhar), o comando baixa o app oficial do 1Password (`1Password-latest`, assinatura da AgileBits conferida com `codesign --deep` e Team ID 2BUA8C4S2C) e copia para a pasta Aplicativos, e instala o 1Password CLI 2.41.1 oficial (SHA-256 fixo, o mesmo do app Auroq OS, mais a assinatura) em `~/.auroq/op/bin`, sem senha de administrador. `segredo` acha o `op` nessa pasta mesmo num terminal que não a tem no PATH.
 - 1Password no Windows: o CLI do 1Password passa pelo PowerShell, como no teste real do Marcos; isso evita a falha de sessão que ocorria quando o Node o iniciava diretamente. `--estado` usa o mesmo caminho para detectar o CLI, e a lista de contas deixa de depender do shell em que o aluno abriu o comando. Os três ganchos do Claude Code usam o caminho do projeto mesmo depois de entrar numa subpasta. A skill do cofre orienta o diagnóstico quando a aprovação se repete. Catálogo `auroq-core` 2.3.55.
 
 - Conteúdo ao vivo (catálogo `auroq-core` 2.3.54, 04/11): a peça do 1Password da skill do cofre avisa o Companion de que, no Windows, o app pode estar instalado só como pacote MSIX (é o que o `winget` instala hoje) e não aparece nas pastas de sempre: antes de dizer "o app não está instalado" (resultado `instalar-app`, ou o aluno dizendo que não acha) ele confere a lista de pacotes do Windows, e, se o app estiver lá, vai direto para entrar na conta e ligar a chave. Também descreve o instalador de reserva com limite de 3 minutos; o mesmo aviso entra no pré-gate da skill `configurar-computador`. Precisa do auroq-os 2.8.6 no npm (a detecção e o limite vivem no comando).

package/README.md

@@ -290,13 +290,13 @@ a parte tecnica e com o Companion.
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.8.8 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.8.8 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.8.10 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.8.10 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.1` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.8.8; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.8.10; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.8.8 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.8.10 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.8.8 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.8.10 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.8.8 "$@"
+    npx -y auroq-os@2.8.10 "$@"
   else
-    npx -y auroq-os@2.8.8 "$@" < /dev/tty
+    npx -y auroq-os@2.8.10 "$@" < /dev/tty
   fi
 }
 

package/lib/cofre.js

@@ -88,6 +88,10 @@ function ehWindows(d) {
   return ((d && d.platform) || process.platform) === 'win32';
 }
 
+function ehMac(d) {
+  return ((d && d.platform) || process.platform) === 'darwin';
+}
+
 function nowOf(d) {
   return d && typeof d.now === 'function' ? d.now() : Date.now();
 }
@@ -501,14 +505,14 @@ function makeOpBackend(d) {
   }
 
   // Windows: o `op` instalado DEPOIS de o programa-pai abrir (winget so muda o PATH no registro) nao esta no PATH deste
-  // processo: o spawn da ENOENT. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
+  // processo: o spawn da ENOENT. Mac sem Homebrew: o `op` mora em ~/.auroq/op/bin, que um terminal comum nao tem no PATH. Recompoe o PATH UMA vez por backend (cada recomposicao abre o PowerShell) e tenta o
   // comando de novo; chamadas em paralelo esperam a mesma recomposicao. Devolve false se nao ha como recompor.
   let recomposicao = null;
   function recomporPathUmaVez() {
     if (!recomposicao) {
       recomposicao = (async () => {
         const o = mod(d, 'onepassword');
-        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : o.refreshWindowsPath;
+        const recompor = typeof d.refreshPath === 'function' ? d.refreshPath : (ehWindows(d) ? o.refreshWindowsPath : o.refreshPath);
         if (typeof recompor !== 'function') return false;
         try { await recompor(); } catch { /* melhor esforco: o comando decide se achou */ }
         return true;
@@ -517,7 +521,7 @@ function makeOpBackend(d) {
     return recomposicao;
   }
 
-  async function call(tk, args, input = '') {
+  async function call(tk, args, input = '', extra = {}) {
     const o = mod(d, 'onepassword');
     const run = d.op || o.runOp;
     // o ambiente e montado a cada tentativa: o PATH recomposto vale so para quem copia process.env DEPOIS
@@ -528,25 +532,46 @@ function makeOpBackend(d) {
       for (const k of Object.keys(env)) {
         if (/^AUROQ_INFISICAL_/i.test(k)) delete env[k];
       }
-      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS });
+      return run(args, { env, input, timeoutMs: OP_TIMEOUT_MS, ...extra });
     };
     let r = await tentar();
-    if (r && r.missing && ehWindows(d) && (await recomporPathUmaVez())) r = await tentar();
+    if (r && r.missing && (ehWindows(d) || ehMac(d)) && (await recomporPathUmaVez())) r = await tentar();
     return r;
   }
 
   const semChave = () => failure('cofre-nao-configurado', tipo);
 
+  /**
+   * Criar e editar item vao com o molde num arquivo temporario (`--template`), nunca por pipe: no 1Password CLI 2.41
+   * (teste real num Mac, 07/11/2026) o `item create -` por pipe recusa ("provide the item category with '--category'
+   * flag") e o `item edit` por pipe sai 0 SEM mudar nada. O arquivo (so deste usuario, 0600) e apagado em seguida,
+   * aconteca o que acontecer; o `op` roda com o stdin desligado (com `--template` ele nao aceita pipe nenhum).
+   */
+  async function runComMolde(args, body, secrets) {
+    const o = mod(d, 'onepassword');
+    let tmp = null;
+    try {
+      tmp = o.writeTemplateFile(body);
+    } catch (e) {
+      return { erro: failure('falha', tipo, `Nao consegui preparar o arquivo temporario do molde (${oneLine(e && e.message, 120)}).`) };
+    }
+    try {
+      return await run([...args, '--template', tmp.file], undefined, secrets, { noStdin: true });
+    } finally {
+      try { fs.rmSync(tmp.dir, { recursive: true, force: true }); } catch { /* fica na pasta temporaria do usuario */ }
+    }
+  }
+
   /** Gravar e apagar leem o item, mudam e gravam de volta: dois comandos juntos criariam item repetido ou perderiam um campo. Um por vez. */
   const comTrava = (fn) => withFileLock(path.join(dirOf(d), 'cofre-op.lock'), fn, {
     waitMs: d.lockWaitMs === undefined ? LOCK_WAIT_MS : d.lockWaitMs,
     onTimeout: () => fail('falha', 'Outro comando esta gravando no 1Password agora. Tente de novo em alguns instantes.'),
   });
 
-  async function run(args, input, secrets) {
+  async function run(args, input, secrets, extra = {}) {
     let tk = await token();
     if (!tk) return { erro: semChave() };
-    let r = await call(tk, args, input);
+    let r = await call(tk, args, input, extra);
     let c = r.ok ? null : classifyOp(d, r, secrets);
     // A variavel do programa pode estar velha: janela aberta com uma chave que depois foi revogada e trocada (a
     // nova esta gravada no computador). Chave RECUSADA vinda da variavel => tenta a gravada, se for outra. So esta
@@ -554,7 +579,7 @@ function makeOpBackend(d) {
     if (c && c.codigo === 'credencial-invalida' && tk === fromEnv()) {
       const gravada = await fromDisk();
       if (gravada && gravada !== tk) {
-        const r2 = await call(gravada, args, input);
+        const r2 = await call(gravada, args, input, extra);
         tk = gravada;
         r = r2;
         c = r.ok ? null : classifyOp(d, r, secrets);
@@ -598,13 +623,13 @@ function makeOpBackend(d) {
         }
         let w;
         if (!item) {
-          w = await run(['item', 'create', '-', '--vault', VAULT_NAME, '--tags', ITEM_TAG], JSON.stringify(itemTemplate(ref, valor)), secrets);
+          w = await runComMolde(['item', 'create', '--vault', VAULT_NAME, '--tags', ITEM_TAG], JSON.stringify(itemTemplate(ref, valor)), secrets);
         } else {
           // item que ja existe (pode ser do aluno, com varios campos): muda ou insere SO o campo pedido
           const campo = findField(item.fields, ref.campo);
           if (campo) campo.value = valor;
           else item.fields.push(ref.campo === CREDENTIAL ? { id: CREDENTIAL, type: 'CONCEALED', label: CREDENTIAL, value: valor } : { type: 'CONCEALED', label: ref.campo, value: valor });
-          w = await run(['item', 'edit', ref.item, '--vault', VAULT_NAME], JSON.stringify(item), secrets);
+          w = await runComMolde(['item', 'edit', ref.item, '--vault', VAULT_NAME], JSON.stringify(item), secrets);
         }
         if (w.erro) return w.erro;
         return { ok: true, criado: !item };

package/lib/infisical-cli.js

@@ -31,7 +31,7 @@ const os = require('os');
 const path = require('path');
 const crypto = require('crypto');
 const fs = require('fs');
-const { spawn, spawnSync } = require('child_process');
+const { spawn, spawnSync, execFileSync } = require('child_process');
 
 // Versao minima aceita: login por navegador SEM terminal + perfis (--profile/--save-as) so existem a partir daqui
 // (resultado-cli.md, secao 7: "Login por navegador seguro sem TTY: v0.43.139"). O projeto e criado pela API,
@@ -51,6 +51,7 @@ const LOGOUT_TIMEOUT_MS = 60000;
 const EXTRACT_TIMEOUT_MS = 300000;
 const INSTALL_TIMEOUT_MS = 15 * 60 * 1000;
 const DEFAULT_LOGIN_TIMEOUT_MS = 540000;
+const CLIPBOARD_POLL_MS = 2000;
 const DOWNLOAD_TIMEOUT_MS = 15 * 60 * 1000;
 const DOWNLOAD_MAX_BYTES = 400 * 1024 * 1024;
 const OUTPUT_CAP = 16 * 1024 * 1024;
@@ -351,10 +352,74 @@ function makeDefaultCliDeps(overrides = {}) {
     tmpdir: os.tmpdir(),
     run: runProcess,
     download: (url) => defaultDownload(url, process.platform),
+    readClipboard: () => readClipboardText(process.platform),
+    clearClipboard: () => clearClipboardText(process.platform),
+    postLocal: postToLoopback,
+    sleep: (ms) => new Promise((r) => setTimeout(r, ms)),
     ...overrides,
   };
 }
 
+// ─── Reserva do login: o codigo copiado da tela "Unable to reach CLI" ─────────
+
+/**
+ * Teste real num Mac (07/11/2026): o Safari nao deixa a pagina do Infisical (https) entregar o login ao CLI em
+ * http://127.0.0.1:<porta> e mostra "Unable to reach CLI" com o botao "Copy to clipboard". Sem terminal, o CLI nao
+ * aceita colar (so le o codigo quando tem TTY). Entao, enquanto o login espera, o Auroq olha a area de transferencia:
+ * quando o aluno clica "Copy to clipboard", o codigo (base64 de {JTWToken,email,privateKey}) vai do proprio Auroq para
+ * o CLI pelo mesmo endereco local que a pagina usaria, e a area de transferencia e limpa. Nunca mostra nem guarda o
+ * codigo; so aceita exatamente esse formato.
+ */
+function readClipboardText(platform) {
+  try {
+    if (platform === 'darwin') return execFileSync('/usr/bin/pbpaste', [], { encoding: 'utf8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'], maxBuffer: 1024 * 1024 });
+    if (platform === 'win32') return execFileSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', 'Get-Clipboard -Raw'], { encoding: 'utf8', timeout: 8000, stdio: ['ignore', 'pipe', 'ignore'], windowsHide: true, maxBuffer: 1024 * 1024 });
+  } catch { /* sem area de transferencia: segue esperando o navegador */ }
+  return '';
+}
+
+function clearClipboardText(platform) {
+  try {
+    if (platform === 'darwin') execFileSync('/usr/bin/pbcopy', [], { input: '', timeout: 5000, stdio: ['pipe', 'ignore', 'ignore'] });
+    else if (platform === 'win32') execFileSync('powershell.exe', ['-NoProfile', '-NonInteractive', '-Command', 'Set-Clipboard -Value $null'], { timeout: 8000, stdio: 'ignore', windowsHide: true });
+  } catch { /* melhor esforco */ }
+}
+
+/** POST JSON para http://127.0.0.1:<porta>/ (o servidor que o proprio CLI abriu para o login). Nunca lanca. */
+function postToLoopback(port, body) {
+  return new Promise((resolve) => {
+    let req;
+    try {
+      req = require('http').request({ host: '127.0.0.1', port, path: '/', method: 'POST', timeout: 15000,
+        headers: { 'Content-Type': 'application/json', 'Content-Length': Buffer.byteLength(body) } }, (res) => {
+        res.resume();
+        res.on('end', () => resolve({ ok: res.statusCode >= 200 && res.statusCode < 300, status: res.statusCode }));
+      });
+    } catch { resolve({ ok: false }); return; }
+    req.on('timeout', () => req.destroy());
+    req.on('error', () => resolve({ ok: false }));
+    req.end(body);
+  });
+}
+
+/** O texto e o codigo da tela "Unable to reach CLI"? Devolve o JSON a entregar ao CLI, ou null. */
+function parseCopiedLoginToken(text) {
+  const t = String(text || '').trim();
+  if (t.length < 40 || t.length > 20000 || !/^[A-Za-z0-9+/=]+$/.test(t)) return null;
+  let obj;
+  try { obj = JSON.parse(Buffer.from(t, 'base64').toString('utf8')); } catch { return null; }
+  if (!obj || typeof obj !== 'object' || Array.isArray(obj)) return null;
+  if (typeof obj.JTWToken !== 'string' || !/^eyJ[A-Za-z0-9_-]*\.[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+$/.test(obj.JTWToken)) return null;
+  if (typeof obj.email !== 'string' || !obj.email.includes('@')) return null;
+  return JSON.stringify({ JTWToken: obj.JTWToken, email: obj.email, privateKey: typeof obj.privateKey === 'string' ? obj.privateKey : '' });
+}
+
+function callbackPortOf(url) {
+  const m = /[?&]callback_port=(\d{2,5})(?:&|$)/.exec(String(url || ''));
+  const n = m ? Number(m[1]) : NaN;
+  return n > 0 && n < 65536 ? n : null;
+}
+
 /** Completa o `d` recebido com os padroes reais (os testes passam so o que querem trocar). */
 function withDefaults(d) {
   const base = makeDefaultCliDeps();
@@ -784,14 +849,44 @@ async function browserLogin(dIn, cli, { domain, profile = PROFILE, timeoutMs = D
     found(extractLoginUrl(buffer));
   };
 
+  // Reserva (Mac e Windows): o aluno clica "Copy to clipboard" na tela "Unable to reach CLI" e o Auroq entrega.
+  let rodando = true;
+  let entregue = false;
+  const vigiarAreaDeTransferencia = async () => {
+    if (d.platform !== 'darwin' && d.platform !== 'win32') return;
+    if (typeof d.readClipboard !== 'function' || typeof d.postLocal !== 'function') return;
+    while (rodando && !entregue) {
+      await d.sleep(CLIPBOARD_POLL_MS);
+      if (!rodando) return;
+      const port = callbackPortOf(url);
+      if (!port) continue;
+      let copiado = '';
+      let corpo = null;
+      try { copiado = String(await d.readClipboard()); corpo = parseCopiedLoginToken(copiado); } catch { corpo = null; }
+      if (!corpo) continue;
+      const enviado = await d.postLocal(port, corpo);
+      if (!(enviado && enviado.ok)) continue; // o CLI nao aceitou: deixa a area de transferencia como estava
+      entregue = true;
+      // limpa so se ainda for o mesmo codigo (o aluno pode ter copiado outra coisa nesse meio tempo)
+      try {
+        if (typeof d.clearClipboard === 'function' && String(await d.readClipboard()).trim() === copiado.trim()) await d.clearClipboard();
+      } catch { /* melhor esforco */ }
+    }
+  };
+  const vigia = vigiarAreaDeTransferencia().catch(() => {});
+
   let r;
   try {
     r = await d.run(cli, ['login', '--domain', domain, '--save-as', profile, '--silent'], {
       env: cliEnv(d.env), timeoutMs, stdinIgnore: true, onStderr,
     });
   } catch {
+    rodando = false;
     return { ok: false, motivo: 'falhou', url, detalhe: 'nao consegui rodar o CLI' };
+  } finally {
+    rodando = false;
   }
+  void vigia; // para sozinho na proxima volta (nao segura o resultado do login)
   r = r || {};
   // `run` sem tempo real (ou saida que chegou toda no fim): olha o texto final
   if (!url) found(extractLoginUrl(`${buffer}\n${r.stderr || ''}\n`, { complete: true }));
@@ -863,6 +958,8 @@ module.exports = {
   runProcess,
   curlDownload,
   extractLoginUrl,
+  parseCopiedLoginToken,
+  callbackPortOf,
   releaseTarget,
   parseChecksums,
   scrub,

package/lib/onepassword.js

@@ -84,20 +84,102 @@ function opVersion() {
   return r.ok ? r.stdout.trim() : null;
 }
 
+// 1Password CLI oficial para Mac SEM Homebrew (teste real num Mac novo, 06/11/2026: aluno nao tem `brew`, e instalar o
+// Homebrew pede a senha de admin e as ferramentas da Apple). Mesma versao, mesmo endereco e mesmo SHA-256 que o app
+// Auroq OS usa (auroq-os-app, auroq/primeira-execucao/instalador-do-op.ts), na mesma pasta: ~/.auroq/op/bin.
+const OP_DIRETO = {
+  versao: '2.41.1',
+  pacotes: {
+    arm64: '2289771b68b521ee3dc1d63a013a6a1c5691e0c53e4c4fe79af8042b6ad3c7f5',
+    x64: 'e77fc9a8ebb23c176fed7c56ea6e4a7184d2b89957e9a5d9a2feb724e7e0574b',
+  },
+};
+// Team ID da AgileBits (dona do 1Password) na assinatura da Apple: o `op` e o app so entram se vierem assinados por ela.
+const AGILEBITS_TEAM_ID = '2BUA8C4S2C';
+
+/** Pasta do `op` instalado sem Homebrew (a mesma do app Auroq OS, que ja a poe no PATH dos terminais dele). */
+function auroqOpBin(home = os.homedir()) {
+  return path.join(home, '.auroq', 'op', 'bin');
+}
+
+function opDiretoUrl(arch) {
+  const pacote = arch === 'arm64' ? 'arm64' : 'amd64';
+  return `https://cache.agilebits.com/dist/1P/op2/pkg/v${OP_DIRETO.versao}/op_darwin_${pacote}_v${OP_DIRETO.versao}.zip`;
+}
+
+// Requisito de assinatura conferido pelo proprio macOS: certificado emitido pela Apple (Developer ID) para a equipe
+// da AgileBits. So o texto "TeamIdentifier=" nao basta: uma assinatura propria poderia imitar o identificador.
+const AGILEBITS_REQUISITO = `anchor apple generic and certificate leaf[subject.OU] = "${AGILEBITS_TEAM_ID}"`;
+
+/** O programa tem assinatura valida, emitida pela Apple para a AgileBits (`codesign -R`)? Nunca lanca. */
+function assinadoPelaAgilebits(alvo, run, { deep = false } = {}) {
+  const v = run('/usr/bin/codesign', ['--verify', '--strict', ...(deep ? ['--deep'] : []), `-R=${AGILEBITS_REQUISITO}`, alvo]);
+  if (!v || !v.ok) return false;
+  const info = run('/usr/bin/codesign', ['-dv', '--verbose=2', alvo]);
+  const texto = `${(info && info.stdout) || ''}\n${(info && info.stderr) || ''}`;
+  return new RegExp(`^TeamIdentifier=${AGILEBITS_TEAM_ID}$`, 'm').test(texto);
+}
+
+/**
+ * Mac sem Homebrew: baixa o `op` oficial (versao fixa), confere o SHA-256 e a assinatura da AgileBits ANTES de por no
+ * lugar e instala em ~/.auroq/op/bin, sem senha. Poe a pasta no PATH deste processo. Nunca lanca; devolve true/false.
+ * `deps` so existe para os testes.
+ */
+function installOpDirect(deps = {}) {
+  const d = {
+    arch: process.arch,
+    home: os.homedir(),
+    run: (cmd, args, o) => runProgram(cmd, args, o),
+    pacotes: OP_DIRETO.pacotes,
+    tmpdir: os.tmpdir(),
+    out: { log, err },
+    ...deps,
+  };
+  const esperado = d.pacotes[d.arch === 'arm64' ? 'arm64' : 'x64'];
+  const destino = auroqOpBin(d.home);
+  let tmp = null;
+  try {
+    tmp = fs.mkdtempSync(path.join(d.tmpdir, 'auroq-op-'));
+    const zip = path.join(tmp, 'op.zip');
+    const aberto = path.join(tmp, 'aberto');
+    d.out.log(`${DIM}Baixando o 1Password CLI oficial ${OP_DIRETO.versao} (sem Homebrew)...${RESET}`);
+    const baixou = d.run('/usr/bin/curl', ['-fL', '--proto', '=https', '--proto-redir', '=https', '--silent', '--show-error', '--connect-timeout', '30', '--max-time', '900', '-o', zip, opDiretoUrl(d.arch)]);
+    if (!baixou.ok || !fs.existsSync(zip)) { d.out.err('Nao consegui baixar o 1Password CLI oficial (internet?).'); return false; }
+    const obtido = crypto.createHash('sha256').update(fs.readFileSync(zip)).digest('hex');
+    if (obtido !== esperado) { d.out.err('O arquivo baixado do 1Password CLI nao confere (SHA-256 diferente); nao instalei nada.'); return false; }
+    fs.mkdirSync(aberto, { recursive: true });
+    const abriu = d.run('/usr/bin/ditto', ['-x', '-k', zip, aberto]);
+    const novo = path.join(aberto, 'op');
+    if (!abriu.ok || !fs.existsSync(novo)) { d.out.err('Nao consegui abrir o pacote do 1Password CLI.'); return false; }
+    if (!assinadoPelaAgilebits(novo, d.run)) { d.out.err('O 1Password CLI baixado nao tem a assinatura da AgileBits; nao instalei.'); return false; }
+    fs.mkdirSync(destino, { recursive: true });
+    const final = path.join(destino, 'op');
+    const provisorio = path.join(destino, `.op.auroq-${process.pid}.tmp`);
+    fs.copyFileSync(novo, provisorio);
+    fs.chmodSync(provisorio, 0o755);
+    fs.renameSync(provisorio, final);
+    d.run('/usr/bin/xattr', ['-d', 'com.apple.quarantine', final]); // melhor esforco: curl nao marca quarentena
+    refreshPath({ platform: 'darwin', home: d.home });
+    return true;
+  } catch (e) {
+    d.out.err(`Nao consegui instalar o 1Password CLI em ${destino} (${oneLine(e && e.message, 120)}).`);
+    return false;
+  } finally {
+    if (tmp) { try { fs.rmSync(tmp, { recursive: true, force: true }); } catch { /* fica no temp do sistema */ } }
+  }
+}
+
 function installOp({ upgrade = false } = {}) {
   if (process.platform === 'darwin') {
-    if (!hasCommand('brew')) {
-      err('Homebrew nao encontrado. Instale em https://brew.sh e rode este comando de novo.');
-      return false;
-    }
+    if (!hasCommand('brew')) return installOpDirect();
     log(`${DIM}${upgrade ? 'Atualizando' : 'Instalando'} via Homebrew (pode levar um minuto)...${RESET}`);
     const brewCmd = upgrade ? 'brew upgrade --cask 1password-cli' : 'brew install --cask 1password-cli';
     try {
       execSync(brewCmd, { stdio: 'pipe', maxBuffer: 64 * 1024 * 1024, env: opEnv() });
       return true;
     } catch {
-      err(`${upgrade ? 'Atualizacao' : 'Instalacao'} via Homebrew falhou. Tente manualmente: ${brewCmd}`);
-      return false;
+      warn(`${upgrade ? 'Atualizacao' : 'Instalacao'} via Homebrew falhou; vou usar o pacote oficial do 1Password.`);
+      return installOpDirect();
     }
   }
 
@@ -392,6 +474,7 @@ async function connectManual() {
 
   // 1. Garantir que o op existe
   step('Verificando 1Password CLI...');
+  refreshPath();
   let version = opVersion();
   if (!version) {
     warn('1Password CLI (op) nao encontrado — instalando...');
@@ -469,6 +552,8 @@ const SERVICE_ACCOUNT_NAME = 'Auroq';
 // `op service-account create` so existe desde a 2.26.0 e `op whoami` so diz QUEM esta falando (conta de
 // servico ou pessoa) desde a 2.30.0; o teste final precisa dessa resposta, entao o minimo e a 2.30.0.
 const MIN_OP_VERSION = '2.30.0';
+const MAC_DADOS_DE_OUTROS_APPS = 'No Mac: se aparecer a pergunta se o Auroq OS (ou o Terminal) pode acessar dados de outros apps, clique em Permitir. Sem isso o 1Password fica invisivel para o Auroq.';
+const MAC_APP_BUNDLE = 'com.1password.1password'; // o 1Password 8 (o "1Password 7" antigo e com.agilebits.onepassword7)
 const INTEGRATION_URL = 'onepassword://settings/developers'; // abre o app direto em Configuracoes > Desenvolvedor
 const BACKUP_TITLE = 'Auroq OS - token da conta de servico';
 const BACKUP_TAG = 'auroq-os';
@@ -663,7 +748,7 @@ function enableIntegrationSteps(platform) {
     ? 'Abra as Configuracoes: no menu de cima do Mac, 1Password > Configuracoes (ou Cmd + virgula). Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.'
     : 'Abra as Configuracoes: clique no nome da sua conta (canto de cima, a esquerda) > Configuracoes. Se eu ja abri a tela de Desenvolvedor pra voce, pule pro passo 3.';
   const digital = platform === 'darwin'
-    ? 'Para aprovar com a digital: Configuracoes > Seguranca > "Desbloquear com Touch ID". Sem isso o Mac pede a senha do seu usuario do Mac.'
+    ? 'Para aprovar com a digital (opcional): Configuracoes > Seguranca > "Desbloquear usando Touch ID" (Desbloquear com Touch ID). Sem Touch ID, a janela do 1Password pede so um clique em "Autorizar". Se o Mac perguntar se o Auroq OS (ou o Terminal) pode acessar dados de outros apps, clique em Permitir.'
     : 'Para aprovar com o Windows Hello: Configuracoes > Seguranca > "Desbloquear com Windows Hello". Sem o Windows Hello ligado a janela de aprovacao pode nem aparecer.';
   return [
     'Abra o app do 1Password, entre na sua conta e deixe o app aberto.',
@@ -675,15 +760,15 @@ function enableIntegrationSteps(platform) {
 
 /**
  * Receita curta para ligar a digital (Windows Hello / Touch ID) quando nao esta ligada. A documentacao da integracao
- * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele vale a senha do usuario do Mac). A
+ * manda ligar o Windows Hello no Windows; no Mac o Touch ID e opcional (sem ele a janela pede um clique em Autorizar). A
  * senha da conta 1Password NAO faz esse papel. O codigo nao liga nada disso por ele.
  */
 function biometricSteps(platform) {
   if (platform === 'darwin') {
     return [
       'No Mac, cadastre a digital: Ajustes do Sistema > Touch ID e Senha > Adicionar digital.',
-      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear com Touch ID".',
-      'O Touch ID e opcional: se o seu Mac nao tem, o Mac pede a senha do seu usuario do Mac na janela de aprovacao.',
+      'No 1Password: Configuracoes > Seguranca > marque "Desbloquear usando Touch ID" (Desbloquear com Touch ID).',
+      'O Touch ID e opcional: sem ele, a janela de aprovacao do 1Password pede so um clique em "Autorizar" (ou a senha do seu usuario do Mac, se voce ligou "Desbloqueie o aplicativo com a senha do Mac").',
     ];
   }
   return [
@@ -771,11 +856,19 @@ function runOpInFreshShell(args) {
 function openUrl(url) {
   if (process.env.AUROQ_NAO_ABRIR_APP) return;
   try {
+    // Mac: o link onepassword:// pode abrir o "1Password 7" antigo, se ele ainda estiver instalado (teste real num Mac,
+    // 07/11/2026). Pede o app atual pelo identificador; se ele nao estiver la, abre do jeito de sempre.
     const [cmd, args] = process.platform === 'darwin'
-      ? ['open', [url]]
+      ? ['open', ['-b', MAC_APP_BUNDLE, url]]
       : (process.platform === 'win32' ? ['cmd', ['/c', 'start', '', url]] : ['xdg-open', [url]]);
     const child = spawn(cmd, args, { stdio: 'ignore', detached: true, windowsHide: true, env: opEnv() });
     child.on('error', () => {});
+    if (process.platform === 'darwin') {
+      child.on('exit', (code) => {
+        if (code === 0) return;
+        try { const outro = spawn('open', [url], { stdio: 'ignore', detached: true, env: opEnv() }); outro.on('error', () => {}); outro.unref(); } catch { /* receita escrita vale */ }
+      });
+    }
     child.unref();
   } catch {
     /* sem problema: a receita escrita continua valendo */
@@ -786,6 +879,17 @@ function openUrl(url) {
  * Windows: o winget so muda o PATH no registro, nao no processo que ja esta rodando. Recompoe o
  * PATH deste processo (maquina + usuario + pasta de links do winget) para achar o `op` recem-instalado.
  */
+/**
+ * Recompõe o PATH deste processo para achar um `op` instalado depois que ele abriu. Mac/Linux: a pasta do `op`
+ * instalado sem Homebrew (~/.auroq/op/bin), se existir. Windows: o PATH do registro (o winget so muda o registro).
+ */
+function refreshPath({ platform = process.platform, home = os.homedir() } = {}) {
+  if (platform === 'win32') return refreshWindowsPath();
+  const bin = auroqOpBin(home);
+  const atual = String(process.env.PATH || '').split(':');
+  if (!atual.includes(bin) && fs.existsSync(path.join(bin, 'op'))) process.env.PATH = [bin, ...atual.filter(Boolean)].join(':');
+}
+
 function refreshWindowsPath() {
   if (process.platform !== 'win32') return;
   const parts = [];
@@ -997,12 +1101,12 @@ const APP_TEMP_PREFIX = 'auroq-1p-app-';
  * `finally` nao roda se o processo e morto). So mexe em pasta com esse prefixo e mais velha que `maxAgeMs`. Nunca lanca.
  * Devolve quantas apagou.
  */
-function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now() } = {}) {
+function sweepStaleAppDirs(root = os.tmpdir(), { maxAgeMs = 60 * 60 * 1000, now = Date.now(), prefix = APP_TEMP_PREFIX } = {}) {
   let apagadas = 0;
   let nomes = [];
   try { nomes = fs.readdirSync(root); } catch { return 0; }
   for (const nome of nomes) {
-    if (!nome.startsWith(APP_TEMP_PREFIX)) continue;
+    if (!nome.startsWith(prefix)) continue;
     const full = path.join(root, nome);
     try {
       const st = fs.lstatSync(full);
@@ -1020,23 +1124,82 @@ function makeAppDeps() {
     lock: makeLock(),
     hasCommand,
     appInstalled: () => appInstalled(),
-    refreshPath: refreshWindowsPath,
+    refreshPath,
     run: runProgram,
     runInstaller: runInstallerProgram,
     onInterrupt: onInterruptCleanup,
     sweepStale: () => sweepStaleAppDirs(),
     download: downloadToFile,
     checkSignature: checkInstallerSignature,
+    macAppDirect: () => installMacAppDirect(),
     mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
     out: { log, step, ok, warn, err },
   };
 }
 
+// App do 1Password para Mac: o zip oficial do app inteiro (o mesmo arquivo que o Homebrew baixa, sem fixar versao).
+const MAC_APP_URL = (arch) => `https://downloads.1password.com/mac/1Password-latest-${arch === 'arm64' ? 'aarch64' : 'x86_64'}.zip`;
+
+/**
+ * Mac sem Homebrew: baixa o app oficial, confere a assinatura da AgileBits (Team ID e `codesign --deep`) e copia para
+ * /Applications (o aluno administrador do Mac grava ali sem senha) ou, sem permissao, para ~/Applications.
+ * Nunca lanca. { ok, motivo, destino }. `deps` so existe para os testes.
+ */
+async function installMacAppDirect(deps = {}) {
+  const d = {
+    arch: process.arch,
+    home: os.homedir(),
+    run: (cmd, args, o) => runProgram(cmd, args, o),
+    download: downloadToFile,
+    mkdtemp: () => fs.mkdtempSync(path.join(os.tmpdir(), APP_TEMP_PREFIX)),
+    gravavel: (dir) => { try { fs.accessSync(dir, fs.constants.W_OK); return true; } catch { return false; } },
+    aplicativos: '/Applications',
+    out: { log },
+    ...deps,
+  };
+  let dir = null;
+  let provisorio = null;
+  try {
+    dir = d.mkdtemp();
+    const zip = path.join(dir, '1Password.zip');
+    const aberto = path.join(dir, 'aberto');
+    d.out.log(`${DIM}Baixando o app oficial do 1Password (uns 220 MB, pode levar alguns minutos)...${RESET}`);
+    try {
+      await d.download(MAC_APP_URL(d.arch), zip);
+    } catch (e) {
+      return { ok: false, motivo: `Nao consegui baixar o app oficial (${oneLine(e && e.message, 120)}).` };
+    }
+    fs.mkdirSync(aberto, { recursive: true });
+    const abriu = d.run('/usr/bin/ditto', ['-x', '-k', zip, aberto]);
+    const app = path.join(aberto, '1Password.app');
+    if (!abriu.ok || !fs.existsSync(app)) return { ok: false, motivo: 'Nao consegui abrir o pacote do app.' };
+    if (!assinadoPelaAgilebits(app, d.run, { deep: true })) return { ok: false, motivo: 'O app baixado nao tem a assinatura da AgileBits; nao instalei.' };
+    const pasta = d.gravavel(d.aplicativos) ? d.aplicativos : path.join(d.home, 'Applications');
+    fs.mkdirSync(pasta, { recursive: true });
+    const destino = path.join(pasta, '1Password.app');
+    // copia para um nome provisorio na mesma pasta, confere a COPIA e so entao poe o nome final: uma copia pela metade
+    // nunca fica com cara de app instalado (o appInstalled olha so se a pasta existe)
+    provisorio = path.join(pasta, `.1Password.app.auroq-${process.pid}.tmp`);
+    const copiou = d.run('/usr/bin/ditto', [app, provisorio]);
+    if (!copiou.ok) return { ok: false, motivo: `Nao consegui copiar o app para ${pasta}.` };
+    if (!assinadoPelaAgilebits(provisorio, d.run, { deep: true })) return { ok: false, motivo: `A copia do app em ${pasta} nao passou na conferencia da assinatura; nao instalei.` };
+    fs.renameSync(provisorio, destino);
+    provisorio = null;
+    return { ok: true, destino };
+  } catch (e) {
+    return { ok: false, motivo: `Nao consegui instalar o app (${oneLine(e && e.message, 120)}).` };
+  } finally {
+    if (provisorio) { try { fs.rmSync(provisorio, { recursive: true, force: true }); } catch { /* sobra so uma pasta oculta */ } }
+    if (dir) { try { fs.rmSync(dir, { recursive: true, force: true }); } catch { /* fica no temp; a proxima execucao varre */ } }
+  }
+}
+
 const APP_NEXT_STEPS = 'Agora abra o app do 1Password, entre na sua conta (ou crie uma: guarde a Secret Key e o Kit de Emergencia que ele oferece) e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor. Depois rode o conectar-1password de novo.';
 
 /**
  * Instala o app do 1Password (`conectar-1password --instalar-app`). Windows: winget e, se ele falhar, o instalador
- * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask).
+ * oficial, so rodado depois de conferir a assinatura (valida e do publicador Agilebits). Mac: Homebrew (cask), se o aluno
+ * tiver; senao (ou se ele falhar), o pacote oficial com a assinatura da AgileBits conferida (installMacAppDirect).
  * O app e um programa novo no computador do aluno: quem chama pede o OK dele antes.
  */
 async function installApp(deps = {}) {
@@ -1062,11 +1225,16 @@ async function installApp(deps = {}) {
     };
 
     if (d.platform === 'darwin') {
-      if (!d.hasCommand('brew')) return falhou('Homebrew nao encontrado, entao nao consigo instalar o app daqui.');
-      out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
-      const r = d.run('brew', ['install', '--cask', '1password']);
-      if (r.ok || d.appInstalled()) return pronto('Homebrew');
-      return falhou(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}).`);
+      if (d.hasCommand('brew')) {
+        out.log(`${DIM}Instalando via Homebrew (pode levar um minuto)...${RESET}`);
+        const r = d.run('brew', ['install', '--cask', '1password']);
+        if (r.ok || d.appInstalled()) return pronto('Homebrew');
+        out.warn(`A instalacao via Homebrew falhou (${r.timedOut ? 'demorou demais' : `codigo de saida ${r.status}`}). Vou usar o pacote oficial do 1Password.`);
+      }
+      // Mac de aluno nao tem Homebrew (e instalar o Homebrew pede senha de admin): pacote oficial, assinatura conferida.
+      const m = await d.macAppDirect();
+      if (m.ok) return pronto('pacote oficial do 1Password');
+      return falhou(m.motivo || 'Nao consegui instalar o app pelo pacote oficial.');
     }
 
     // Windows 1: winget (rapido, mas falhou no teste real com 0x80070002 mesmo depois de conferir o hash)
@@ -1266,11 +1434,30 @@ function makeProgress(d) {
   };
 }
 
+/**
+ * Mac: zera a decisao "acessar dados de outros apps" (TCC, servico SystemPolicyAppData) do programa que abriu este
+ * comando (o app Auroq OS ou o Terminal), para a pergunta do Mac voltar. Teste real (07/11/2026): o `op` le a pasta do
+ * 1Password, o Mac pergunta se o Auroq OS pode acessar dados de outros apps e, se a resposta foi "nao" (ou a pergunta
+ * foi cancelada), fica "nao" para sempre e calado: o `op` so ve "nenhuma conta" e o aluno ouvia "ligue a integracao" em
+ * laco. Zerar so faz o Mac perguntar de novo (nao libera nada sozinho). Nunca lanca; true se zerou.
+ */
+function resetMacAppData(env = process.env, run = spawnSync) {
+  const bundle = String(env.__CFBundleIdentifier || '');
+  if (!/^[A-Za-z0-9][A-Za-z0-9.-]{2,200}$/.test(bundle)) return false;
+  try {
+    const r = run('/usr/bin/tccutil', ['reset', 'SystemPolicyAppData', bundle], { stdio: 'ignore', timeout: 15000 });
+    return Boolean(r && !r.error && r.status === 0);
+  } catch {
+    return false;
+  }
+}
+
 function makeDefaultDeps() {
   return {
     platform: process.platform,
     openUrl,
-    refreshPath: refreshWindowsPath,
+    refreshPath,
+    resetAppData: () => (process.platform === 'darwin' ? resetMacAppData() : false),
     appInstalled: () => appInstalled(),
     lock: makeLock(),
     state: { read: readState, write: writeState },
@@ -1386,12 +1573,9 @@ function saveBackup(d, account, token) {
   // conforme o plano (e pode vir traduzido), por isso nunca se usa o nome.
   const body = JSON.stringify(backupItemTemplate(token));
   const common = ['--tags', BACKUP_TAG, '--account', accountKey(account), '--format', 'json'];
-  if (d.platform !== 'win32') {
-    const r = d.op(['item', 'create', '-', ...common], { env: opEnv(), input: body });
-    return r.ok ? { ok: true } : { ok: false, detalhe: oneLine(r.stderr) };
-  }
-  // Windows: o `op item create -` por pipe falha no PowerShell 5.1 ("invalid JSON in piped input", teste real de 27/10),
-  // entao o molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
+  // Todos os sistemas: o molde vai num arquivo temporario. Por pipe, o `op item create -` falha no PowerShell 5.1
+  // ("invalid JSON in piped input", teste real de 27/10) e, no 1Password CLI 2.41, tambem no Mac ("provide the item
+  // category with '--category' flag", teste real de 07/11/2026). O molde vai num arquivo temporario (UTF-8 sem BOM) so deste usuario, que o `op` le com --template. O token
   // continua fora de argumento e de log; o arquivo e apagado em seguida, aconteca o que acontecer. O `op` roda com o
   // stdin desligado (`noStdin`): com `--template` ele nao aceita nenhum pipe, nem vazio.
   let tmp = null;
@@ -1413,8 +1597,15 @@ function saveBackup(d, account, token) {
  * (%TEMP% do perfil, que so ele, o SYSTEM e os administradores leem; o modo 0600 vale no Mac e no Linux e e ignorado no
  * Windows). UTF-8 SEM BOM: o BOM faria o `op` recusar o JSON. Devolve { dir, file }; quem chama apaga a pasta.
  */
+const MOLDE_PREFIX = 'auroq-molde-';
+
+/**
+ * Molde do item (com o valor) num arquivo temporario so do usuario. Antes, apaga moldes de execucoes anteriores que
+ * morreram no meio (Ctrl+C ou janela fechada nao deixam o `finally` rodar) e que tenham mais de 10 minutos.
+ */
 function writeTemplateFile(content) {
-  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'auroq-op-'));
+  try { sweepStaleAppDirs(os.tmpdir(), { prefix: MOLDE_PREFIX, maxAgeMs: 10 * 60 * 1000 }); } catch { /* faxina e extra */ }
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), MOLDE_PREFIX));
   const file = path.join(dir, 'molde.json');
   try {
     fs.writeFileSync(file, Buffer.from(content, 'utf8'), { flag: 'wx', mode: 0o600 });
@@ -1654,6 +1845,11 @@ async function runConnect(opts, d, prog) {
     prog.reset('app');
     return fim('aguardando', 'instalar-app', 'Nao achei o app do 1Password neste computador. Instale com: npx -y auroq-os@latest conectar-1password --instalar-app --agente (ou baixe em https://1password.com/downloads). Se ele ja esta instalado num lugar fora do comum, abra o app, entre na sua conta e ligue "Integrar com a CLI do 1Password" em Configuracoes > Desenvolvedor; depois rode de novo.');
   }
+  if (!accounts.length && d.platform === 'darwin' && typeof d.resetAppData === 'function' && d.resetAppData()) {
+    // a conta pode estar escondida pela protecao "dados de outros apps" do Mac: a pergunta volta e o aluno permite
+    out.log(`${BOLD}${MAC_DADOS_DE_OUTROS_APPS}${RESET}`);
+    accounts = listAccounts(d);
+  }
   if (!accounts.length) {
     showIntegrationHelp(d, out);
     if (waitSeconds > 0) {
@@ -1668,7 +1864,7 @@ async function runConnect(opts, d, prog) {
     }
     if (!accounts.length) {
       prog.reset('app');
-      return fim('aguardando', 'ligar-integracao', 'Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.');
+      return fim('aguardando', 'ligar-integracao', `Falta ligar "Integrate with 1Password CLI" nas configuracoes do app do 1Password (Configuracoes > Desenvolvedor). Depois e so rodar de novo.${d.platform === 'darwin' ? ` ${MAC_DADOS_DE_OUTROS_APPS}` : ''}`);
     }
   }
   prog.mark('conta', 'app');
@@ -1884,6 +2080,7 @@ async function finishWithToken(d, out, account, token, prog, { reaproveitada, ol
 function describeState(d) {
   const saved = d.state.read();
   const etapas = saved ? { ...saved.etapas } : emptyEtapas();
+  if (typeof d.refreshPath === 'function') d.refreshPath(); // Mac sem Homebrew: o op mora em ~/.auroq/op/bin
   const version = d.opVersion();
   const opOk = Boolean(version && isVersionAtLeast(version));
   etapas.op = opOk ? 'feito' : 'pendente';
@@ -2036,6 +2233,12 @@ module.exports = {
   auroqDir,
   openUrl,
   refreshWindowsPath,
+  refreshPath,
+  installOpDirect,
+  installMacAppDirect,
+  resetMacAppData,
+  auroqOpBin,
+  OP_DIRETO,
   runOp,
   TOKEN_VAR,
   MIN_OP_VERSION,

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.8.8",
+  "version": "2.8.10",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "f8d396a2a696af94b4a96822d5eec348510fa1e0e0fb6f71107118dd15e2adc1"
+      "sha256": "11f011d4d20d781521606c4d0f2625ebf6bee36861ca2056697c9d73cd30fd2f"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -254,7 +254,7 @@
     },
     {
       "path": "lib/cofre.js",
-      "sha256": "8dff20e576fda737f5039ceaca64e8e18fe79e19460c3ce0bac1262f7fa490df"
+      "sha256": "c3648b80ad72df055726571aa107608489808287d557386625fd8157f9f6279f"
     },
     {
       "path": "lib/credentials.js",
@@ -270,7 +270,7 @@
     },
     {
       "path": "lib/infisical-cli.js",
-      "sha256": "33c826f731a8f8f930f1797821d9faee7b6f2558c30da5c211319bf4f3e83982"
+      "sha256": "6ebd63594fedb7a3b0bee58b70a2ce1b070d91c9dc20fd6495abaab35c8b84af"
     },
     {
       "path": "lib/infisical.js",
@@ -282,7 +282,7 @@
     },
     {
       "path": "lib/onepassword.js",
-      "sha256": "d1bf61b459f81dfb7e13e2c694c1ead1d3146ba8057ff74fcf5d46beb6558cdf"
+      "sha256": "eb54a524ad488c79577be06ea7496e421660f9e4dbc8fce3b843124b893f0780"
     },
     {
       "path": "lib/supabase.js",
@@ -298,7 +298,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "e8a718a7f9f7345742d5cf7a894deeee0cf9308bfaf49dc3635c530ff0e4a3bd"
+      "sha256": "f78cae244b3efba3bd354a6efbd0805bb761f2d6acece93426dfd0b02bbc7b0f"
     },
     {
       "path": "scripts/build-pack.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.8.8",
+  "version": "2.8.10",
   "arcaneMcpPin": "0.7.1",
   "description": "Auroq OS — Sistema Operacional de IA para o negócio do aluno da Arcane",
   "bin": {