iron-edge 2.4.0 → 2.4.2

package/README.md

@@ -225,10 +225,11 @@ Antes, faça o **passo 4** do onboarding do Iron Office (ele salva a sua chave e
 
 O que esperar:
 
-1. O comando instala (ou atualiza) o plugin de canal `iron-office` e abre o Claude Code com ele ligado.
-2. O Claude Code mostra um **aviso de tela cheia**: canais ainda são recurso em teste. Aceite.
-3. Abra a página **Iron** do dashboard. Em até 1 minuto aparece "Iron online". Escreva ali e o Iron responde ali.
-4. **Deixe essa aba do terminal aberta.** É ela que faz o Iron responder no site.
+1. O comando confere a sua chave (formato `iok_…` e aceita pelo site) **antes** de abrir o Claude Code. Chave trocada ou fora do formato: ele para e manda refazer o passo 4, em vez de abrir uma sessão que nunca fica online.
+2. Instala (ou atualiza) o plugin de canal `iron-office` e abre o Claude Code com ele ligado.
+3. O Claude Code mostra um **aviso de tela cheia**: canais ainda são recurso em teste. Aceite.
+4. Abra a página **Iron** do dashboard. Em até 1 minuto aparece "Iron online". Escreva ali e o Iron responde ali.
+5. **Deixe essa aba do terminal aberta.** É ela que faz o Iron responder no site.
 
 Por padrão a sessão do `office` roda **sem pedir licença** a cada ferramenta (é o que deixa o Iron trabalhar enquanto você está só no site). `npx iron-edge office --safe` abre pedindo licença a cada ferramenta. Qualquer outro argumento vai direto pro `claude`.
 
@@ -256,8 +257,8 @@ O Iron Edge instala uma equipe de agentes especializados diretamente no Claude C
 Seus dados ficam locais em `~/.iron/`. Sobre o que sai da sua máquina, com precisão:
 
 - **Para o Iron Office** (`iron-office.vercel.app`, servidor deste projeto), e só se você criar a chave em `~/.claude/iron-office-api-key`:
-  - dados de apenas **2 agentes**, `iron-auditor` e `iron-shopify`. Confira: `grep -rln "iron-office" ~/.claude/agents/`;
-  - **se você rodou `npx iron-edge office`**, o plugin `iron-office` fica instalado e manda a atividade de **toda sessão** do Claude Code pro seu painel (feed e mapa 3D): nome da ferramenta, caminho do arquivo (nunca o conteúdo), os primeiros 200 caracteres de cada comando de terminal e a descrição dele, buscas, o domínio dos endereços visitados, nome e descrição dos agentes, a pasta e o identificador da sessão. A resposta das ferramentas nunca sai. Padrões conhecidos de segredo nesses campos (chaves de Stripe, Shopify, Meta, GitHub, OpenAI, Supabase e AWS, `Bearer`, `ALGO_KEY=`, `--password`, `-u usuario:senha`…) são apagados antes do envio; é uma lista de padrões, não garantia. Lista completa no README do plugin (github.com/filipecoff21-code/iron-office-channel). Desligar: `claude plugin disable iron-office@iron-office-channel`. Conferir se está ligado: `claude plugin list`.
+  - dados de apenas **1 agente**, `iron-shopify` (o `iron-auditor` devolve o relatório pra quem chamou e não envia nada sozinho desde a 2.4.2). Confira: `grep -rln "iron-office" ~/.claude/agents/`;
+  - **se você rodou `npx iron-edge office`**, o plugin `iron-office` fica instalado e manda pro seu painel (feed e mapa 3D) a atividade **só da sessão aberta pelo `npx iron-edge office`** (desde o plugin 0.3.1; um `claude` aberto em outra pasta não manda nada), e as entregas que o Iron salvar ali pela ferramenta `deliver`. Da atividade vai: nome da ferramenta, caminho do arquivo (nunca o conteúdo), os primeiros 200 caracteres de cada comando de terminal e a descrição dele, buscas, o domínio dos endereços visitados, nome e descrição dos agentes, a pasta e o identificador da sessão. A resposta das ferramentas nunca sai. Padrões conhecidos de segredo nesses campos (chaves de Stripe, Shopify, Meta, GitHub, OpenAI, Supabase e AWS, `Bearer`, `ALGO_KEY=`, `--password`, `-u usuario:senha`…) são apagados antes do envio; é uma lista de padrões, não garantia. Lista completa no README do plugin (github.com/filipecoff21-code/iron-office-channel). Desligar: `claude plugin disable iron-office@iron-office-channel`. Conferir se está ligado: `claude plugin list`.
 - **Para a internet aberta**, através das ferramentas do próprio Claude Code (`WebSearch` / `WebFetch`), vão as buscas de **41 dos 44 agentes** — é como o `iron-research` pesquisa mercado e o `iron-spy` lê a biblioteca de anúncios. Isso passa pelo Claude Code, com a visibilidade e a aprovação que ele te dá; não é canal deste pacote. Confira: `grep -rln "WebSearch\|WebFetch" ~/.claude/agents/`.
 - **A skill `clone-site`** baixa a URL que você mandar clonar. É o trabalho dela.
 

package/agents/iron-auditor.md

@@ -109,44 +109,15 @@ Data: [hoje]
 - lp-cinematico: [se LP precisar reconstrução]
 ```
 
-### STEP 5 — Salvar no Iron Office
+### STEP 5 — Devolver
 
-Após gerar o relatório, salve automaticamente no Iron Office via API:
-
-```bash
-API_KEY=$(cat ~/.claude/iron-office-api-key 2>/dev/null | tr -d '[:space:]')
-
-# GUARDA: sem chave, NADA sai da maquina. O README promete isso; e' aqui que se cumpre.
-# Ela fica ANTES do curl de proposito: a frase "se nao tiver chave, pule" ficava DEPOIS do
-# bloco, e este arquivo e' lido por um modelo, que pode executar o bloco como esta escrito.
-if [ -z "$API_KEY" ]; then
-  echo "Sem ~/.claude/iron-office-api-key — relatorio NAO enviado. Ele fica so na sua maquina."
-  exit 0
-fi
-
-DOMAIN=$(echo "<URL>" | sed 's|https\?://||' | sed 's|/.*||' | sed 's|www\.||')
-REPORT_ESCAPED=$(cat <<'ENDREPORT'
-<conteúdo completo do relatório>
-ENDREPORT
-)
-
-curl -s -X POST https://iron-office.vercel.app/api/deliverables \
-  -H "Content-Type: application/json" \
-  -H "x-api-key: $API_KEY" \
-  -d "{
-    \"agent_name\": \"iron-auditor\",
-    \"title\": \"Auditoria — $DOMAIN\",
-    \"content\": $(echo "$REPORT_ESCAPED" | python3 -c 'import json,sys; print(json.dumps(sys.stdin.read()))'),
-    \"tags\": [\"auditoria\", \"$DOMAIN\"]
-  }" | python3 -m json.tool 2>/dev/null | grep -E "ok|error"
-```
-
-A guarda no topo do bloco garante isso: sem a chave, o script para antes do `curl` e avisa o usuário. Não remova essa guarda — é ela que sustenta a promessa do README de que sem chave nada sai da máquina.
+Entregue o relatório completo em markdown na sua resposta final. Quem salva é quem te chamou (no Iron Office, o Iron usa a ferramenta `deliver`).
+Não leia a chave do Iron Office nem faça POST pra nenhuma URL: se não houver chamador, o relatório fica em `_auditoria/` da pasta atual.
 
 ### STEP 6 — Delegação
 
-Após salvar, pergunte ao usuário:
-> "Relatório salvo no Iron Office (/audit). Quer que eu chame o [agente] agora para resolver os issues críticos?"
+Após devolver, pergunte ao usuário:
+> "Relatório devolvido. Quer que eu chame o [agente] agora para resolver os issues críticos?"
 
 Se confirmado, acione o agente correto com contexto completo do problema.
 

package/installer/office.js

@@ -2,9 +2,10 @@
 /**
  * office.js — `npx iron-edge office`: liga o Iron Office (chat do dashboard) no Claude Code.
  *
- * Passos: (1) confere a chave do Iron Office, (2) confere o Claude Code, (3) instala ou
- * atualiza o plugin de canal `iron-office` pelo marketplace do GitHub, (4) abre o Claude Code
- * com o canal ligado. O aluno deixa essa aba aberta: e' ela que faz o Iron responder no site.
+ * Passos: (1) confere a chave do Iron Office (formato + confere com o site), (2) confere o
+ * Claude Code, (3) instala ou atualiza o plugin de canal `iron-office` pelo marketplace do
+ * GitHub, (4) abre o Claude Code com o canal ligado. O aluno deixa essa aba aberta: e' ela que
+ * faz o Iron responder no site.
  *
  * Flags: --safe tira o `--permission-mode bypassPermissions` (o Claude pede licenca a cada
  * ferramenta). Qualquer outro argumento vai direto pro `claude`.
@@ -21,22 +22,54 @@ const { spawnSync } = require('child_process');
 const MARKETPLACE_REPO = 'filipecoff21-code/iron-office-channel';
 const PLUGIN = 'iron-office@iron-office-channel';
 const CHANNEL = 'plugin:' + PLUGIN;
-const ONBOARDING = 'https://iron-office.vercel.app/onboarding';
+const OFFICE_URL = (process.env.IRON_OFFICE_URL || 'https://iron-office.vercel.app').replace(/\/+$/, '');
+const ONBOARDING = OFFICE_URL + '/onboarding';
 const IS_WIN = process.platform === 'win32';
+const KEY_RE = /^iok_[0-9a-f]{48}$/;
+const PING_TIMEOUT_MS = 5000;
 
 function keyPath(home) {
   return path.join(home || os.homedir(), '.claude', 'iron-office-api-key');
 }
 
+function isValidKey(key) {
+  return typeof key === 'string' && KEY_RE.test(key);
+}
+
+// Le o arquivo da chave e devolve so' uma chave no formato certo; qualquer outra coisa vira ''.
 // O `echo` do passo 4 no Windows pode gravar UTF-16 com BOM: normaliza antes de decidir.
 function readKey(home) {
   try {
     const buf = fs.readFileSync(keyPath(home));
     const utf16 = buf.length >= 2 && buf[0] === 0xff && buf[1] === 0xfe;
-    return buf.toString(utf16 ? 'utf16le' : 'utf8').replace(/[\uFEFF\u0000]/g, '').trim();
+    const key = buf.toString(utf16 ? 'utf16le' : 'utf8').replace(/[\u0000]/g, '').trim();
+    return isValidKey(key) ? key : '';
   } catch (_) { return ''; }
 }
 
+function keyFileExists(home) {
+  try { return fs.statSync(keyPath(home)).isFile(); } catch (_) { return false; }
+}
+
+// Confere a chave com o site antes de abrir o Claude.
+// Devolve 'ok' (aceita), 'rejected' (401: a chave foi trocada) ou 'offline' (sem rede / erro).
+async function ping(key, baseUrl) {
+  const url = (baseUrl || OFFICE_URL).replace(/\/+$/, '') + '/api/api-key/ping';
+  if (typeof fetch !== 'function') return 'offline';
+  const ctl = new AbortController();
+  const timer = setTimeout(() => ctl.abort(), PING_TIMEOUT_MS);
+  try {
+    const r = await fetch(url, { headers: { 'x-api-key': key }, signal: ctl.signal });
+    if (r.status === 200) return 'ok';
+    if (r.status === 401) return 'rejected';
+    return 'offline';
+  } catch (_) {
+    return 'offline';
+  } finally {
+    clearTimeout(timer);
+  }
+}
+
 // Argumentos do `claude` que abre a sessao com o canal. Separado pra ser testado sem rede.
 function buildClaudeArgs(argv) {
   const safe = argv.includes('--safe');
@@ -70,9 +103,15 @@ function step(claude, label, args, okPatterns) {
   return false;
 }
 
-function main(argv) {
-  if (!readKey()) {
-    console.error('Falta a chave do Iron Office. Faca o passo 4 em ' + ONBOARDING);
+async function main(argv) {
+  const key = readKey();
+  if (!key) {
+    if (keyFileExists()) {
+      console.error('A chave em ' + keyPath() + ' esta invalida (nao tem o formato iok_...).');
+      console.error('Refaca o passo 4 em ' + ONBOARDING);
+    } else {
+      console.error('Falta a chave do Iron Office. Faca o passo 4 em ' + ONBOARDING);
+    }
     return 1;
   }
 
@@ -83,6 +122,14 @@ function main(argv) {
   }
 
   console.log('Iron Office - preparando o canal');
+  const verdict = await ping(key);
+  if (verdict === 'rejected') {
+    console.error('  [falhou] chave recusada pelo Iron Office: ela foi trocada. Refaca o passo 4 em ' + ONBOARDING);
+    return 1;
+  }
+  if (verdict === 'ok') console.log('  [ok] chave aceita pelo Iron Office');
+  else console.log('  [aviso] nao deu pra conferir a chave com o site (sem rede?). Seguindo com a chave local.');
+
   const okMarket = step(claude, 'marketplace ' + MARKETPLACE_REPO, ['plugin', 'marketplace', 'add', MARKETPLACE_REPO], [/already/i]);
   const okPlugin = okMarket && step(claude, 'plugin ' + PLUGIN, ['plugin', 'install', PLUGIN, '--scope', 'user'], [/already/i]);
   if (!okMarket || !okPlugin) {
@@ -116,8 +163,11 @@ function main(argv) {
   return r.status ?? 1;
 }
 
-module.exports = { buildClaudeArgs, keyPath, readKey, CHANNEL, PLUGIN, MARKETPLACE_REPO };
+module.exports = { buildClaudeArgs, keyPath, readKey, isValidKey, ping, CHANNEL, PLUGIN, MARKETPLACE_REPO, KEY_RE };
 
 if (require.main === module) {
-  process.exit(main(process.argv.slice(2)));
+  main(process.argv.slice(2)).then(code => process.exit(code), err => {
+    console.error('Erro inesperado: ' + (err && err.message ? err.message : err));
+    process.exit(1);
+  });
 }

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "iron-edge",
-  "version": "2.4.0",
-  "description": "Ecossistema de agentes para Claude Code: 44 agentes de topo, 18 squads e 14 skills, com quality gate, memoria, instalador que nunca sobrescreve e o comando office (chat do Iron Office no dashboard).",
+  "version": "2.4.2",
+  "description": "Ecossistema de agentes para Claude Code: 44 agentes de topo, 18 squads e 14 skills, com quality gate, memoria, instalador que nunca sobrescreve e o comando office (chat do Iron Office no dashboard; confere a chave com o site antes de abrir o Claude).",
   "keywords": [
     "claude",
     "claude-code",