onveloz 0.0.0-beta.31 → 0.0.0-beta.33

package/dist/index.mjs

@@ -1,6 +1,6 @@
 #!/usr/bin/env node
 import { Cli, middleware, z } from "incur";
-import { exec, execSync } from "node:child_process";
+import { exec, execSync, spawn } from "node:child_process";
 import * as fs from "node:fs";
 import { appendFileSync, existsSync, mkdirSync, readFileSync, readdirSync, realpathSync, statSync, unlinkSync, writeFileSync } from "node:fs";
 import * as path from "node:path";
@@ -682,6 +682,14 @@ function mergeServiceWithDefaults(service$2, defaults) {
 function parseVelozConfig(data) {
 	return VelozConfigSchema.parse(data);
 }
+function validateVelozConfig(data) {
+	const result$2 = VelozConfigSchema.safeParse(data);
+	if (!result$2.success) return {
+		success: false,
+		error: result$2.error.issues.map((e) => `${String(e.path.join("."))}: ${e.message}`).join("; ")
+	};
+	return { success: true };
+}
 function resolveConfigForEnv(config, env) {
 	const envOverride = config.environments?.[env];
 	if (!envOverride) return null;
@@ -1191,9 +1199,11 @@ function ensureConfigDir() {
 	if (!existsSync(CONFIG_DIR)) mkdirSync(CONFIG_DIR, { recursive: true });
 }
 function loadConfig() {
+	const envOrgId = process.env.VELOZ_ORG_ID || void 0;
 	if (!existsSync(CONFIG_FILE)) return {
 		apiKey: "",
-		apiUrl: DEFAULT_API_URL
+		apiUrl: DEFAULT_API_URL,
+		organizationId: envOrgId
 	};
 	try {
 		const raw = readFileSync(CONFIG_FILE, "utf-8");
@@ -1201,12 +1211,13 @@ function loadConfig() {
 		return {
 			apiKey: parsed.apiKey ?? "",
 			apiUrl: ENV_API_URL ?? parsed.apiUrl ?? DEFAULT_API_URL,
-			organizationId: parsed.organizationId
+			organizationId: envOrgId ?? parsed.organizationId
 		};
 	} catch {
 		return {
 			apiKey: "",
-			apiUrl: DEFAULT_API_URL
+			apiUrl: DEFAULT_API_URL,
+			organizationId: envOrgId
 		};
 	}
 }
@@ -1249,23 +1260,58 @@ async function requireAuth(options) {
 
 //#endregion
 //#region src/lib/client.ts
+const CLI_VERSION = "0.0.0-beta.33";
+const USER_AGENT = `veloz-cli/${CLI_VERSION}`;
+/**
+* Client source — "cli" by default; the init wizard sets this to "cli-wizard"
+* so server can flag deployments/audit records as coming from `veloz init`.
+*/
+let clientSource = "cli";
+function setClientSource(source) {
+	clientSource = source;
+}
+/**
+* Single source of truth for headers the CLI sends to the Veloz server.
+*
+* Every ORPC request (via getClient) and every raw fetch against the Veloz
+* backend (Better Auth endpoints, presigned URL negotiations) must route
+* through this builder. Any new header — workspace scope, project scope,
+* tenant hints, user-agent — is added here and nowhere else.
+*/
+function buildVelozHeaders(authConfig) {
+	const headers = {
+		Authorization: `Bearer ${authConfig.apiKey}`,
+		"User-Agent": USER_AGENT,
+		"X-Veloz-Cli-Version": CLI_VERSION,
+		"X-Veloz-Client-Source": clientSource
+	};
+	const projectConfig = loadConfig$1();
+	if (authConfig.organizationId) headers["X-Organization-Id"] = authConfig.organizationId;
+	if (projectConfig?.project?.id) headers["X-Project-Id"] = projectConfig.project.id;
+	return headers;
+}
+/**
+* Build headers from the current on-disk config. Use when you have a raw fetch
+* and you know auth has already been enforced by an upstream middleware.
+*/
+async function getAuthHeaders() {
+	return buildVelozHeaders(await requireAuth());
+}
 async function getClient() {
 	const authConfig = await requireAuth();
-	const projectConfig = loadConfig$1();
-	return createClient(authConfig.apiUrl, () => {
-		const headers = {
-			Authorization: `Bearer ${authConfig.apiKey}`,
-			"User-Agent": "veloz-cli"
-		};
-		if (authConfig.organizationId) headers["X-Organization-Id"] = authConfig.organizationId;
-		if (projectConfig?.project?.id) headers["X-Project-Id"] = projectConfig.project.id;
-		return headers;
-	});
+	return createClient(authConfig.apiUrl, () => buildVelozHeaders(authConfig));
 }
 
 //#endregion
 //#region src/lib/middleware.ts
+function isDryRun() {
+	return process.argv.includes("--dry-run");
+}
 const requireAuth$1 = middleware(async (c, next) => {
+	if (isDryRun()) {
+		await next();
+		return;
+	}
 	const config = loadConfig();
 	if (!(process.env.VELOZ_API_KEY || config?.apiKey)) {
 		if (!process.stdout.isTTY) return c.error({
@@ -1315,6 +1361,123 @@ projectsGroup.command("list", {
 	}
 });
 
+//#endregion
+//#region src/commands/orgs.ts
+const orgsGroup = Cli.create("orgs", { description: "Gerenciar workspaces (organizações) do usuário" });
+orgsGroup.command("list", {
+	description: "Listar workspaces que você pertence",
+	middleware: [requireAuth$1],
+	output: z.object({ items: z.array(z.object({
+		id: z.string(),
+		name: z.string(),
+		slug: z.string(),
+		role: z.string(),
+		isActive: z.boolean()
+	})) }),
+	async run() {
+		const client = await getClient();
+		const orgs = await withSpinner({
+			text: "Carregando workspaces...",
+			fn: () => client.organizations.list()
+		});
+		if (orgs.length === 0) {
+			info("Nenhum workspace encontrado. Crie um em app.onveloz.com/onboarding.");
+			return { items: [] };
+		}
+		return { items: orgs };
+	}
+});
+orgsGroup.command("use", {
+	description: "Selecionar qual workspace usar como padrão",
+	args: z.object({ organizacao: z.string().optional().describe("Nome, slug ou ID do workspace") }),
+	middleware: [requireAuth$1],
+	output: z.object({
+		id: z.string(),
+		name: z.string(),
+		slug: z.string(),
+		role: z.string()
+	}),
+	async run(c) {
+		const client = await getClient();
+		const orgs = await withSpinner({
+			text: "Carregando workspaces...",
+			fn: () => client.organizations.list()
+		});
+		if (orgs.length === 0) throw new Error("Nenhum workspace encontrado. Crie um em app.onveloz.com/onboarding.");
+		const current = loadConfig().organizationId;
+		let selectedId;
+		if (c.args.organizacao) {
+			const query = c.args.organizacao.toLowerCase();
+			const found = orgs.find((o) => o.id === c.args.organizacao || o.slug.toLowerCase() === query || o.name.toLowerCase() === query);
+			if (!found) {
+				const available = orgs.map((o) => `  • ${o.name} (${o.slug})`).join("\n");
+				throw new Error(`Workspace '${c.args.organizacao}' não encontrado.\n\nWorkspaces disponíveis:\n${available}`);
+			}
+			selectedId = found.id;
+		} else selectedId = await promptSelect("Qual workspace usar como padrão?", orgs.map((o) => ({
+			label: `${o.name} ${chalk.dim(`(${o.slug})`)}${o.id === current ? chalk.cyan(" ← atual") : ""}`,
+			value: o.id
+		})));
+		const selected = orgs.find((o) => o.id === selectedId);
+		await client.organizations.setActive({ organizationId: selected.id });
+		saveConfig({ organizationId: selected.id });
+		success(`Workspace padrão: ${chalk.bold(selected.name)} (${selected.slug})`);
+		return c.ok({
+			id: selected.id,
+			name: selected.name,
+			slug: selected.slug,
+			role: selected.role
+		}, { cta: { commands: [{
+			command: "projects list",
+			description: "Listar projetos do workspace"
+		}, {
+			command: "whoami",
+			description: "Ver usuário e workspace ativo"
+		}] } });
+	}
+});
+
+//#endregion
+//#region src/lib/org-resolver.ts
+/**
+* Ensure an active organization is selected for the current CLI session.
+*
+* Short-circuits when:
+*  - config already has organizationId
+*  - a project is linked in the current directory (org inferred server-side from X-Project-Id)
+*
+* Otherwise, fetches the user's orgs and prompts when interactive. Non-interactive
+* multi-org calls throw with a CTA pointing at `veloz orgs use`.
+*/
+async function resolveOrgIfNeeded(options) {
+	if (loadConfig().organizationId) return;
+	if (loadConfig$1()?.project?.id) return;
+	const client = await getClient();
+	const orgs = await withSpinner({
+		text: "Carregando workspaces...",
+		fn: () => client.organizations.list()
+	});
+	if (orgs.length === 0) return;
+	if (orgs.length === 1) {
+		const org = orgs[0];
+		saveConfig({ organizationId: org.id });
+		info(`Workspace: ${chalk.bold(org.name)}`);
+		return;
+	}
+	if (options?.nonInteractive || !isInteractive()) {
+		const available = orgs.map((o) => `  • ${o.name} (${o.slug})`).join("\n");
+		throw new Error(`Múltiplos workspaces encontrados. Selecione um com \`veloz orgs use <slug>\`.\n\nWorkspaces disponíveis:\n${available}`);
+	}
+	info(`Você tem acesso a ${orgs.length} workspaces.`);
+	const selectedId = await promptSelect("Selecione o workspace padrão:", orgs.map((o) => ({
+		label: `${o.name} ${chalk.dim(`(${o.slug})`)}`,
+		value: o.id
+	})));
+	saveConfig({ organizationId: selectedId });
+	const selected = orgs.find((o) => o.id === selectedId);
+	info(`Workspace: ${chalk.bold(selected?.name ?? selectedId)}`);
+}
+
 //#endregion
 //#region src/lib/project-resolver.ts
 const CACHE_FILE = join(homedir(), ".veloz", "directory-cache.json");
@@ -1354,39 +1517,6 @@ function getGlobalProjectFlag() {
 	const idx = process.argv.indexOf("--project");
 	if (idx !== -1 && idx + 1 < process.argv.length) return process.argv[idx + 1];
 }
-function isMultipleOrgsError$1(error) {
-	if (!(error instanceof Error)) return false;
-	const e = error;
-	return e.data?.code === "MULTIPLE_ORGS" && Array.isArray(e.data?.organizations);
-}
-/**
-* Fetch projects, handling MULTIPLE_ORGS by prompting for org selection first.
-*/
-async function fetchProjectsWithOrgResolution(client) {
-	try {
-		return await client.projects.list();
-	} catch (error) {
-		if (!isMultipleOrgsError$1(error)) throw error;
-		const orgs = error.data.organizations;
-		if (orgs.length === 1) {
-			const org = orgs[0];
-			saveConfig({ organizationId: org.id });
-			info(`Workspace: ${org.name}`);
-			return client.projects.list();
-		}
-		if (!isInteractive()) {
-			const available = orgs.map((o) => `  • ${o.name} (${o.slug})`).join("\n");
-			throw new Error(`Múltiplos workspaces encontrados. Execute 'veloz login' para selecionar um.\n\nWorkspaces:\n${available}`);
-		}
-		const selectedOrgId = await promptSelect("Qual workspace?", orgs.map((o) => ({
-			label: `${o.name} (${o.slug})`,
-			value: o.id
-		})));
-		saveConfig({ organizationId: selectedOrgId });
-		info(`Workspace: ${orgs.find((o) => o.id === selectedOrgId)?.name ?? selectedOrgId}`);
-		return client.projects.list();
-	}
-}
 /**
 * Resolve a project ID when no veloz.json is present.
 *
@@ -1400,10 +1530,11 @@ async function fetchProjectsWithOrgResolution(client) {
 async function resolveProjectFromAPI(explicitProject) {
 	const projectFlag = explicitProject ?? getGlobalProjectFlag();
 	if (projectFlag) {
+		await resolveOrgIfNeeded();
 		const client$1 = await getClient();
 		const projects$1 = await withSpinner({
 			text: "Carregando projetos...",
-			fn: () => fetchProjectsWithOrgResolution(client$1)
+			fn: () => client$1.projects.list()
 		});
 		const match$3 = projects$1.find((p) => p.id === projectFlag || p.slug === projectFlag || p.name === projectFlag);
 		if (!match$3) {
@@ -1418,10 +1549,11 @@ async function resolveProjectFromAPI(explicitProject) {
 	}
 	const cached$2 = getCachedProjectId();
 	if (cached$2) return cached$2;
+	await resolveOrgIfNeeded();
 	const client = await getClient();
 	const projects = await withSpinner({
 		text: "Carregando projetos...",
-		fn: () => fetchProjectsWithOrgResolution(client)
+		fn: () => client.projects.list()
 	});
 	if (projects.length === 0) throw new Error("Nenhum projeto encontrado. Execute 'veloz deploy' para criar seu primeiro projeto.");
 	if (projects.length === 1) {
@@ -1752,7 +1884,7 @@ async function resolveProjectId(projectFlag) {
 
 //#endregion
 //#region src/commands/env.ts
-const envGroup = Cli.create("env", { description: "Gerenciar variáveis de ambiente" });
+const envGroup = Cli.create("env", { description: "Gerenciar variáveis de ambiente. Valores suportam interpolação no deploy: ${OUTRA_VAR} referencia outra variável do mesmo serviço (inclui vars auto-injetadas como DATABASE_URL/REDIS_URL/PORT/NODE_ENV); $${LITERAL} preserva um ${...} literal; ${{servico.propriedade}} referencia outro serviço (ex: ${{postgres.url}})." });
 envGroup.command("list", {
 	description: "Listar variáveis de ambiente",
 	middleware: [requireAuth$1],
@@ -1787,10 +1919,15 @@ envGroup.command("list", {
 				});
 				continue;
 			}
+			let anyInterpolated = false;
 			for (const v of envVars) {
 				const displayValue = v.value ?? v.maskedValue;
-				console.log(`  ${chalk.bold(v.key)}  ${chalk.dim(displayValue)}  ${new Date(v.updatedAt).toLocaleDateString("pt-BR")}`);
+				const hasRef = typeof v.value === "string" && /\$\{[A-Za-z_][A-Za-z0-9_]*\}/.test(v.value);
+				if (hasRef) anyInterpolated = true;
+				const suffix = hasRef ? chalk.cyan(" ·interpolada") : "";
+				console.log(`  ${chalk.bold(v.key)}  ${chalk.dim(displayValue)}${suffix}  ${new Date(v.updatedAt).toLocaleDateString("pt-BR")}`);
 			}
+			if (anyInterpolated) console.log(chalk.dim("  Valores com ${VAR} são resolvidos no deploy contra as outras vars do serviço."));
 			result$2.push({
 				serviceName: service$2.name,
 				vars: envVars.map((v) => ({
@@ -1806,7 +1943,7 @@ envGroup.command("list", {
 	}
 });
 envGroup.command("set", {
-	description: "Definir variável de ambiente (formato: CHAVE=VALOR)",
+	description: "Definir variável de ambiente (formato: CHAVE=VALOR). O valor pode referenciar outras variáveis do mesmo serviço com ${OUTRA_VAR} — a substituição acontece no deploy. Use $${LITERAL} para preservar um ${...} literal. Ex.: DATABASE_URL='${POSTGRES_POOLER_URL}?sslmode=require'.",
 	middleware: [requireAuth$1],
 	args: z.object({ pares: z.string().describe("Pares CHAVE=VALOR separados por espaço") }),
 	options: z.object({
@@ -1889,7 +2026,7 @@ envGroup.command("delete", {
 	}
 });
 envGroup.command("import", {
-	description: "Importar variáveis de ambiente de um arquivo .env ou colar diretamente",
+	description: "Importar variáveis de ambiente de um arquivo .env ou colar diretamente. Valores com ${OUTRA_VAR} são salvos como referência e resolvidos no deploy (contra as outras vars do serviço, incluindo auto-injetadas). Use $${LITERAL} para preservar.",
 	middleware: [requireAuth$1],
 	args: z.object({ arquivo: z.string().optional().describe("Caminho do arquivo .env") }),
 	options: z.object({
@@ -2722,7 +2859,7 @@ async function authFetch(path$1, options = {}) {
 		...options,
 		headers: {
 			"Content-Type": "application/json",
-			Authorization: `Bearer ${config.apiKey}`,
+			...buildVelozHeaders(config),
 			...options.headers
 		}
 	});
@@ -5136,7 +5273,7 @@ const TERMINAL_STATUSES = new Set([
 
 //#endregion
 //#region src/lib/deploy-stream.ts
-const DASHBOARD_BASE = process.env.VELOZ_WEB_URL || "https://app.onveloz.com";
+const DASHBOARD_BASE$1 = process.env.VELOZ_WEB_URL || "https://app.onveloz.com";
 /**
 * Fetch deployment details from the API and enrich a DeployStreamResult
 * with metadata useful for agents (failReason, commit info, duration, dashboard link).
@@ -5151,7 +5288,11 @@ async function enrichResult(client, result$2) {
 		result$2.commitSha = d.commitSha ?? null;
 		result$2.branch = d.branch ?? null;
 		if (d.startedAt && d.finishedAt) result$2.durationSeconds = Math.round((new Date(d.finishedAt).getTime() - new Date(d.startedAt).getTime()) / 1e3);
-		if (projectId) result$2.dashboardUrl = `${DASHBOARD_BASE}/projetos/${projectId}/servicos/${d.serviceId}/deploys/${d.id}`;
+		if (projectId) {
+			result$2.dashboardUrl = `${DASHBOARD_BASE$1}/projetos/${projectId}/servicos/${d.serviceId}/deploys/${d.id}`;
+			const project = await client.projects.get({ projectId }).catch(() => null);
+			if (project) result$2.organizationId = project.organizationId ?? null;
+		}
 	} catch {}
 	return result$2;
 }
@@ -24080,7 +24221,7 @@ const LOGO_LINES$1 = [
 ];
 const BRAND_COLOR$1 = "#FF4D00";
 function getVersion() {
-	return "0.0.0-beta.31";
+	return "0.0.0-beta.33";
 }
 function printBanner(subtitle) {
 	const version$2 = getVersion();
@@ -24704,6 +24845,16 @@ function createDeployOutput() {
 
 //#endregion
 //#region src/lib/deploy-config.ts
+/**
+* Resolve the full ServiceConfig snapshot for a service id — the SSOT that
+* gets stored on the Deployment row. Preserves all veloz.json fields
+* (build.method, dockerfile, context, runtime.healthCheck, autoscale, env,
+* watch, ignore, …) that the flat `DeploymentServiceConfigInput` drops.
+*/
+function resolveServiceConfigSnapshot(velozConfig, serviceId) {
+	if (!velozConfig) return void 0;
+	for (const [, conf] of Object.entries(velozConfig.services)) if (conf.id === serviceId) return mergeServiceWithDefaults(conf, velozConfig.defaults);
+}
 function resolveServiceConf(velozConfig, serviceId) {
 	if (!velozConfig) return void 0;
 	for (const [, conf] of Object.entries(velozConfig.services)) if (conf.id === serviceId) {
@@ -25176,7 +25327,7 @@ async function fetchLatestVersion() {
 	}
 }
 function getCurrentVersion() {
-	return "0.0.0-beta.31";
+	return "0.0.0-beta.33";
 }
 /**
 * Install a specific CLI version. Returns true on success.
@@ -25234,6 +25385,7 @@ async function provisionDatabases(config, opts) {
 	const entries = Object.entries(databases);
 	if (entries.length === 0) return config;
 	const projectId = config.project.id;
+	if (!projectId) throw new Error("Projeto ainda não foi vinculado. Execute 'veloz deploy' primeiro.");
 	const client = await getClient();
 	const serverDatabases = await withSpinner({
 		text: "Verificando bancos de dados...",
@@ -25465,11 +25617,13 @@ function prepareServicesForDeploy(services) {
 	}
 	return services.map((svc) => {
 		const serviceConf = resolveServiceConf(velozConfig, svc.serviceId);
+		const configSnapshot = resolveServiceConfigSnapshot(velozConfig, svc.serviceId);
 		return {
 			serviceId: svc.serviceId,
 			serviceName: svc.serviceName,
 			projectId: svc.projectId,
-			serviceConfig: serviceConf
+			serviceConfig: serviceConf,
+			config: configSnapshot
 		};
 	});
 }
@@ -25479,6 +25633,7 @@ async function triggerDeploy(serviceId, serviceName) {
 	const client = await getClient();
 	const velozConfig = loadConfig$1();
 	const serviceConf = resolveServiceConf(velozConfig, serviceId);
+	const configSnapshot = resolveServiceConfigSnapshot(velozConfig, serviceId);
 	const warnings = runPreDeployChecks(serviceConf?.rootDirectory || ".");
 	if (warnings.length > 0) printDeployWarnings(warnings);
 	const spinUpload = spinner(serviceName ? `Fazendo upload ${chalk.bold(serviceName)}...` : "Fazendo upload do código...");
@@ -25486,7 +25641,8 @@ async function triggerDeploy(serviceId, serviceName) {
 	spinUpload.text = "Iniciando deploy...";
 	const deployment = await withRetry(() => client.deployments.create({
 		serviceId,
-		serviceConfig: serviceConf
+		serviceConfig: serviceConf,
+		config: configSnapshot
 	}));
 	spinUpload.text = "Fazendo upload do código...";
 	await withRetry(() => uploadSource(deployment.id, process.cwd()));
@@ -26292,36 +26448,6 @@ async function addServiceFlow(existingConfig, opts) {
 	await provisionDatabases(updatedConfig, { yes: opts.yes ?? false });
 	await triggerDeploy(service$2.id, service$2.name);
 }
-function isMultipleOrgsError(error) {
-	if (!(error instanceof Error)) return false;
-	const e = error;
-	return e.data?.code === "MULTIPLE_ORGS" && Array.isArray(e.data?.organizations);
-}
-async function resolveOrgIfNeeded(nonInteractive) {
-	if ((await requireAuth({ nonInteractive })).organizationId) return;
-	if (loadConfig$1()?.project?.id) return;
-	const client = await getClient();
-	try {
-		await client.projects.list();
-	} catch (error) {
-		if (!isMultipleOrgsError(error)) throw error;
-		const orgs = error.data.organizations;
-		if (orgs.length === 1) {
-			const org = orgs[0];
-			saveConfig({ organizationId: org.id });
-			info(`Workspace: ${chalk.bold(org.name)}`);
-			return;
-		}
-		info(`Você tem acesso a ${orgs.length} workspaces.`);
-		const selectedOrgId = await promptSelect("Selecione o workspace para este deploy:", orgs.map((org) => ({
-			label: `${org.name} ${chalk.dim(`(${org.slug})`)}`,
-			value: org.id
-		})));
-		const selectedOrg = orgs.find((o) => o.id === selectedOrgId);
-		saveConfig({ organizationId: selectedOrgId });
-		info(`Workspace: ${chalk.bold(selectedOrg?.name ?? selectedOrgId)}`);
-	}
-}
 function registerDeploy(cli$1) {
 	cli$1.command("deploy", {
 		description: "Fazer deploy do serviço. Returns streamed progress events. The last event (type='result') contains: deploymentId, status (LIVE/BUILD_FAILED/DEPLOY_FAILED/FAILED/CANCELLED), urls, failReason, errorSummary, commitSha, branch, durationSeconds, dashboardUrl, and logs.",
@@ -26392,6 +26518,12 @@ async function dryRunFlow() {
 			warnings
 		});
 	}
+	const draftConfig = buildDraftVelozConfig({
+		detection,
+		services,
+		branch
+	});
+	const validation = validateVelozConfig(draftConfig);
 	if (!isMcpMode()) {
 		printBanner("Deploy — Dry Run");
 		if (detection.isMonorepo) info(`Monorepo detectado (${detection.packageManager})${detection.monorepoTool ? ` — ${detection.monorepoTool}` : ""}`);
@@ -26411,6 +26543,7 @@ async function dryRunFlow() {
 			if (svc.warnings.length > 0) printDeployWarnings(svc.warnings);
 		}
 		console.log(chalk.dim(`  Upload estimado: ${sizeMB} MB`));
+		if (!validation.success) console.log(chalk.yellow(`  Config rascunho inválido: ${validation.error}`));
 		console.log();
 		console.log(chalk.cyan("  Dry run — nenhum deploy foi realizado."));
 		console.log();
@@ -26419,7 +26552,49 @@ async function dryRunFlow() {
 		services,
 		isMonorepo: detection.isMonorepo,
 		monorepoTool: detection.monorepoTool,
-		uploadSizeMB: sizeMB
+		uploadSizeMB: sizeMB,
+		config: draftConfig,
+		configValid: validation.success,
+		configError: validation.error,
+		analysis: detection
+	};
+}
+function toConfigServiceType(type) {
+	const lower = type.toLowerCase();
+	if (lower === "static" || lower === "worker") return lower;
+	return "web";
+}
+function buildDraftVelozConfig(input) {
+	const { detection, services, branch } = input;
+	const monorepoTool = detection.monorepoTool;
+	const safeBranch = branch && branch !== "unknown" ? branch : void 0;
+	const configServices = {};
+	for (const svc of services) {
+		const buildMethod = existsSync(join(resolve(process.cwd(), svc.rootDir), "Dockerfile")) ? "dockerfile" : monorepoTool ?? "nixpacks";
+		const matchingApp = detection.isMonorepo && detection.monorepoApps.length > 0 ? detection.monorepoApps.find((a) => a.path === svc.rootDir) : void 0;
+		const appName = monorepoTool ? matchingApp?.packageName ?? matchingApp?.name : void 0;
+		const build = buildMethod === "dockerfile" ? { method: "dockerfile" } : monorepoTool || svc.buildCommand ? {
+			method: buildMethod,
+			command: svc.buildCommand ?? void 0,
+			...appName ? { appName } : {}
+		} : void 0;
+		const runtime = {
+			...svc.startCommand ? { command: svc.startCommand } : {},
+			port: svc.port
+		};
+		configServices[svc.rootDir] = {
+			name: svc.name,
+			type: toConfigServiceType(svc.type),
+			root: svc.rootDir,
+			...safeBranch ? { branch: safeBranch } : {},
+			...build ? { build } : {},
+			runtime
+		};
+	}
+	return {
+		version: "1.0",
+		project: { name: basename(process.cwd()) },
+		services: configServices
 	};
 }
 async function* mcpDeployFlow(opts) {
@@ -26434,13 +26609,14 @@ async function* mcpDeployFlow(opts) {
 	}
 	if (opts.new) {
 		const existingConfig = loadConfig$1();
-		if (!existingConfig) throw new Error("Nenhum veloz.json encontrado. Execute 'veloz deploy' no terminal para configurar o projeto primeiro.");
-		await addServiceFlow(existingConfig, {
-			yes: true,
-			app: opts.app,
-			name: opts.name
-		});
-		return;
+		if (existingConfig) {
+			await addServiceFlow(existingConfig, {
+				yes: true,
+				app: opts.app,
+				name: opts.name
+			});
+			return;
+		}
 	}
 	let configuredServices = await findServicesFromConfig();
 	let justBootstrapped = false;
@@ -26496,7 +26672,7 @@ async function* mcpDeployFlow(opts) {
 * `veloz:deploy` on a fresh directory without shelling out.
 */
 async function mcpBootstrapProjectAndService(opts) {
-	await resolveOrgIfNeeded(true);
+	await resolveOrgIfNeeded({ nonInteractive: true });
 	const client = await getClient();
 	const remote = isGitRepo() ? getGitRemote() : null;
 	const project = remote ? await withRetry(() => client.projects.findByRepo({
@@ -26507,6 +26683,30 @@ async function mcpBootstrapProjectAndService(opts) {
 		info(`Projeto encontrado: ${project.name}`);
 		const svc = project.services[0];
 		const detectedType = svc.type?.toLowerCase() ?? "web";
+		if (loadRawConfig()) {
+			patchConfig((raw) => {
+				raw.project = {
+					...raw.project,
+					id: project.id,
+					name: project.name
+				};
+				raw.services ??= {};
+				const key = Object.keys(raw.services)[0] ?? "main";
+				const existing = raw.services[key];
+				raw.services[key] = {
+					...existing ?? {
+						type: detectedType,
+						root: ".",
+						branch: svc.branch
+					},
+					id: svc.id,
+					name: svc.name
+				};
+				raw.updated = (/* @__PURE__ */ new Date()).toISOString();
+			});
+			info(`Arquivo ${getConfigFileName()} atualizado.`);
+			return;
+		}
 		saveConfig$1({
 			version: "1.0",
 			project: {
@@ -26563,7 +26763,7 @@ async function cliDeployFlow(opts) {
 	printBanner("Deploy");
 	await autoUpdate();
 	await requireAuth({ nonInteractive: opts.yes });
-	await resolveOrgIfNeeded(opts.yes);
+	await resolveOrgIfNeeded({ nonInteractive: opts.yes });
 	migrateResourcesConfig();
 	const activeEnv = getActiveEnv();
 	if (activeEnv) {
@@ -26865,18 +27065,25 @@ function registerUse(cli$1) {
 //#region src/commands/whoami.ts
 function registerWhoami(cli$1) {
 	cli$1.command("whoami", {
-		description: "Mostrar usuário autenticado",
+		description: "Mostrar usuário e workspace ativo",
 		middleware: [requireAuth$1],
 		output: z.object({
 			name: z.string(),
-			email: z.string()
+			email: z.string(),
+			organization: z.object({
+				id: z.string(),
+				name: z.string(),
+				slug: z.string(),
+				role: z.string()
+			}).nullable()
 		}),
 		async run(c) {
 			const user = await (await getClient()).me();
 			return c.ok({
 				name: user.name,
-				email: user.email
-			}, { cta: { commands: [
+				email: user.email,
+				organization: user.organization
+			}, { cta: { commands: user.organization ? [
 				{
 					command: "deploy",
 					description: "Fazer deploy do serviço"
@@ -26888,8 +27095,18 @@ function registerWhoami(cli$1) {
 				{
 					command: "projects list",
 					description: "Listar projetos"
+				},
+				{
+					command: "orgs list",
+					description: "Ver todos os workspaces"
 				}
-			] } });
+			] : [{
+				command: "orgs list",
+				description: "Listar workspaces disponíveis"
+			}, {
+				command: "orgs use",
+				description: "Selecionar workspace padrão"
+			}] } });
 		}
 	});
 }
@@ -27281,16 +27498,6 @@ O usuário forneceu as seguintes instruções ANTES de iniciar o deploy. Trate-a
 
 ${notes.trim()}`;
 }
-/**
-* Max width (in columns) for the diagram drawn via wizard-tools:set_helper_content.
-* The diagram renders inside the right pane of RunScreen (~50% of terminal) and
-* full-width in OutroScreen. Scale with the current terminal width so we don't
-* leave half the pane empty on wide terminals.
-*/
-function getDiagramWidth() {
-	const cols = process.stdout.columns ?? 120;
-	return Math.max(36, Math.floor(cols * .45));
-}
 function assemblePrompt(ctx) {
 	return `Você é o wizard de deploy da Veloz. Sua missão é configurar e fazer deploy do projeto do usuário de forma autônoma.
 
@@ -27308,7 +27515,12 @@ A Veloz é uma PaaS brasileira que faz deploy de aplicações a partir do códig
 - Suporta variáveis de ambiente, volumes persistentes e bancos de dados gerenciados
 - Escala serviços com presets de tamanho (\`basico\`, \`essencial\`, \`turbo\`, \`turbo-plus\`, \`nitro\`, \`nitro-plus\`)
 
-## Passo 0 — Aprender sobre a Veloz
+## Passo 0a — Criar \`veloz-deploy-plano.md\`
+Antes de tudo, crie o arquivo \`veloz-deploy-plano.md\` na raiz do projeto (\`${ctx.cwd}\`) com o plano inicial. Use Write com um esqueleto em pt-BR contendo: \`# Plano de Deploy — Veloz\`, data/hora inicial, contexto (framework, package manager, org), e seções vazias para \`Detecção\`, \`Configuração\`, \`Deploy\`, \`Health Check\`, \`Próximos Passos\`.
+
+Depois, ATUALIZE este arquivo ao longo de toda a sessão — a cada passo relevante (detecção de plataforma, análise do projeto, banco detectado, env vars configuradas, diagrama, confirmação, dry-run, deploy real, health check, correções, migração de dados) use Edit para acrescentar/atualizar seções com o que foi feito. Este é o "diário de bordo" que o usuário vai ler depois. NUNCA escreva valores de secrets — apenas nomes de env vars.
+
+## Passo 0b — Aprender sobre a Veloz
 ANTES de qualquer coisa, execute via Bash:
 
 \`\`\`bash
@@ -27323,13 +27535,97 @@ Leia o arquivo \`.claude/skills/veloz-llms.txt\` para entender a plataforma, fra
 
 ## Fluxo de Deploy
 
-### 1. Analisar o projeto
+### 1. Detectar deploys existentes em outras plataformas (PRIMEIRO PASSO — antes de qualquer outra coisa)
+A primeira coisa que você DEVE fazer — antes de ler package.json, antes de procurar Dockerfile, antes de qualquer Glob — é descobrir se este projeto já está rodando em outro lugar (Vercel, Railway, Fly, Cloudflare, Netlify, Render, Heroku, DigitalOcean, AWS Amplify, Coolify). Se estiver, a Veloz consegue importar a maior parte do trabalho que o usuário já fez lá: build/start commands, env vars, regions. Pular essa detecção significa fazer o usuário re-configurar do zero algo que já existe — inaceitável.
+
+**Não seja preguiçoso aqui.** Não assuma "provavelmente não tem nada deployado" só porque o repo parece simples. Frontends quase sempre têm \`vercel.json\` ou estão acoplados a um projeto Vercel. APIs Node frequentemente vivem em Railway/Fly/Render. Muitos projetos deployam só via GitHub Actions (sem nenhum config local). Sempre cheque.
+
+**1a. Chame a ferramenta de detecção (uma vez, no início):**
+
+\`\`\`
+wizard-tools:detect_existing_deployments {}
+\`\`\`
+
+Esta ferramenta faz TUDO sob o capô: (1) escaneia o disco pelos arquivos de config das plataformas, (2) lê \`.github/workflows/*.yml\` procurando deploy actions de cada plataforma, (3) verifica se o CLI de cada uma está instalado e autenticado. **NÃO use Glob nem Bash (\`which\`, \`vercel whoami\`, leitura manual de workflows etc.) para esse trabalho** — a ferramenta já fez isso de forma estruturada. Use o resultado dela.
+
+A resposta diz, por plataforma detectada:
+- \`files_found\`: arquivos de config encontrados na raiz
+- \`github_workflows\`: workflows do GitHub Actions que deployam para essa plataforma
+- \`detection_source\`: \`config_files\`, \`github_workflows\`, ou ambos
+- \`cli\`: se a CLI está instalada e autenticada localmente
+- \`extract_commands\`: comandos exatos para extrair env vars / config
+- \`can_bring\`: o que exatamente é portável para a Veloz (frontend code, build/start, env vars, regions, etc.)
+- \`next_step\`: como proceder dado o estado do CLI / fonte da detecção
+
+**1b. Se nada foi detectado** (\`any_detected: false\`): faça uma varredura silenciosa de sinais secundários adicionais antes de desistir (a ferramenta já cobriu config files + workflows; aqui você cobre o resto):
+
+Sinais para checar (Read tool, sem prompts, sem anúncios):
+- \`package.json\` — \`scripts\` mencionando \`vercel\`, \`netlify\`, \`fly\`, \`railway\`, \`wrangler\`, \`heroku\`, \`amplify\`, \`render-cli\`, \`coolify\`; \`dependencies\`/\`devDependencies\` com \`@vercel/*\`, \`netlify-cli\`, \`wrangler\`, etc.
+- \`README.md\` / \`README\` — badges ou links \`vercel.app\`, \`netlify.app\`, \`fly.dev\`, \`herokuapp.com\`, \`onrender.com\`, \`pages.dev\`, \`workers.dev\`, instâncias Coolify (subdomínios próprios)
+- \`.git/config\` — remotes \`heroku.com\`, \`dokku@\`, ou hooks de deploy
+- Variáveis no shell de quem chamou o wizard (\`process.env\`): \`VERCEL\`, \`VERCEL_*\`, \`RAILWAY_*\`, \`NETLIFY_*\`, \`FLY_*\`, \`CF_API_TOKEN\`, \`COOLIFY_*\` — sinais de uma sessão CI/local já configurada
+
+Se UM sinal credível aparecer (não inferências fracas), trate como detecção e siga 1c-1f normalmente — mas use \`can_bring\` adaptado ao sinal. Se NENHUM sinal aparecer, **não diga nada ao usuário sobre essa busca** — não pergunte "achei algo?", não anuncie "verifiquei e não tem deploy". Pule direto para a seção 2 (analisar projeto). Silêncio é o resultado correto quando não há nada.
+
+Não invente uma migração que não existe.
+
+**1c. Se algo foi detectado:** apresente ao usuário CLARAMENTE o que foi encontrado e o que pode ser trazido. Use \`wizard-tools:prompt_user\`:
+
+- **Uma plataforma detectada** → \`type: "confirm"\`:
+  \`\`\`
+  wizard-tools:prompt_user {
+    "question": "Detectei que esse projeto já está deployado na <Plataforma> (<arquivos>). Posso importar para a Veloz: <can_bring resumido>. Não vou tocar em nada na <Plataforma> — só leitura. Quer que eu importe?",
+    "type": "confirm"
+  }
+  \`\`\`
+
+- **Múltiplas plataformas detectadas** → \`type: "choice"\` com a lista + opção "nenhuma":
+  \`\`\`
+  wizard-tools:prompt_user {
+    "question": "Encontrei deploys existentes em mais de uma plataforma. Qual deve ser a fonte de verdade para importar para a Veloz?",
+    "type": "choice",
+    "options": ["Vercel (frontend Next.js + 12 envs)", "Railway (backend Node + 8 envs)", "Nenhuma — começar do zero"]
+  }
+  \`\`\`
+
+Regra: a pergunta deve mencionar o conteúdo real (não "Vercel detectado" mas "Vercel — Next.js frontend, 12 env vars, build \`next build\`"). Use o campo \`can_bring\` da resposta da ferramenta, NÃO um texto genérico.
+
+**1d. Se o usuário aprovar a migração:** prossiga para 1e. Se recusar OU não responder (timeout): mencione no diagrama "Migração declinada" e pule para a seção 2.
+
+**1e. Extrair (read-only — NUNCA mute a outra plataforma):**
+
+Use o campo \`extract_commands\` da resposta da ferramenta. Para cada plataforma aprovada:
+
+a) **Config (build/start/regions/framework):**
+   - Se o CLI está autenticado: rode o comando do CLI via Bash (já está no allowlist read-only — ex: \`vercel project ls\`, \`fly config show\`)
+   - Se o CLI NÃO está instalado/autenticado: use Read tool no arquivo de config diretamente (vercel.json, fly.toml, render.yaml, etc.)
+   - Extraia: build command, install command, start command, output directory, regions (informativo), env vars referenciadas (sem valores), cron jobs / workers (avise se existir — ainda não suportado)
+
+b) **Env vars:**
+   - Se o CLI está autenticado: rode o comando de extração de envs (ex: \`vercel env pull .env.vercel\`, \`railway variables\`, \`fly secrets list\`)
+   - Se o CLI NÃO está autenticado: peça ao usuário via \`wizard-tools:prompt_user\` cada env sensível (use o \`hint\` para indicar onde achar no dashboard da plataforma)
+   - **NUNCA** logue valores de env vars na saída do agente
+   - Use \`wizard-tools:check_env_keys\` para confirmar quais keys já existem em \`.env\` local (não duplique)
+   - Antes de configurar na Veloz, confirme com o usuário a lista (só os **nomes** das keys + contagem):
+     \`\`\`
+     "Importar 12 variáveis da Vercel para a Veloz? Keys: NEXT_PUBLIC_API_URL, DATABASE_URL, STRIPE_SECRET_KEY, ... (sem alterar valores na Vercel)"
+     \`\`\`
+   - Configure via \`veloz:env_set\` (uma chamada por env var). Variáveis de build (\`NEXT_PUBLIC_*\`) precisam estar no servidor ANTES do deploy.
+   - Se gerou \`.env.vercel\` ou similar, **delete o arquivo após importar** (não deixar secrets no disco)
+
+c) Aplique a config detectada (build/start/port/method) APÓS o primeiro deploy via \`veloz:config_set\`. Antes do primeiro deploy, guarde o que detectou e use no diagrama + na confirmação do passo 5.
+
+**1f. Mencionar a migração no diagrama e na confirmação:**
+
+No diagrama (seção 4), inclua uma linha como \`Migrado de: Vercel (12 envs, build "next build")\`. Na confirmação (seção 5), liste explicitamente o que foi importado para o usuário aprovar antes do deploy.
+
+### 2. Analisar o projeto
 - Leia package.json, configs do framework, .env.example
-- Identifique: build command, start command, porta, variáveis de ambiente necessárias
-- Procure Dockerfiles/containers já existentes (veja seção 1b abaixo)
+- Identifique: build command, start command, porta, variáveis de ambiente necessárias (use a config importada da seção 1 como ponto de partida quando houver)
+- Procure Dockerfiles/containers já existentes (veja seção 2b abaixo)
 - CUIDADO: NÃO rode \`npm run dev\`, \`next dev\`, \`vite\`, \`nodemon\` ou qualquer servidor de desenvolvimento. Isso trava o processo.
 
-### 1b. Escape hatch: Dockerfile
+### 2b. Escape hatch: Dockerfile
 A Veloz tem dois métodos de build: **nixpacks** (auto-detect a partir do código) e **dockerfile** (usa um Dockerfile explícito). Prefira nixpacks sempre que possível — é mais simples e mais rápido. Mas existem dois cenários em que você DEVE usar Dockerfile:
 
 **Cenário A — já existe um Dockerfile no projeto (USE, não recrie)**
@@ -27361,51 +27657,162 @@ Criar Dockerfile **novo** (só se não houver nenhum) SOMENTE se:
 
 Nesse caso:
 1. Escreva um Dockerfile minimalista e idiomático na raiz do app (arquivo novo — OK sem confirmação prévia)
-2. Mencione no resumo da confirmação do deploy (seção 4) que esse arquivo novo será criado
+2. Mencione no resumo da confirmação do deploy (seção 5) que esse arquivo novo será criado
 3. Configure o serviço com \`method: "dockerfile"\` via \`veloz:config_set\`
 4. Re-deploye
 
 Se precisar **editar** um Dockerfile existente (raro), siga a regra de permissão da seção "Edits em arquivos existentes do usuário" — peça confirmação antes.
 
-NUNCA crie um Dockerfile só porque o primeiro build falhou — diagnostique primeiro (seção 7).
-
-### 2. Configurar variáveis de ambiente
-- Use wizard-tools:check_env_keys para ver quais .env existem
-- Use wizard-tools:prompt_user para pedir valores sensíveis ao usuário (com hint de onde obter)
-- Use veloz:env_set para configurar no servidor ANTES do deploy (variáveis de build como NEXT_PUBLIC_* precisam existir antes)
-- O usuário pode escolher "configurar depois" — nesse caso, continue sem a env var
-
-### 3. Desenhar o diagrama (OBRIGATÓRIO — antes do deploy)
-ANTES de chamar \`veloz:deploy\`, você DEVE chamar \`wizard-tools:set_helper_content\` com um diagrama ASCII da arquitetura que será deployada. Este passo NÃO é opcional — o diagrama aparece na TUI abaixo da lista de tarefas e é essencial para o usuário visualizar o que está acontecendo.
-
-Requisitos do diagrama:
-- Use caracteres de box-drawing (┌─┐│└┘├┤┬┴┼) e setas (→ ↓ ↑)
-- Largura alvo: **~${getDiagramWidth()} colunas** (use a maior parte desse espaço — não deixe o painel vazio). Nunca ultrapasse esse limite ou o diagrama será truncado
-- Mostre: framework do projeto, pipeline (código → build → serviço), porta, URL esperada
-- Inclua serviços auxiliares (banco, cache, workers) se houver
-- Use \`title\` para o cabeçalho e \`lines\` para o corpo
-
-Exemplo (amplie a largura para preencher ~${getDiagramWidth()} colunas):
+NUNCA crie um Dockerfile só porque o primeiro build falhou — diagnostique primeiro (seção 8).
+
+### 2c. Detectar banco de dados e serviços auxiliares (SEM prompt — auto-incluir no plano)
+Não pergunte "quer criar um banco?" — se o projeto claramente usa um banco, INCLUA na plan e mostre no diagrama/confirmação. O usuário aprova (ou rejeita) tudo junto na confirmação única da seção 5.
+
+**Sinais de banco de dados** (basta UM para considerar que o projeto usa):
+- \`dependencies\`/\`devDependencies\` em \`package.json\`:
+  - PostgreSQL: \`pg\`, \`postgres\`, \`@prisma/client\`, \`prisma\`, \`drizzle-orm\`, \`kysely\` com \`pg\`, \`@neondatabase/*\`, \`postgres.js\`
+  - MySQL: \`mysql\`, \`mysql2\`, \`mariadb\`, \`@planetscale/database\`
+  - Redis: \`redis\`, \`ioredis\`, \`@upstash/redis\`, \`bullmq\`
+  - Mongo: \`mongoose\`, \`mongodb\` (Veloz ainda NÃO tem Mongo gerenciado — ver abaixo)
+  - ORMs ambíguas: \`typeorm\`, \`sequelize\` — cheque o dialeto pelo config
+- \`schema.prisma\` / \`drizzle.config.*\` / \`knexfile.*\` / \`ormconfig.*\` — leia para saber o provider
+- \`.env\` / \`.env.example\` / \`.env.local\` com \`DATABASE_URL\`, \`POSTGRES_URL\`, \`MYSQL_URL\`, \`REDIS_URL\`, \`MONGO_URL\`
+- \`docker-compose.yml\` com serviço \`postgres\`/\`mysql\`/\`redis\`
+
+**Regra de decisão:**
+- Sinal claro (Postgres/MySQL/Redis) → crie o banco via \`veloz:db_create\` ANTES do deploy, ou declare em \`veloz.json\` na seção \`databases\` ANTES do primeiro \`veloz:deploy\` (o deploy provisiona tudo junto). **Não prompte.** Coloque "Postgres 16" (ou equivalente) em \`services\` no diagrama e mencione "Criando Postgres gerenciado" na confirmação da seção 5.
+- Mongo detectado → a Veloz ainda não tem Mongo gerenciado. Avise 1 linha na confirmação: "Mongo detectado — sem Mongo gerenciado ainda; o app vai subir, você precisará apontar \`MONGO_URL\` para um Mongo externo". **Não prompte escolha.**
+- Nenhum sinal → não invente banco.
+
+**Variáveis de conexão são auto-injetadas.** Quando o banco é gerenciado pela Veloz, \`DATABASE_URL\` (postgres/mysql) e \`REDIS_URL\` (redis) são preenchidas automaticamente pelo serviço de deploy — NÃO peça esses valores ao usuário em seção 3, NÃO rode \`veloz:env_set\` para eles. Se o nome da key no \`.env\` do usuário for diferente (ex: \`POSTGRES_URL\`, \`DB_URL\`), configure um alias via \`veloz:config_set\` nas env vars do serviço apontando para a var injetada.
+
+**Dados locais — NUNCA migre automaticamente.** Se o \`.env\` local aponta para \`localhost\`/\`127.0.0.1\`/\`db:5432\` (docker-compose), ou existe \`docker-compose.yml\` com o serviço de banco, o projeto PROVAVELMENTE tem dados locais. O banco gerenciado da Veloz vai ser provisionado **VAZIO** — isso NÃO é bug, é o comportamento esperado. NÃO tente ler/exportar dados do banco local no meio do wizard. Apenas:
+  1. Na confirmação da seção 5, inclua a linha: "⚠ Dados locais NÃO serão migrados — o banco da Veloz vai começar vazio. Instruções de migração serão mostradas no final."
+  2. Depois do health check, emita o bloco \`[DATA_MIGRATION]\` (ver seção 7c).
+
+### 2d. PgBouncer (connection pooler) — quando habilitar (SEM prompt)
+PgBouncer é o pooler gerenciado da Veloz para Postgres. A Veloz expõe \`<KEY>_POOLER_URL\` (porta 6432) além do \`<KEY>_DATABASE_URL\` direto (5432). Habilitar o pooler previne exaustão de conexões em cargas com muitos processos curtos — obrigatório para serverless-style apps, serviços auto-escaláveis e workers paralelos. **Decida pelo uso, não pergunte.**
+
+**Habilite \`pooler.enabled: true\` (em \`databases.<key>\` no \`veloz.json\` ANTES do primeiro deploy, ou via \`veloz:config_set\` depois) quando detectar QUALQUER um destes sinais:**
+- Framework com rotas serverless / route handlers por request curto: Next.js App Router com \`route.ts\`/\`api/\`, Remix, SvelteKit, Astro com endpoints server, Nuxt server routes, Hono/Elysia em serverless-style
+- ORM que abre conexão por request: Prisma com \`new PrismaClient()\` sem pool custom, Drizzle em edge, \`pg\` sem \`Pool\`
+- Worker / job runner que escala horizontal: BullMQ (\`bullmq\` em deps), Inngest, Trigger.dev, cron com concorrência
+- \`size\` do serviço ≥ \`turbo\` E tipo web (provavelmente vai receber tráfego real)
+- Env com \`DATABASE_POOL_URL\`/\`POSTGRES_POOLING_URL\`/\`PRISMA_DATABASE_URL\` (sinal claro que o app espera usar pooler)
+
+**Escolha do \`poolMode\`:**
+- \`transaction\` (default) — funciona para 95% dos apps web (Prisma, Drizzle, request-scoped queries). Use este.
+- \`session\` — só se o app precisa de \`SET LOCAL\`, \`LISTEN/NOTIFY\`, prepared statements nomeados persistentes, ou transações que cruzam múltiplas conexões. Detecte por \`pg.Client\` com \`client.query('LISTEN ...')\` ou \`SET search_path\` no código.
+- \`statement\` — raríssimo; só se o usuário pedir explicitamente.
+
+**Quando um ORM exige pooler, aponte a env correta:** Prisma em serverless precisa do \`POOLER_URL\` no \`DATABASE_URL\` E do URL direto no \`DIRECT_URL\` para migrações (veja 2e). Configure via \`veloz:config_set\` env vars do serviço:
+\`\`\`
+DATABASE_URL = \${<KEY>_POOLER_URL}
+DIRECT_URL   = \${<KEY>_DATABASE_URL}
+\`\`\`
+Para Drizzle/Kysely/pg puro, basta \`DATABASE_URL = \${<KEY>_POOLER_URL}\`.
+
+**Não habilite pooler quando:** engine ≠ postgresql (MySQL/Redis não têm), app é batch job único sem concorrência, ou o usuário pediu explicitamente conexão direta.
+
+Mencione "Pooler (PgBouncer)" em \`services\` ou \`notes\` do diagrama quando habilitado.
+
+### 2e. Pre-start command (migrações de banco e setup antes do start)
+\`runtime.preStartCommand\` roda UMA vez por deploy, ANTES do comando \`start\`, no mesmo container com todas as env vars e conexões de banco disponíveis. É o lugar certo para **migrações**, seeds idempotentes, e qualquer setup que precise ser aplicado antes do app começar a servir. **Detecte pelo código do usuário e configure sem perguntar.**
+
+**Sinais → comando:**
+- \`schema.prisma\` presente + \`prisma\`/\`@prisma/client\` em deps → \`preStartCommand: "npx prisma migrate deploy"\` (NUNCA \`migrate dev\` em produção; NUNCA \`db push\` — corrompe histórico de migrações)
+- \`drizzle.config.*\` presente + \`drizzle-kit\` em deps → \`preStartCommand: "npx drizzle-kit migrate"\` (ou o script que o usuário já tem em \`package.json\`, ex: \`pnpm run db:migrate\`)
+- \`knexfile.*\` presente → \`preStartCommand: "npx knex migrate:latest"\`
+- \`ormconfig.*\` / TypeORM com \`migrations/\` → \`preStartCommand: "npx typeorm migration:run -d dist/data-source.js"\` (ajuste o path do data-source)
+- \`alembic.ini\` (Python) → \`preStartCommand: "alembic upgrade head"\`
+- Rails \`db/migrate/\` → \`preStartCommand: "bundle exec rails db:migrate"\`
+- Django \`manage.py\` + \`migrations/\` → \`preStartCommand: "python manage.py migrate --noinput"\`
+- Script próprio em \`package.json\` (\`migrate\`, \`db:migrate\`, \`db:deploy\`) → prefira o script do usuário: \`preStartCommand: "pnpm run db:migrate"\`
+
+**Regras:**
+- Configure via \`veloz:config_set\` (ex: \`{ "runtime": { "preStartCommand": "npx prisma migrate deploy" } }\`) ou declare em \`veloz.json\`.
+- Use o package manager detectado no contexto (\`${ctx.packageManager}\`) — não troque pnpm por npm.
+- Use \`npx\`/\`pnpm exec\` apenas se o binário não estiver no PATH direto; prefira o script do \`package.json\` quando existir.
+- **Idempotência obrigatória.** Migrate deploy e alembic upgrade são idempotentes. Evite seeds não-idempotentes no preStart — rode seeds uma única vez via \`veloz db tunnel\` do lado do usuário e mencione isso em \`[DATA_MIGRATION]\`.
+- **Prisma + pooler:** o preStart precisa do URL DIRETO (não pooler). Se habilitou PgBouncer (2d), garanta que \`DIRECT_URL\` está setado para \`\${<KEY>_DATABASE_URL}\` e que o Prisma schema tem \`directUrl = env("DIRECT_URL")\`. Se o schema ainda não tem, peça permissão (seção "Edits em arquivos existentes") antes de editar \`schema.prisma\`.
+- **Falhas no preStart abortam o deploy** — o serviço NÃO sobe se o preStart retornar exit code ≠ 0. Trate falha de migração como categoria A (misconfig) se for env/DATABASE_URL errada, ou categoria B (código do usuário) se for erro de SQL/schema do usuário.
+- Mencione "preStart: \`<cmd>\`" em \`notes\` do diagrama e na confirmação da seção 5.
+
+Se não detectar nenhum sinal de migração, NÃO invente \`preStartCommand\` — deixe vazio.
+
+### 3. Configurar variáveis de ambiente
+
+**Regra de ouro: só prompte o que você NÃO pode obter de outra fonte.** Para cada env var que o app precisa, siga esta ordem de resolução ANTES de considerar perguntar ao usuário:
+
+1. **Já migrada na seção 1** (importada de outra plataforma via \`vercel env pull\`/\`railway variables\`/\`fly secrets list\`) → já está no servidor, NÃO prompte.
+2. **Presente em \`.env\` / \`.env.local\` local** → leia o arquivo diretamente (Read tool), rode \`veloz:env_set\` com o valor, NÃO prompte. O \`.env\` é fonte de verdade local do usuário — se o valor está lá, é para usar. Use \`wizard-tools:check_env_keys\` só para saber QUAIS keys existem; depois leia o arquivo via Read para pegar os valores e rodar \`veloz:env_set\`. (Nunca imprima os valores nos seus logs — só rode o env_set.)
+3. **Auto-injetada por serviço gerenciado da Veloz** (banco gerenciado detectado na seção 2c → \`DATABASE_URL\`, \`REDIS_URL\`, pooler URL) → NÃO rode \`veloz:env_set\` nem prompte. A injeção é automática no runtime do serviço.
+4. **Nenhuma das anteriores** (ex: \`STRIPE_SECRET_KEY\` que só existe no dashboard do Stripe, chave de API de terceiro que o usuário ainda não salvou localmente) → AÍ SIM chame \`wizard-tools:prompt_user\` com \`hint\` explicando onde obter. O usuário pode escolher "configurar depois" — continue sem, e inclua \`veloz env set <KEY>\` nas instruções finais.
+
+Regras adicionais:
+- Variáveis de build (\`NEXT_PUBLIC_*\`, \`VITE_*\`, \`PUBLIC_*\`) precisam estar no servidor ANTES do deploy — resolva-as primeiro.
+- Para chaves com nome diferente entre \`.env\` local e o que o app espera (ex: \`.env\` tem \`POSTGRES_URL\` mas o banco Veloz injeta \`DATABASE_URL\`), use interpolação \`\${VAR}\` (ver 3a) em vez de duplicar o segredo — é o mecanismo correto para aliases.
+- Se a key existe em \`.env.example\` mas não em \`.env\` local → trate como caso 4 (prompte, porque o usuário não tem o valor salvo).
+
+### 3a. Interpolação de variáveis no valor (\`\${OUTRA_VAR}\`)
+Valores passados para \`veloz:env_set\` podem referenciar OUTRAS env vars do MESMO serviço usando \`\${NOME_DA_VAR}\` (single-brace). A resolução acontece no deploy — a Veloz substitui a referência pelo valor real da variável referenciada antes do container subir.
+
+**Escopo da interpolação:**
+- Resolve contra as outras vars definidas no mesmo serviço (via \`veloz:env_set\`)
+- Resolve contra as vars **auto-injetadas** pela plataforma:
+  - Sistema: \`PORT\` (exceto workers), \`NODE_ENV\`.
+  - Banco: \`<PREFIXO>_DATABASE_URL\`, \`<PREFIXO>_HOST\`, \`<PREFIXO>_PORT\`, \`<PREFIXO>_USERNAME\`, \`<PREFIXO>_PASSWORD\`, \`<PREFIXO>_DATABASE\`, \`<PREFIXO>_POOLER_URL\`/\`<PREFIXO>_POOLER_PORT\` (só com pooler ativo em Postgres), e os apelidos canônicos \`DATABASE_URL\`/\`REDIS_URL\` quando o projeto tem exatamente um banco daquele tipo. \`<PREFIXO>\` = nome do serviço de banco em maiúsculas (ex: banco \`postgres\` → \`POSTGRES_*\`; banco \`main-db\` → \`MAIN_DB_*\`).
+  - **Metadados da plataforma (\`VELOZ_*\`)** — sempre disponíveis para referenciar em outras vars:
+    - Sempre: \`VELOZ_SERVICE_ID\`, \`VELOZ_SERVICE_NAME\`, \`VELOZ_SERVICE_TYPE\`, \`VELOZ_PROJECT_ID\`, \`VELOZ_PROJECT_NAME\`, \`VELOZ_DEPLOYMENT_ID\`, \`VELOZ_DEPLOYED_AT\`.
+    - Quando o build gerou imagem: \`VELOZ_IMAGE_TAG\`.
+    - Quando o deploy veio do Git: \`VELOZ_GIT_COMMIT_SHA\`, \`VELOZ_GIT_COMMIT_SHORT\` (7 chars), \`VELOZ_GIT_COMMIT_MESSAGE\`, \`VELOZ_GIT_BRANCH\`.
+    - Quando o serviço tem domínios: \`VELOZ_PRIMARY_DOMAIN\`, \`VELOZ_PUBLIC_URL\` (\`https://<primary>\`), \`VELOZ_DOMAINS\` (vírgula-separado).
+    - Use para versão do app (\`APP_VERSION=\${VELOZ_GIT_COMMIT_SHORT}\`), release do Sentry (\`SENTRY_RELEASE=\${VELOZ_PROJECT_NAME}@\${VELOZ_GIT_COMMIT_SHORT}\`), URL canônica (\`NEXT_PUBLIC_SITE_URL=\${VELOZ_PUBLIC_URL}\`), allowlist de CORS (\`ALLOWED_ORIGINS=\${VELOZ_DOMAINS}\`) — evita hardcoding.
+- NÃO resolve entre serviços — pra isso use \`\${{nome-do-servico.propriedade}}\` (duplo-brace), que só funciona quando apontado para serviços gerenciados (banco).
+
+**Use interpolação nos seguintes casos (não duplique valores):**
+- **Alias de variável:** o app lê \`POSTGRES_URL\` mas a plataforma injeta \`DATABASE_URL\` → \`veloz:env_set POSTGRES_URL='\${DATABASE_URL}'\`
+- **Compor URL com query params:** \`DATABASE_URL='\${POSTGRES_POOLER_URL}?sslmode=require&pgbouncer=true'\`
+- **Separar connection string em partes:** quando o app espera \`DB_HOST\`/\`DB_PORT\`/\`DB_USER\`/\`DB_PASS\`/\`DB_NAME\` individuais em vez de uma URL → \`DB_HOST='\${POSTGRES_HOST}'\`, \`DB_PORT='\${POSTGRES_PORT}'\`, etc.
+- **Reusar base URL entre vars:** \`API_BASE='https://\${APP_HOST}'\`, \`NEXT_PUBLIC_API='\${API_BASE}/v1'\`
+
+**Regras:**
+- Ref não encontrada passa como literal (\`\${VAR}\`) e vira aviso no log do deploy — NÃO quebra o deploy, mas é sinal de que faltou definir algo.
+- Para preservar um \`\${...}\` literal sem interpolação, escape com \`$\${LITERAL}\` (dois dólares).
+- Cadeias são resolvidas (\`A=\${B}\`, \`B=\${C}\`, \`C=x\` → \`A=x\`), até profundidade 10. Ciclos são interrompidos e viram aviso.
+- \`\${VAR}\` NÃO conflita com \`\${{svc.prop}}\` — use duplo-brace só para referenciar outro serviço.
+
+**Quando EVITAR interpolação:** valores estáticos (API keys, feature flags, URLs fixas de terceiros) — passe o valor direto. Interpolação é para derivar um valor a partir de outro que já existe.
+
+### 4. Desenhar o diagrama (OBRIGATÓRIO — antes do deploy)
+ANTES de chamar \`veloz:deploy\`, você DEVE chamar \`wizard-tools:set_helper_content\` com a estrutura do deploy. Este passo NÃO é opcional — o diagrama aparece na TUI abaixo da lista de tarefas.
+
+**Envie apenas a estrutura — NUNCA gere ASCII art.** A TUI desenha as caixas, setas e escolhe o layout (horizontal/vertical) com base na largura do terminal. Se você mandar box-drawing manual, a largura fica errada.
+
+Campos:
+- \`title\` — cabeçalho curto (ex: "Deploy — Next.js")
+- \`pipeline\` — array de etiquetas em ordem, cada uma ≤ 28 caracteres. A TUI renderiza cada item como uma caixa ligada por setas. Use 3–5 nós — começa na fonte (ex: "GitHub" ou "Código local"), passa por build/deploy, termina na URL pública
+- \`services\` — array de serviços auxiliares (bancos, caches, workers). Etiquetas ≤ 28 caracteres (ex: "Postgres 16", "Redis")
+- \`notes\` — array de anotações curtas (ex: runtime/porta, migração de outra plataforma, tamanho do serviço, Dockerfile detectado)
+
+Exemplo:
 \`\`\`
 wizard-tools:set_helper_content {
   "title": "Deploy — Next.js",
-  "lines": [
-    "┌─────────────────────────────────────────────────────┐",
-    "│  Next.js 15 · porta 3000 · runtime Node 20          │",
-    "└──────────────────────────┬──────────────────────────┘",
-    "                           │ veloz deploy",
-    "                           ▼",
-    "  build (Nixpacks) ───▶ imagem ───▶ serviço (turbo)",
-    "                           │",
-    "                           ▼",
-    "              https://app.runveloz.com"
-  ]
+  "pipeline": ["GitHub", "Build (Nixpacks)", "Serviço turbo", "app.runveloz.com"],
+  "services": ["Postgres 16", "Redis"],
+  "notes": ["Porta 3000 · Node 20", "Migrado de: Vercel (12 envs)"]
 }
 \`\`\`
 
+Regras:
+- Etiquetas curtas — qualquer texto > 28 caracteres é truncado
+- Não envie \`lines\` junto com \`pipeline\` — use apenas o formato estruturado
+- \`lines\` só serve como fallback se o deploy for exótico e não couber em pipeline/services/notes
+
 Só prossiga para a confirmação DEPOIS que o diagrama for enviado.
 
-### 4. Confirmar com o usuário (OBRIGATÓRIO — antes do deploy)
+### 5. Confirmar com o usuário (OBRIGATÓRIO — antes do deploy)
 ANTES de chamar \`veloz:deploy\`, você DEVE pedir confirmação explícita ao usuário usando \`wizard-tools:prompt_user\` com \`type: "confirm"\`. Este passo NÃO é opcional.
 
 \`\`\`
@@ -27426,10 +27833,10 @@ Regras:
 - Se o usuário responder "não" → NÃO faça deploy. Emita \`[SUMMARY] Deploy cancelado pelo usuário antes de começar.\` e encerre.
 - Se o usuário não responder (timeout) → NÃO faça deploy. Emita \`[SUMMARY] Deploy cancelado por falta de resposta.\` e encerre.
 
-### 5. Fazer deploy
+### 6. Fazer deploy
 Use SEMPRE a ferramenta MCP \`veloz:deploy\` para fazer deploy — inclusive no PRIMEIRO deploy (sem veloz.json ainda). NUNCA use Bash para rodar \`veloz deploy\`.
 
-**5a. Dry-run primeiro (OBRIGATÓRIO)**
+**6a. Dry-run primeiro (OBRIGATÓRIO)**
 ANTES de fazer o deploy real, você DEVE rodar um dry-run para validar a configuração sem enviar nada:
 
 \`\`\`
@@ -27452,11 +27859,11 @@ Porque o dry-run NÃO gera veloz.json e NÃO cria serviço no servidor, \`veloz:
 
 - **Upload grande demais** → edite/crie \`.dockerignore\` e/ou \`.gitignore\` local para excluir \`node_modules\`, \`dist\`, \`.next\`, \`.turbo\`, \`coverage\`, etc. (pedir permissão via \`wizard-tools:prompt_user\` antes de editar se o arquivo já existir)
 - **Framework detectado errado** → verifique se a raiz do app está correta (use \`--app\` para monorepos) e se \`package.json\` tem os sinais esperados (dependências, \`scripts.build\`/\`start\`). Ajuste scripts do package.json (com permissão)
-- **Build/start command errado ou ausente** → adicione/corrija os scripts em \`package.json\` (com permissão), OU gere um Dockerfile novo (seção 1b cenário B)
+- **Build/start command errado ou ausente** → adicione/corrija os scripts em \`package.json\` (com permissão), OU gere um Dockerfile novo (seção 2b cenário B)
 - **Porta errada** → geralmente o framework define; se precisa customizar, edite config do framework (next.config, vite.config) OU use Dockerfile com \`EXPOSE\`
 - **Dockerfile não está sendo usado quando deveria** → garanta que o path do Dockerfile está onde o detector procura (raiz do app)
 
-Repita \`veloz:deploy { "dryRun": true }\` depois de cada correção para confirmar. Só prossiga para 5b quando o dry-run estiver limpo.
+Repita \`veloz:deploy { "dryRun": true }\` depois de cada correção para confirmar. Só prossiga para 6b quando o dry-run estiver limpo.
 
 **Depois do primeiro deploy real** (\`veloz.json\` criado, serviço existe no servidor), \`veloz:config_set\` passa a funcionar e é a forma preferida de ajustar build/start/port/size/preStart sem re-editar arquivos locais.
 
@@ -27466,7 +27873,7 @@ veloz:deploy { "dryRun": true, "app": "apps/web" }
 veloz:deploy { "dryRun": true, "service": "nome-servico" }
 \`\`\`
 
-**5b. Deploy real**
+**6b. Deploy real**
 Depois que o dry-run passou limpo, faça o deploy real:
 
 \`\`\`
@@ -27477,6 +27884,17 @@ Para monorepos ou deploy de serviço específico:
 - \`veloz:deploy { "yes": true, "app": "apps/web" }\` — deploy de um app específico do monorepo
 - \`veloz:deploy { "yes": true, "service": "nome-servico" }\` — re-deploy de serviço existente
 
+**Retry após falha — use \`service\` OU \`all\`**
+Na PRIMEIRA chamada, \`veloz:deploy\` pode rodar sem escopo (o wizard faz bootstrap do projeto e deploy do serviço recém-criado). Depois que o serviço já existe — mesmo que o deploy tenha falhado no build, no health check, ou o CLI só tenha conseguido fazer o bootstrap antes de errar — chamar \`veloz:deploy\` sem escopo retorna:
+
+> Especifique o(s) serviço(s) para deploy com --service ou use --all.
+
+Esse erro NÃO significa que o wizard quebrou — significa que o CLI precisa que você seja explícito porque \`veloz.json\` já existe. Resolução:
+- Se só existe um serviço → \`veloz:deploy { "yes": true, "all": true }\`
+- Se existem múltiplos → \`veloz:deploy { "yes": true, "service": "<key>" }\` (use a chave do serviço em \`veloz.json\` — ex: \`main\`, \`web\`, \`api\`; o nome aparece na mensagem de erro entre parênteses: \`main (corgea)\`)
+
+Se encontrar esse erro após um deploy falhado, NÃO tente investigar o erro como se fosse novo — só repita a chamada com \`all: true\` ou \`service\`.
+
 O deploy via MCP, mesmo sem veloz.json, faz tudo de ponta-a-ponta:
 1. Detecta o framework e o tipo de serviço (web, static, worker)
 2. Cria o projeto e o serviço na plataforma (se ainda não existirem)
@@ -27486,20 +27904,20 @@ O deploy via MCP, mesmo sem veloz.json, faz tudo de ponta-a-ponta:
 
 IMPORTANTE:
 - SEMPRE rode \`dryRun: true\` ANTES do deploy real. NÃO pule o dry-run.
-- NUNCA passe \`dryRun: true\` no deploy de 5b — isso simula e NÃO faz deploy de verdade. O dry-run é só para o passo 5a.
+- NUNCA passe \`dryRun: true\` no deploy de 6b — isso simula e NÃO faz deploy de verdade. O dry-run é só para o passo 6a.
 - SEMPRE use veloz:deploy (MCP), inclusive no primeiro deploy. NUNCA \`veloz deploy\` via Bash — o Bash pode travar esperando input interativo.
 - Só caia para Bash (\`veloz deploy --yes\`) se o MCP retornar erro explícito de conexão/timeout — nunca por ausência de veloz.json.
 - NUNCA crie ou edite o arquivo veloz.json manualmente. Ele é gerado automaticamente pelo CLI no primeiro deploy.
 - Após o primeiro deploy, se precisar ajustar configurações, use \`veloz:config_set\`.
 
-### 6. Monitorar e diagnosticar
+### 7. Monitorar e diagnosticar
 Após o deploy, use as ferramentas MCP para verificar o resultado:
 - veloz:builds_logs — logs completos do build (stdout + stderr)
 - veloz:builds_show — status detalhado do build
 - veloz:logs_search — logs de runtime do serviço (após o serviço iniciar)
 - veloz:domains_list — ver URLs/domínios disponíveis
 
-### 6b. Health check pós-deploy (OBRIGATÓRIO quando o deploy retorna LIVE)
+### 7b. Health check pós-deploy (OBRIGATÓRIO quando o deploy retorna LIVE)
 Após um deploy bem-sucedido (\`status: "LIVE"\` no resultado de \`veloz:deploy\`), você DEVE executar um health check completo antes de declarar sucesso. Este passo NÃO é opcional — um deploy "LIVE" não garante que o app esteja respondendo corretamente (pode estar em crash loop, retornando 5xx, consumindo CPU/memória fora do normal, etc.).
 
 **Passo 0 — Desenhar um plano de testes (OBRIGATÓRIO antes de testar)**
@@ -27530,7 +27948,7 @@ Critérios de sucesso:
   - Métricas dentro dos limites
 
 Critérios de falha → ação:
-  - 5xx/timeout no HTTP → ler logs, classificar categoria A/B (seção 7)
+  - 5xx/timeout no HTTP → ler logs, classificar categoria A/B (seção 8)
   - Erros repetidos nos logs → classificar e corrigir (máx 3 iterações)
   - CPU sustentado alto sem tráfego → suspeitar crash loop, ler logs
 \`\`\`
@@ -27584,14 +28002,39 @@ Se TODOS os 3 checks passaram (HTTP 2xx/3xx, sem erros nos logs, métricas saud
 - Encerre com \`[SUMMARY] Deploy concluído e saudável.\`
 
 Se qualquer check falhou:
-- Classifique como categoria A (misconfig) ou B (código do usuário) seguindo a seção 7
+- Classifique como categoria A (misconfig) ou B (código do usuário) seguindo a seção 8
 - Categoria A típica: porta errada (curl falha com connection refused, mas serviço está LIVE), healthcheck path errado, env var de runtime faltando, migration pendente, connection string de banco errada → corrija via \`veloz:config_set\` / \`veloz:env_set\` e faça o health check de novo
 - Categoria B: se logs mostram \`Error: <erro do código do usuário>\` repetidamente e nenhuma correção de config resolve, emita \`[DEPLOY_UNHEALTHY_USER_CODE]\` com o trecho de erro e instruções de correção
 - Máximo 3 iterações de health check + fix. Depois disso, emita \`[DEPLOY_UNHEALTHY]\` com o que foi tentado e o estado atual.
 
 **IMPORTANTE:** NÃO emita \`[SUMMARY] Deploy concluído\` sem antes rodar o health check. Um deploy LIVE mas com 5xx ou crash loop NÃO é um deploy concluído.
 
-### 7. Classificar falhas e decidir o próximo passo
+### 7c. Instruções de migração de dados (quando há dados locais)
+Se na seção 2c você detectou um banco local com dados potenciais (DATABASE_URL apontando para localhost/docker-compose), APÓS \`[HEALTH_OK]\` e ANTES do \`[SUMMARY]\` final, emita um bloco com comandos prontos para o usuário migrar os dados manualmente. O wizard NÃO executa esses comandos — é o usuário que decide quando rodar.
+
+Formato (Postgres como exemplo; adapte a engine e o nome do banco):
+
+\`\`\`
+[DATA_MIGRATION]
+O banco \`<nome>\` foi provisionado vazio. Para migrar dados do seu banco local, rode:
+
+  # 1. Pegue as credenciais do banco Veloz (imprime DATABASE_URL do servidor)
+  veloz db credentials <nome>
+
+  # 2. Migre em uma linha (ajuste <LOCAL_URL> e cole a URL do passo 1 em <VELOZ_URL>)
+  pg_dump --no-owner --no-acl "<LOCAL_URL>" | psql "<VELOZ_URL>"
+
+  # Alternativa: use um túnel se a rede bloquear conexão direta
+  veloz db tunnel <nome>   # abre conexão local na porta 5432
+  # em outro terminal:
+  pg_dump --no-owner --no-acl "<LOCAL_URL>" | psql "postgres://<user>:<pass>@localhost:5432/<db>"
+\`\`\`
+
+Para MySQL, troque \`pg_dump\`/\`psql\` por \`mysqldump\`/\`mysql\`. Para Redis, use \`redis-cli --rdb\` + \`--pipe\`. Para múltiplos bancos detectados, emita um bloco por banco.
+
+Mantenha este bloco **informativo** — não chame tool nenhuma aqui, não rode nada via Bash, só imprima o bloco.
+
+### 8. Classificar falhas e decidir o próximo passo
 Quando um deploy falhar, você DEVE ler os logs com \`veloz:builds_logs\` e classificar o erro em UMA das duas categorias abaixo antes de decidir o que fazer.
 
 **A) Misconfiguração (responsabilidade do wizard — corrija você mesmo)**
@@ -27606,7 +28049,13 @@ Erros onde o código do usuário está correto, mas a Veloz não sabe como const
 
 → Ação: corrija via \`veloz:config_set\` (build, start, port, preStart, packageManager, etc.) e re-deploye. Máximo 3 tentativas. NÃO envolva o usuário — essa é sua responsabilidade como wizard.
 
-Último recurso: se após 2 tentativas o nixpacks ainda não estiver funcionando (detecção falhando, runtime/libs específicas, framework exótico) e NÃO houver Dockerfile existente, gere um Dockerfile minimalista e mude \`build.method\` para \`"dockerfile"\` via \`veloz:config_set\` (veja seção 1b). Se JÁ existe um Dockerfile no repo e você estava ignorando — pare, use o existente.
+**Exceção crítica — quando a misconfig só pode ser corrigida tocando código do usuário**: se a correção exigir Write/Edit em arquivo existente do projeto (ex: adicionar \`scripts.build\` em \`package.json\` ausente, corrigir \`next.config.js\` inválido, ajustar \`tsconfig.json\`, editar código-fonte em \`src/\`), VOCÊ NÃO PODE fazer a edição silenciosamente. Você tem EXATAMENTE duas opções:
+1. **Prompt** — chame \`wizard-tools:prompt_user\` com \`type: "confirm"\` explicando arquivo + motivo + o que vai mudar. Se o usuário aprovar, aplique o edit. Se recusar/não responder, vá para opção 2.
+2. **Fail over** — emita \`[BUILD_FAILED_USER_CODE]\` com motivo, trecho dos logs e instruções claras para o usuário aplicar a mudança manualmente e rodar \`veloz deploy\` de novo. PARE. Não tente mais nada.
+
+Nunca edite arquivos do usuário sem autorização, mesmo que pareça uma correção "trivial" de misconfig.
+
+Último recurso: se após 2 tentativas o nixpacks ainda não estiver funcionando (detecção falhando, runtime/libs específicas, framework exótico) e NÃO houver Dockerfile existente, gere um Dockerfile minimalista e mude \`build.method\` para \`"dockerfile"\` via \`veloz:config_set\` (veja seção 2b). Se JÁ existe um Dockerfile no repo e você estava ignorando — pare, use o existente.
 
 **B) Falha de testes do usuário (responsabilidade do usuário — ÚNICO caso de handoff)**
 Emita \`[BUILD_FAILED_USER_CODE]\` e pare **APENAS** quando o build falhar porque **testes do usuário estão falhando** (jest, vitest, pytest, go test, cargo test, rspec, phpunit, etc. executados como parte do build/CI do projeto).
@@ -27650,29 +28099,25 @@ wizard-tools:prompt_user {
 Regras:
 - Se o usuário responder "sim" → aplique a edição
 - Se o usuário responder "não" → NÃO edite. Encontre uma alternativa (\`veloz:config_set\`, Dockerfile à parte, env var, etc.) ou emita \`[BUILD_FAILED_USER_CODE]\` com instruções para o usuário fazer a edição manualmente
-- Exceção: criar um arquivo **novo** que não existia antes (ex: novo \`Dockerfile\` na raiz quando não há nenhum) NÃO precisa de confirmação prévia — mas mencione no resumo da confirmação do deploy (seção 4) que o arquivo será criado
+- Exceção: criar um arquivo **novo** que não existia antes (ex: novo \`Dockerfile\` na raiz quando não há nenhum) NÃO precisa de confirmação prévia — mas mencione no resumo da confirmação do deploy (seção 5) que o arquivo será criado
 - Exceção: arquivos gerenciados pelo wizard (\`.env\` via \`wizard-tools:set_env_values\`, configuração do serviço via \`veloz:config_set\`) NÃO precisam de confirmação por edit — já são escopo do wizard
 
 Em caso de dúvida: peça permissão. É melhor uma pergunta extra do que editar algo que o usuário não queria tocar.
 
 ## Ferramentas Helper (wizard-tools MCP)
+- wizard-tools:detect_existing_deployments — escanear o projeto por configs de Vercel/Railway/Fly/Cloudflare/Netlify/Render/Heroku/DO/Amplify e checar CLI + auth, em uma chamada (chame PRIMEIRO)
 - wizard-tools:check_env_keys — verificar quais env vars existem sem revelar valores
 - wizard-tools:set_env_values — escrever env vars com segurança (auto-adiciona ao .gitignore)
 - wizard-tools:set_helper_content — exibir diagramas e conteúdo visual no painel esquerdo
 - wizard-tools:prompt_user — perguntar algo ao usuário interativamente
 
 ## Diagrama Visual (OBRIGATÓRIO antes do deploy)
-SEMPRE chame \`wizard-tools:set_helper_content\` ANTES de \`veloz:deploy\`. O diagrama é renderizado abaixo da lista de tarefas na TUI e é parte essencial da experiência do wizard — não pule esse passo.
+SEMPRE chame \`wizard-tools:set_helper_content\` ANTES de \`veloz:deploy\`. Veja a seção "4. Desenhar o diagrama" para o schema completo (pipeline/services/notes).
 
-O diagrama deve mostrar:
-- O framework/tecnologia do projeto
-- O pipeline (código → build → serviço)
-- A porta e URL onde o serviço ficará disponível
-- Serviços auxiliares (banco de dados, cache, etc.) se houver
-
-Restrições visuais:
-- Largura alvo: ~${getDiagramWidth()} colunas (aproveite o espaço — o painel direito é largo quando o terminal é largo)
-- Use box-drawing (┌─┐│└┘├┤┬┴┼) e setas (→ ↓ ▼)
+Lembretes rápidos:
+- Envie apenas o schema — a TUI desenha as caixas e escolhe horizontal/vertical pela largura
+- NUNCA gere ASCII art manualmente
+- Etiquetas ≤ 28 caracteres; pipeline com 3–5 nós
 - Uma tarefa do TodoWrite DEVE representar esse passo (ver checklist abaixo)
 
 ## Reportar Progresso
@@ -27682,16 +28127,23 @@ Use a ferramenta TodoWrite para manter uma lista de tarefas atualizada:
 - Mude para "completed" quando terminar
 
 Tarefas típicas (inclua TODAS, na ordem):
-1. "Aprender CLI" — ler veloz --llms-full
-2. "Analisar projeto" — ler package.json, configs, estrutura, procurar Dockerfile existente
-3. "Configurar variáveis de ambiente" — env vars no servidor
-4. "Desenhar diagrama" — chamar wizard-tools:set_helper_content (OBRIGATÓRIO antes do deploy)
-5. "Confirmar com o usuário" — wizard-tools:prompt_user com type="confirm" (OBRIGATÓRIO antes do deploy)
-6. "Validar com dry-run" — veloz:deploy { dryRun: true } para checar detecção/tamanho/config (OBRIGATÓRIO antes do deploy real)
-7. "Fazer deploy" — enviar código e build (veloz:deploy { yes: true }, SEM dryRun)
-8. "Desenhar plano de testes" — emitir [TESTING_PLAN] com rotas e thresholds específicos (OBRIGATÓRIO antes do health check)
-9. "Executar health check" — curl + veloz:logs_search + veloz:metrics_show seguindo o plano
-10. "Finalizar" — emitir [HEALTH_OK] + [SUMMARY] se tudo saudável
+1. "Criar veloz-deploy-plano.md" — escrever esqueleto inicial na raiz (passo 0a). Mantenha esse arquivo atualizado ao longo de TODAS as etapas seguintes.
+2. "Aprender CLI" — ler veloz --llms-full
+3. "Detectar deploy existente" — chamar wizard-tools:detect_existing_deployments PRIMEIRO; se algo for encontrado, perguntar ao usuário e importar config + envs (seção 1)
+4. "Analisar projeto" — ler package.json, configs, estrutura, procurar Dockerfile existente
+5. "Detectar banco de dados" — auto-incluir no plano se o projeto usar Postgres/MySQL/Redis (seção 2c, SEM prompt)
+6. "Decidir pooler (PgBouncer)" — habilitar \`pooler.enabled\` quando o uso pede (seção 2d, SEM prompt); configurar \`DATABASE_URL\`/\`DIRECT_URL\` se necessário
+7. "Configurar pre-start" — detectar migrações (Prisma/Drizzle/Alembic/etc.) e setar \`runtime.preStartCommand\` (seção 2e, SEM prompt)
+8. "Configurar variáveis de ambiente" — env vars no servidor (a partir do que foi importado, se houver)
+9. "Desenhar diagrama" — chamar wizard-tools:set_helper_content incluindo bancos, pooler e preStart detectados (OBRIGATÓRIO antes do deploy)
+10. "Confirmar com o usuário" — wizard-tools:prompt_user com type="confirm", incluindo bancos a criar + pooler + preStart + aviso de dados locais se aplicável (OBRIGATÓRIO antes do deploy)
+11. "Validar com dry-run" — veloz:deploy { dryRun: true } para checar detecção/tamanho/config (OBRIGATÓRIO antes do deploy real)
+12. "Fazer deploy" — enviar código e build (veloz:deploy { yes: true }, SEM dryRun)
+13. "Desenhar plano de testes" — emitir [TESTING_PLAN] com rotas e thresholds específicos (OBRIGATÓRIO antes do health check)
+14. "Executar health check" — curl + veloz:logs_search + veloz:metrics_show seguindo o plano
+15. "Instruções de migração de dados" — emitir [DATA_MIGRATION] APENAS se havia dados locais detectados na seção 2c
+16. "Atualizar veloz-deploy-plano.md final" — garantir que o arquivo reflete o estado final (URL, arquivos modificados, env vars, próximos passos)
+17. "Finalizar" — emitir [HEALTH_OK] + [SUMMARY] se tudo saudável
 
 ## Regras CRÍTICAS — Uso de Ferramentas
 - SEMPRE use ferramentas MCP (veloz:*) para TODAS as operações da plataforma. NUNCA use Bash para rodar comandos \`veloz\` exceto:
@@ -27703,6 +28155,7 @@ Tarefas típicas (inclua TODAS, na ordem):
 
 ## Regras Gerais
 - Comunique-se em português (pt-BR)
+- **Minimize prompts.** Decisões óbvias a partir do código (framework, package manager, banco detectado, build/start commands) NÃO viram pergunta — entram direto no diagrama (seção 4) e na confirmação única do deploy (seção 5). Só chame \`wizard-tools:prompt_user\` quando: (a) um secret é necessário E não está no \`.env\` local E não veio da migração (seção 1) E não é auto-injetado por serviço gerenciado (ver seção 3, regra de ouro), (b) houver ambiguidade real (ex: múltiplos apps em monorepo sem pista clara, múltiplas plataformas detectadas na seção 1), (c) for a confirmação única pré-deploy da seção 5, ou (d) edit em arquivo existente (seção "Edits em arquivos existentes"). NÃO prompte "quer criar banco?", "posso usar pnpm?", "posso usar porta 3000?", nem peça um secret que já está no \`.env\` — isso já foi inferido/extraído, coloque no plano e siga.
 - Para QUALQUER edit em arquivo existente do projeto (package.json, tsconfig.json, configs de framework, Dockerfile existente, código-fonte, scripts customizados), SEMPRE peça permissão primeiro via \`wizard-tools:prompt_user\` type="confirm" (ver seção "Edits em arquivos existentes do usuário"). Exceções: \`.env\` via \`wizard-tools:set_env_values\` e config de serviço via \`veloz:config_set\` — esses são escopo do wizard.
 - NUNCA crie veloz.json manualmente — o CLI gera automaticamente
 - SEMPRE peça confirmação explícita via wizard-tools:prompt_user (type="confirm") antes de chamar veloz:deploy
@@ -27740,7 +28193,7 @@ function getCommandments() {
 
 7. **Edits mínimos**: Prefira edits focados e mínimos. Não refatore código que não precisa ser mudado. Não adicione comentários desnecessários.
 
-8. **Peça permissão antes de tocar arquivos do usuário**: Para QUALQUER Write/Edit em arquivo que já existe no projeto (package.json, tsconfig.json, next.config.*, vite.config.*, Dockerfile existente, código em src/, scripts customizados, etc.), você DEVE chamar \`wizard-tools:prompt_user\` com \`type: "confirm"\` explicando arquivo + motivo + o que vai mudar, e só aplicar se o usuário responder "sim". Se responder "não", encontre alternativa ou emita \`[BUILD_FAILED_USER_CODE]\`. Exceções (não precisam de confirmação): \`.env\` via \`wizard-tools:set_env_values\`, configuração de serviço via \`veloz:config_set\`, criar arquivo **novo** que não existia antes. NUNCA edite veloz.json diretamente.
+8. **Peça permissão antes de tocar código do usuário — OU faça fail over**: Para QUALQUER Write/Edit em arquivo que já existe no projeto (package.json, tsconfig.json, next.config.*, vite.config.*, Dockerfile existente, código em src/, scripts customizados, migrations, etc.), você DEVE chamar \`wizard-tools:prompt_user\` com \`type: "confirm"\` explicando arquivo + motivo + o que vai mudar ANTES de qualquer Write/Edit. Só aplique se o usuário responder "sim". Se responder "não" ou não responder: **NÃO edite silenciosamente**, **NÃO tente outra abordagem que também toque o código** — faça fail over emitindo \`[BUILD_FAILED_USER_CODE]\` com instruções claras para o usuário aplicar a mudança manualmente e re-rodar \`veloz deploy\`. Isso vale inclusive para correções de categoria A (misconfiguração) quando a causa exigir mexer em arquivos do usuário (ex: script de build ausente em \`package.json\`, import quebrado, config de framework inválida) — nesse caso a correção via \`veloz:config_set\` não resolve e você DEVE prompt+edit ou fail over. Exceções (não precisam de confirmação): \`.env\` via \`wizard-tools:set_env_values\`, configuração de serviço via \`veloz:config_set\`, criar arquivo **novo** que não existia antes (ex: Dockerfile novo, \`.dockerignore\` novo). NUNCA edite veloz.json diretamente. **Regra de ouro: se precisa modificar código do usuário para o deploy funcionar → prompt OU fail over, nunca silencioso.**
 
 9. **Classificar falhas de deploy**: Se um deploy falhar, leia os logs (veloz:builds_logs) e classifique o erro. (A) Se for **misconfiguração** da Veloz (build/start/port/preStart errado, package manager incorreto, monorepo path, nixpacks): corrija via \`veloz:config_set\` e retente (máx. 3 tentativas). (B) Se for **erro no código do usuário** (TypeScript, sintaxe, import quebrado, módulo faltando no package.json, teste quebrando no build, runtime crash do app): NÃO tente corrigir o código-fonte, NÃO retente. Emita o signal \`[BUILD_FAILED_USER_CODE]\` com motivo + trecho dos logs + passos para corrigir, e ENCERRE. Em caso de dúvida, teste \`pnpm build\` (ou equivalente) localmente: se falha localmente → é código do usuário.
 
@@ -27750,7 +28203,7 @@ function getCommandments() {
 
 12. **Veloz MCP OBRIGATÓRIO**: Use SEMPRE as ferramentas MCP (veloz:*) para TODAS as operações da plataforma. NUNCA rode \`veloz ...\` via Bash — use o MCP equivalente (veloz:deploy, veloz:config_set, veloz:env_set, veloz:builds_logs, etc.). As únicas exceções são: \`veloz --llms-full\` (aprender a CLI) e fallback se o MCP falhar com erro de conexão.
 
-13. **Diagrama ANTES do deploy**: Use wizard-tools:set_helper_content para mostrar um diagrama ASCII da arquitetura ANTES de chamar veloz:deploy. O diagrama deve mostrar: framework detectado, pipeline de build, porta, URL esperada, e serviços auxiliares. Isso é OBRIGATÓRIO — o usuário precisa visualizar o que vai acontecer enquanto o build executa. Use caracteres Unicode para o diagrama (┌┐└┘│─→↓). Atualize o helper conforme avança (ex: diagnóstico de erro, resultado do build).
+13. **Diagrama ANTES do deploy**: Use wizard-tools:set_helper_content ANTES de chamar veloz:deploy. Envie a estrutura (campos \`title\`, \`pipeline\`, \`services\`, \`notes\`) — a TUI desenha as caixas e setas. NUNCA gere ASCII art manualmente. O diagrama deve cobrir: framework detectado, pipeline de build (3–5 nós), serviços auxiliares e anotações (porta, migração, etc.). Atualize o helper conforme avança (ex: diagnóstico de erro, resultado do build).
 
 14. **Perguntar ao usuário**: Use wizard-tools:prompt_user para pedir informações ao usuário. Para variáveis de ambiente, forneça hint de como obtê-las (ex: "Acesse dashboard.stripe.com > API Keys"). O usuário pode optar por configurar depois — nesse caso, continue o deploy sem a env var e informe o comando \`veloz env set\` no final.
 
@@ -27759,6 +28212,8 @@ function getCommandments() {
 15. **NUNCA rode dev server**: Comandos como \`next dev\`, \`vite\`, \`nodemon\`, \`npm run dev\`, \`pnpm dev\` travam o processo do agente. Use apenas comandos de build (\`npm run build\`, \`pnpm build\`) para testes locais.
 
 16. **NUNCA crie veloz.json manualmente**: O arquivo veloz.json é gerado automaticamente pelo CLI no primeiro \`veloz deploy\`. Criar ou editar manualmente produz IDs inválidos. Para ajustar configurações após o deploy, use \`veloz:config_set\`.
+
+19. **Manter veloz-deploy-plano.md**: Logo no início (antes mesmo do Passo 0), crie o arquivo \`veloz-deploy-plano.md\` na raiz do projeto (\`cwd\`) com o plano inicial do deploy. Mantenha-o atualizado ao longo de TODA a sessão — a cada passo relevante (detecção de plataforma existente, análise do projeto, banco detectado, env vars configuradas, diagrama desenhado, confirmação do usuário, dry-run, deploy real, health check, correções de misconfig, migração de dados) reabra o arquivo e adicione/atualize seções. Este arquivo é o "diário de bordo" do wizard — é o que o usuário vai ler depois para saber exatamente o que foi feito. Ao final, o arquivo deve refletir o estado final: URL do deploy, arquivos criados/modificados, serviços/bancos criados, env vars configuradas (só os **nomes**, NUNCA valores), próximos passos e comandos úteis. Use Write para criar/sobrescrever e Edit para updates pontuais. Nunca exponha secrets neste arquivo. Estrutura sugerida: \`# Plano de Deploy — Veloz\` · \`## Contexto\` · \`## Detecção\` · \`## Configuração\` · \`## Deploy\` · \`## Health Check\` · \`## Próximos Passos\`.
 `.trim();
 }
 
@@ -27995,6 +28450,7 @@ function getWizardToolsScript(workingDirectory, logDir) {
 'use strict';
 const fs = require('fs');
 const path = require('path');
+const { execFileSync } = require('child_process');
 
 const CWD = '${workingDirectory.replace(/\\/g, "\\\\").replace(/'/g, "\\'")}';
 const LOG_DIR = '${logDir ? logDir.replace(/\\/g, "\\\\").replace(/'/g, "\\'") : ""}';
@@ -28054,19 +28510,40 @@ const TOOLS = {
       required: ['question'],
     },
   },
+  detect_existing_deployments: {
+    description: 'Detectar deploys existentes em outras plataformas (Vercel, Railway, Cloudflare, Netlify, Fly, Render, Heroku, DigitalOcean, AWS Amplify). Faz duas coisas em uma só chamada: (1) escaneia o projeto por arquivos de config dessas plataformas, (2) checa se o CLI da plataforma está instalado e autenticado localmente. NÃO use Glob nem Bash para isso — toda a detecção acontece dentro da ferramenta. Retorna, por plataforma detectada: arquivos encontrados, presença/auth do CLI, comando de extração de envs e o que pode ser migrado (build/start command, env vars, frontend code, regions). Chame esta ferramenta UMA VEZ no INÍCIO da sessão, antes de analisar package.json ou desenhar diagramas.',
+    inputSchema: {
+      type: 'object',
+      properties: {},
+    },
+  },
   set_helper_content: {
-    description: 'Renderizar um diagrama ASCII abaixo da lista de tarefas na TUI do wizard. OBRIGATÓRIO: chame esta ferramenta antes de veloz:deploy com um diagrama da arquitetura (framework, pipeline, porta, URL, serviços auxiliares). Aproveite a largura disponível do painel — veja o prompt do sistema para a largura alvo em colunas; evite diagramas estreitos que deixam metade do painel vazio. Cada chamada SUBSTITUI o conteúdo anterior — atualize ao final com o estado deployado.',
+    description: 'Renderizar o diagrama da arquitetura abaixo da lista de tarefas na TUI do wizard. OBRIGATÓRIO: chame esta ferramenta antes de veloz:deploy. Prefira o formato estruturado (pipeline, services, notes) — a TUI desenha caixas e setas no tamanho certo automaticamente. NÃO gere ASCII art manualmente — largura e alinhamento são calculados pela TUI. Use "lines" apenas como fallback para conteúdo livre. Cada chamada SUBSTITUI o conteúdo anterior — atualize ao final com o estado deployado real.',
     inputSchema: {
       type: 'object',
       properties: {
-        title: { type: 'string', description: 'Título do conteúdo (ex: "Deploy Pipeline")' },
+        title: { type: 'string', description: 'Título do diagrama (ex: "Deploy — Next.js")' },
+        pipeline: {
+          type: 'array',
+          items: { type: 'string' },
+          description: 'Nós do pipeline em ordem, cada um uma etiqueta curta (ex: ["GitHub", "Build (Next.js)", "Deploy", "app.runveloz.com"]). A TUI desenha caixas com setas entre elas.',
+        },
+        services: {
+          type: 'array',
+          items: { type: 'string' },
+          description: 'Serviços auxiliares anexados ao deploy, cada um uma etiqueta curta (ex: ["Postgres 16", "Redis"]). Renderizados como caixas laterais abaixo do pipeline.',
+        },
+        notes: {
+          type: 'array',
+          items: { type: 'string' },
+          description: 'Anotações extras (ex: ["Migrado de: Vercel (12 envs)", "Tamanho: turbo"]). Renderizadas como texto dim abaixo do diagrama.',
+        },
         lines: {
           type: 'array',
           items: { type: 'string' },
-          description: 'Linhas de conteúdo para exibir. Use ASCII art para diagramas (ex: ┌──┐, │, └──┘, →, ↓). Cada item é uma linha.',
+          description: 'FALLBACK — só use quando pipeline/services/notes não cabem no formato estruturado. Linhas brutas renderizadas em sequência.',
         },
       },
-      required: ['lines'],
     },
   },
 };
@@ -28157,6 +28634,259 @@ function handleSetEnvValues(input) {
   return { content: [{ type: 'text', text: 'Variáveis escritas em ' + file + ': ' + keysSet.join(', ') }] };
 }
 
+const PLATFORM_PROBES = [
+  {
+    platform: 'vercel',
+    label: 'Vercel',
+    files: ['vercel.json', '.vercel/project.json'],
+    cli: 'vercel',
+    altCli: 'vc',
+    authArgs: ['whoami'],
+    extract: {
+      envs: 'vercel env pull .env.vercel',
+      config: 'vercel project ls',
+    },
+    canBring: 'Frontend (Next.js, SvelteKit, etc.) e env vars (build + runtime). Domínios precisam ser re-verificados na Veloz.',
+  },
+  {
+    platform: 'railway',
+    label: 'Railway',
+    files: ['railway.json', 'railway.toml'],
+    cli: 'railway',
+    authArgs: ['whoami'],
+    extract: {
+      envs: 'railway variables',
+      config: 'railway status',
+    },
+    canBring: 'App full-stack inteiro (build/start/env vars). Volumes precisam ser recriados.',
+  },
+  {
+    platform: 'cloudflare',
+    label: 'Cloudflare Workers/Pages',
+    files: ['wrangler.toml', 'wrangler.jsonc', 'wrangler.json'],
+    cli: 'wrangler',
+    authArgs: ['whoami'],
+    extract: {
+      envs: 'wrangler secret list',
+      config: 'cat wrangler.toml',
+    },
+    canBring: 'Workers/Pages. Atenção: runtime serverless (V8 isolates) ≠ Node — algumas APIs podem não funcionar na Veloz sem ajustes.',
+  },
+  {
+    platform: 'netlify',
+    label: 'Netlify',
+    files: ['netlify.toml', '.netlify/state.json'],
+    cli: 'netlify',
+    altCli: 'ntl',
+    authArgs: ['status'],
+    extract: {
+      envs: 'netlify env:list',
+      config: 'netlify status',
+    },
+    canBring: 'Sites estáticos e SSR (Next.js, Astro). Netlify Functions precisam ser portadas para serviço HTTP normal.',
+  },
+  {
+    platform: 'fly',
+    label: 'Fly.io',
+    files: ['fly.toml'],
+    cli: 'fly',
+    altCli: 'flyctl',
+    authArgs: ['auth', 'whoami'],
+    extract: {
+      envs: 'fly secrets list',
+      config: 'fly config show',
+    },
+    canBring: 'App full-stack (Dockerfile + secrets + regions). Volumes Fly precisam ser recriados como volumes Veloz.',
+  },
+  {
+    platform: 'render',
+    label: 'Render',
+    files: ['render.yaml'],
+    cli: null,
+    authArgs: null,
+    extract: {
+      envs: '(parse render.yaml — Render CLI não confiável)',
+      config: 'cat render.yaml',
+    },
+    canBring: 'Web services, workers e cron jobs (parse YAML). Env vars sensíveis ficam no dashboard — pedir ao usuário.',
+  },
+  {
+    platform: 'heroku',
+    label: 'Heroku',
+    files: ['app.json', 'Procfile'],
+    cli: 'heroku',
+    authArgs: ['auth:whoami'],
+    extract: {
+      envs: 'heroku config',
+      config: 'cat Procfile',
+    },
+    canBring: 'App full-stack (web/worker dynos via Procfile + env vars). Add-ons (Postgres, Redis) precisam ser recriados.',
+  },
+  {
+    platform: 'digitalocean',
+    label: 'DigitalOcean App Platform',
+    files: ['.do/app.yaml'],
+    cli: 'doctl',
+    authArgs: ['account', 'get'],
+    extract: {
+      envs: 'doctl apps spec get <app-id>',
+      config: 'cat .do/app.yaml',
+    },
+    canBring: 'App spec (services + workers + jobs). Env vars sensíveis precisam de prompt ao usuário.',
+  },
+  {
+    platform: 'amplify',
+    label: 'AWS Amplify',
+    files: ['amplify.yml'],
+    cli: 'amplify',
+    authArgs: ['status'],
+    extract: {
+      envs: '(Amplify CLI não expõe envs facilmente — pedir ao usuário)',
+      config: 'cat amplify.yml',
+    },
+    canBring: 'Build spec do frontend. Backend Amplify (Cognito, AppSync) NÃO é portável — substituir por equivalentes na Veloz.',
+  },
+  {
+    platform: 'coolify',
+    label: 'Coolify',
+    files: ['coolify.json', '.coolify/config.json', 'docker-compose.coolify.yml'],
+    cli: 'coolify',
+    authArgs: ['version'],
+    extract: {
+      envs: '(Coolify guarda envs/secrets no servidor — consultar via API ou pedir ao usuário)',
+      config: 'cat coolify.json',
+    },
+    canBring: 'Apps self-hosted (Dockerfile/Nixpacks). Env vars/secrets ficam no servidor Coolify — pedir ao usuário ou usar a API do Coolify para extrair.',
+  },
+];
+
+const WORKFLOW_PLATFORM_PATTERNS = [
+  { platform: 'vercel', regex: /amondnet\\/vercel-action|@vercel\\/cli|\\bvercel\\s+(deploy|build|pull|env)/i },
+  { platform: 'cloudflare', regex: /cloudflare\\/wrangler-action|\\bwrangler\\s+(deploy|publish|pages)/i },
+  { platform: 'fly', regex: /superfly\\/flyctl-actions|\\bfly(ctl)?\\s+(deploy|launch|apps)/i },
+  { platform: 'railway', regex: /bervProject\\/railway-deploy|\\brailway\\s+(up|deploy)/i },
+  { platform: 'netlify', regex: /nwtgck\\/actions-netlify|netlify\\/actions|\\bnetlify\\s+deploy/i },
+  { platform: 'heroku', regex: /akhileshns\\/heroku-deploy|git\\s+push\\s+heroku|\\bheroku\\s+(create|deploy|releases)/i },
+  { platform: 'render', regex: /JorgeLNJunior\\/render-deploy|render-deploy@/i },
+  { platform: 'digitalocean', regex: /digitalocean\\/app_action|\\bdoctl\\s+apps/i },
+  { platform: 'amplify', regex: /aws-actions\\/amplify|\\bamplify\\s+(push|publish)/i },
+  { platform: 'coolify', regex: /coollabsio\\/coolify|coolify(.*)webhook|api\\/v1\\/deploy.*coolify/i },
+];
+
+function scanGithubWorkflowsForPlatforms() {
+  const dir = path.join(CWD, '.github', 'workflows');
+  const matches = {};
+  if (!fs.existsSync(dir)) return matches;
+  let entries = [];
+  try {
+    entries = fs.readdirSync(dir).filter((f) => /\\.(ya?ml)$/i.test(f));
+  } catch {
+    return matches;
+  }
+  for (const file of entries) {
+    let content;
+    try {
+      content = fs.readFileSync(path.join(dir, file), 'utf-8');
+    } catch {
+      continue;
+    }
+    for (const { platform, regex } of WORKFLOW_PLATFORM_PATTERNS) {
+      if (regex.test(content)) {
+        if (!matches[platform]) matches[platform] = [];
+        const rel = '.github/workflows/' + file;
+        if (!matches[platform].includes(rel)) matches[platform].push(rel);
+      }
+    }
+  }
+  return matches;
+}
+
+function whichSync(bin) {
+  try {
+    const out = execFileSync('which', [bin], { encoding: 'utf-8', timeout: 2000, stdio: ['ignore', 'pipe', 'ignore'] });
+    const trimmed = out.trim();
+    return trimmed.length > 0 ? trimmed : null;
+  } catch {
+    return null;
+  }
+}
+
+function probeCliAuth(bin, args) {
+  if (!bin || !args) return { authenticated: false, identity: null, error: null };
+  try {
+    const out = execFileSync(bin, args, { encoding: 'utf-8', timeout: 6000, stdio: ['ignore', 'pipe', 'pipe'], cwd: CWD });
+    const identity = out.trim().split('\\n').find((l) => l.trim().length > 0) || null;
+    return { authenticated: true, identity, error: null };
+  } catch (err) {
+    const msg = String((err && err.stderr) || (err && err.message) || '').slice(0, 200);
+    return { authenticated: false, identity: null, error: msg };
+  }
+}
+
+function handleDetectExistingDeployments() {
+  const workflowMatches = scanGithubWorkflowsForPlatforms();
+  const detected = [];
+  const skipped = [];
+
+  for (const probe of PLATFORM_PROBES) {
+    const filesFound = probe.files.filter((f) => fs.existsSync(path.join(CWD, f)));
+    const workflowFiles = workflowMatches[probe.platform] || [];
+    if (filesFound.length === 0 && workflowFiles.length === 0) {
+      skipped.push(probe.platform);
+      continue;
+    }
+
+    const primaryCliPath = probe.cli ? whichSync(probe.cli) : null;
+    const altCliPath = probe.altCli && !primaryCliPath ? whichSync(probe.altCli) : null;
+    const cliBin = primaryCliPath ? probe.cli : altCliPath ? probe.altCli : null;
+    const cliPath = primaryCliPath || altCliPath;
+    const auth = cliBin ? probeCliAuth(cliBin, probe.authArgs) : { authenticated: false, identity: null, error: 'CLI não instalado' };
+
+    const sources = [];
+    if (filesFound.length > 0) sources.push('config_files');
+    if (workflowFiles.length > 0) sources.push('github_workflows');
+
+    detected.push({
+      platform: probe.platform,
+      label: probe.label,
+      files_found: filesFound,
+      github_workflows: workflowFiles,
+      detection_source: sources.join('+'),
+      cli: {
+        bin: cliBin,
+        installed: Boolean(cliPath),
+        path: cliPath,
+        authenticated: auth.authenticated,
+        identity: auth.identity,
+        auth_error: auth.error,
+      },
+      extract_commands: probe.extract,
+      can_bring: probe.canBring,
+      next_step: !cliPath
+        ? (filesFound.length > 0
+            ? 'CLI não instalado — leia o arquivo de config diretamente (Read tool) para extrair build/start/regions; pergunte ao usuário pelas env vars sensíveis.'
+            : 'CLI não instalado e sem arquivo de config — leia o(s) workflow(s) GitHub Actions para extrair env vars referenciadas via secrets.* (sintaxe dollar-brace dupla) e o build/deploy command; peça os valores ao usuário.')
+        : !auth.authenticated
+          ? 'CLI instalado mas não autenticado — leia o arquivo de config e/ou workflow (Read tool) para extrair config; peça env vars sensíveis ao usuário. NÃO tente fazer login na plataforma concorrente.'
+          : 'CLI pronto — após confirmação do usuário, rode "' + probe.extract.envs + '" para extrair env vars; use Read tool no arquivo de config (e workflow, se houver) para build/start/regions.',
+    });
+  }
+
+  return {
+    content: [{
+      type: 'text',
+      text: JSON.stringify({
+        any_detected: detected.length > 0,
+        detected,
+        skipped_no_signal: skipped,
+        instructions: detected.length === 0
+          ? 'Nenhum deploy existente detectado (nem em arquivos de config nem em workflows do GitHub Actions). Prossiga para a análise normal do projeto.'
+          : 'Antes de qualquer outra coisa: (1) mostre ao usuário a lista de plataformas detectadas com o que cada uma traz (campo can_bring) e a origem da detecção (config_files vs github_workflows), (2) chame wizard-tools:prompt_user type="confirm" perguntando se quer migrar (se >1 plataforma, use type="choice" com a lista para escolher a fonte de verdade), (3) só depois rode os comandos em extract_commands ou leia os workflows. NUNCA mute a plataforma de origem — só leitura.',
+      }, null, 2),
+    }],
+  };
+}
+
 const PROMPT_REQUEST_FILE = path.join(CWD, '.veloz-wizard-prompt.json');
 const PROMPT_RESPONSE_FILE = path.join(CWD, '.veloz-wizard-response.json');
 
@@ -28264,7 +28994,18 @@ async function handleJsonRpc(msg) {
     try {
       if (name === 'check_env_keys') result = handleCheckEnvKeys(args);
       else if (name === 'set_env_values') result = handleSetEnvValues(args);
-      else if (name === 'set_helper_content') result = { content: [{ type: 'text', text: 'Conteúdo do helper atualizado com ' + (args.lines || []).length + ' linhas.' }] };
+      else if (name === 'detect_existing_deployments') result = handleDetectExistingDeployments();
+      else if (name === 'set_helper_content') {
+        const pipelineLen = Array.isArray(args.pipeline) ? args.pipeline.length : 0;
+        const servicesLen = Array.isArray(args.services) ? args.services.length : 0;
+        const notesLen = Array.isArray(args.notes) ? args.notes.length : 0;
+        const linesLen = Array.isArray(args.lines) ? args.lines.length : 0;
+        const hasStructured = pipelineLen + servicesLen + notesLen > 0;
+        const summary = hasStructured
+          ? 'Diagrama atualizado: ' + pipelineLen + ' nós, ' + servicesLen + ' serviços, ' + notesLen + ' notas.'
+          : 'Diagrama atualizado com ' + linesLen + ' linhas (fallback).';
+        result = { content: [{ type: 'text', text: summary }] };
+      }
       else if (name === 'prompt_user') result = await handlePromptUser(args);
       else result = { content: [{ type: 'text', text: 'Ferramenta desconhecida: ' + name }], isError: true };
       logEvent('tool_call_done', { name, isError: Boolean(result && result.isError) });
@@ -28315,10 +29056,13 @@ process.stdin.on('data', (chunk) => {
 * output from the platform until the deployment reaches a terminal state.
 */
 async function streamBuildLogs(config) {
-	const { store, deploymentId } = config;
+	const { store, deploymentId, organizationId } = config;
 	const logger = getSessionLogger();
-	logger.logBuildStream("start", { deploymentId });
-	const client = createWizardClient(store);
+	logger.logBuildStream("start", {
+		deploymentId,
+		organizationId
+	});
+	const client = createWizardClient(store, organizationId);
 	if (!client) {
 		logger.logBuildStream("no_client", { reason: "missing apiKey" });
 		store.pushBuildLog("[stream] aguardando autenticação para conectar ao build...");
@@ -28336,15 +29080,18 @@ async function streamBuildLogs(config) {
 		store.setBuildStreamActive(false);
 	}
 }
-function createWizardClient(store) {
-	const apiKey = store.session.apiKey;
+function createWizardClient(store, organizationId) {
+	const authConfig = loadConfig();
+	const apiKey = store.session.apiKey || authConfig.apiKey;
 	if (!apiKey) return null;
-	return createClient(process.env.VELOZ_API_URL || "https://api.onveloz.com", () => {
+	const apiUrl = authConfig.apiUrl;
+	const orgId = organizationId ?? store.session.orgId;
+	return createClient(apiUrl, () => {
 		const headers = {
 			Authorization: `Bearer ${apiKey}`,
 			"User-Agent": "veloz-cli/wizard"
 		};
-		if (store.session.orgId) headers["X-Organization-Id"] = store.session.orgId;
+		if (orgId) headers["X-Organization-Id"] = orgId;
 		return headers;
 	});
 }
@@ -28536,6 +29283,43 @@ const PLATFORM_READ_SUBCOMMANDS = {
 		"tail",
 		"deployments"
 	],
+	netlify: [
+		"env:list",
+		"env:get",
+		"status",
+		"sites:list",
+		"sites:info",
+		"api",
+		"open"
+	],
+	ntl: [
+		"env:list",
+		"env:get",
+		"status",
+		"sites:list",
+		"sites:info",
+		"api",
+		"open"
+	],
+	heroku: [
+		"config",
+		"apps",
+		"apps:info",
+		"ps",
+		"domains",
+		"addons",
+		"auth:whoami",
+		"logs"
+	],
+	doctl: [
+		"apps",
+		"account",
+		"auth",
+		"compute",
+		"databases",
+		"registry",
+		"serverless"
+	],
 	aws: [
 		"s3",
 		"ec2",
@@ -28550,6 +29334,16 @@ const PLATFORM_READ_SUBCOMMANDS = {
 		"cloudformation",
 		"ssm",
 		"secretsmanager"
+	],
+	coolify: [
+		"version",
+		"list",
+		"ls",
+		"status",
+		"whoami",
+		"info",
+		"show",
+		"get"
 	]
 };
 const AWS_READ_VERBS_REGEX = /^(describe-|list-|get-|show-|head-|read-|search-|lookup-|scan$|query$|ls$|whoami$|info$|status$)/;
@@ -28744,6 +29538,10 @@ async function runAgentOnce(config, isRetry, previousError) {
 	const commandments = getCommandments();
 	const wizardTools = createWizardToolsServer({ workingDirectory: cwd });
 	logger.log("agent", "wizard-tools MCP server config created");
+	const velozMcpEnv = {};
+	for (const [k, v] of Object.entries(process.env)) if (typeof v === "string") velozMcpEnv[k] = v;
+	if (store.session.apiKey) velozMcpEnv.VELOZ_API_KEY = store.session.apiKey;
+	if (store.session.orgId) velozMcpEnv.VELOZ_ORG_ID = store.session.orgId;
 	const mcpServers = {
 		veloz: {
 			command: "npx",
@@ -28751,7 +29549,8 @@ async function runAgentOnce(config, isRetry, previousError) {
 				"-y",
 				"onveloz",
 				"--mcp"
-			]
+			],
+			env: velozMcpEnv
 		},
 		"wizard-tools": wizardTools
 	};
@@ -29038,6 +29837,17 @@ function normalizeMcpToolName(name) {
 	if (sep < 0) return name;
 	return `${rest.slice(0, sep)}:${rest.slice(sep + 2)}`;
 }
+/** Coerce unknown tool input into a clean string[] — non-strings and empties dropped. */
+function toStringArray(value) {
+	if (!Array.isArray(value)) return [];
+	const out = [];
+	for (const item of value) {
+		if (typeof item !== "string") continue;
+		const trimmed = item.trim();
+		if (trimmed) out.push(trimmed);
+	}
+	return out;
+}
 /** Human-readable labels for common tools. */
 const TOOL_LABELS = {
 	Read: "Lendo arquivo",
@@ -29143,8 +29953,8 @@ function handleMessage(message, store, collectedText, onAskUser) {
 				const bashCommand = rawName === "Bash" && typeof block.input?.command === "string" ? block.input.command : null;
 				const isDeployViaBash = bashCommand ? /\bveloz\s+deploy\b/.test(bashCommand) : false;
 				const isDeployViaMcp = normalizedName === "veloz:deploy";
-				const isDryRun = isDeployViaBash ? /--dry-run\b/.test(bashCommand ?? "") : isDeployViaMcp && block.input?.dryRun === true;
-				if ((isDeployViaBash || isDeployViaMcp) && !isDryRun) {
+				const isDryRun$1 = isDeployViaBash ? /--dry-run\b/.test(bashCommand ?? "") : isDeployViaMcp && block.input?.dryRun === true;
+				if ((isDeployViaBash || isDeployViaMcp) && !isDryRun$1) {
 					if (typeof block.id === "string") deployToolUseIds.add(block.id);
 					if (store.session.agentPhase !== "deploying") {
 						store.setAgentPhase("deploying");
@@ -29167,15 +29977,27 @@ function handleMessage(message, store, collectedText, onAskUser) {
 					const questionText = extractAskUserQuestionText(block.input);
 					if (questionText) onAskUser(toolUseId, questionText);
 				}
-				if (normalizedName === "wizard-tools:set_helper_content" && block.input?.lines && Array.isArray(block.input.lines)) {
-					const title = typeof block.input.title === "string" ? block.input.title : null;
-					const lines = block.input.lines;
-					const helperLines = title ? [
+				if (normalizedName === "wizard-tools:set_helper_content" && block.input) {
+					const input = block.input;
+					const title = typeof input.title === "string" ? input.title : null;
+					const pipeline = toStringArray(input.pipeline);
+					const services = toStringArray(input.services);
+					const notes = toStringArray(input.notes);
+					const lines = toStringArray(input.lines);
+					if (pipeline.length > 0 || services.length > 0 || notes.length > 0) store.setAgentHelperDiagram({
 						title,
-						"",
-						...lines
-					] : lines;
-					store.setAgentHelper(helperLines);
+						pipeline,
+						services,
+						notes
+					});
+					else if (lines.length > 0) {
+						const helperLines = title ? [
+							title,
+							"",
+							...lines
+						] : lines;
+						store.setAgentHelper(helperLines);
+					}
 				}
 				if (rawName === "TodoWrite" && block.input?.todos && Array.isArray(block.input.todos)) {
 					const tasks = block.input.todos.map((todo, i) => ({
@@ -29209,12 +30031,14 @@ function handleMessage(message, store, collectedText, onAskUser) {
 				if (Array.isArray(parsed)) for (const entry of parsed) {
 					if (typeof entry?.message === "string") lines.push(entry.message);
 					const entryDeploymentId = entry?.data?.deploymentId;
+					const entryOrgId = entry?.data?.organizationId ?? void 0;
 					if (entryDeploymentId && !streamedDeploymentIds.has(entryDeploymentId)) {
 						streamedDeploymentIds.add(entryDeploymentId);
 						store.setBuildDeploymentId(entryDeploymentId);
 						streamBuildLogs({
 							store,
-							deploymentId: entryDeploymentId
+							deploymentId: entryDeploymentId,
+							organizationId: entryOrgId ?? void 0
 						}).catch((err) => {
 							const msg = err instanceof Error ? err.message : String(err);
 							store.pushBuildLog(`[stream] ${msg}`);
@@ -29277,6 +30101,8 @@ let Screen = /* @__PURE__ */ function(Screen$1) {
 	Screen$1["Auth"] = "auth";
 	Screen$1["Notes"] = "notes";
 	Screen$1["Run"] = "run";
+	Screen$1["GithubSetup"] = "github-setup";
+	Screen$1["AiSetup"] = "ai-setup";
 	Screen$1["Outro"] = "outro";
 	return Screen$1;
 }({});
@@ -29306,6 +30132,16 @@ const FLOW = [
 		show: () => true,
 		isComplete: (s) => s.agentComplete
 	},
+	{
+		screen: Screen.GithubSetup,
+		show: (s) => s.agentComplete && !s.agentError && s.githubSetupPhase !== "idle",
+		isComplete: (s) => s.githubSetupPhase === "done" || s.githubSetupPhase === "skipped" || s.githubSetupPhase === "error"
+	},
+	{
+		screen: Screen.AiSetup,
+		show: (s) => s.agentComplete && !s.agentError && s.aiSetupPhase !== "idle",
+		isComplete: (s) => s.aiSetupPhase === "done" || s.aiSetupPhase === "skipped" || s.aiSetupPhase === "error"
+	},
 	{
 		screen: Screen.Outro,
 		show: () => true,
@@ -29414,6 +30250,40 @@ const COPY = {
 		done: "Concluído!",
 		error: "Erro durante o processo"
 	},
+	githubSetupTitle: "Ativar deploy automático",
+	githubSetupQuestion: (repo) => `Deseja conectar ${repo} para fazer deploys automaticamente a cada push?`,
+	githubSetupHint: "Pushes para o branch configurado vão disparar novos deploys automaticamente via GitHub.",
+	githubSetupYes: "Sim, ativar deploy automático",
+	githubSetupNo: "Agora não",
+	githubSetupConnecting: "Conectando repositório...",
+	githubSetupInstallTitle: "Instale o GitHub App para continuar",
+	githubSetupInstallHint: "Abrimos o navegador — instale o app e volte aqui.",
+	githubSetupInstallFallback: "Caso o navegador não abra, acesse:",
+	githubSetupPolling: "Aguardando instalação do GitHub App...",
+	githubSetupDone: "Deploy automático ativado!",
+	githubSetupDoneHint: "Próximos pushes vão disparar deploys automaticamente.",
+	githubSetupSkipped: "Tudo bem — você pode ativar depois com `veloz github setup`.",
+	githubSetupErrorTitle: "Não conseguimos ativar o deploy automático",
+	githubSetupErrorHint: "Tente novamente depois com `veloz github setup`.",
+	aiSetupTitle: "Integração com IA",
+	aiSetupQuestion: "Deseja integrar a Veloz com seu editor (Claude Code, Cursor, etc.) e com agentes de IA?",
+	aiSetupMcpLabel: "Servidor MCP (`veloz mcp add`)",
+	aiSetupMcpDescription: "Permite que editores como Claude Code controlem a Veloz via tools nativas.",
+	aiSetupSkillsLabel: "Skills de agente (`veloz skills add`)",
+	aiSetupSkillsDescription: "Ensina agentes de IA a usar os comandos da Veloz com documentação no projeto.",
+	aiSetupYes: "Sim, instalar agora",
+	aiSetupNo: "Agora não",
+	aiSetupInstallingTitle: "Instalando integrações...",
+	aiSetupMcpInstalling: "Registrando servidor MCP...",
+	aiSetupMcpDone: "Servidor MCP registrado",
+	aiSetupMcpError: "Falha ao registrar o servidor MCP",
+	aiSetupSkillsInstalling: "Gerando skills no projeto...",
+	aiSetupSkillsDone: "Skills geradas em .claude/skills/",
+	aiSetupSkillsError: "Falha ao gerar as skills",
+	aiSetupDoneTitle: "Integrações prontas!",
+	aiSetupDoneHint: "Seu editor e agentes agora podem operar a Veloz com comandos nativos.",
+	aiSetupErrorTitle: "Alguma integração falhou",
+	aiSetupErrorHint: "Você pode tentar novamente depois com `veloz mcp add` e `veloz skills add`.",
 	outroSuccess: "Deploy realizado com sucesso!",
 	outroUrl: "URL do serviço:",
 	outroNextSteps: "Próximos passos:",
@@ -29537,7 +30407,7 @@ function PickerMenu({ items, onSelect, onCancel }) {
 
 //#endregion
 //#region src/wizard/ui/primitives/ScreenLayout.tsx
-const version = "0.0.0-beta.31";
+const version = "0.0.0-beta.33";
 const LOGO_LINES = [
 	"██╗   ██╗███████╗██╗      ██████╗ ███████╗",
 	"██║   ██║██╔════╝██║     ██╔═══██╗╚══███╔╝",
@@ -29726,6 +30596,7 @@ function createInitialSession() {
 		selectedOrgId: null,
 		newOrgName: null,
 		orgCreateError: null,
+		reauthNotice: null,
 		detectedFramework: null,
 		detectedFrameworkLabel: null,
 		selectedFramework: null,
@@ -29749,10 +30620,22 @@ function createInitialSession() {
 		learnCardBlockIdx: 0,
 		learnCardComplete: false,
 		agentHelperLines: [],
+		agentHelperDiagram: null,
 		agentPrompt: null,
 		agentSummary: null,
 		userNotes: null,
 		notesConfirmed: false,
+		githubSetupPhase: "idle",
+		githubSetupError: null,
+		githubInstallUrl: null,
+		githubRepoOwner: null,
+		githubRepoName: null,
+		aiSetupPhase: "idle",
+		aiSetupError: null,
+		aiSetupMcpStatus: "pending",
+		aiSetupSkillsStatus: "pending",
+		aiSetupNeedsMcp: false,
+		aiSetupNeedsSkills: false,
 		introConfirmed: false,
 		outroDismissed: false,
 		agentStartedAt: null
@@ -29847,29 +30730,45 @@ function AuthScreen({ store }) {
 			})]
 		})] });
 	}
-	if (session.authPhase === "browser" || session.authPhase === "polling") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [/* @__PURE__ */ jsx(Spinner, { label: COPY.authPolling }), session.authDeviceCode ? /* @__PURE__ */ jsxs(Box, {
-		marginTop: 1,
-		flexDirection: "column",
-		gap: 1,
-		children: [/* @__PURE__ */ jsxs(Box, {
-			gap: 1,
-			children: [/* @__PURE__ */ jsx(Text, { children: COPY.authDeviceCode }), /* @__PURE__ */ jsx(Text, {
-				bold: true,
-				color: BRAND_COLOR,
-				children: session.authDeviceCode
-			})]
-		}), session.authVerificationUrl ? /* @__PURE__ */ jsxs(Box, {
+	if (session.authPhase === "browser" || session.authPhase === "polling") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [
+		session.reauthNotice ? /* @__PURE__ */ jsx(Box, {
+			marginBottom: 1,
+			children: /* @__PURE__ */ jsxs(Text, {
+				color: "yellow",
+				children: ["⚠ ", session.reauthNotice]
+			})
+		}) : null,
+		/* @__PURE__ */ jsx(Spinner, { label: COPY.authPolling }),
+		session.authDeviceCode ? /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
 			flexDirection: "column",
-			children: [/* @__PURE__ */ jsx(Text, {
-				dimColor: true,
-				children: COPY.authBrowserFallback
-			}), /* @__PURE__ */ jsx(Text, {
-				dimColor: true,
-				children: session.authVerificationUrl
-			})]
-		}) : null]
-	}) : null] });
-	return /* @__PURE__ */ jsx(ScreenLayout, { children: /* @__PURE__ */ jsx(Spinner, { label: COPY.authChecking }) });
+			gap: 1,
+			children: [/* @__PURE__ */ jsxs(Box, {
+				gap: 1,
+				children: [/* @__PURE__ */ jsx(Text, { children: COPY.authDeviceCode }), /* @__PURE__ */ jsx(Text, {
+					bold: true,
+					color: BRAND_COLOR,
+					children: session.authDeviceCode
+				})]
+			}), session.authVerificationUrl ? /* @__PURE__ */ jsxs(Box, {
+				flexDirection: "column",
+				children: [/* @__PURE__ */ jsx(Text, {
+					dimColor: true,
+					children: COPY.authBrowserFallback
+				}), /* @__PURE__ */ jsx(Text, {
+					dimColor: true,
+					children: session.authVerificationUrl
+				})]
+			}) : null]
+		}) : null
+	] });
+	return /* @__PURE__ */ jsxs(ScreenLayout, { children: [session.reauthNotice ? /* @__PURE__ */ jsx(Box, {
+		marginBottom: 1,
+		children: /* @__PURE__ */ jsxs(Text, {
+			color: "yellow",
+			children: ["⚠ ", session.reauthNotice]
+		})
+	}) : null, /* @__PURE__ */ jsx(Spinner, { label: COPY.authChecking })] });
 }
 function OrgCreateForm({ store }) {
 	const [value, setValue] = useState("");
@@ -30977,6 +31876,165 @@ function TipsCard() {
 	});
 }
 
+//#endregion
+//#region src/wizard/ui/primitives/DiagramPane.tsx
+const HORIZONTAL_ARROW = " ─▶ ";
+const VERTICAL_ARROW = "▼";
+const MIN_NODE_INNER = 10;
+const MAX_NODE_INNER = 28;
+function DiagramPane({ diagram, width }) {
+	const { title, pipeline, services, notes } = diagram;
+	const hasPipeline = pipeline.length > 0;
+	const hasServices = services.length > 0;
+	const hasNotes = notes.length > 0;
+	const orientation = pickOrientation(pipeline, width);
+	const nodeInner = pickNodeInner(pipeline, width, orientation);
+	return /* @__PURE__ */ jsxs(Box, {
+		flexDirection: "column",
+		paddingX: 1,
+		children: [
+			title ? /* @__PURE__ */ jsx(Box, {
+				marginBottom: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					bold: true,
+					color: ACCENT_COLOR,
+					wrap: "truncate",
+					children: title
+				})
+			}) : null,
+			hasPipeline ? orientation === "horizontal" ? /* @__PURE__ */ jsx(HorizontalPipeline, {
+				nodes: pipeline,
+				nodeInner
+			}) : /* @__PURE__ */ jsx(VerticalPipeline, {
+				nodes: pipeline,
+				nodeInner
+			}) : null,
+			hasServices ? /* @__PURE__ */ jsxs(Box, {
+				marginTop: hasPipeline ? 1 : 0,
+				flexDirection: "column",
+				children: [/* @__PURE__ */ jsx(Text, {
+					dimColor: true,
+					children: "Serviços auxiliares"
+				}), /* @__PURE__ */ jsx(Box, {
+					marginTop: 1,
+					flexDirection: "row",
+					flexWrap: "wrap",
+					gap: 1,
+					children: services.map((label, i) => /* @__PURE__ */ jsx(ServiceBox, {
+						label,
+						inner: nodeInner
+					}, `${i}-${label}`))
+				})]
+			}) : null,
+			hasNotes ? /* @__PURE__ */ jsx(Box, {
+				marginTop: hasPipeline || hasServices ? 1 : 0,
+				flexDirection: "column",
+				children: notes.map((note, i) => /* @__PURE__ */ jsxs(Text, {
+					color: DIM_COLOR,
+					wrap: "truncate",
+					children: ["· ", note]
+				}, i))
+			}) : null
+		]
+	});
+}
+function HorizontalPipeline({ nodes, nodeInner }) {
+	return /* @__PURE__ */ jsx(Box, {
+		flexDirection: "row",
+		flexWrap: "nowrap",
+		children: nodes.map((label, i) => /* @__PURE__ */ jsxs(Box, {
+			flexDirection: "row",
+			flexShrink: 0,
+			children: [/* @__PURE__ */ jsx(PipelineNode, {
+				label,
+				inner: nodeInner,
+				isLast: i === nodes.length - 1
+			}), i < nodes.length - 1 ? /* @__PURE__ */ jsx(Box, {
+				alignItems: "center",
+				paddingX: 0,
+				flexShrink: 0,
+				children: /* @__PURE__ */ jsx(Text, {
+					color: BRAND_COLOR,
+					children: HORIZONTAL_ARROW
+				})
+			}) : null]
+		}, `${i}-${label}`))
+	});
+}
+function VerticalPipeline({ nodes, nodeInner }) {
+	return /* @__PURE__ */ jsx(Box, {
+		flexDirection: "column",
+		children: nodes.map((label, i) => /* @__PURE__ */ jsxs(Box, {
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(PipelineNode, {
+				label,
+				inner: nodeInner,
+				isLast: i === nodes.length - 1
+			}), i < nodes.length - 1 ? /* @__PURE__ */ jsx(Box, {
+				paddingLeft: Math.max(1, Math.floor(nodeInner / 2)),
+				children: /* @__PURE__ */ jsx(Text, {
+					color: BRAND_COLOR,
+					children: VERTICAL_ARROW
+				})
+			}) : null]
+		}, `${i}-${label}`))
+	});
+}
+function PipelineNode({ label, inner, isLast }) {
+	const displayed = truncate(label, inner);
+	return /* @__PURE__ */ jsx(Box, {
+		borderStyle: "round",
+		borderColor: isLast ? BRAND_COLOR : ACCENT_COLOR,
+		paddingX: 1,
+		flexShrink: 0,
+		children: /* @__PURE__ */ jsx(Text, {
+			color: isLast ? BRAND_COLOR : void 0,
+			bold: isLast,
+			children: displayed
+		})
+	});
+}
+function ServiceBox({ label, inner }) {
+	return /* @__PURE__ */ jsx(Box, {
+		borderStyle: "single",
+		borderColor: DIM_COLOR,
+		paddingX: 1,
+		flexShrink: 0,
+		children: /* @__PURE__ */ jsx(Text, {
+			dimColor: true,
+			children: truncate(label, inner)
+		})
+	});
+}
+/**
+* Decide horizontal vs vertical pipeline. Horizontal fits when the sum of all
+* node widths plus arrows is ≤ the width budget. Falls back to vertical if any
+* single node would be truncated below a useful minimum.
+*/
+function pickOrientation(nodes, width) {
+	if (nodes.length <= 1) return "horizontal";
+	const arrows = 4 * (nodes.length - 1);
+	const boxChrome = 4 * nodes.length;
+	return nodes.reduce((sum, n) => sum + Math.min(n.length, MAX_NODE_INNER), 0) + boxChrome + arrows <= Math.max(0, width - 2) ? "horizontal" : "vertical";
+}
+function pickNodeInner(nodes, width, orientation) {
+	if (nodes.length === 0) return MIN_NODE_INNER;
+	const longest = nodes.reduce((max, n) => Math.max(max, n.length), 0);
+	if (orientation === "vertical") {
+		const budget$1 = Math.max(MIN_NODE_INNER, width - 6);
+		return Math.min(MAX_NODE_INNER, Math.max(MIN_NODE_INNER, Math.min(longest, budget$1)));
+	}
+	const arrows = 4 * (nodes.length - 1);
+	const perBox = Math.floor((Math.max(0, width - 2) - arrows) / nodes.length) - 4;
+	const budget = Math.max(MIN_NODE_INNER, perBox);
+	return Math.min(MAX_NODE_INNER, Math.max(MIN_NODE_INNER, Math.min(longest, budget)));
+}
+function truncate(label, maxInner) {
+	if (label.length <= maxInner) return label;
+	if (maxInner <= 1) return "…";
+	return label.slice(0, maxInner - 1) + "…";
+}
+
 //#endregion
 //#region src/wizard/ui/screens/RunScreen.tsx
 /**
@@ -30999,12 +32057,23 @@ function RunScreen({ store }) {
 		store,
 		onComplete: () => store.setLearnCardComplete()
 	});
-	const hasAgentHelper = session.agentHelperLines.length > 0;
+	const diagram = session.agentHelperDiagram;
+	const hasDiagram = diagram !== null;
+	const hasAgentHelperLines = session.agentHelperLines.length > 0;
+	const diagramWidth = Math.max(20, Math.floor(columns / 2) - 6);
 	const rightPane = /* @__PURE__ */ jsxs(Box, {
 		flexDirection: "column",
 		flexGrow: 1,
 		overflow: "hidden",
-		children: [/* @__PURE__ */ jsx(TasksPane, { store }), hasAgentHelper ? /* @__PURE__ */ jsx(Box, {
+		children: [/* @__PURE__ */ jsx(TasksPane, { store }), hasDiagram ? /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			flexGrow: 1,
+			overflow: "hidden",
+			children: /* @__PURE__ */ jsx(DiagramPane, {
+				diagram,
+				width: diagramWidth
+			})
+		}) : hasAgentHelperLines ? /* @__PURE__ */ jsx(Box, {
 			marginTop: 1,
 			flexGrow: 1,
 			overflow: "hidden",
@@ -31452,6 +32521,397 @@ function AgentHelperPane({ lines }) {
 	});
 }
 
+//#endregion
+//#region src/wizard/ui/screens/GithubSetupScreen.tsx
+/**
+* GithubSetupScreen — Post-deploy step asking whether to enable automatic
+* deploys via the Veloz GitHub App. The runner in `index.ts` drives the
+* phases; this screen only renders the current state.
+*/
+function GithubSetupScreen({ store }) {
+	useSyncExternalStore(store.subscribe, store.getSnapshot);
+	const { session } = store;
+	const repo = session.githubRepoOwner && session.githubRepoName ? `${session.githubRepoOwner}/${session.githubRepoName}` : "seu repositório";
+	if (session.githubSetupPhase === "prompt") return /* @__PURE__ */ jsx(PromptView$1, {
+		store,
+		repo
+	});
+	if (session.githubSetupPhase === "connecting") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [/* @__PURE__ */ jsx(Text, {
+		color: BRAND_COLOR,
+		bold: true,
+		children: COPY.githubSetupTitle
+	}), /* @__PURE__ */ jsx(Box, {
+		marginTop: 1,
+		children: /* @__PURE__ */ jsx(Spinner, { label: COPY.githubSetupConnecting })
+	})] });
+	if (session.githubSetupPhase === "installing") return /* @__PURE__ */ jsxs(ScreenLayout, {
+		footer: COPY.githubSetupInstallHint,
+		children: [
+			/* @__PURE__ */ jsx(Text, {
+				color: BRAND_COLOR,
+				bold: true,
+				children: COPY.githubSetupInstallTitle
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				children: /* @__PURE__ */ jsx(Spinner, { label: COPY.githubSetupPolling })
+			}),
+			session.githubInstallUrl ? /* @__PURE__ */ jsxs(Box, {
+				marginTop: 1,
+				flexDirection: "column",
+				children: [/* @__PURE__ */ jsx(Text, {
+					dimColor: true,
+					children: COPY.githubSetupInstallFallback
+				}), /* @__PURE__ */ jsx(Text, {
+					bold: true,
+					children: session.githubInstallUrl
+				})]
+			}) : null
+		]
+	});
+	if (session.githubSetupPhase === "done") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [/* @__PURE__ */ jsxs(Box, {
+		gap: 1,
+		children: [/* @__PURE__ */ jsx(Text, {
+			color: SUCCESS_COLOR,
+			children: Icons.completed
+		}), /* @__PURE__ */ jsx(Text, {
+			color: SUCCESS_COLOR,
+			bold: true,
+			children: COPY.githubSetupDone
+		})]
+	}), /* @__PURE__ */ jsx(Box, {
+		marginTop: 1,
+		children: /* @__PURE__ */ jsx(Text, {
+			dimColor: true,
+			children: COPY.githubSetupDoneHint
+		})
+	})] });
+	if (session.githubSetupPhase === "error") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [
+		/* @__PURE__ */ jsxs(Box, {
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				children: Icons.error
+			}), /* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				bold: true,
+				children: COPY.githubSetupErrorTitle
+			})]
+		}),
+		session.githubSetupError ? /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			marginLeft: 2,
+			children: /* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				wrap: "wrap",
+				children: session.githubSetupError
+			})
+		}) : null,
+		/* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			children: /* @__PURE__ */ jsx(Text, {
+				dimColor: true,
+				children: COPY.githubSetupErrorHint
+			})
+		})
+	] });
+	return /* @__PURE__ */ jsx(ScreenLayout, { children: /* @__PURE__ */ jsx(Text, {
+		dimColor: true,
+		children: COPY.githubSetupSkipped
+	}) });
+}
+function PromptView$1({ store, repo }) {
+	const [selected, setSelected] = React.useState(0);
+	useGatedInput((_input, key) => {
+		if (key.upArrow || key.downArrow) {
+			setSelected((s) => s === 0 ? 1 : 0);
+			return;
+		}
+		if (key.return) store.setGithubSetupPhase(selected === 0 ? "connecting" : "skipped");
+	});
+	const options = [COPY.githubSetupYes, COPY.githubSetupNo];
+	return /* @__PURE__ */ jsxs(ScreenLayout, {
+		footer: "↑↓ escolher · Enter confirmar",
+		children: [
+			/* @__PURE__ */ jsx(Text, {
+				color: BRAND_COLOR,
+				bold: true,
+				children: COPY.githubSetupTitle
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					wrap: "wrap",
+					children: COPY.githubSetupQuestion(repo)
+				})
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					color: DIM_COLOR,
+					wrap: "wrap",
+					children: COPY.githubSetupHint
+				})
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				flexDirection: "column",
+				children: options.map((opt, i) => /* @__PURE__ */ jsxs(Box, {
+					gap: 1,
+					marginLeft: 2,
+					children: [/* @__PURE__ */ jsx(Text, {
+						color: i === selected ? BRAND_COLOR : DIM_COLOR,
+						children: i === selected ? Icons.triangleRight : " "
+					}), /* @__PURE__ */ jsx(Text, {
+						color: i === selected ? BRAND_COLOR : void 0,
+						bold: i === selected,
+						children: opt
+					})]
+				}, i))
+			})
+		]
+	});
+}
+
+//#endregion
+//#region src/wizard/ui/screens/AiSetupScreen.tsx
+/**
+* AiSetupScreen — Post-deploy step that offers to install the Veloz MCP
+* server and the agent skills. The runner in `index.ts` detects what's
+* missing, drives the phases, and spawns the installation commands; this
+* screen renders the current state.
+*/
+function AiSetupScreen({ store }) {
+	useSyncExternalStore(store.subscribe, store.getSnapshot);
+	const { session } = store;
+	if (session.aiSetupPhase === "prompt") return /* @__PURE__ */ jsx(PromptView, { store });
+	if (session.aiSetupPhase === "installing") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [/* @__PURE__ */ jsx(Text, {
+		color: BRAND_COLOR,
+		bold: true,
+		children: COPY.aiSetupInstallingTitle
+	}), /* @__PURE__ */ jsxs(Box, {
+		marginTop: 1,
+		flexDirection: "column",
+		children: [session.aiSetupNeedsMcp ? /* @__PURE__ */ jsx(ToolRow, {
+			status: session.aiSetupMcpStatus,
+			installingLabel: COPY.aiSetupMcpInstalling,
+			doneLabel: COPY.aiSetupMcpDone,
+			errorLabel: COPY.aiSetupMcpError,
+			pendingLabel: COPY.aiSetupMcpLabel
+		}) : null, session.aiSetupNeedsSkills ? /* @__PURE__ */ jsx(ToolRow, {
+			status: session.aiSetupSkillsStatus,
+			installingLabel: COPY.aiSetupSkillsInstalling,
+			doneLabel: COPY.aiSetupSkillsDone,
+			errorLabel: COPY.aiSetupSkillsError,
+			pendingLabel: COPY.aiSetupSkillsLabel
+		}) : null]
+	})] });
+	if (session.aiSetupPhase === "done") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [
+		/* @__PURE__ */ jsxs(Box, {
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: SUCCESS_COLOR,
+				children: Icons.completed
+			}), /* @__PURE__ */ jsx(Text, {
+				color: SUCCESS_COLOR,
+				bold: true,
+				children: COPY.aiSetupDoneTitle
+			})]
+		}),
+		/* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [session.aiSetupNeedsMcp ? /* @__PURE__ */ jsx(ToolRow, {
+				status: session.aiSetupMcpStatus,
+				installingLabel: COPY.aiSetupMcpInstalling,
+				doneLabel: COPY.aiSetupMcpDone,
+				errorLabel: COPY.aiSetupMcpError,
+				pendingLabel: COPY.aiSetupMcpLabel
+			}) : null, session.aiSetupNeedsSkills ? /* @__PURE__ */ jsx(ToolRow, {
+				status: session.aiSetupSkillsStatus,
+				installingLabel: COPY.aiSetupSkillsInstalling,
+				doneLabel: COPY.aiSetupSkillsDone,
+				errorLabel: COPY.aiSetupSkillsError,
+				pendingLabel: COPY.aiSetupSkillsLabel
+			}) : null]
+		}),
+		/* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			children: /* @__PURE__ */ jsx(Text, {
+				dimColor: true,
+				children: COPY.aiSetupDoneHint
+			})
+		})
+	] });
+	if (session.aiSetupPhase === "error") return /* @__PURE__ */ jsxs(ScreenLayout, { children: [
+		/* @__PURE__ */ jsxs(Box, {
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				children: Icons.error
+			}), /* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				bold: true,
+				children: COPY.aiSetupErrorTitle
+			})]
+		}),
+		session.aiSetupError ? /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			marginLeft: 2,
+			children: /* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				wrap: "wrap",
+				children: session.aiSetupError
+			})
+		}) : null,
+		/* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			children: /* @__PURE__ */ jsx(Text, {
+				dimColor: true,
+				children: COPY.aiSetupErrorHint
+			})
+		})
+	] });
+	return /* @__PURE__ */ jsx(ScreenLayout, { children: null });
+}
+function ToolRow({ status, installingLabel, doneLabel, errorLabel, pendingLabel }) {
+	if (status === "installing") return /* @__PURE__ */ jsx(Box, {
+		marginLeft: 2,
+		children: /* @__PURE__ */ jsx(Spinner, { label: installingLabel })
+	});
+	if (status === "done") return /* @__PURE__ */ jsxs(Box, {
+		gap: 1,
+		marginLeft: 2,
+		children: [/* @__PURE__ */ jsx(Text, {
+			color: SUCCESS_COLOR,
+			children: Icons.completed
+		}), /* @__PURE__ */ jsx(Text, { children: doneLabel })]
+	});
+	if (status === "error") return /* @__PURE__ */ jsxs(Box, {
+		gap: 1,
+		marginLeft: 2,
+		children: [/* @__PURE__ */ jsx(Text, {
+			color: ERROR_COLOR,
+			children: Icons.error
+		}), /* @__PURE__ */ jsx(Text, {
+			color: ERROR_COLOR,
+			children: errorLabel
+		})]
+	});
+	if (status === "skipped") return /* @__PURE__ */ jsxs(Box, {
+		gap: 1,
+		marginLeft: 2,
+		children: [/* @__PURE__ */ jsx(Text, {
+			color: DIM_COLOR,
+			children: "-"
+		}), /* @__PURE__ */ jsxs(Text, {
+			dimColor: true,
+			children: [pendingLabel, " (já instalado)"]
+		})]
+	});
+	return /* @__PURE__ */ jsxs(Box, {
+		gap: 1,
+		marginLeft: 2,
+		children: [/* @__PURE__ */ jsx(Text, {
+			color: DIM_COLOR,
+			children: Icons.pending
+		}), /* @__PURE__ */ jsx(Text, {
+			dimColor: true,
+			children: pendingLabel
+		})]
+	});
+}
+function PromptView({ store }) {
+	const [selected, setSelected] = React.useState(0);
+	const { session } = store;
+	useGatedInput((_input, key) => {
+		if (key.upArrow || key.downArrow) {
+			setSelected((s) => s === 0 ? 1 : 0);
+			return;
+		}
+		if (key.return) store.setAiSetupPhase(selected === 0 ? "installing" : "skipped");
+	});
+	const options = [COPY.aiSetupYes, COPY.aiSetupNo];
+	return /* @__PURE__ */ jsxs(ScreenLayout, {
+		footer: "↑↓ escolher · Enter confirmar",
+		children: [
+			/* @__PURE__ */ jsx(Text, {
+				color: BRAND_COLOR,
+				bold: true,
+				children: COPY.aiSetupTitle
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					wrap: "wrap",
+					children: COPY.aiSetupQuestion
+				})
+			}),
+			/* @__PURE__ */ jsxs(Box, {
+				marginTop: 1,
+				flexDirection: "column",
+				marginLeft: 2,
+				children: [session.aiSetupNeedsMcp ? /* @__PURE__ */ jsxs(Box, {
+					flexDirection: "column",
+					marginBottom: 1,
+					children: [/* @__PURE__ */ jsxs(Box, {
+						gap: 1,
+						children: [/* @__PURE__ */ jsx(Text, {
+							color: BRAND_COLOR,
+							children: Icons.bullet
+						}), /* @__PURE__ */ jsx(Text, {
+							bold: true,
+							children: COPY.aiSetupMcpLabel
+						})]
+					}), /* @__PURE__ */ jsx(Box, {
+						marginLeft: 2,
+						children: /* @__PURE__ */ jsx(Text, {
+							color: DIM_COLOR,
+							wrap: "wrap",
+							children: COPY.aiSetupMcpDescription
+						})
+					})]
+				}) : null, session.aiSetupNeedsSkills ? /* @__PURE__ */ jsxs(Box, {
+					flexDirection: "column",
+					children: [/* @__PURE__ */ jsxs(Box, {
+						gap: 1,
+						children: [/* @__PURE__ */ jsx(Text, {
+							color: BRAND_COLOR,
+							children: Icons.bullet
+						}), /* @__PURE__ */ jsx(Text, {
+							bold: true,
+							children: COPY.aiSetupSkillsLabel
+						})]
+					}), /* @__PURE__ */ jsx(Box, {
+						marginLeft: 2,
+						children: /* @__PURE__ */ jsx(Text, {
+							color: DIM_COLOR,
+							wrap: "wrap",
+							children: COPY.aiSetupSkillsDescription
+						})
+					})]
+				}) : null]
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				flexDirection: "column",
+				children: options.map((opt, i) => /* @__PURE__ */ jsxs(Box, {
+					gap: 1,
+					marginLeft: 2,
+					children: [/* @__PURE__ */ jsx(Text, {
+						color: i === selected ? BRAND_COLOR : DIM_COLOR,
+						children: i === selected ? Icons.triangleRight : " "
+					}), /* @__PURE__ */ jsx(Text, {
+						color: i === selected ? BRAND_COLOR : void 0,
+						bold: i === selected,
+						children: opt
+					})]
+				}, i))
+			})
+		]
+	});
+}
+
 //#endregion
 //#region src/wizard/ui/primitives/MarkdownText.tsx
 /** Parse inline markdown (**bold** and `code`) into Ink <Text> elements. */
@@ -31517,203 +32977,327 @@ function MarkdownText({ children }) {
 //#endregion
 //#region src/wizard/ui/screens/OutroScreen.tsx
 /**
-* OutroScreen — Final screen after agent completes or fails.
-* Fullscreen with logo. Shows domain, agent summary, diagram on success.
-* Shows error details + debugging context on failure.
+* OutroScreen — Final screen after the agent completes or fails.
+*
+* Scrollable content (↑/↓) with an action bar at the bottom:
+*   [ Abrir projeto ]   [ Abrir dashboard ]   [ Fechar ]
+* Left/right to move between actions, Enter to confirm.
 */
+const DASHBOARD_BASE = process.env.VELOZ_WEB_URL || "https://app.onveloz.com";
 function OutroScreen({ store }) {
 	useSyncExternalStore(store.subscribe, store.getSnapshot);
 	const { session } = store;
 	const isSuccess$4 = !session.agentError;
-	const [columns] = useStdoutDimensions();
+	const [columns, rows] = useStdoutDimensions();
 	const sepWidth = Math.min(columns - 8, 80);
 	const aiSetup = useMemo(() => checkAiSetup(), []);
+	const projectConfig = useMemo(() => loadConfig$1(), []);
+	const dashboardUrl = useMemo(() => {
+		const projectId = projectConfig?.project?.id;
+		return projectId ? `${DASHBOARD_BASE}/projetos/${projectId}` : DASHBOARD_BASE;
+	}, [projectConfig]);
+	const actions = useMemo(() => {
+		if (!isSuccess$4) return [{
+			id: "close",
+			label: "Fechar"
+		}];
+		const list = [];
+		if (session.deployUrl) list.push({
+			id: "open-project",
+			label: "Abrir projeto"
+		});
+		list.push({
+			id: "open-dashboard",
+			label: "Abrir dashboard"
+		});
+		list.push({
+			id: "close",
+			label: "Fechar"
+		});
+		return list;
+	}, [isSuccess$4, session.deployUrl]);
+	const [actionIdx, setActionIdx] = useState(0);
+	const [scrollOffset, setScrollOffset] = useState(0);
+	const performExit = React.useCallback(async (action) => {
+		try {
+			if (action.id === "open-project" && session.deployUrl) await openBrowser(session.deployUrl);
+			else if (action.id === "open-dashboard") await openBrowser(dashboardUrl);
+		} catch {}
+		store.dismissOutro();
+		process.exit(isSuccess$4 ? 0 : 1);
+	}, [
+		dashboardUrl,
+		isSuccess$4,
+		session.deployUrl,
+		store
+	]);
 	useGatedInput((_input, key) => {
-		if (key.return || key.escape) {
+		if (key.upArrow) {
+			setScrollOffset((s) => Math.max(0, s - 1));
+			return;
+		}
+		if (key.downArrow) {
+			setScrollOffset((s) => s + 1);
+			return;
+		}
+		if (key.leftArrow) {
+			setActionIdx((i) => i > 0 ? i - 1 : actions.length - 1);
+			return;
+		}
+		if (key.rightArrow) {
+			setActionIdx((i) => i < actions.length - 1 ? i + 1 : 0);
+			return;
+		}
+		if (key.return) {
+			const action = actions[actionIdx] ?? actions[0];
+			if (action) performExit(action);
+			return;
+		}
+		if (key.escape) {
 			store.dismissOutro();
 			process.exit(isSuccess$4 ? 0 : 1);
 		}
 	});
-	if (isSuccess$4) return /* @__PURE__ */ jsxs(ScreenLayout, {
-		footer: "Pressione Enter para sair",
-		children: [
-			/* @__PURE__ */ jsxs(Box, {
-				gap: 1,
-				children: [/* @__PURE__ */ jsx(Text, {
-					color: SUCCESS_COLOR,
-					children: Icons.squareFilled
-				}), /* @__PURE__ */ jsx(Text, {
-					color: SUCCESS_COLOR,
-					bold: true,
-					children: COPY.outroSuccess
-				})]
-			}),
-			session.deployUrl ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
-					dimColor: true,
-					children: COPY.outroUrl
-				}), /* @__PURE__ */ jsxs(Text, {
-					color: BRAND_COLOR,
-					bold: true,
-					children: ["  ", session.deployUrl]
-				})]
-			})] }) : null,
-			session.agentSummary ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
-					bold: true,
-					color: ACCENT_COLOR,
-					children: "Resumo do deploy:"
-				}), /* @__PURE__ */ jsx(Box, {
-					marginLeft: 2,
-					children: /* @__PURE__ */ jsx(MarkdownText, { children: session.agentSummary })
-				})]
-			})] }) : null,
-			session.agentHelperLines.length > 0 ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsx(Box, {
-				marginTop: 1,
+	const body = isSuccess$4 ? /* @__PURE__ */ jsx(SuccessBody, {
+		store,
+		sepWidth,
+		aiSetup
+	}) : /* @__PURE__ */ jsx(ErrorBody, {
+		store,
+		sepWidth
+	});
+	return /* @__PURE__ */ jsxs(ScreenLayout, {
+		footer: "↑↓ rolar · ←→ escolher ação · Enter confirmar · Esc fechar",
+		children: [/* @__PURE__ */ jsx(Box, {
+			flexDirection: "column",
+			flexGrow: 1,
+			flexShrink: 1,
+			overflow: "hidden",
+			height: Math.max(6, rows - 14),
+			children: /* @__PURE__ */ jsx(Box, {
 				flexDirection: "column",
-				children: session.agentHelperLines.map((line, i) => {
-					if (i === 0 && line.trim()) return /* @__PURE__ */ jsx(Text, {
-						bold: true,
-						color: ACCENT_COLOR,
-						wrap: "truncate",
-						children: line
-					}, i);
-					return /* @__PURE__ */ jsx(Text, {
-						color: DIM_COLOR,
-						wrap: "truncate",
-						children: line
-					}, i);
+				marginTop: -scrollOffset,
+				children: body
+			})
+		}), /* @__PURE__ */ jsx(ActionBar, {
+			actions,
+			selected: actionIdx
+		})]
+	});
+}
+function ActionBar({ actions, selected }) {
+	return /* @__PURE__ */ jsx(Box, {
+		marginTop: 1,
+		gap: 2,
+		children: actions.map((action, i) => {
+			const active$1 = i === selected;
+			return /* @__PURE__ */ jsx(Box, {
+				borderStyle: "single",
+				borderColor: active$1 ? BRAND_COLOR : DIM_COLOR,
+				paddingX: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					color: active$1 ? BRAND_COLOR : void 0,
+					bold: active$1,
+					children: action.label
 				})
-			})] }) : null,
-			/* @__PURE__ */ jsx(Separator, { width: sepWidth }),
-			/* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
+			}, action.id);
+		})
+	});
+}
+function SuccessBody({ store, sepWidth, aiSetup }) {
+	const { session } = store;
+	return /* @__PURE__ */ jsxs(Fragment, { children: [
+		/* @__PURE__ */ jsxs(Box, {
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: SUCCESS_COLOR,
+				children: Icons.squareFilled
+			}), /* @__PURE__ */ jsx(Text, {
+				color: SUCCESS_COLOR,
+				bold: true,
+				children: COPY.outroSuccess
+			})]
+		}),
+		session.deployUrl ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				dimColor: true,
+				children: COPY.outroUrl
+			}), /* @__PURE__ */ jsxs(Text, {
+				color: BRAND_COLOR,
+				bold: true,
+				children: ["  ", session.deployUrl]
+			})]
+		})] }) : null,
+		session.githubSetupPhase === "done" ? /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: SUCCESS_COLOR,
+				children: Icons.completed
+			}), /* @__PURE__ */ jsx(Text, { children: "Deploy automático ativado via GitHub." })]
+		}) : null,
+		session.agentSummary ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				bold: true,
+				color: ACCENT_COLOR,
+				children: "Resumo do deploy:"
+			}), /* @__PURE__ */ jsx(Box, {
+				marginLeft: 2,
+				children: /* @__PURE__ */ jsx(MarkdownText, { children: session.agentSummary })
+			})]
+		})] }) : null,
+		session.agentHelperDiagram ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: /* @__PURE__ */ jsx(DiagramPane, {
+				diagram: session.agentHelperDiagram,
+				width: sepWidth
+			})
+		})] }) : session.agentHelperLines.length > 0 ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: session.agentHelperLines.map((line, i) => {
+				if (i === 0 && line.trim()) return /* @__PURE__ */ jsx(Text, {
 					bold: true,
-					children: COPY.outroNextSteps
-				}), COPY.outroNextStepsList.map((step, i) => /* @__PURE__ */ jsxs(Text, {
+					color: ACCENT_COLOR,
+					wrap: "truncate",
+					children: line
+				}, i);
+				return /* @__PURE__ */ jsx(Text, {
 					color: DIM_COLOR,
-					children: [
-						"  ",
-						i + 1,
-						". ",
-						step
-					]
-				}, i))]
-			}),
-			!aiSetup.mcpInstalled || !aiSetup.skillsInstalled ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
+					wrap: "truncate",
+					children: line
+				}, i);
+			})
+		})] }) : null,
+		/* @__PURE__ */ jsx(Separator, { width: sepWidth }),
+		/* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				bold: true,
+				children: COPY.outroNextSteps
+			}), COPY.outroNextStepsList.map((step, i) => /* @__PURE__ */ jsxs(Text, {
+				color: DIM_COLOR,
 				children: [
-					/* @__PURE__ */ jsx(Text, {
-						bold: true,
-						color: ACCENT_COLOR,
-						children: "Integração com IA:"
-					}),
-					!aiSetup.mcpInstalled ? /* @__PURE__ */ jsxs(Text, {
-						color: DIM_COLOR,
-						children: [
-							"  ",
-							Icons.bullet,
-							" ",
-							COPY.outroAiSetupMcp
-						]
-					}) : null,
-					!aiSetup.skillsInstalled ? /* @__PURE__ */ jsxs(Text, {
-						color: DIM_COLOR,
-						children: [
-							"  ",
-							Icons.bullet,
-							" ",
-							COPY.outroAiSetupSkills
-						]
-					}) : null
+					"  ",
+					i + 1,
+					". ",
+					step
 				]
-			})] }) : null
-		]
-	});
-	const recentOutput = session.agentOutputLines.slice(-8);
-	return /* @__PURE__ */ jsxs(ScreenLayout, {
-		footer: "Pressione Enter para sair",
-		children: [
-			/* @__PURE__ */ jsxs(Box, {
-				gap: 1,
-				children: [/* @__PURE__ */ jsx(Text, {
-					color: ERROR_COLOR,
-					children: Icons.error
-				}), /* @__PURE__ */ jsx(Text, {
-					color: ERROR_COLOR,
-					bold: true,
-					children: COPY.outroError
-				})]
-			}),
-			session.agentError ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
-					bold: true,
-					color: ERROR_COLOR,
-					children: "Motivo:"
-				}), /* @__PURE__ */ jsx(Box, {
-					marginLeft: 2,
-					flexDirection: "column",
-					children: /* @__PURE__ */ jsx(Text, {
-						color: ERROR_COLOR,
-						wrap: "wrap",
-						children: session.agentError
-					})
-				})]
-			})] }) : null,
-			recentOutput.length > 0 ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
+			}, i))]
+		}),
+		!aiSetup.mcpInstalled || !aiSetup.skillsInstalled ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [
+				/* @__PURE__ */ jsx(Text, {
 					bold: true,
 					color: ACCENT_COLOR,
-					children: "Últimas ações do agente:"
-				}), recentOutput.map((line, i) => /* @__PURE__ */ jsxs(Text, {
+					children: "Integração com IA:"
+				}),
+				!aiSetup.mcpInstalled ? /* @__PURE__ */ jsxs(Text, {
 					color: DIM_COLOR,
-					wrap: "wrap",
-					children: ["  ", line]
-				}, i))]
-			})] }) : null,
-			session.retryCount > 0 ? /* @__PURE__ */ jsx(Box, {
-				marginTop: 1,
-				children: /* @__PURE__ */ jsxs(Text, {
-					dimColor: true,
 					children: [
-						"O agente tentou ",
-						session.retryCount + 1,
-						" vez",
-						session.retryCount > 0 ? "es" : "",
-						" antes de falhar."
+						"  ",
+						Icons.bullet,
+						" ",
+						COPY.outroAiSetupMcp
 					]
-				})
-			}) : null,
-			/* @__PURE__ */ jsx(Separator, { width: sepWidth }),
-			/* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
-					bold: true,
-					children: "Próximos passos:"
-				}), COPY.outroErrorHints.map((hint, i) => /* @__PURE__ */ jsxs(Text, {
+				}) : null,
+				!aiSetup.skillsInstalled ? /* @__PURE__ */ jsxs(Text, {
 					color: DIM_COLOR,
 					children: [
 						"  ",
 						Icons.bullet,
 						" ",
-						hint
+						COPY.outroAiSetupSkills
 					]
-				}, i))]
+				}) : null
+			]
+		})] }) : null
+	] });
+}
+function ErrorBody({ store, sepWidth }) {
+	const { session } = store;
+	const recentOutput = session.agentOutputLines.slice(-8);
+	return /* @__PURE__ */ jsxs(Fragment, { children: [
+		/* @__PURE__ */ jsxs(Box, {
+			gap: 1,
+			children: [/* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				children: Icons.error
+			}), /* @__PURE__ */ jsx(Text, {
+				color: ERROR_COLOR,
+				bold: true,
+				children: COPY.outroError
+			})]
+		}),
+		session.agentError ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				bold: true,
+				color: ERROR_COLOR,
+				children: "Motivo:"
+			}), /* @__PURE__ */ jsx(Box, {
+				marginLeft: 2,
+				flexDirection: "column",
+				children: /* @__PURE__ */ jsx(Text, {
+					color: ERROR_COLOR,
+					wrap: "wrap",
+					children: session.agentError
+				})
+			})]
+		})] }) : null,
+		recentOutput.length > 0 ? /* @__PURE__ */ jsxs(Fragment, { children: [/* @__PURE__ */ jsx(Separator, { width: sepWidth }), /* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				bold: true,
+				color: ACCENT_COLOR,
+				children: "Últimas ações do agente:"
+			}), recentOutput.map((line, i) => /* @__PURE__ */ jsxs(Text, {
+				color: DIM_COLOR,
+				wrap: "wrap",
+				children: ["  ", line]
+			}, i))]
+		})] }) : null,
+		session.retryCount > 0 ? /* @__PURE__ */ jsx(Box, {
+			marginTop: 1,
+			children: /* @__PURE__ */ jsxs(Text, {
+				dimColor: true,
+				children: [
+					"O agente tentou ",
+					session.retryCount + 1,
+					" vez",
+					session.retryCount > 0 ? "es" : "",
+					" antes de falhar."
+				]
 			})
-		]
-	});
+		}) : null,
+		/* @__PURE__ */ jsx(Separator, { width: sepWidth }),
+		/* @__PURE__ */ jsxs(Box, {
+			marginTop: 1,
+			flexDirection: "column",
+			children: [/* @__PURE__ */ jsx(Text, {
+				bold: true,
+				children: "Próximos passos:"
+			}), COPY.outroErrorHints.map((hint, i) => /* @__PURE__ */ jsxs(Text, {
+				color: DIM_COLOR,
+				children: [
+					"  ",
+					Icons.bullet,
+					" ",
+					hint
+				]
+			}, i))]
+		})
+	] });
 }
 function Separator({ width }) {
 	return /* @__PURE__ */ jsx(Box, {
@@ -31760,25 +33344,58 @@ function ErrorOverlay({ message, onDismiss }) {
 
 //#endregion
 //#region src/wizard/ui/overlays/ConfirmExitOverlay.tsx
+/**
+* ConfirmExitOverlay — Alert-style confirmation for Ctrl+C.
+*
+* Rendered in the absolute-positioned overlay slot in App.tsx, just like
+* PromptOverlay: pulsing border, own `useInput` handler, screen remains
+* visible behind it while `InputFocusProvider` gates the base layer.
+*/
+function useOverlayWidth$1() {
+	const [columns] = useStdoutDimensions();
+	return Math.max(30, Math.min(60, columns - 4));
+}
 function ConfirmExitOverlay({ onConfirm, onCancel }) {
 	const [selected, setSelected] = useState(1);
-	useGatedInput((_input, key) => {
-		if (key.upArrow || key.downArrow) setSelected((s) => s === 0 ? 1 : 0);
-		if (key.return) if (selected === 0) onConfirm();
-		else onCancel();
+	const [pulse, setPulse] = useState(true);
+	const width = useOverlayWidth$1();
+	useEffect(() => {
+		const timer = setInterval(() => setPulse((p) => !p), 800);
+		return () => clearInterval(timer);
+	}, []);
+	useInput((_input, key) => {
+		if (key.upArrow || key.downArrow) {
+			setSelected((s) => s === 0 ? 1 : 0);
+			return;
+		}
+		if (key.return) {
+			if (selected === 0) onConfirm();
+			else onCancel();
+			return;
+		}
 		if (key.escape) onCancel();
 	});
+	const borderColor = pulse ? ERROR_COLOR : BRAND_COLOR;
 	const options = [COPY.confirmExitYes, COPY.confirmExitNo];
 	return /* @__PURE__ */ jsxs(Box, {
 		flexDirection: "column",
-		borderStyle: "single",
-		borderColor: ERROR_COLOR,
+		borderStyle: "bold",
+		borderColor,
+		backgroundColor: "black",
 		paddingX: 2,
 		paddingY: 1,
+		width,
 		children: [
-			/* @__PURE__ */ jsx(Text, {
-				bold: true,
-				children: COPY.confirmExitTitle
+			/* @__PURE__ */ jsxs(Box, {
+				gap: 1,
+				children: [/* @__PURE__ */ jsx(Text, {
+					color: ERROR_COLOR,
+					bold: true,
+					children: Icons.diamond
+				}), /* @__PURE__ */ jsx(Text, {
+					bold: true,
+					children: COPY.confirmExitTitle
+				})]
 			}),
 			/* @__PURE__ */ jsx(Box, {
 				marginTop: 1,
@@ -31791,12 +33408,19 @@ function ConfirmExitOverlay({ onConfirm, onCancel }) {
 					gap: 1,
 					children: [/* @__PURE__ */ jsx(Text, {
 						color: i === selected ? BRAND_COLOR : DIM_COLOR,
-						children: i === selected ? "▶" : " "
+						children: i === selected ? Icons.triangleRight : " "
 					}), /* @__PURE__ */ jsx(Text, {
 						bold: i === selected,
 						children: opt
 					})]
 				}, i))
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				children: /* @__PURE__ */ jsx(Text, {
+					dimColor: true,
+					children: "↑↓ escolher · Enter confirmar · Esc cancelar"
+				})
 			})
 		]
 	});
@@ -31840,14 +33464,8 @@ function PromptOverlay({ prompt: prompt$1, onSubmit, onSkip }) {
 }
 function TextPrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 	const [value, setValue] = useState("");
-	const [mode, setMode] = useState("ask");
 	const width = useOverlayWidth();
 	useInput((input, key) => {
-		if (mode === "ask") {
-			if (input === "1" || key.return) setMode("input");
-			if (input === "2" || key.escape) onSkip();
-			return;
-		}
 		if (key.return && value.trim()) {
 			onSubmit(value.trim());
 			return;
@@ -31866,6 +33484,7 @@ function TextPrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 		flexDirection: "column",
 		borderStyle: "bold",
 		borderColor: pulse ? BRAND_COLOR : ACCENT_COLOR,
+		backgroundColor: "black",
 		paddingX: 2,
 		paddingY: 1,
 		width,
@@ -31912,17 +33531,7 @@ function TextPrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 					]
 				})
 			}) : null,
-			mode === "ask" ? /* @__PURE__ */ jsxs(Box, {
-				marginTop: 1,
-				flexDirection: "column",
-				children: [/* @__PURE__ */ jsx(Text, {
-					color: SUCCESS_COLOR,
-					children: "[1] Inserir valor agora"
-				}), /* @__PURE__ */ jsx(Text, {
-					color: DIM_COLOR,
-					children: "[2] Configurar depois manualmente"
-				})]
-			}) : /* @__PURE__ */ jsxs(Box, {
+			/* @__PURE__ */ jsxs(Box, {
 				marginTop: 1,
 				flexDirection: "column",
 				children: [/* @__PURE__ */ jsxs(Box, {
@@ -31956,6 +33565,7 @@ function ConfirmPrompt({ prompt: prompt$1, pulse, onSubmit }) {
 		flexDirection: "column",
 		borderStyle: "bold",
 		borderColor: pulse ? BRAND_COLOR : ACCENT_COLOR,
+		backgroundColor: "black",
 		paddingX: 2,
 		paddingY: 1,
 		width,
@@ -31995,17 +33605,40 @@ function ConfirmPrompt({ prompt: prompt$1, pulse, onSubmit }) {
 function ChoicePrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 	const options = prompt$1.options ?? [];
 	const [selected, setSelected] = useState(0);
+	const [typed, setTyped] = useState("");
 	const width = useOverlayWidth();
-	useInput((_input, key) => {
-		if (key.upArrow) setSelected((s) => Math.max(0, s - 1));
-		if (key.downArrow) setSelected((s) => Math.min(options.length - 1, s + 1));
-		if (key.return) onSubmit(options[selected] ?? "");
-		if (key.escape) onSkip();
+	useInput((input, key) => {
+		if (key.upArrow) {
+			setSelected((s) => Math.max(0, s - 1));
+			return;
+		}
+		if (key.downArrow) {
+			setSelected((s) => Math.min(options.length - 1, s + 1));
+			return;
+		}
+		if (key.return) {
+			const trimmed = typed.trim();
+			if (trimmed) onSubmit(trimmed);
+			else onSubmit(options[selected] ?? "");
+			return;
+		}
+		if (key.escape) {
+			onSkip();
+			return;
+		}
+		if (key.backspace || key.delete) {
+			setTyped((v) => v.slice(0, -1));
+			return;
+		}
+		if (input && !key.ctrl && !key.meta) setTyped((v) => v + input);
 	});
+	const borderColor = pulse ? BRAND_COLOR : ACCENT_COLOR;
+	const trimmedTyped = typed.trim();
 	return /* @__PURE__ */ jsxs(Box, {
 		flexDirection: "column",
 		borderStyle: "bold",
-		borderColor: pulse ? BRAND_COLOR : ACCENT_COLOR,
+		borderColor,
+		backgroundColor: "black",
 		paddingX: 2,
 		paddingY: 1,
 		width,
@@ -32032,22 +33665,43 @@ function ChoicePrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 			/* @__PURE__ */ jsx(Box, {
 				marginTop: 1,
 				flexDirection: "column",
-				children: options.map((opt, i) => /* @__PURE__ */ jsxs(Box, {
+				children: options.map((opt, i) => {
+					const active$1 = !trimmedTyped && i === selected;
+					return /* @__PURE__ */ jsxs(Box, {
+						gap: 1,
+						children: [/* @__PURE__ */ jsx(Text, {
+							color: active$1 ? BRAND_COLOR : DIM_COLOR,
+							children: active$1 ? Icons.triangleRight : " "
+						}), /* @__PURE__ */ jsx(Text, {
+							bold: active$1,
+							dimColor: Boolean(trimmedTyped),
+							children: opt
+						})]
+					}, i);
+				})
+			}),
+			/* @__PURE__ */ jsx(Box, {
+				marginTop: 1,
+				flexDirection: "column",
+				children: /* @__PURE__ */ jsxs(Box, {
 					gap: 1,
 					children: [/* @__PURE__ */ jsx(Text, {
-						color: i === selected ? BRAND_COLOR : DIM_COLOR,
-						children: i === selected ? Icons.triangleRight : " "
+						color: trimmedTyped ? BRAND_COLOR : DIM_COLOR,
+						children: Icons.triangleRight
+					}), /* @__PURE__ */ jsxs(Text, { children: [typed || /* @__PURE__ */ jsx(Text, {
+						color: DIM_COLOR,
+						children: "ou digite uma resposta livre"
 					}), /* @__PURE__ */ jsx(Text, {
-						bold: i === selected,
-						children: opt
-					})]
-				}, i))
+						color: DIM_COLOR,
+						children: "▌"
+					})] })]
+				})
 			}),
 			/* @__PURE__ */ jsx(Box, {
 				marginTop: 1,
 				children: /* @__PURE__ */ jsx(Text, {
 					dimColor: true,
-					children: "Esc para pular"
+					children: "↑↓ escolher · Enter confirmar · Esc pular"
 				})
 			})
 		]
@@ -32056,9 +33710,9 @@ function ChoicePrompt({ prompt: prompt$1, pulse, onSubmit, onSkip }) {
 
 //#endregion
 //#region src/wizard/ui/App.tsx
-function App({ store, router, cwd }) {
+function App({ store, router, cwd, onExit: onExit$2 }) {
 	useSyncExternalStore(store.subscribe, store.getSnapshot);
-	const [, rows] = useStdoutDimensions();
+	const [columns, rows] = useStdoutDimensions();
 	const { session } = store;
 	const writePromptResponse = useCallback((value, skipped) => {
 		const responsePath = join(cwd, ".veloz-wizard-response.json");
@@ -32080,14 +33734,7 @@ function App({ store, router, cwd }) {
 	]);
 	const overlay = router.activeOverlay;
 	let baseLayer;
-	if (overlay === Overlay.ConfirmExit) baseLayer = /* @__PURE__ */ jsx(ConfirmExitOverlay, {
-		onConfirm: () => {
-			router.popOverlay();
-			process.exit(130);
-		},
-		onCancel: () => router.popOverlay()
-	});
-	else if (overlay === Overlay.Error) baseLayer = /* @__PURE__ */ jsx(ErrorOverlay, {
+	if (overlay === Overlay.Error) baseLayer = /* @__PURE__ */ jsx(ErrorOverlay, {
 		message: session.agentError ?? "Erro desconhecido",
 		onDismiss: () => router.popOverlay()
 	});
@@ -32104,17 +33751,34 @@ function App({ store, router, cwd }) {
 		case Screen.Run:
 			baseLayer = /* @__PURE__ */ jsx(RunScreen, { store });
 			break;
+		case Screen.GithubSetup:
+			baseLayer = /* @__PURE__ */ jsx(GithubSetupScreen, { store });
+			break;
+		case Screen.AiSetup:
+			baseLayer = /* @__PURE__ */ jsx(AiSetupScreen, { store });
+			break;
 		case Screen.Outro:
 			baseLayer = /* @__PURE__ */ jsx(OutroScreen, { store });
 			break;
 		default: baseLayer = /* @__PURE__ */ jsx(IntroScreen, { store });
 	}
 	const prompt$1 = session.agentPrompt;
+	const floatingOverlay = overlay === Overlay.ConfirmExit ? /* @__PURE__ */ jsx(ConfirmExitOverlay, {
+		onConfirm: () => {
+			onExit$2("user confirmed exit");
+		},
+		onCancel: () => router.popOverlay()
+	}) : prompt$1 ? /* @__PURE__ */ jsx(PromptOverlay, {
+		prompt: prompt$1,
+		onSubmit: (value) => writePromptResponse(value, false),
+		onSkip: () => writePromptResponse("", true)
+	}) : null;
 	return /* @__PURE__ */ jsxs(Box, {
 		flexDirection: "column",
 		height: rows,
+		width: columns,
 		children: [/* @__PURE__ */ jsx(InputFocusProvider, {
-			active: !prompt$1,
+			active: !floatingOverlay,
 			children: /* @__PURE__ */ jsx(Box, {
 				flexDirection: "column",
 				flexGrow: 1,
@@ -32123,15 +33787,13 @@ function App({ store, router, cwd }) {
 				overflow: "hidden",
 				children: baseLayer
 			})
-		}), prompt$1 ? /* @__PURE__ */ jsx(Box, {
-			flexShrink: 0,
-			paddingX: 2,
-			paddingY: 1,
-			children: /* @__PURE__ */ jsx(PromptOverlay, {
-				prompt: prompt$1,
-				onSubmit: (value) => writePromptResponse(value, false),
-				onSkip: () => writePromptResponse("", true)
-			})
+		}), floatingOverlay ? /* @__PURE__ */ jsx(Box, {
+			position: "absolute",
+			width: columns,
+			height: rows,
+			alignItems: "center",
+			justifyContent: "center",
+			children: floatingOverlay
 		}) : null]
 	});
 }
@@ -32239,6 +33901,15 @@ var WizardStore = class {
 		this.$session.setKey("authPhase", "browser");
 		this.emitChange();
 	}
+	/** Show a banner on AuthScreen explaining why we're re-running device auth. */
+	setReauthNotice(message) {
+		this.$session.setKey("reauthNotice", message);
+		this.emitChange();
+	}
+	clearReauthNotice() {
+		this.$session.setKey("reauthNotice", null);
+		this.emitChange();
+	}
 	setAvailableOrgs(orgs) {
 		this.$session.setKey("availableOrgs", orgs);
 		this.$session.setKey("authPhase", "org-select");
@@ -32362,6 +34033,7 @@ var WizardStore = class {
 	/** Set agent helper content (replaces previous content). */
 	setAgentHelper(lines) {
 		this.$session.setKey("agentHelperLines", lines);
+		this.$session.setKey("agentHelperDiagram", null);
 		this.emitChange();
 	}
 	/** Append a line to agent helper content. */
@@ -32370,6 +34042,12 @@ var WizardStore = class {
 		this.$session.setKey("agentHelperLines", lines);
 		this.emitChange();
 	}
+	/** Set structured deploy diagram (replaces previous diagram and lines). */
+	setAgentHelperDiagram(diagram) {
+		this.$session.setKey("agentHelperDiagram", diagram);
+		this.$session.setKey("agentHelperLines", []);
+		this.emitChange();
+	}
 	/** Show a prompt overlay to the user. */
 	setAgentPrompt(prompt$1) {
 		getSessionLogger().logStoreEvent("setAgentPrompt", {
@@ -32412,46 +34090,60 @@ var WizardStore = class {
 		this.$session.setKey("buildDeploymentId", id);
 		this.emitChange();
 	}
+	setGithubSetupPhase(phase) {
+		getSessionLogger().logStoreEvent("githubSetupPhase", {
+			from: this.session.githubSetupPhase,
+			to: phase
+		});
+		this.$session.setKey("githubSetupPhase", phase);
+		this.emitChange();
+	}
+	setGithubRepoInfo(owner, repo) {
+		this.$session.setKey("githubRepoOwner", owner);
+		this.$session.setKey("githubRepoName", repo);
+		this.emitChange();
+	}
+	setGithubInstallUrl(url) {
+		this.$session.setKey("githubInstallUrl", url);
+		this.emitChange();
+	}
+	failGithubSetup(error) {
+		getSessionLogger().logStoreEvent("failGithubSetup", { error });
+		this.$session.setKey("githubSetupError", error);
+		this.$session.setKey("githubSetupPhase", "error");
+		this.emitChange();
+	}
+	setAiSetupNeeds(needs) {
+		this.$session.setKey("aiSetupNeedsMcp", needs.mcp);
+		this.$session.setKey("aiSetupNeedsSkills", needs.skills);
+		this.$session.setKey("aiSetupMcpStatus", needs.mcp ? "pending" : "skipped");
+		this.$session.setKey("aiSetupSkillsStatus", needs.skills ? "pending" : "skipped");
+		this.emitChange();
+	}
+	setAiSetupPhase(phase) {
+		getSessionLogger().logStoreEvent("aiSetupPhase", {
+			from: this.session.aiSetupPhase,
+			to: phase
+		});
+		this.$session.setKey("aiSetupPhase", phase);
+		this.emitChange();
+	}
+	setAiSetupMcpStatus(status) {
+		this.$session.setKey("aiSetupMcpStatus", status);
+		this.emitChange();
+	}
+	setAiSetupSkillsStatus(status) {
+		this.$session.setKey("aiSetupSkillsStatus", status);
+		this.emitChange();
+	}
+	failAiSetup(error) {
+		getSessionLogger().logStoreEvent("failAiSetup", { error });
+		this.$session.setKey("aiSetupError", error);
+		this.$session.setKey("aiSetupPhase", "error");
+		this.emitChange();
+	}
 };
 
-//#endregion
-//#region src/wizard/start-tui.ts
-/**
-* Start the Ink TUI renderer for the wizard.
-* Forces dark background, creates store + router, renders App.
-*/
-function startTUI(cwd) {
-	if (process.stdout.isTTY) process.stdout.write("\x1B[48;2;0;0;0m\x1B[2J\x1B[H");
-	const store = new WizardStore();
-	const router = new WizardRouter();
-	const { unmount } = render(createElement(App, {
-		store,
-		router,
-		cwd: cwd ?? process.cwd()
-	}));
-	const cleanup = () => {
-		if (process.stdout.isTTY) process.stdout.write("\x1B[0m\x1B[2J\x1B[H");
-	};
-	process.on("exit", cleanup);
-	let sigintCount = 0;
-	process.on("SIGINT", () => {
-		sigintCount++;
-		const logger = getSessionLogger();
-		logger.log("signal", "SIGINT received", { count: sigintCount });
-		if (sigintCount >= 2) {
-			logger.finalize("abort", { error: "user double-SIGINT" });
-			process.exit(130);
-		}
-		router.pushOverlay(Overlay.ConfirmExit);
-	});
-	return {
-		store,
-		router,
-		unmount,
-		waitForIntro: () => store.getGate("intro", (s) => s.introConfirmed)
-	};
-}
-
 //#endregion
 //#region src/wizard/upload-telemetry.ts
 /**
@@ -32482,23 +34174,15 @@ function contentTypeFor(filename) {
 	return CONTENT_TYPES[filename] ?? "application/octet-stream";
 }
 async function uploadInitTelemetry(sessionDir) {
-	if (process.env.VELOZ_NO_TELEMETRY === "1") {
-		process.stderr.write("[veloz init] telemetria desativada (VELOZ_NO_TELEMETRY=1)\n");
-		return;
-	}
+	if (process.env.VELOZ_NO_TELEMETRY === "1") return;
 	const metaPath = join(sessionDir, "meta.json");
 	let meta;
 	try {
 		meta = JSON.parse(readFileSync(metaPath, "utf-8"));
-	} catch (err) {
-		process.stderr.write(`[veloz init] falha ao ler meta.json: ${err instanceof Error ? err.message : String(err)}\n`);
+	} catch {
 		return;
 	}
 	const authConfig = loadConfig();
-	if (!authConfig.apiKey) {
-		process.stderr.write("[veloz init] sem apiKey — telemetria não enviada\n");
-		return;
-	}
 	const files = readdirSync(sessionDir).filter((name) => {
 		const full = join(sessionDir, name);
 		try {
@@ -32511,9 +34195,10 @@ async function uploadInitTelemetry(sessionDir) {
 	if (files.length === 0) return;
 	const client = createClient(authConfig.apiUrl, () => {
 		const headers = {
-			Authorization: `Bearer ${authConfig.apiKey}`,
-			"User-Agent": "veloz-cli/telemetry"
+			"User-Agent": "veloz-cli/telemetry",
+			"X-Veloz-Client-Source": "cli-wizard"
 		};
+		if (authConfig.apiKey) headers.Authorization = `Bearer ${authConfig.apiKey}`;
 		if (authConfig.organizationId) headers["X-Organization-Id"] = authConfig.organizationId;
 		return headers;
 	});
@@ -32535,11 +34220,10 @@ async function uploadInitTelemetry(sessionDir) {
 			startedAt: meta.startedAt,
 			files
 		});
-	} catch (err) {
-		process.stderr.write(`[veloz init] telemetria (start) falhou: ${err instanceof Error ? err.message : String(err)}\n`);
+	} catch {
 		return;
 	}
-	const failures = (await Promise.allSettled(files.map(async (filename) => {
+	await Promise.allSettled(files.map(async (filename) => {
 		const url = started.uploads[filename];
 		if (!url) return;
 		const body = readFileSync(join(sessionDir, filename));
@@ -32549,8 +34233,7 @@ async function uploadInitTelemetry(sessionDir) {
 			body
 		});
 		if (!res.ok) throw new Error(`${filename}: HTTP ${res.status}`);
-	}))).filter((r) => r.status === "rejected");
-	if (failures.length > 0) for (const failure of failures) process.stderr.write(`[veloz init] upload de arquivo falhou: ${String(failure.reason?.message ?? failure.reason)}\n`);
+	}));
 	try {
 		await client.initTelemetry.finalize({
 			id: started.id,
@@ -32561,11 +34244,70 @@ async function uploadInitTelemetry(sessionDir) {
 			durationMs: meta.durationMs,
 			endedAt: meta.endedAt
 		});
-	} catch (err) {
-		process.stderr.write(`[veloz init] telemetria (finalize) falhou: ${err instanceof Error ? err.message : String(err)}\n`);
-		return;
-	}
-	process.stderr.write(`[veloz init] telemetria enviada (sessão ${started.id})\n`);
+	} catch {}
+}
+let telemetrySent = false;
+/**
+* Finalize the session logger and upload telemetry exactly once per process.
+*
+* Called on both normal exit and abort paths (double-SIGINT, ConfirmExit, headless
+* SIGINT). Bounded by `timeoutMs` so a hanging upload cannot block process exit.
+*/
+async function finalizeAndUploadOnce(logger, outcome, info$1, timeoutMs = 5e3) {
+	if (telemetrySent) return;
+	telemetrySent = true;
+	logger.finalize(outcome, info$1);
+	await Promise.race([uploadInitTelemetry(logger.dir).catch(() => {}), new Promise((resolve$1) => {
+		setTimeout(resolve$1, timeoutMs);
+	})]);
+}
+
+//#endregion
+//#region src/wizard/start-tui.ts
+/**
+* Start the Ink TUI renderer for the wizard.
+* Forces dark background, creates store + router, renders App.
+*/
+function startTUI(cwd) {
+	if (process.stdout.isTTY) process.stdout.write("\x1B[48;2;0;0;0m\x1B[2J\x1B[H");
+	const store = new WizardStore();
+	const router = new WizardRouter();
+	const workingDir = cwd ?? process.cwd();
+	let teardown = () => {};
+	const exitWithTelemetry = async (reason) => {
+		try {
+			teardown();
+		} catch {}
+		await finalizeAndUploadOnce(getSessionLogger(), "abort", { error: reason });
+		process.exit(130);
+	};
+	const { unmount } = render(createElement(App, {
+		store,
+		router,
+		cwd: workingDir,
+		onExit: exitWithTelemetry
+	}));
+	teardown = unmount;
+	const cleanup = () => {
+		if (process.stdout.isTTY) process.stdout.write("\x1B[0m");
+	};
+	process.on("exit", cleanup);
+	let sigintCount = 0;
+	process.on("SIGINT", () => {
+		sigintCount++;
+		getSessionLogger().log("signal", "SIGINT received", { count: sigintCount });
+		if (sigintCount >= 2) {
+			exitWithTelemetry("user double-SIGINT");
+			return;
+		}
+		router.pushOverlay(Overlay.ConfirmExit);
+	});
+	return {
+		store,
+		router,
+		unmount,
+		waitForIntro: () => store.getGate("intro", (s) => s.introConfirmed)
+	};
 }
 
 //#endregion
@@ -32580,6 +34322,57 @@ async function uploadInitTelemetry(sessionDir) {
 * 5. Spawn Claude Agent → show RunScreen
 * 6. Show OutroScreen with URLs + next steps
 */
+/** Convert an unknown thrown value into a stable string for telemetry. */
+function describeError(err) {
+	if (err instanceof Error) return {
+		message: err.message,
+		stack: err.stack
+	};
+	return { message: typeof err === "string" ? err : JSON.stringify(err) };
+}
+/**
+* Detect an ORPC / HTTP 401 from a thrown value. Covers the three shapes we see
+* in practice: ORPCError instances (`.code === "UNAUTHORIZED"`), ORPC fetch
+* failures that preserve `.status === 401`, and raw Error messages containing
+* "Unauthorized".
+*/
+function isUnauthorizedError(err) {
+	if (!err || typeof err !== "object") return false;
+	const e = err;
+	if (e.code === "UNAUTHORIZED") return true;
+	if (e.status === 401) return true;
+	if (typeof e.message === "string" && /unauthorized/i.test(e.message)) return true;
+	return false;
+}
+/** Compose the error string we persist on `meta.error`. */
+function formatErrorForMeta(prefix, err) {
+	const { message, stack } = describeError(err);
+	return stack ? `${prefix}: ${message}\n${stack}` : `${prefix}: ${message}`;
+}
+/**
+* Install process-level safety nets so a stray throw / rejection still flushes
+* telemetry before the CLI dies. Returns a disposer that removes the handlers
+* (so we don't pollute long-running parent processes in tests).
+*/
+function installCrashHandlers(logger) {
+	const handleCrash = (kind, err) => {
+		const { message, stack } = describeError(err);
+		logger.log("crash", `process ${kind}`, {
+			message,
+			stack
+		});
+		process.stderr.write(`[veloz init] ${kind}: ${message}\n`);
+		finalizeAndUploadOnce(logger, "error", { error: formatErrorForMeta(kind, err) }).catch(() => {}).finally(() => process.exit(1));
+	};
+	const onUncaught = (err) => handleCrash("uncaughtException", err);
+	const onUnhandled = (reason) => handleCrash("unhandledRejection", reason);
+	process.on("uncaughtException", onUncaught);
+	process.on("unhandledRejection", onUnhandled);
+	return () => {
+		process.off("uncaughtException", onUncaught);
+		process.off("unhandledRejection", onUnhandled);
+	};
+}
 /** Detect repo using the lazy local filesystem layer. */
 function detectLocalRepo(cwd) {
 	const layer = makeLocalFs(cwd);
@@ -32616,6 +34409,7 @@ function registerInit(cli$1) {
 		}),
 		outputPolicy: "agent-only",
 		async run(c) {
+			setClientSource("cli-wizard");
 			const cwd = process.cwd();
 			const logger = initSessionLogger({ cwd });
 			logger.log("init", "veloz init invoked", {
@@ -32626,105 +34420,398 @@ function registerInit(cli$1) {
 				argv: process.argv.slice(2)
 			});
 			process.stderr.write(`[veloz init] debug logs: ${logger.dir}\n`);
-			const analysis = detectLocalRepo(cwd);
-			logger.log("detection", "repo analysis complete", {
-				framework: analysis.framework?.name ?? null,
-				frameworkLabel: analysis.framework?.label ?? null,
-				packageManager: analysis.packageManager,
-				isMonorepo: analysis.isMonorepo
-			});
-			const detectedFrameworkId = analysis.framework ? DETECTOR_TO_FRAMEWORK[analysis.framework.name] ?? "nodejs" : null;
-			const detectedLabel = analysis.framework?.label ?? null;
-			const forcedFramework = c.options.framework;
-			if (!process.stdout.isTTY || c.options.ci) {
-				logger.log("mode", "running headless (no TUI)");
-				return await runHeadless({
-					cwd,
-					frameworkId: forcedFramework ?? detectedFrameworkId ?? "nodejs",
-					frameworkLabel: forcedFramework ? FRAMEWORK_LABELS[forcedFramework] ?? forcedFramework : detectedLabel ?? "Node.js",
-					packageManager: analysis.packageManager ?? "npm"
+			const removeCrashHandlers = installCrashHandlers(logger);
+			try {
+				return await runInitFlow(c, logger, cwd);
+			} catch (err) {
+				const { message, stack } = describeError(err);
+				logger.log("error", "init flow failed", {
+					message,
+					stack
 				});
+				await finalizeAndUploadOnce(logger, "error", { error: formatErrorForMeta("init", err) });
+				throw err;
+			} finally {
+				removeCrashHandlers();
 			}
-			const tui = startTUI();
-			const { store } = tui;
-			logger.log("tui", "TUI started");
-			store.setDetection({
-				framework: detectedFrameworkId,
-				frameworkLabel: detectedLabel,
-				packageManager: analysis.packageManager,
-				gitRemote: detectGitRemote(cwd),
-				isMonorepo: analysis.isMonorepo
-			});
-			if (forcedFramework) {
-				store.selectFramework(forcedFramework, FRAMEWORK_LABELS[forcedFramework] ?? forcedFramework);
-				store.confirmIntro();
-			}
-			logger.log("flow", "awaiting intro confirmation");
-			await tui.waitForIntro();
-			logger.log("flow", "intro confirmed");
-			const selectedFramework = store.session.selectedFramework ?? detectedFrameworkId ?? "nodejs";
-			const selectedLabel = store.session.selectedFrameworkLabel ?? detectedLabel ?? "Node.js";
-			logger.updateMeta({
-				framework: selectedFramework,
-				frameworkLabel: selectedLabel,
-				packageManager: store.session.packageManager ?? "npm",
-				isMonorepo: store.session.isMonorepo,
-				gitRemote: store.session.gitRemote
-			});
-			logger.log("flow", "resolving auth + org");
-			await resolveAuthAndOrg(store);
-			logger.log("auth", "auth + org resolved", {
-				userName: store.session.userName,
-				orgId: store.session.orgId,
-				orgName: store.session.orgName
-			});
-			logger.updateMeta({
-				userName: store.session.userName,
-				orgName: store.session.orgName,
-				orgId: store.session.orgId
+		}
+	});
+}
+async function runInitFlow(c, logger, cwd) {
+	const forcedFramework = c.options.framework;
+	const analysis = detectLocalRepo(cwd);
+	logger.log("detection", "repo analysis complete", {
+		framework: analysis.framework?.name ?? null,
+		frameworkLabel: analysis.framework?.label ?? null,
+		packageManager: analysis.packageManager,
+		isMonorepo: analysis.isMonorepo
+	});
+	logger.updateMeta({ analysis });
+	const detectedFrameworkId = analysis.framework ? DETECTOR_TO_FRAMEWORK[analysis.framework.name] ?? "nodejs" : null;
+	const detectedLabel = analysis.framework?.label ?? null;
+	if (!process.stdout.isTTY || c.options.ci) {
+		logger.log("mode", "running headless (no TUI)");
+		return await runHeadless({
+			cwd,
+			frameworkId: forcedFramework ?? detectedFrameworkId ?? "nodejs",
+			frameworkLabel: forcedFramework ? FRAMEWORK_LABELS[forcedFramework] ?? forcedFramework : detectedLabel ?? "Node.js",
+			packageManager: analysis.packageManager ?? "npm"
+		});
+	}
+	const tui = startTUI();
+	const { store } = tui;
+	logger.log("tui", "TUI started");
+	try {
+		return await runInteractiveFlow({
+			tui,
+			store,
+			logger,
+			cwd,
+			analysis,
+			detectedFrameworkId,
+			detectedLabel,
+			forcedFramework
+		});
+	} catch (err) {
+		try {
+			tui.unmount();
+		} catch {}
+		const { message } = describeError(err);
+		process.stderr.write(`\n✗ Erro: ${message}\n`);
+		process.stderr.write(`  Logs de depuração: ${logger.dir}\n\n`);
+		throw err;
+	}
+}
+async function runInteractiveFlow(opts) {
+	const { tui, store, logger, cwd, analysis, detectedFrameworkId, detectedLabel, forcedFramework } = opts;
+	store.setDetection({
+		framework: detectedFrameworkId,
+		frameworkLabel: detectedLabel,
+		packageManager: analysis.packageManager,
+		gitRemote: detectGitRemote(cwd),
+		isMonorepo: analysis.isMonorepo
+	});
+	if (forcedFramework) {
+		store.selectFramework(forcedFramework, FRAMEWORK_LABELS[forcedFramework] ?? forcedFramework);
+		store.confirmIntro();
+	}
+	logger.log("flow", "awaiting intro confirmation");
+	await tui.waitForIntro();
+	logger.log("flow", "intro confirmed");
+	const selectedFramework = store.session.selectedFramework ?? detectedFrameworkId ?? "nodejs";
+	const selectedLabel = store.session.selectedFrameworkLabel ?? detectedLabel ?? "Node.js";
+	logger.updateMeta({
+		framework: selectedFramework,
+		frameworkLabel: selectedLabel,
+		packageManager: store.session.packageManager ?? "npm",
+		isMonorepo: store.session.isMonorepo,
+		gitRemote: store.session.gitRemote
+	});
+	logger.log("flow", "resolving auth + org");
+	await resolveAuthAndOrg(store);
+	logger.log("auth", "auth + org resolved", {
+		userName: store.session.userName,
+		orgId: store.session.orgId,
+		orgName: store.session.orgName
+	});
+	logger.updateMeta({
+		userName: store.session.userName,
+		orgName: store.session.orgName,
+		orgId: store.session.orgId
+	});
+	logger.log("flow", "awaiting user notes");
+	await store.getGate("notes", (s) => s.notesConfirmed);
+	logger.log("flow", "notes confirmed", {
+		hasNotes: Boolean(store.session.userNotes),
+		bytes: store.session.userNotes?.length ?? 0
+	});
+	logger.log("agent", "invoking runAgent");
+	await runAgent({
+		store,
+		cwd,
+		framework: selectedFramework,
+		frameworkLabel: selectedLabel,
+		userName: store.session.userName,
+		orgName: store.session.orgName,
+		packageManager: store.session.packageManager ?? "npm",
+		userNotes: store.session.userNotes
+	});
+	logger.log("agent", "runAgent returned", {
+		phase: store.session.agentPhase,
+		error: store.session.agentError,
+		deployUrl: store.session.deployUrl,
+		retryCount: store.session.retryCount
+	});
+	if (!store.session.agentError) {
+		logger.log("flow", "running github auto-deploy prompt flow");
+		await runGithubSetupFlow(store, cwd);
+		logger.log("flow", "github auto-deploy flow done", {
+			phase: store.session.githubSetupPhase,
+			error: store.session.githubSetupError
+		});
+	}
+	if (!store.session.agentError) {
+		logger.log("flow", "running ai tooling prompt flow");
+		await runAiSetupFlow(store);
+		logger.log("flow", "ai tooling flow done", {
+			phase: store.session.aiSetupPhase,
+			error: store.session.aiSetupError
+		});
+	}
+	logger.log("flow", "awaiting outro dismissal");
+	await store.getGate("outro", (s) => s.outroDismissed);
+	logger.log("flow", "outro dismissed");
+	tui.unmount();
+	logger.log("tui", "TUI unmounted");
+	const success$1 = !store.session.agentError;
+	await finalizeAndUploadOnce(logger, success$1 ? "success" : "error", {
+		error: store.session.agentError ?? void 0,
+		deployUrl: store.session.deployUrl ?? void 0,
+		retries: store.session.retryCount
+	});
+	return {
+		success: success$1,
+		url: store.session.deployUrl ?? void 0
+	};
+}
+/**
+* Parse the first URL in `.git/config` into an owner/repo pair.
+* We read the file directly (instead of shelling out) so the flow works
+* regardless of cwd and without depending on `git` being on PATH.
+*/
+function detectGithubRepo(cwd) {
+	try {
+		const gitConfigPath = join(cwd, ".git", "config");
+		if (!existsSync(gitConfigPath)) return null;
+		const match$3 = readFileSync(gitConfigPath, "utf-8").match(/url\s*=\s*(.+)/);
+		if (!match$3?.[1]) return null;
+		const url = match$3[1].trim();
+		const httpsMatch = url.match(/github\.com\/([^/]+)\/([^/.]+?)(?:\.git)?$/);
+		if (httpsMatch?.[1] && httpsMatch[2]) return {
+			owner: httpsMatch[1],
+			repo: httpsMatch[2]
+		};
+		const sshMatch = url.match(/github\.com:([^/]+)\/([^/.]+?)(?:\.git)?$/);
+		if (sshMatch?.[1] && sshMatch[2]) return {
+			owner: sshMatch[1],
+			repo: sshMatch[2]
+		};
+		return null;
+	} catch {
+		return null;
+	}
+}
+/**
+* Drive the post-deploy GitHub auto-deploy setup.
+*
+* 1. If there is no GitHub remote or no veloz.json project id, stay idle.
+* 2. Show the prompt screen (Yes/No). If the user declines → phase=skipped.
+* 3. On "yes", check if the project is already connected on the server — if so,
+*    short-circuit to `done` without hitting the GitHub App APIs.
+* 4. Otherwise check the GitHub App installation status. If installed → connect
+*    the repo and finish. If not → open the install URL, poll for install, then
+*    connect the repo.
+*/
+async function runGithubSetupFlow(store, cwd) {
+	const logger = getSessionLogger();
+	const remote = detectGithubRepo(cwd);
+	if (!remote) {
+		logger.log("github-setup", "no GitHub remote detected — skipping");
+		return;
+	}
+	const projectId = loadConfig$1()?.project?.id;
+	if (!projectId) {
+		logger.log("github-setup", "no project id in veloz.json — skipping");
+		return;
+	}
+	store.setGithubRepoInfo(remote.owner, remote.repo);
+	store.setGithubSetupPhase("prompt");
+	await store.getGate("github-setup-prompt", (s) => s.githubSetupPhase !== "prompt");
+	if (store.session.githubSetupPhase === "skipped") {
+		logger.log("github-setup", "user declined auto-deploy setup");
+		return;
+	}
+	try {
+		const client = await getClient();
+		const existing = (await client.projects.list()).find((p) => p.id === projectId);
+		if (existing?.githubRepoOwner === remote.owner && existing.githubRepoName === remote.repo && existing.githubInstallationId) {
+			logger.log("github-setup", "project already connected — short-circuit");
+			store.setGithubSetupPhase("done");
+			return;
+		}
+		const installation = await client.github.getInstallation({ owner: remote.owner });
+		if (installation.error === "TOKEN_EXPIRED") {
+			store.failGithubSetup("Token do GitHub expirado. Reconecte sua conta no dashboard e tente novamente.");
+			return;
+		}
+		if (installation.error === "RATE_LIMITED") {
+			store.failGithubSetup("Limite de requisições do GitHub atingido. Tente de novo em alguns minutos.");
+			return;
+		}
+		if (installation.installed && installation.installationId) {
+			store.setGithubSetupPhase("connecting");
+			await client.projects.connectRepo({
+				projectId,
+				githubRepoOwner: remote.owner,
+				githubRepoName: remote.repo,
+				githubInstallationId: installation.installationId
 			});
-			logger.log("flow", "awaiting user notes");
-			await store.getGate("notes", (s) => s.notesConfirmed);
-			logger.log("flow", "notes confirmed", {
-				hasNotes: Boolean(store.session.userNotes),
-				bytes: store.session.userNotes?.length ?? 0
+			store.setGithubSetupPhase("done");
+			return;
+		}
+		if (!installation.installUrl) {
+			store.failGithubSetup("GitHub App não está configurado no servidor. Contate o administrador da plataforma.");
+			return;
+		}
+		store.setGithubInstallUrl(installation.installUrl);
+		store.setGithubSetupPhase("installing");
+		await openBrowser(installation.installUrl);
+		const installationId = await pollGithubInstallation(store, remote.owner);
+		if (!installationId) {
+			store.failGithubSetup("Tempo esgotado aguardando a instalação do GitHub App.");
+			return;
+		}
+		store.setGithubSetupPhase("connecting");
+		await client.projects.connectRepo({
+			projectId,
+			githubRepoOwner: remote.owner,
+			githubRepoName: remote.repo,
+			githubInstallationId: installationId
+		});
+		store.setGithubSetupPhase("done");
+	} catch (error) {
+		const message = error instanceof Error ? error.message : String(error);
+		logger.log("github-setup", "unexpected error", { message });
+		store.failGithubSetup(message);
+	}
+}
+/**
+* Offer to install the Veloz MCP server and/or the agent skills when missing.
+* When the user agrees, we re-invoke the current CLI binary (`process.execPath
+* <argv[1]>`) for each command so we work regardless of install location, and
+* capture stdio so the child's output doesn't corrupt the Ink frame.
+*/
+async function runAiSetupFlow(store) {
+	const logger = getSessionLogger();
+	const status = checkAiSetup();
+	const needsMcp = !status.mcpInstalled;
+	const needsSkills = !status.skillsInstalled;
+	if (!needsMcp && !needsSkills) {
+		logger.log("ai-setup", "both MCP and skills already installed — skipping");
+		return;
+	}
+	store.setAiSetupNeeds({
+		mcp: needsMcp,
+		skills: needsSkills
+	});
+	store.setAiSetupPhase("prompt");
+	await store.getGate("ai-setup-prompt", (s) => s.aiSetupPhase !== "prompt");
+	if (store.session.aiSetupPhase === "skipped") {
+		logger.log("ai-setup", "user declined ai tooling setup");
+		return;
+	}
+	let anyError = false;
+	if (needsMcp) {
+		store.setAiSetupMcpStatus("installing");
+		const mcpResult = await runVelozSubcommand(["mcp", "add"]);
+		if (mcpResult.ok) store.setAiSetupMcpStatus("done");
+		else {
+			store.setAiSetupMcpStatus("error");
+			anyError = true;
+			logger.log("ai-setup", "mcp add failed", { stderr: mcpResult.stderr });
+		}
+	}
+	if (needsSkills) {
+		store.setAiSetupSkillsStatus("installing");
+		const skillsResult = await runVelozSubcommand(["skills", "add"]);
+		if (skillsResult.ok) store.setAiSetupSkillsStatus("done");
+		else {
+			store.setAiSetupSkillsStatus("error");
+			anyError = true;
+			logger.log("ai-setup", "skills add failed", { stderr: skillsResult.stderr });
+		}
+	}
+	if (anyError) store.failAiSetup("Alguma etapa da integração falhou. Veja os logs de debug para detalhes.");
+	else store.setAiSetupPhase("done");
+}
+/**
+* Re-invoke the current CLI (`process.execPath <argv[1]>`) with the given args
+* while the TUI is running. Silences child stdout/stderr (captured and returned
+* on failure) so the child doesn't paint over the Ink frame. Times out after
+* two minutes to prevent a stuck interactive child from hanging the wizard.
+*/
+function runVelozSubcommand(args$1) {
+	return new Promise((resolve$1) => {
+		const entry = process.argv[1];
+		if (!entry) {
+			resolve$1({
+				ok: false,
+				stderr: "Could not resolve CLI entry path."
 			});
-			logger.log("agent", "invoking runAgent");
-			await runAgent({
-				store,
-				cwd,
-				framework: selectedFramework,
-				frameworkLabel: selectedLabel,
-				userName: store.session.userName,
-				orgName: store.session.orgName,
-				packageManager: store.session.packageManager ?? "npm",
-				userNotes: store.session.userNotes
+			return;
+		}
+		const child = spawn(process.execPath, [entry, ...args$1], {
+			stdio: [
+				"ignore",
+				"pipe",
+				"pipe"
+			],
+			env: process.env
+		});
+		let stderr = "";
+		let settled = false;
+		const settle = (result$2) => {
+			if (settled) return;
+			settled = true;
+			clearTimeout(timeoutHandle);
+			resolve$1(result$2);
+		};
+		const timeoutHandle = setTimeout(() => {
+			child.kill("SIGTERM");
+			settle({
+				ok: false,
+				stderr: "Tempo esgotado na instalação."
 			});
-			logger.log("agent", "runAgent returned", {
-				phase: store.session.agentPhase,
-				error: store.session.agentError,
-				deployUrl: store.session.deployUrl,
-				retryCount: store.session.retryCount
+		}, 12e4);
+		child.stdout?.on("data", () => {});
+		child.stderr?.on("data", (chunk) => {
+			stderr += chunk.toString();
+		});
+		child.on("error", (err) => {
+			settle({
+				ok: false,
+				stderr: err.message
 			});
-			logger.log("flow", "awaiting outro dismissal");
-			await store.getGate("outro", (s) => s.outroDismissed);
-			logger.log("flow", "outro dismissed");
-			tui.unmount();
-			logger.log("tui", "TUI unmounted");
-			const success$1 = !store.session.agentError;
-			logger.finalize(success$1 ? "success" : "error", {
-				error: store.session.agentError ?? void 0,
-				deployUrl: store.session.deployUrl ?? void 0,
-				retries: store.session.retryCount
+		});
+		child.on("close", (code) => {
+			settle({
+				ok: code === 0,
+				stderr
 			});
-			await uploadInitTelemetry(logger.dir);
-			return {
-				success: success$1,
-				url: store.session.deployUrl ?? void 0
-			};
-		}
+		});
 	});
 }
+/**
+* Poll the server for a completed GitHub App installation on `owner`.
+* Returns the installation id when detected, or null on timeout / auth loss.
+*/
+async function pollGithubInstallation(store, owner) {
+	const client = await getClient();
+	const maxAttempts = 60;
+	const pollInterval = 5e3;
+	for (let attempt = 0; attempt < maxAttempts; attempt++) {
+		await new Promise((resolve$1) => {
+			setTimeout(resolve$1, pollInterval);
+		});
+		const check = await client.github.getInstallation({ owner });
+		if (check.installed && check.installationId) return check.installationId;
+		if (check.error === "TOKEN_EXPIRED") {
+			store.failGithubSetup("Token do GitHub expirou durante a espera.");
+			return null;
+		}
+	}
+	return null;
+}
 async function runHeadless(opts) {
 	const { WizardStore: WizardStore$1 } = await import("./store-CFF2J0lW.mjs");
 	const { runAgent: run } = await import("./agent-interface-DL5S8SEn.mjs");
@@ -32750,27 +34837,50 @@ async function runHeadless(opts) {
 		userName: "CI",
 		orgId: config.organizationId ?? ""
 	});
-	logger.log("headless", "invoking runAgent");
-	await run({
-		store,
-		cwd: opts.cwd,
-		framework: opts.frameworkId,
-		frameworkLabel: opts.frameworkLabel,
-		userName: "CI",
-		orgName: "",
-		packageManager: opts.packageManager
-	});
-	const success$1 = !store.session.agentError;
-	logger.finalize(success$1 ? "success" : "error", {
-		error: store.session.agentError ?? void 0,
-		deployUrl: store.session.deployUrl ?? void 0,
-		retries: store.session.retryCount
-	});
-	await uploadInitTelemetry(logger.dir);
-	return {
-		success: success$1,
-		url: store.session.deployUrl ?? void 0
+	const onSigint = () => {
+		logger.log("signal", "SIGINT received (headless)");
+		(async () => {
+			await finalizeAndUploadOnce(logger, "abort", { error: "user SIGINT" });
+			process.exit(130);
+		})();
 	};
+	process.on("SIGINT", onSigint);
+	try {
+		logger.log("headless", "invoking runAgent");
+		await run({
+			store,
+			cwd: opts.cwd,
+			framework: opts.frameworkId,
+			frameworkLabel: opts.frameworkLabel,
+			userName: "CI",
+			orgName: "",
+			packageManager: opts.packageManager
+		});
+		const success$1 = !store.session.agentError;
+		await finalizeAndUploadOnce(logger, success$1 ? "success" : "error", {
+			error: store.session.agentError ?? void 0,
+			deployUrl: store.session.deployUrl ?? void 0,
+			retries: store.session.retryCount
+		});
+		return {
+			success: success$1,
+			url: store.session.deployUrl ?? void 0
+		};
+	} catch (err) {
+		const { message, stack } = describeError(err);
+		logger.log("headless", "runAgent threw", {
+			message,
+			stack
+		});
+		await finalizeAndUploadOnce(logger, "error", {
+			error: formatErrorForMeta("headless", err),
+			deployUrl: store.session.deployUrl ?? void 0,
+			retries: store.session.retryCount
+		});
+		throw err;
+	} finally {
+		process.off("SIGINT", onSigint);
+	}
 }
 /**
 * Perform device auth with TUI feedback — reuses shared helpers from login.ts.
@@ -32786,33 +34896,53 @@ async function performDeviceAuth(store, apiUrl) {
 	store.setAuthPhase("polling");
 	return pollForToken(authClient, data.device_code, data.interval || 5);
 }
-/** Fetch the list of orgs the user belongs to via Better Auth. */
-async function listOrganizations(apiUrl, apiKey) {
-	const res = await fetch(`${apiUrl}/api/auth/organization/list`, { headers: {
-		Authorization: `Bearer ${apiKey}`,
-		"User-Agent": "veloz-cli"
-	} });
-	if (!res.ok) throw new Error(`Falha ao listar workspaces (${res.status}).`);
-	return (await res.json()).map((o) => ({
+/** Fetch the list of orgs the user belongs to via ORPC. */
+async function listOrganizations() {
+	return (await (await getClient()).organizations.list()).map((o) => ({
 		id: o.id,
 		name: o.name,
 		slug: o.slug
 	}));
 }
 /**
+* Fetch orgs, handling an expired local API key by transparently re-running
+* the device auth flow inside the TUI. The user sees: "Verificando autenticação…"
+* → "Sessão expirou, autenticando novamente…" → device-code screen →
+* org picker, without ever bailing back to the shell.
+*/
+async function listOrgsOrReauth(store) {
+	const logger = getSessionLogger();
+	try {
+		return await listOrganizations();
+	} catch (err) {
+		if (!isUnauthorizedError(err)) throw err;
+		logger.log("auth", "stale api key detected (401) — forcing re-login", { message: describeError(err).message });
+		store.setReauthNotice("Sua sessão expirou. Vamos autenticar novamente para continuar.");
+		saveConfig({ apiKey: "" });
+		const config = loadConfig();
+		store.setAuthPhase("browser");
+		const token = await performDeviceAuth(store, config.apiUrl);
+		if (!token) throw new Error("Autenticação cancelada ou expirada.");
+		logger.log("auth", "re-login succeeded — retrying org fetch");
+		saveConfig({ apiKey: token });
+		store.clearReauthNotice();
+		return await listOrganizations();
+	}
+}
+/**
 * Create a new organization via Better Auth. The slug is derived from the name
 * and suffixed with a random token when a collision occurs.
 */
-async function createOrganization(apiUrl, apiKey, name) {
+async function createOrganization(apiUrl, name) {
 	const baseSlug = name.toLowerCase().normalize("NFD").replace(/[\u0300-\u036f]/g, "").replace(/[^a-z0-9-]+/g, "-").replace(/^-+|-+$/g, "").slice(0, 40) || "workspace";
+	const headers = await getAuthHeaders();
 	let slug = baseSlug;
 	for (let attempt = 0; attempt < 3; attempt++) {
 		const res = await fetch(`${apiUrl}/api/auth/organization/create`, {
 			method: "POST",
 			headers: {
-				Authorization: `Bearer ${apiKey}`,
-				"Content-Type": "application/json",
-				"User-Agent": "veloz-cli"
+				...headers,
+				"Content-Type": "application/json"
 			},
 			body: JSON.stringify({
 				name,
@@ -32868,16 +34998,17 @@ async function resolveAuthAndOrg(store) {
 		}
 	} else logger.log("auth", "already authenticated from config");
 	logger.log("auth", "fetching organizations");
-	const orgs = await listOrganizations(config.apiUrl, config.apiKey);
+	const orgs = await listOrgsOrReauth(store);
 	logger.log("auth", "organizations loaded", { count: orgs.length });
+	config = loadConfig();
 	let chosen;
 	if (orgs.length === 0) {
 		store.setAuthPhase("org-create");
-		chosen = await runOrgCreationFlow(store, config.apiUrl, config.apiKey);
+		chosen = await runOrgCreationFlow(store, config.apiUrl);
 	} else {
 		store.setAvailableOrgs(orgs);
 		await store.getGate("org-select", (s) => s.selectedOrgId !== null || s.authPhase === "org-create");
-		if (store.session.authPhase === "org-create") chosen = await runOrgCreationFlow(store, config.apiUrl, config.apiKey);
+		if (store.session.authPhase === "org-create") chosen = await runOrgCreationFlow(store, config.apiUrl);
 		else {
 			const selectedOrgId = store.session.selectedOrgId;
 			const match$3 = orgs.find((o) => o.id === selectedOrgId);
@@ -32898,7 +35029,7 @@ async function resolveAuthAndOrg(store) {
 * Drive the org-create screen: wait for the user to submit a name, try to
 * create it, and retry on failure without leaving the wizard.
 */
-async function runOrgCreationFlow(store, apiUrl, apiKey) {
+async function runOrgCreationFlow(store, apiUrl) {
 	store.requestOrgCreation();
 	for (;;) {
 		await store.getGate(`org-create-${Date.now()}-${Math.random()}`, (s) => s.newOrgName !== null && s.authPhase === "org-creating");
@@ -32908,7 +35039,7 @@ async function runOrgCreationFlow(store, apiUrl, apiKey) {
 			continue;
 		}
 		try {
-			return await createOrganization(apiUrl, apiKey, name);
+			return await createOrganization(apiUrl, name);
 		} catch (error) {
 			const message = error instanceof Error ? error.message : String(error);
 			store.failOrgCreation(message);
@@ -32920,7 +35051,7 @@ async function runOrgCreationFlow(store, apiUrl, apiKey) {
 //#region src/index.ts
 if (process.argv.includes("--mcp")) process.env.VELOZ_MCP = "true";
 const cli = Cli.create("veloz", {
-	version: "0.0.0-beta.31",
+	version: "0.0.0-beta.33",
 	description: "CLI da plataforma Veloz — deploy rápido para o Brasil",
 	env: z.object({ VELOZ_ENV: z.string().optional().describe("Ambiente alvo (ex: preview, staging)") }),
 	mcp: { command: "npx -y onveloz --mcp" }
@@ -32937,6 +35068,26 @@ cli.use(async (c, next) => {
 		if (error instanceof Error) {
 			const orpcError = error;
 			const orpcData = orpcError.data;
+			if (orpcData?.code === "MULTIPLE_ORGS") {
+				const msg = "Você pertence a múltiplos workspaces. Selecione um para continuar.";
+				if (process.env.GITHUB_ACTIONS === "true") process.stdout.write(`::error::${msg}\n`);
+				else if (process.stdout.isTTY) {
+					console.error(`\n✗ ${msg}`);
+					console.error("  Execute `veloz orgs list` para ver e `veloz orgs use <slug>` para escolher.");
+				}
+				return c.error({
+					code: "MULTIPLE_ORGS",
+					message: msg,
+					exitCode: 1,
+					cta: { commands: [{
+						command: "orgs list",
+						description: "Listar workspaces disponíveis"
+					}, {
+						command: "orgs use",
+						description: "Selecionar workspace padrão"
+					}] }
+				});
+			}
 			if (orpcData?.code === "NO_ORGANIZATION" || orpcData?.code === "ACCESS_NOT_APPROVED") {
 				const msg = "Você precisa criar um workspace antes de continuar.";
 				const hint = "Acesse app.onveloz.com/onboarding para criar seu workspace.";
@@ -32997,6 +35148,7 @@ cli.use(async (c, next) => {
 	}
 });
 cli.command(projectsGroup);
+cli.command(orgsGroup);
 cli.command(envGroup);
 cli.command(domainsGroup);
 cli.command(volumesGroup);