wendkeep 0.58.3 → 0.59.0

package/docs/en/commands/operating-profiles.md

@@ -0,0 +1,173 @@
+# Operating profiles and FLOW
+
+**English** · [Português](../../pt-BR/commands/operating-profiles.md)
+
+## Purpose
+
+Choose how much Wend Runtime governance an execution needs without disabling **Keep Core**.
+Keep Core is always active: the Vault, session, identity, CORE/SHARED, lessons, costs, and
+persistence integrations continue working under every profile.
+
+## When to use
+
+Use `profile` to inspect or explicitly select an Operating Profile. Use `FLOW` for local,
+reversible `spec_impact:none` maintenance that fits an Execute → Validate microcontract without a
+change.
+
+## When not to use
+
+Do not select `OFF` to bypass policy: it hands execution to the LLM's native harness and can only
+be selected explicitly. Do not finish public-contract, security/auth, migration/schema,
+dependency, CI/release, spec, or WendKeep gate/policy changes in FLOW; promote the work to a
+change.
+
+## Prerequisites
+
+- An initialized project whose `.wendkeep.json` is bound to the correct Vault.
+- For a session override, one unambiguous session in `SESSION_REGISTRY.json`.
+- For FLOW, a Git repository, a path allowlist, a reason, and at least one existing sensor in
+  `wendkeep.sensors.json`.
+
+## Syntax
+
+```bash
+npx wendkeep profile status [--project <path>] [--vault <path>] [--session <id>] [--json]
+npx wendkeep profile use <profile> [--project <path>] [--vault <path>] [--session <id>] [--json]
+npx wendkeep flow start <slug> --allow <path> [--allow <path>...] --sensor <id> [--sensor <id>...] --reason <text> [--session <id>]
+npx wendkeep flow status [<id>]
+npx wendkeep flow show <id> [--session <id>]
+npx wendkeep flow finish <id> [--session <id>]
+npx wendkeep flow promote <id> [--change-slug <slug>] [--session <id>]
+```
+
+Every FLOW subcommand also accepts `--project <path>`, `--vault <path>`, and `--json`. When
+provided, `--session` scopes ID-based reads and mutations to the session that owns the FLOW; an
+ID from another session fails without mutation.
+
+## Options and exit codes
+
+| Profile | Route | Contract |
+|---|---|---|
+| `OFF` | LLM-native harness | Wend Runtime off; Keep Core intact. |
+| `FLOW` | E → V | Microcontract with Git baseline, allowlist, sensors, and receipt, without a change. |
+| `GUIDE` | P → E → V | Compact change; policy recognized for compatible evolution. |
+| `GOVERN` | P → R → E → V | Current a2 loop and conservative fallback. |
+| `ASSURE` | P → R → E → V → C | Governance plus confirmation and handoff. |
+
+- Resolution is explicit session override → project `harness.profile` → `GOVERN`. Heuristics,
+  diff size, prompt text, environment variables, or read failures never select `OFF`.
+- `profile status` prints the effective profile and source; `--json` emits structured output. When
+  an explicit Vault preserves the selection despite a corrupt binding, output includes
+  `binding_error` and the diagnostic is also written to stderr.
+- `profile use` validates names and flags strictly; a duplicate/incomplete singleton option or a
+  value beginning with `--` fails before I/O. Without `--session`, it atomically changes the
+  project binding; with `--session`, it records override, source, and timestamp without changing
+  session identity.
+- `.wendkeep.json` stays on `schemaVersion: 1`; the additive field is, for example,
+  `"harness": { "profile": "GOVERN" }`. A legacy binding without it also resolves to `GOVERN`.
+- A corrupt binding never means `OFF`. When the payload or legacy integration identifies one
+  unambiguous Vault, Keep Core remains active under `GOVERN` and the hook exposes a diagnostic;
+  mutation guards fail closed until the binding is repaired. Invalid local configuration, a
+  missing marker, or a mismatched identity never silently inherits a parent/global Vault.
+- `harness.flow.protectedRoots` accepts an array of project-relative roots, without globs or `..`
+  escapes. Each root extends FLOW's protected surfaces; any change below it requires
+  `flow promote`.
+
+```json
+{
+  "harness": {
+    "profile": "FLOW",
+    "flow": {
+      "protectedRoots": ["src/internal-api", "infra/releases"]
+    }
+  }
+}
+```
+
+- `flow start` captures HEAD, pre-existing Git state, allowlist, sensors, reason, and session under
+  `.brain/runtime/flows/`; it creates no `08-Mudanças`, ADR, verdict, spec, or
+  `CURRENT_CHANGE.md`.
+- `flow finish` compares the real diff with the Git baseline and allowlist, including submodule
+  changes, Git metadata/config/hidden flags, and ignored protected surfaces. The projectRoot is
+  frozen and sensors run in that cwd. A bounded, no-follow physical discovery keeps empty or
+  ignored protected aliases visible without entering `.git`, the effective Vault, or local caches;
+  ambiguity or a limit breach blocks. It rejects symlink/junction/reparse/hardlink paths in both
+  the worktree and Vault destinations, revalidates before/after sensors, and recaptures the snapshot
+  immediately before the receipt, blocking any sensor that mutates the repository. A terminal
+  receipt and idempotent
+  session iteration count as success only together; a temporarily
+  busy projection exits `1` and can be retried safely.
+- `flow promote` creates a normal change while preserving session, reason, paths, sensors, and
+  evidence. A cross-process owner+lease slug lock, reservation, and durable `promoting` state elect
+  one owner; contract, reservation, attempts, receipt, and origin remain semantically bound. The
+  loser remains active and can retry with `--change-slug`. Retries idempotently resume the same
+  promotion instead of creating another change.
+  No FLOW command accepts `--force`.
+- Exit `0` means a successful query or transition; exit `1` means a policy/red-sensor block; exit
+  `2` means invalid profile, session, flow, or arguments, with no partial mutation.
+
+## Examples
+
+Inspect the effective default and apply an override only to the current session:
+
+```bash
+npx wendkeep profile status
+npx wendkeep profile use OFF --session 019abc-session-id --json
+```
+
+Run FLOW maintenance while capturing the `flow_id` returned by `start`:
+
+```powershell
+$flow = npx wendkeep flow start fix-copy --allow README.md --sensor docs-bilingual --reason "Fix copy without changing the contract" --json | ConvertFrom-Json
+$flowId = $flow.contract.flow_id
+npx wendkeep flow status $flowId
+```
+
+If the work remains local and inside the microcontract, finish it with the returned ID:
+
+```powershell
+npx wendkeep flow finish $flowId
+```
+
+If the scope grows before `finish`, promote instead of finishing:
+
+```powershell
+npx wendkeep flow promote $flowId
+```
+
+If another session already claimed the original slug, the FLOW stays active and can be promoted
+again with an explicit destination:
+
+```powershell
+npx wendkeep flow promote $flowId --change-slug another-slug
+```
+
+## Expected result
+
+Changing profile neither creates a new session nor interrupts the Vault. In `OFF`, memory and
+lessons are still injected and Stop still persists the session/memory lifecycle, while the
+router, skill gate, change context/warn/nag/guard, and plan capture are inactive. A completed FLOW
+leaves a durable, inspectable receipt; a promoted FLOW enters the normal change lifecycle.
+
+## Common errors and diagnosis
+
+- Unknown profile: use exactly `OFF`, `FLOW`, `GUIDE`, `GOVERN`, or `ASSURE`.
+- `OFF` appeared without explicit selection: treat it as an error; missing/invalid reads must fall
+  back to `GOVERN`.
+- Missing or ambiguous session: inspect `session list` and pass `--session <id>` without retrying
+  against a different target.
+- FLOW without allowlist, reason, or sensor: complete the microcontract before editing.
+- Out-of-scope path, protected surface, or red sensor: fix/abandon the FLOW or use
+  `flow promote`; there is no bypass.
+- A sensor changed the repository, the allowlist crosses a symlink/junction, or a sensitive
+  ignored surface changed: restore the state and promote when the change is not strictly local.
+  FLOW sensors must be read-only.
+- Session projection is `missing`, `invalid-frontmatter`, or `busy`: restore/unlock the note and
+  retry `flow finish` or `flow promote`; the idempotent marker prevents duplication.
+- Pre-existing dirt appeared in the diff: it must match the initial fingerprint and must never be
+  silently attributed to the FLOW.
+
+## Next steps
+
+Read [changes and verification](changes-and-verification.md), the deep
+[verify guide](verify.md), and [sessions and import](sessions-and-import.md).

package/docs/en/commands/sessions-and-import.md

@@ -5,7 +5,8 @@
 ## Purpose
 
 Understand how hooks capture live sessions, how activation/turn state preserves causality in the
-registry, and when to use retroactive import.
+registry, and when to use retroactive import. Under `OFF`, the Vault remains active: session,
+identity, memory, cost, and persistence hooks belong to Keep Core, not Wend Runtime.
 
 ## When to use
 
@@ -45,6 +46,8 @@ npx wendkeep import [options]
 - `Stop` accepts only a transcript-proven turn from the compatible active activation. Duplicates
   are no-ops; stale/superseded Stops neither publish memory nor overwrite a newer epoch's
   checkpoint.
+- When compacting conversations into `## Iterações`, the hook escapes code delimiters cut by the
+  size limit; inline backticks and fences never remain open and consume the following line.
 - `session list` reads `SESSION_REGISTRY`; `show` displays one session and `use` only changes human
   focus in `CURRENT_SESSION.md`.
 - `import --source all|claude|codex`, `--since`, `--limit`, `--from`, and `--codex-from` bound scope.
@@ -66,7 +69,8 @@ npx wendkeep import --source codex --since 2026-07-01 --dry-run --json
 Each canonical session points to the matching provider, transcript, note file, and costs. The
 registry keeps one `SessionStart` epoch per activation plus the latest native turn; multiple
 `Stop` events may acknowledge turns in that epoch without closing it. Repeated imports of the
-same `session_id` deduplicate; human focus does not close or re-identify live hooks.
+same `session_id` deduplicate; human focus does not close or re-identify live hooks. Every
+automatic iteration remains valid Markdown even when a message must be truncated.
 
 ## Common errors and diagnosis
 
@@ -81,5 +85,5 @@ same `session_id` deduplicate; human focus does not close or re-identify live ho
 
 ## Next steps
 
-Read [retroactive import](retroactive-import.md), [costs and observability](costs-and-observability.md),
-and [notes](notes-and-knowledge.md).
+Read [Operating profiles](operating-profiles.md), [retroactive import](retroactive-import.md),
+[costs and observability](costs-and-observability.md), and [notes](notes-and-knowledge.md).

package/docs/en/commands/verify.md

@@ -14,12 +14,15 @@ Run after implementing tasks and again whenever tasks, specs, or tests change.
 ## When not to use
 
 Do not use it as a post-install health check or when no change exists. Run `wendkeep doctor` and
-`wendkeep memory status --gate` instead.
+`wendkeep memory status --gate` instead. In `FLOW`, validation and the receipt belong to
+`flow finish`; under `OFF`, `verify` remains available only when the user chooses to run the
+lifecycle manually.
 
 ## Prerequisites
 
 - An open change selected through `CURRENT_CHANGE.md` or `--change <slug>`.
-- A placeholder-free `tarefas.md` with `[req:]` and `[sensor:]` tags on checkbox lines.
+- A placeholder-free `tarefas.md` with `[req:]` and one or more `[sensor:]` tags on checkbox lines;
+  every distinct sensor ID is required once, in declaration order.
 - Sensors declared in `wendkeep.sensors.json`.
 
 ## Syntax
@@ -34,7 +37,8 @@ npx wendkeep change use <slug>
 
 - `--change <slug>` targets a change without changing the active pointer.
 - `change use <slug>` persists focus for following commands.
-- `--project <root>` selects the sensor cwd; `--vault` selects where proof is stored.
+- `--project <root>` selects the sensor cwd; `--vault` selects where proof is stored and is passed
+  to sensors as `OBSIDIAN_VAULT_PATH`, including `memory-health`.
 - **Exit 0:** all required sensors passed and evidence was written.
 - **Exit 1:** the gate ran, but at least one critical sensor was red or a mutant survived.
 - **Exit 2:** invalid usage/context, including `no change (--change or active)`, missing vault,
@@ -75,12 +79,14 @@ Deep mode packages requirements, tasks, and evidence for read-only review; the v
 ## Common errors and diagnosis
 
 - `no change`: this is exit 2 and a valid idle state; create/use a change or skip verify.
-- Zero sensors: inspect same-line tags and `sensors list`.
+- Zero/missing sensors: inspect every same-line tag and `sensors list`; multiple tags on one task
+  are valid and all of them enter the gate.
 - Red gate: fix the cause and rerun; never choose `archive --force` on your own.
 - Missing/stale verdict: regenerate `--deep` and request a fresh independent pass.
 - Surviving mutants: strengthen the discriminating test; after three rounds, review manually.
 
 ## Next steps
 
-Return to the [change lifecycle](changes-and-verification.md) for archive, or use
-[maintenance](maintenance-and-diagnostics.md) when no change exists.
+Return to the [change lifecycle](changes-and-verification.md) for archive, review
+[Operating profiles](operating-profiles.md), or use [maintenance](maintenance-and-diagnostics.md)
+when no change exists.

package/docs/pt-BR/commands/changes-and-verification.md

@@ -14,6 +14,9 @@ Use para qualquer implementação não trivial ou correção que precise deixar
 ## Quando não usar
 
 Não crie uma change para consultar saúde, importar sessões ou executar manutenção read-only.
+Para manutenção local elegível ao perfil `FLOW`, use o microcontrato descrito em
+[Perfis de Operação](operating-profiles.md); em `OFF`, o lifecycle permanece disponível, mas não
+é imposto pelo Wend Runtime.
 
 ## Pré-requisitos
 
@@ -32,7 +35,8 @@ npx wendkeep change archive <slug>
 
 ## Opções e códigos de saída
 
-- `wendkeep change new <slug> [--simple]` cria proposta, design, tarefas e ponteiro ativo.
+- `wendkeep change new <slug> [--simple]` cria uma change; `--simple` só pula o design, não é nem
+  equivale a `FLOW` e preserva o lifecycle/ADR legado.
 - `change use`, `list`, `show`, `status`, `diff`, `done` e `undone` inspecionam ou atualizam o
   trabalho sem arquivar.
 - `change continue <arquivada> <nova>` abre continuação sem herdar evidência antiga.
@@ -70,11 +74,12 @@ gera um ADR. O archive só passa com tarefas fechadas, sensores exigidos verdes
 
 - `no change`: selecione com `change use <slug>` ou informe `--change`.
 - `spec_impact: pending`: defina `required` com delta ou `none` com justificativa real.
-- Sensor não executado: mantenha `[sensor:id]` na mesma linha do checkbox da tarefa.
+- Sensor não executado: mantenha uma ou mais tags `[sensor:id]` na mesma linha do checkbox. Todos
+  os IDs distintos dessa linha são exigidos e executados uma vez, na ordem declarada.
 - Evidência stale: rode novamente `verify` e `verify --deep` depois de alterar tarefas/spec.
 - Rebase em conflito: resolva o delta ou use `--accept-current` apenas quando isso for a decisão.
 
 ## Próximos passos
 
-Leia o guia profundo de [verify](verify.md) e a referência de
-[manutenção e diagnóstico](maintenance-and-diagnostics.md).
+Leia [Perfis de Operação](operating-profiles.md), o guia profundo de [verify](verify.md) e a
+referência de [manutenção e diagnóstico](maintenance-and-diagnostics.md).

package/docs/pt-BR/commands/getting-started.md

@@ -27,18 +27,22 @@ Não rode `init --force` para tentar reparar memória ou uma configuração ileg
 ```bash
 npm install --save-dev wendkeep
 npx wendkeep init [opções]
-npx wendkeep sync [--project <raiz>] [--vault <cofre>] [--yes]
+npx wendkeep sync [--project <raiz>] [--vault <cofre>] [--profile <perfil>] [--yes]
 ```
 
 ## Opções e códigos de saída
 
 - `--vault <path>` escolhe o cofre; sem ele, o vínculo local `.wendkeep.json` prevalece.
 - `--project <path>` aponta a raiz do projeto.
+- `--profile <OFF|FLOW|GUIDE|GOVERN|ASSURE>` seleciona o Perfil de Operação; instalação nova usa
+  `GOVERN`, re-init/sync sem a flag preserva a escolha existente e `OFF` nunca é inferido.
 - `--no-mcp`, `--no-colors` e `--no-companions` desativam integrações opcionais.
 - `--companions <csv>` habilita companions explicitamente.
 - `--yes` aceita defaults não interativos; `--force` atualiza apenas blocos gerenciados.
 - Exit `0` indica instalação/sincronização concluída; exit diferente de zero identifica a etapa
   que falhou. `sync` para em `init`, `sync-defs` ou `doctor`, sem esconder o erro.
+- `sync` não pré-resolve o Vault antes de `init`: um vínculo inválido falha fechado nessa primeira
+  etapa, e apenas um vínculo validado segue para `sync-defs` e `doctor`; nunca há fallback global.
 
 ## Exemplos
 
@@ -46,7 +50,7 @@ Primeira instalação no projeto atual:
 
 ```bash
 npm install --save-dev wendkeep
-npx wendkeep init --no-companions
+npx wendkeep init --profile GOVERN --no-companions
 ```
 
 Atualização posterior:
@@ -60,7 +64,7 @@ Com pnpm, informe uma versão concreta porque políticas de idade mínima podem
 atrasado silenciosamente:
 
 ```bash
-pnpm add -D wendkeep@0.58.2
+pnpm add -D wendkeep@X.Y.Z --config.minimumReleaseAge=0
 pnpm exec wendkeep sync --yes
 ```
 

package/docs/pt-BR/commands/memory.md

@@ -25,6 +25,7 @@ Informe o vault explicitamente em automações. Preserve backups e evidências a
 ```bash
 npx wendkeep memory status [--gate] --vault <cofre>
 npx wendkeep memory repair --vault <cofre>
+npx wendkeep memory reconcile <sessão-ambígua> --by-session <sessão-sucessora> --reason <motivo> [--apply] --vault <cofre>
 npx wendkeep memory promote <candidate> --vault <cofre>
 npx wendkeep memory reject <candidate> --vault <cofre>
 npx wendkeep validate-memory [caminho-do-CORE]
@@ -44,7 +45,18 @@ npx wendkeep validate-memory --vault <cofre-v2>
 - Vault legado válido gera warning e exit `0`. Em v2, o status correlaciona
   `last_memory_attempt`, disposition, outbox, ledger, SHARED e checkpoint: attempt ambíguo,
   publicação perdida ou checkpoint divergente bloqueiam; `degraded` com outbox íntegra é warning.
-- `memory repair` trabalha sob lock, salva `.bak`, retém eventos válidos e reprojeta.
+- `memory repair` é exclusivamente estrutural: trabalha sob locks com owner PID/token, salva
+  `.bak`, retém eventos válidos e reprojeta. Quando reconhece um checkpoint pré-0.59 válido com
+  cursor causal, migra-o por CAS para a fronteira física e registra backup/auditoria; nunca
+  reclassifica attempts do registry nem aceita tuple que não seja rederivada integralmente.
+- `memory reconcile` é dry-run por padrão. `--apply` exige duas sessões nomeadas e motivo, faz CAS
+  do attempt exato, salva backup do registry e limita a mutação ao attempt ambíguo e à sucessora.
+  O replay é CORE-aware, usa cursor físico do ledger no checkpoint e não reescreve ledger, CORE ou
+  notas, nem consome a outbox. Repetir a mesma decisão aplicada é idempotente.
+- Toda rota de memória valida a topologia física de `.brain`, ledger, outbox, CORE, SHARED,
+  candidates, registry, notas, backups, temporários e sidecars antes de ler ou escrever. Junction,
+  symlink, reparse point ou hardlink falham fechados sem tocar bytes externos. Locks publicam owner
+  e lease atomicamente, não colhem PID vivo apenas por idade e só liberam a lease adquirida.
 - `promote`/`reject` acrescentam decisão auditável; nunca reescrevem o ledger no lugar.
 - `validate-memory <CORE.md>` valida cap de 25 linhas, seções e segredos.
 - `validate-memory --vault` exige bundle v2 completo; não é o gate correto para vault legado.
@@ -53,6 +65,8 @@ npx wendkeep validate-memory --vault <cofre-v2>
 
 ```bash
 npx wendkeep memory status --gate --vault .MeuApp-vault
+npx wendkeep memory reconcile antiga --by-session atual --reason "entrega continuada" --vault .MeuApp-vault
+npx wendkeep memory reconcile antiga --by-session atual --reason "entrega continuada" --apply --vault .MeuApp-vault
 npx wendkeep validate-memory .MeuApp-vault/.brain/CORE.md
 npx wendkeep memory promote candidate-123 --vault .MeuApp-vault
 ```
@@ -72,7 +86,9 @@ prefixo válido de uma projeção global que já avançou com eventos concorrent
 - `degraded` com todos os event IDs presentes no ledger ou na outbox íntegra é recuperável; deixe o
   replay idempotente concluir. Event ID ausente nos dois lugares indica publicação perdida.
 - Attempt `ambiguous`, attempt `applied` sem event IDs, evento `projected` apenas na outbox ou
-  checkpoint divergente são bloqueantes: preserve os artefatos e investigue antes de repair.
+  checkpoint divergente são bloqueantes: preserve os artefatos e investigue antes de repair. Se a
+  ambiguidade for comprovadamente substituída por uma sessão sucessora, revise o dry-run de
+  `memory reconcile` antes de autorizar `--apply`; o comando falha se o attempt ambíguo tiver IDs.
 - Candidate pendente comum: warning recuperável, exige decisão humana quando apropriado.
 - `event_cursor` ausente ou hash divergente em v2: preserve o bundle e avalie `memory repair`.
 - `validate-memory --vault` falha no legado: valide apenas CORE ou migre primeiro.

package/docs/pt-BR/commands/operating-profiles.md

@@ -0,0 +1,171 @@
+# Perfis de Operação e FLOW
+
+**PT-BR** · [English](../../en/commands/operating-profiles.md)
+
+## Objetivo
+
+Escolher quanta governança do Wend Runtime uma execução precisa sem desligar o **Keep Core**.
+O Keep Core permanece sempre ativo: Vault, sessão, identidade, CORE/SHARED, lessons, custos e
+integrações de persistência continuam funcionando em todos os perfis.
+
+## Quando usar
+
+Use `profile` para consultar ou selecionar explicitamente um Perfil de Operação. Use `FLOW` para
+manutenção local, reversível e com `spec_impact:none` que caiba num microcontrato Executar →
+Validar, sem change.
+
+## Quando não usar
+
+Não selecione `OFF` para tentar contornar uma política: ele entrega a execução ao harness nativo
+da LLM e só pode ser escolhido explicitamente. Não finalize em FLOW alterações de contrato
+público, segurança/auth, migração/schema, dependências, CI/release, specs ou dos próprios
+gates/policies do WendKeep; promova o trabalho para uma change.
+
+## Pré-requisitos
+
+- Projeto inicializado, com `.wendkeep.json` vinculado ao Vault correto.
+- Para override de sessão, uma sessão inequívoca no `SESSION_REGISTRY.json`.
+- Para FLOW, repositório Git, allowlist de paths, motivo e ao menos um sensor existente em
+  `wendkeep.sensors.json`.
+
+## Sintaxe
+
+```bash
+npx wendkeep profile status [--project <path>] [--vault <path>] [--session <id>] [--json]
+npx wendkeep profile use <perfil> [--project <path>] [--vault <path>] [--session <id>] [--json]
+npx wendkeep flow start <slug> --allow <path> [--allow <path>...] --sensor <id> [--sensor <id>...] --reason <texto> [--session <id>]
+npx wendkeep flow status [<id>]
+npx wendkeep flow show <id> [--session <id>]
+npx wendkeep flow finish <id> [--session <id>]
+npx wendkeep flow promote <id> [--change-slug <slug>] [--session <id>]
+```
+
+Todos os subcomandos FLOW também aceitam `--project <path>`, `--vault <path>` e `--json`.
+Quando informado, `--session` restringe inclusive consultas e mutações por ID à sessão dona do
+FLOW; um ID de outra sessão falha sem mutação.
+
+## Opções e códigos de saída
+
+| Perfil | Rota | Contrato |
+|---|---|---|
+| `OFF` | harness nativo da LLM | Wend Runtime desligado; Keep Core integral. |
+| `FLOW` | E → V | Microcontrato com baseline Git, allowlist, sensores e recibo, sem change. |
+| `GUIDE` | P → E → V | Change compacta; política reconhecida para evolução compatível. |
+| `GOVERN` | P → R → E → V | Loop a2 atual e fallback conservador. |
+| `ASSURE` | P → R → E → V → C | Governança acrescida de confirmação e handoff. |
+
+- A resolução segue override explícito da sessão → `harness.profile` do projeto → `GOVERN`.
+  Heurística, tamanho do diff, texto do prompt, variável de ambiente ou erro de leitura nunca
+  selecionam `OFF`.
+- `profile status` mostra perfil efetivo e origem; `--json` produz saída estruturada. Quando um
+  Vault explícito preserva a escolha apesar de binding corrompido, a saída inclui `binding_error`
+  e o diagnóstico também vai para stderr.
+- `profile use` valida nome e flags estritamente; opção singleton duplicada, incompleta ou com
+  valor iniciado por `--` falha antes de I/O. Sem `--session`, altera atomicamente o binding do
+  projeto; com `--session`, grava override, origem e timestamp sem trocar a identidade da sessão.
+- `.wendkeep.json` continua em `schemaVersion: 1`; o campo aditivo usa, por exemplo,
+  `"harness": { "profile": "GOVERN" }`. Binding legado sem o campo também resolve `GOVERN`.
+- Binding corrompido nunca equivale a `OFF`. Quando o payload ou a integração legada identifica
+  um Vault inequívoco, o Keep Core continua ativo sob `GOVERN` e o hook expõe um diagnóstico;
+  guards de mutação falham fechados até o binding ser reparado. Configuração local inválida,
+  marcador ausente ou identidade divergente nunca herdam silenciosamente o Vault pai/global.
+- `harness.flow.protectedRoots` aceita um array de raízes relativas ao projeto, sem globs ou
+  escapes `..`. Cada raiz amplia as superfícies protegidas do FLOW; qualquer alteração sob ela
+  exige `flow promote`.
+
+```json
+{
+  "harness": {
+    "profile": "FLOW",
+    "flow": {
+      "protectedRoots": ["src/internal-api", "infra/releases"]
+    }
+  }
+}
+```
+
+- `flow start` captura HEAD, estado Git preexistente, allowlist, sensores, motivo e sessão em
+  `.brain/runtime/flows/`; não cria `08-Mudanças`, ADR, verdict, spec ou `CURRENT_CHANGE.md`.
+- `flow finish` compara o diff real ao baseline Git e à allowlist, incluindo troca de commit em
+  submodule, metadata/config/flags ocultas do Git e superfícies protegidas ignoradas. O projectRoot
+  fica congelado e sensores rodam nesse cwd. Uma descoberta física limitada e no-follow mantém
+  visíveis aliases protegidos vazios ou ignorados, sem entrar em `.git`, no Vault efetivo ou em
+  caches locais; ambiguidade ou estouro de limite bloqueia. Ele rejeita
+  symlink/junction/reparse/hardlink no worktree e nos destinos do Vault, revalida antes/depois dos
+  sensores e recaptura o snapshot imediatamente antes do recibo, bloqueando qualquer sensor que
+  modifique o repositório. Recibo terminal e iteração
+  idempotente na sessão só contam como sucesso juntos;
+  uma projeção temporariamente ocupada retorna exit `1` e pode ser repetida com segurança.
+- `flow promote` cria uma change normal preservando sessão, motivo, paths, sensores e evidência.
+  Lock cross-process owner+lease por slug, reserva e estado durável `promoting` elegem um único
+  dono; contrato, reserva, attempts, recibo e origem permanecem semanticamente vinculados. O
+  perdedor permanece ativo e pode repetir com `--change-slug`. Retries retomam idempotentemente a
+  mesma promoção em vez de criar outra change. Não existe `--force` no FLOW.
+- Exit `0` indica consulta ou transição concluída; exit `1` indica política/sensor vermelho; exit
+  `2` indica perfil, sessão, flow ou argumentos inválidos, sem mutação parcial.
+
+## Exemplos
+
+Consultar o padrão efetivo e aplicar override somente à sessão atual:
+
+```bash
+npx wendkeep profile status
+npx wendkeep profile use OFF --session 019abc-session-id --json
+```
+
+Executar uma manutenção FLOW capturando o `flow_id` retornado por `start`:
+
+```powershell
+$flow = npx wendkeep flow start corrige-copy --allow README.md --sensor docs-bilingual --reason "Corrige texto sem alterar contrato" --json | ConvertFrom-Json
+$flowId = $flow.contract.flow_id
+npx wendkeep flow status $flowId
+```
+
+Se o trabalho permanecer local e dentro do microcontrato, finalize com o ID retornado:
+
+```powershell
+npx wendkeep flow finish $flowId
+```
+
+Se o escopo crescer antes do `finish`, promova em vez de finalizar:
+
+```powershell
+npx wendkeep flow promote $flowId
+```
+
+Se outra sessão já reivindicou o slug original, o FLOW continua ativo e pode ser promovido
+novamente com um destino explícito:
+
+```powershell
+npx wendkeep flow promote $flowId --change-slug outro-slug
+```
+
+## Resultado esperado
+
+Trocar o perfil não cria outra sessão nem interrompe o Vault. Em `OFF`, a memória e as lessons
+continuam injetadas e o Stop continua persistindo sessão/memória, mas router, skill gate,
+change context/warn/nag/guard e captura de plano ficam inativos. Um FLOW concluído deixa recibo
+durável e consultável; um FLOW promovido passa a seguir o lifecycle normal de change.
+
+## Erros comuns e diagnóstico
+
+- Perfil desconhecido: use exatamente `OFF`, `FLOW`, `GUIDE`, `GOVERN` ou `ASSURE`.
+- `OFF` apareceu sem escolha explícita: trate como erro; leitura ausente/inválida deve cair em
+  `GOVERN`.
+- Sessão ausente ou ambígua: confira `session list` e informe `--session <id>` sem tentar de novo
+  com um alvo diferente.
+- FLOW sem allowlist, motivo ou sensor: complete o microcontrato antes de editar.
+- Path fora do escopo, superfície protegida ou sensor vermelho: corrija/abandone o FLOW ou use
+  `flow promote`; não há bypass.
+- Sensor que alterou o repositório, allowlist atravessando symlink/junction ou superfície sensível
+  ignorada: restaure o estado e promova quando a mudança não for estritamente local. Sensores FLOW
+  devem ser somente leitura.
+- Projeção da sessão `missing`, `invalid-frontmatter` ou `busy`: restaure/desbloqueie a nota e
+  repita `flow finish` ou `flow promote`; o marcador idempotente impede duplicação.
+- Sujeira anterior apareceu no diff: ela deve coincidir com o fingerprint inicial e nunca pode ser
+  atribuída silenciosamente ao FLOW.
+
+## Próximos passos
+
+Leia [changes e verificação](changes-and-verification.md), o guia profundo de
+[verify](verify.md) e [sessões e importação](sessions-and-import.md).

package/docs/pt-BR/commands/sessions-and-import.md

@@ -5,7 +5,8 @@
 ## Objetivo
 
 Entender como os hooks capturam sessões ao vivo, como activation/turno preservam causalidade no
-registry e quando usar a importação retroativa.
+registry e quando usar a importação retroativa. No perfil `OFF`, o Vault continua ativo: hooks de
+sessão, identidade, memória, custos e persistência pertencem ao Keep Core, não ao Wend Runtime.
 
 ## Quando usar
 
@@ -45,6 +46,8 @@ npx wendkeep import [opções]
 - `Stop` aceita somente o turno comprovado pelo transcript e pela activation ativa compatível.
   Duplicatas são no-op; Stops stale/superseded não publicam memória nem sobrescrevem o checkpoint
   de um epoch mais novo.
+- Ao compactar conversas em `## Iterações`, o hook escapa delimitadores de código cortados pelo
+  limite de tamanho; backticks inline ou fences nunca ficam abertos para engolir a linha seguinte.
 - `session list` lê `SESSION_REGISTRY`; `show` exibe uma sessão e `use` muda apenas o foco humano
   em `CURRENT_SESSION.md`.
 - `import --source all|claude|codex`, `--since`, `--limit`, `--from` e `--codex-from` limitam escopo.
@@ -66,7 +69,8 @@ npx wendkeep import --source codex --since 2026-07-01 --dry-run --json
 Cada sessão canônica aponta para provider, transcript, arquivo de nota e custos correspondentes.
 O registry mantém um epoch de `SessionStart` por activation e o turno nativo mais recente; vários
 `Stop` podem confirmar turnos do mesmo epoch sem fechá-lo. Importações repetidas do mesmo
-`session_id` são deduplicadas; o foco humano não encerra nem altera a identidade dos hooks.
+`session_id` são deduplicadas; o foco humano não encerra nem altera a identidade dos hooks. Cada
+iteração automática permanece Markdown válido mesmo quando uma fala precisa ser truncada.
 
 ## Erros comuns e diagnóstico
 
@@ -81,5 +85,5 @@ O registry mantém um epoch de `SessionStart` por activation e o turno nativo ma
 
 ## Próximos passos
 
-Leia [importação retroativa](retroactive-import.md),
+Leia [Perfis de Operação](operating-profiles.md), [importação retroativa](retroactive-import.md),
 [custos e observabilidade](costs-and-observability.md) e [notas](notes-and-knowledge.md).

package/docs/pt-BR/commands/verify.md

@@ -14,12 +14,15 @@ Use depois de implementar as tarefas e novamente sempre que tarefas, specs ou te
 ## Quando não usar
 
 Não use como health check pós-instalação ou quando não existe change. Nesse caso, rode
-`wendkeep doctor` e `wendkeep memory status --gate`.
+`wendkeep doctor` e `wendkeep memory status --gate`. Em `FLOW`, a validação e o recibo pertencem a
+`flow finish`; em `OFF`, `verify` continua disponível apenas quando o usuário escolhe executar o
+lifecycle manualmente.
 
 ## Pré-requisitos
 
 - Change aberta selecionada por `CURRENT_CHANGE.md` ou `--change <slug>`.
-- `tarefas.md` sem placeholders, com tags `[req:]` e `[sensor:]` na linha do checkbox.
+- `tarefas.md` sem placeholders, com tags `[req:]` e uma ou mais `[sensor:]` na linha do checkbox;
+  todos os IDs distintos de sensor são exigidos uma vez, na ordem declarada.
 - Sensores declarados em `wendkeep.sensors.json`.
 
 ## Sintaxe
@@ -34,7 +37,8 @@ npx wendkeep change use <slug>
 
 - `--change <slug>` mira uma change sem alterar o ponteiro ativo.
 - `change use <slug>` troca o foco persistido para comandos seguintes.
-- `--project <raiz>` define onde os sensores executam; `--vault` define onde a prova é gravada.
+- `--project <raiz>` define onde os sensores executam; `--vault` define onde a prova é gravada e é
+  propagado aos sensores como `OBSIDIAN_VAULT_PATH`, inclusive no `memory-health`.
 - **Exit 0:** todos os sensores exigidos passaram e a evidência foi gravada.
 - **Exit 1:** o gate executou, mas ao menos um sensor crítico ficou vermelho ou um mutante
   sobreviveu.
@@ -76,12 +80,14 @@ read-only; o verdict cobre cada `[req:]` antes do archive.
 ## Erros comuns e diagnóstico
 
 - `no change`: isso é exit 2 e estado ocioso válido; crie/use uma change ou não rode verify.
-- Zero sensores: confira tags na mesma linha e `sensors list`.
+- Zero/sensores ausentes: confira todas as tags na mesma linha e `sensors list`; várias tags na
+  mesma tarefa são válidas e todas entram no gate.
 - Gate vermelho: corrija a causa e repita; não use `archive --force` por conta própria.
 - Verdict stale/ausente: regenere `--deep` e peça novo passe independente.
 - Mutantes sobreviventes: fortaleça o teste discriminante; após três rodadas, revise manualmente.
 
 ## Próximos passos
 
-Volte ao [ciclo de changes](changes-and-verification.md) para archive ou consulte
+Volte ao [ciclo de changes](changes-and-verification.md) para archive, confira os
+[Perfis de Operação](operating-profiles.md) ou consulte
 [manutenção](maintenance-and-diagnostics.md) quando não houver change.