wizz-method 1.16.0 → 1.17.0

package/package.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://json.schemastore.org/package.json",
   "name": "wizz-method",
-  "version": "1.16.0",
+  "version": "1.17.0",
   "description": "Wizz Method — método de agência orientado por IA em PT-BR (fork independente do BMad Method)",
   "keywords": [
     "agile",
@@ -61,9 +61,10 @@
     "rebundle": "node tools/installer/bundlers/bundle-web.js rebundle",
     "sync:check": "node tools/sync-check.mjs",
     "sync:global": "node tools/sync-global.mjs",
-    "test": "npm run test:refs && npm run test:install && npm run test:urls && npm run test:channels && npm run test:mcp && npm run test:env-vars && npm run test:cli && npm run test:deps && npm run test:dispatch-rule && npm run test:hooks && npm run test:quickupdate && npm run test:registry-schema && npm run test:module-registry && npm run test:method-refs-allowlist && npm run test:rtk-hook && npm run test:network-retry && npm run test:sync-check && npm run test:resolver && npm run test:fetch-assets && npm run test:install-smoke && npm run test:trace-report && npm run test:rehype-plugins && npm run test:workflow-path-regex && npm run test:preflight-tools-check && npm run lint && npm run lint:md && npm run format:check && npm run sync:check",
+    "test": "npm run test:refs && npm run test:install && npm run test:urls && npm run test:channels && npm run test:mcp && npm run test:env-vars && npm run test:cli && npm run test:deps && npm run test:dispatch-rule && npm run test:hooks && npm run test:decision-trace && npm run test:quickupdate && npm run test:registry-schema && npm run test:registry-lib-parity && npm run test:module-registry && npm run test:method-refs-allowlist && npm run test:rtk-hook && npm run test:network-retry && npm run test:sync-check && npm run test:resolver && npm run test:fetch-assets && npm run test:install-smoke && npm run test:trace-report && npm run test:rehype-plugins && npm run test:workflow-path-regex && npm run test:preflight-tools-check && npm run lint && npm run lint:md && npm run format:check && npm run sync:check",
     "test:channels": "node test/test-installer-channels.js",
     "test:cli": "node test/test-cli-config.js",
+    "test:decision-trace": "node test/test-decision-trace.js",
     "test:deps": "node test/test-deps-cache.js",
     "test:dispatch-rule": "node test/test-dispatch-rule-consistency.js",
     "test:env-vars": "node test/test-env-vars.js",
@@ -79,6 +80,7 @@
     "test:preflight-tools-check": "node test/test-preflight-tools-check.js",
     "test:quickupdate": "node test/test-quick-update-gate.js",
     "test:refs": "node test/test-file-refs-csv.js",
+    "test:registry-lib-parity": "node test/test-registry-lib-parity.js",
     "test:registry-schema": "node test/test-registry-schema.js",
     "test:rehype-plugins": "node test/test-rehype-plugins.mjs",
     "test:resolver": "node test/test-resolve-customization.js",

package/removals.txt

@@ -60,3 +60,9 @@ wizz-distillator
 # wizz-create-ux-design: renamed to wizz-ux (spine-based skill with separate
 # DESIGN.md and EXPERIENCE.md outputs).
 wizz-create-ux-design
+# taste-redesign: merged into taste-skill (P2 auditoria 360°, 2026-08-25).
+# The redesign audit checklist and upgrade techniques now live as
+# references/design-audit.md and references/upgrade-techniques.md inside
+# taste-skill; taste-skill's description and redesign-protocol.md cover
+# the same existing-project audit ground taste-redesign used to own.
+taste-redesign

package/skills-registry.yaml

@@ -80,9 +80,11 @@ areas:
         entry: true
         door: direcao
         when: "PORTA de direção: todo trabalho de decidir ANTES de construir. Brief visual inicial (6 decisões de estética + 3 lógicas) no kickoff. Puxa: taste-skill (direção anti-slop de brief novo) e motion-3d-director (decidir caminho motion/3D/vídeo)."
+        rel:
+          pairs_with: [taste-skill, motion-3d-director]
       - id: taste-skill
         door: direcao
-        when: "Anti-slop em briefs NOVOS: lê o brief, define a direção e audita contra defaults de AI."
+        when: "Anti-slop em briefs NOVOS: lê o brief, define a direção e audita contra defaults de AI. Também cobre projeto EXISTENTE: audita o código atual, lista problemas, prioriza fixes (protocolo de redesign)."
       - id: motion-3d-director
         door: direcao
         when: "Direção de motion/animação, 3D, WebGL, scroll cinematográfico, image-to-video. Decide o caminho ANTES de implementar."
@@ -91,7 +93,7 @@ areas:
       - id: ui-ux-pro-max
         entry: true
         door: construcao
-        when: "PORTA de construção: criar/melhorar UI (design system, paleta, tipografia, componente, página). Puxa: premium-landing-ui-researcher (landing premium greenfield), ui-component-curator (1 componente em projeto existente), impeccable (gate de polish/acessibilidade), taste-redesign (anti-slop em código existente), huashu-design (protótipo HTML hi-fi/variantes/review) e react-components (Stitch→React)."
+        when: "PORTA de construção: criar/melhorar UI (design system, paleta, tipografia, componente, página). Puxa: premium-landing-ui-researcher (landing premium greenfield), ui-component-curator (1 componente em projeto existente), impeccable (gate de polish/acessibilidade), taste-skill (anti-slop em código existente, protocolo de redesign), huashu-design (protótipo HTML hi-fi/variantes/review) e react-components (Stitch→React)."
       - id: premium-landing-ui-researcher
         door: construcao
         when: "Projeto NOVO (greenfield): cria landing premium do zero, hero, 3D high-end. Estratégia source-first."
@@ -101,9 +103,6 @@ areas:
       - id: impeccable
         door: construcao
         when: "Gate de polish/qualidade de frontend: hardening de UI, acessibilidade, anti-padrões. Refina o que já existe."
-      - id: taste-redesign
-        door: construcao
-        when: "Anti-slop em projeto EXISTENTE: audita o código atual, lista problemas, prioriza fixes."
       - id: huashu-design
         door: construcao
         when: "Direção visual + protótipo HTML hi-fi, exploração de variantes, review 5-dim, export MP4/GIF."
@@ -122,88 +121,78 @@ areas:
       - id: remotion-best-practices
         door: motion
         when: "MONTAR o filme: vídeo em React (Remotion) com áudio, SFX, legenda e timing com precisão de frame. No pipeline de vídeo é o Remotion que faz a montagem final; o hyperframes só desenha as telas mudas (regra: HyperFrames desenha, Remotion monta — ver _shared/video-pipeline.md do módulo wizz)."
+        rel:
+          after: [hyperframes]
       - id: canvas-design
         door: motion
         when: "Gerar PNG/PDF editável por código (carrossel, quote card, infográfico) com fonte/cor/logo sempre certos. Traz canvas-fonts."
       - id: algorithmic-art
         door: motion
         when: "Visual generativo por código (flow fields, ruído, partículas) para fundo/textura de hero, único a cada render, sem cara de banco de imagem."
+      - id: ctc-align
+        door: motion
+        when: "Timing por forced alignment: timestamps palavra a palavra de narração TTS para sincronizar legenda, corte de cena e animação com a fala. Fonte única de timing no pipeline de vídeo; substitui Whisper e estimativa manual."
     mcps:
       - id: magic
         when: "Gerar/refinar componentes prontos via 21st.dev (UI builder, inspiration, refiner)."
         server:
           command: npx
-          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-          args: ["-y", "@21st-dev/magic@0.1.0"]
+          # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
+          args: ["-y", "@21st-dev/magic@0.2.2"]
           env:
             API_KEY: "${MAGIC_API_KEY}"
     clis:
       - id: 21st-cli
         when: "Fonte PAGA complementar (catálogos gratuitos como React Bits/Cult UI/Componentry vêm primeiro; gate de aprovação do usuário). Buscar, inspecionar, instalar e publicar componentes no 21st.dev via terminal (search/get/add/publish, registry do time @wizzdigitalagency). Complementa o Magic MCP (geração assistida); é o caminho de catálogo/registry e o fallback declarado quando o MCP está offline. O install traz também as skills oficiais 21st-cli-use, 21st-registry e 21st-design-sync. Login interativo: `21st login` (em CI usar env API_KEY_21ST)."
+        rel:
+          pairs_with: [magic]
         check: "command -v 21st"
         install: "npm i -g @21st-dev/cli && npx @21st-dev/cli install-skill"
       - id: hyperframes
         when: "DESENHAR telas de vídeo em HTML/CSS (HTML→MP4, agent-native, 20+ skills): cena isolada e MUDA — maqueta de WhatsApp/ChatGPT, gráfico animado, título, loop. NÃO usar para montagem com áudio/SFX/legenda sincronizada (posicionador de áudio falhou em produção, ~2,76s de drift; CSS vaza entre telas): a montagem final é do Remotion (regra: HyperFrames desenha, Remotion monta — ver _shared/video-pipeline.md do módulo wizz). Precisa ffmpeg + Node 22 + Chrome headless."
-        # Gate de plataforma (2026-07-08): o `install` virou clone+checkout
-        # POSIX (mktemp/rm), então macOS/Linux/WSL — mesma regra das
-        # clone-and-run abaixo. (Antes ficava sem gate porque check/install
-        # eram só npx.)
+        not_when: "Montagem com áudio/SFX/legenda sincronizada (posicionador de áudio falhou em produção, ~2,76s de drift; CSS vaza entre telas)."
+        rel:
+          before: [remotion-best-practices]
         platform: [darwin, linux]
-        # Check (2026-07-08): antes era `npx --yes hyperframes --version`, que
-        # baixa o pacote do npm e portanto passa SEMPRE — o installer reportava
-        # "já instalado" sem as skills nunca terem sido adicionadas. O que o
-        # `install` traz são as SKILLS, então o check testa a skill instalada.
         check: "test -d $HOME/.claude/skills/hyperframes"
-        # Pin de supply chain (2026-07-08): a convenção `#<sha>` na URL NÃO
-        # funciona — a CLI `skills add` trata o fragmento como BRANCH
-        # (`git clone --branch <sha>` → "Remote branch not found"), e não há
-        # flag --ref/pin. Pin real = clone temporário + checkout do SHA +
-        # `skills add` do path local. `--copy` é obrigatório (senão symlinka
-        # pro temp dir que é apagado); `-g` casa com o `check` global; `-y`
-        # evita prompt em shell não-interativo. Atualizar conscientemente.
-        install: 'd="$(mktemp -d)" && git clone https://github.com/heygen-com/hyperframes.git "$d" && git -C "$d" checkout 4c8064d4d3d1ffe51a10b1c7eee79a49b2fc468f && npx skills add "$d" -g -y --copy && rm -rf "$d"'
+        # Pin de supply chain (2026-08-23): clone temporário + checkout do SHA
+        # + `skills add` do path local. Atualizar conscientemente.
+        # Neutraliza remotion-to-hyperframes: o bundle instala uma skill de
+        # migração Remotion→HyperFrames proibida pela regra do pipeline
+        # (_shared/video-pipeline.md: HyperFrames desenha, Remotion monta).
+        install: 'd="$(mktemp -d)" && git clone https://github.com/heygen-com/hyperframes.git "$d" && git -C "$d" checkout 59a69a145bfbd0f10dee72246b68ee5d9bd71063 && npx skills add "$d" -g -y --copy && rm -rf "$d" && rm -rf "$HOME/.claude/skills/remotion-to-hyperframes"'
       - id: claude-video
         when: "Analisar/entender vídeo EXISTENTE: baixa, extrai frames e transcreve para resumir, achar momentos ou diagnosticar footage. NÃO cria vídeo. Precisa ffmpeg + yt-dlp (+ Groq/OpenAI p/ transcrição sem legenda)."
-        # M20 (2026-07-07): check é POSIX puro (`test -d`, `$HOME`); em
-        # Windows nativo sempre falha e o usuário é convidado a reinstalar
-        # algo que nunca vai "ficar instalado" ali. Suporte oficial é
-        # macOS/Linux/WSL (WSL reporta platform 'linux').
         platform: [darwin, linux]
         check: "test -d $HOME/.claude/skills/watch"
-        # Pin de supply chain (2026-07-08): clone temporário + checkout do SHA
-        # + `skills add` local (mesma convenção e racional do hyperframes
-        # acima — `#<sha>` na URL falha porque a CLI trata o fragmento como
-        # branch); atualizar conscientemente.
+        # Pin de supply chain (2026-08-23): clone temporário + checkout do SHA
+        # + `skills add` local. Atualizar conscientemente.
         install: 'd="$(mktemp -d)" && git clone https://github.com/bradautomates/claude-video.git "$d" && git -C "$d" checkout 83da59fa78c3eee9e20f515fe75c438bb5166efd && npx skills add "$d" -g -y --copy && rm -rf "$d"'
       - id: buttercut
         when: "EDITAR vídeo por IA: cortes, selects, cenas, roughcut via XML/FFmpeg. Sugerir quando o pedido for editar/cortar vídeo. Clone-and-run no PROJETO (não é skill add), pesado: Ruby + Python + FFmpeg + WhisperX. AVISOS: ~GB de modelos (WhisperX), build demorado, só Apple Silicon."
         platform: darwin-arm64
         check: "test -d ./buttercut"
-        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
-        install: "git clone https://github.com/barefootford/buttercut.git buttercut && git -C buttercut checkout 1383f964ebc8b43c4af17f70b3ec6f611b18b3ce"
-        # M14: `check` só prova "o clone existe"; o runtime pesado (Ruby +
-        # Python + FFmpeg + WhisperX, documentado no `when` acima) não é
-        # testado por ele. `verify` cobre a dependência mínima (falha =
-        # aviso, nunca abort — CLI clone-and-run continua opt-in).
+        # Pin de supply chain (2026-08-23): checkout de SHA fixo; atualizar conscientemente.
+        install: "git clone https://github.com/barefootford/buttercut.git buttercut && git -C buttercut checkout f71d9537e2c22c3c4c1c659c4bdfb11e90ccd961"
         verify: "command -v ffmpeg >/dev/null 2>&1 && command -v ruby >/dev/null 2>&1 && command -v python3 >/dev/null 2>&1"
       - id: voicebox
         when: "Voz/TTS/clonagem de voz local para narração/VO de vídeo (7 engines TTS + Whisper STT). App desktop que expõe endpoint MCP local em runtime. Clone-and-run no projeto."
-        # M20: check é POSIX puro (`test -d`); suporte oficial macOS/Linux/WSL.
         platform: [darwin, linux]
         check: "test -d ./voicebox"
-        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
-        install: "git clone https://github.com/jamiepine/voicebox.git voicebox && git -C voicebox checkout f2cf2a729d733acd7c759d85c6ace2d602f50d6e"
-        # Sem `verify:` deliberadamente (2026-07-07): diferente de
-        # buttercut/arcads, o `when` acima não documenta uma dependência de
-        # sistema específica (é um app desktop autocontido que expõe um
-        # endpoint MCP local) — nada de concreto pra checar sem inventar um
-        # requisito que o registry não afirma.
+        # Pin de supply chain (2026-08-23): checkout de SHA fixo; atualizar conscientemente.
+        install: "git clone https://github.com/jamiepine/voicebox.git voicebox && git -C voicebox checkout 2bcb98d1a8b6fe05e15fbc1559e3085669e4035d"
       - id: ctc-align
         when: "Timestamps palavra a palavra CONFIÁVEIS de narração TTS (texto conhecido): sincronizar legenda, corte de cena, animação e elemento gráfico com a fala. Fonte única de timing em vídeo — substitui timestamps do Whisper e estimativa manual. Skill da lib: ctc-align (instalação + helper align.py + regras de âncora monotônica e duração mínima). Roda em CPU, sem CUDA."
         platform: [darwin, linux]
         check: "test -x ./tools/ctc-align/.venv/bin/ctc-forced-aligner"
         install: 'mkdir -p tools/ctc-align && uv venv --python 3.12 tools/ctc-align/.venv && uv pip install --python tools/ctc-align/.venv/bin/python "git+https://github.com/MahmoudAshraf97/ctc-forced-aligner.git"'
         verify: "command -v ffmpeg >/dev/null 2>&1 && command -v uv >/dev/null 2>&1"
+      - id: fal-video
+        when: "GERAR vídeo/imagem por IA (Veo/Kling/Wan e outros modelos via API da fal.ai), estilo UGC/ad-ready. Substitui o arcads: mesmo caso de uso (vídeo gerado por IA), custo 50-95% menor por vídeo, sem clone-and-run pesado. Precisa FAL_KEY em .env. Sem CLI binária oficial: usa o client Node oficial @fal-ai/client como dependência do projeto."
+        platform: [darwin, linux]
+        check: "test -f node_modules/@fal-ai/client/package.json"
+        # Pin de supply chain (2026-08-25): versão fixa (client oficial fal.ai); atualizar conscientemente.
+        install: "npm install @fal-ai/client@1.10.1"
     references:
       - "references/premium-agency-rules.md (regras $150k-tier, importadas por impeccable/huashu no modo high-end)"
 
@@ -241,15 +230,10 @@ areas:
     clis:
       - id: distribb
         when: "EXECUTAR distribuição de SEO: publicar artigos + construir backlinks pela rede da Distribb, conectar Google Search Console, autopublicar notícias. Complementa (não duplica) as skills de SEO que só geram/auditam. Requer Distribb API + GSC (+ DataForSEO/Ahrefs no plano free)."
-        # M20: check é POSIX puro (`ls`, `grep -qi`, `$HOME`); suporte oficial
-        # macOS/Linux/WSL.
         platform: [darwin, linux]
         check: "ls $HOME/.claude/skills 2>/dev/null | grep -qi distribb"
-        # Pin de supply chain (2026-07-08): clone temporário + checkout do SHA
-        # + `skills add` local (mesma convenção e racional do hyperframes
-        # acima — `#<sha>` na URL falha porque a CLI trata o fragmento como
-        # branch); atualizar conscientemente.
-        install: 'd="$(mktemp -d)" && git clone https://github.com/Bomx/distribb-skill.git "$d" && git -C "$d" checkout 860700de171f2ff741985ffdc739010f3f0c0e25 && npx skills add "$d" -g -y --copy && rm -rf "$d"'
+        # Pin de supply chain (2026-08-23): clone temporário + checkout do SHA. Atualizar conscientemente.
+        install: 'd="$(mktemp -d)" && git clone https://github.com/Bomx/distribb-skill.git "$d" && git -C "$d" checkout 061a055768e13cf09108932a90aeb2e957183858 && npx skills add "$d" -g -y --copy && rm -rf "$d"'
 
   growth:
     agent: wizz-growth
@@ -303,16 +287,10 @@ areas:
         server:
           command: scrapling
           args: ["mcp"]
-        # The MCP server lives in the `[ai]` extra, and fetching needs browsers.
-        # Without this the installer would write a config for a binary that
-        # isn't installed → the client fails with ENOENT. `setup` makes the
-        # installer install the package, download browsers, resolve `scrapling`
-        # to an absolute path (server.command is rewritten), and verify it boots
-        # before writing; if verify fails the server is skipped, not written.
         setup:
           bin: scrapling
-          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-          install: 'uv tool install "scrapling[ai]==0.4.10" || pipx install "scrapling[ai]==0.4.10" || pip install --user "scrapling[ai]==0.4.10"'
+          # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
+          install: 'uv tool install "scrapling[ai]==0.4.14" || pipx install "scrapling[ai]==0.4.14" || pip install --user "scrapling[ai]==0.4.14"'
           post_install: "{bin} install"
           verify: "{bin} --version"
 
@@ -326,20 +304,6 @@ areas:
         when: "Decidir O QUE produzir de conteúdo (topic clusters, calendário, pilares)."
       - id: copy-editing
         when: "Revisar/editar o texto do roteiro ou da legenda antes de publicar."
-    # Roteiro viral em si (hook, corpo, CTA) é conhecimento do próprio agente
-    # wizz-social (Blueprint de Roteiro Viral em knowledge/), não uma skill global.
-    #
-    # CLIs de vídeo: o roteiro é o começo do pipeline (roteiro → voz → timing →
-    # telas → montagem → corte → publicação). As tools de vídeo VIVEM na área
-    # `designer` (fonte única, não duplicar aqui). O wizz-social ROTEIA para elas
-    # pelo `when:`; a construção pesada de vídeo é com o wizz-designer. Cadeia e
-    # regra completa em src/modules/wizz/_shared/video-pipeline.md:
-    #   voicebox     → narração/voz/TTS do roteiro
-    #   ctc-align    → timestamps palavra a palavra da narração (fonte de timing)
-    #   hyperframes  → desenhar as TELAS (visual mudo, HTML→MP4)
-    #   remotion     → MONTAR o filme (áudio, SFX, legenda, timing de frame)
-    #   buttercut    → editar/cortar o vídeo gravado (só darwin-arm64)
-    #   claude-video → analisar um vídeo de referência (frames + transcrição)
 
   ads:
     agent: wizz-ads
@@ -356,29 +320,10 @@ areas:
         when: "Gestão real de campanha Meta/Facebook/Instagram via API (criar/editar/medir ads)."
         server:
           command: npx
-          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-          # Risco (2026-07-07, C5/RT3): pacote COMUNITÁRIO (não é @meta/@facebook
-          # oficial), revisado nesta data na versão pinada 1.0.0; acesso a
-          # META_ACCESS_TOKEN = gasto real de ads. O mesmo token é reaproveitado
-          # pela CLI `arcads` (ver clis.arcads nesta mesma área): duas
-          # ferramentas, mesma credencial. Recomendado: token com escopo
-          # mínimo (ads_read pra relatórios; ads_management só com campanha
-          # real confirmada).
+          # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
           args: ["-y", "mcp-meta-ads@1.0.0"]
           env:
             META_ACCESS_TOKEN: "${META_ACCESS_TOKEN}"
-    clis:
-      - id: arcads
-        when: "GERAR vídeo-ad e imagem por IA (Seedance/Sora/Veo/Kling/OmniHuman + Nano Banana) e publicar como Meta ad. Clone-and-run no projeto: git clone + ./scripts/setup.sh; precisa Python 3.10+ e ARCADS API key em .env (META_ACCESS_TOKEN opcional p/ publicar)."
-        # M20: check é POSIX puro (`test -d`); suporte oficial macOS/Linux/WSL.
-        platform: [darwin, linux]
-        check: "test -d ./arcads-claude-code"
-        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
-        install: "git clone https://github.com/krusemediallc/arcads-claude-code.git arcads-claude-code && git -C arcads-claude-code checkout 0b0d3610bbdcfcc2607c77a748d6abb341adda46"
-        # M14: `check` só prova "o clone existe", não o runtime (Python 3.10+
-        # documentado no `when` acima). `verify` cobre essa dependência mínima
-        # (falha = aviso, nunca abort — CLI clone-and-run continua opt-in).
-        verify: "command -v python3 >/dev/null 2>&1 && python3 -c 'import sys; sys.exit(0 if sys.version_info >= (3, 10) else 1)'"
 
   architect:
     agent: wizz-agent-architect
@@ -409,17 +354,19 @@ areas:
         when: "Operar Supabase de verdade: rodar SQL, migrations, inspecionar schema/RLS, logs. Default é READ-ONLY e escopado a um projeto (--read-only --project-id); para ESCREVER (migrations, mutações), o agente precisa remover conscientemente o --read-only desta entrada antes de usar — nunca por padrão silencioso."
         server:
           command: npx
-          # Pin de supply chain (2026-07-06): versão fixa (era @latest); atualizar conscientemente.
-          # Read-only + projeto escopado por padrão (2026-07-07, C5/RT3):
-          # SUPABASE_ACCESS_TOKEN sem esses flags permite SQL arbitrário na
-          # conta inteira. --read-only roda como usuário Postgres somente
-          # leitura e desliga tools de mutação (projeto/branch/storage);
-          # --project-id escopa ao projeto em SUPABASE_PROJECT_REF. Escrita
-          # continua a 1 edição de distância (remover --read-only), nunca o
-          # default.
-          args: ["-y", "@supabase/mcp-server-supabase@0.8.2", "--read-only", "--project-id", "${SUPABASE_PROJECT_REF}"]
+          # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
+          args: ["-y", "@supabase/mcp-server-supabase@0.11.0", "--read-only", "--project-id", "${SUPABASE_PROJECT_REF}"]
           env:
             SUPABASE_ACCESS_TOKEN: "${SUPABASE_ACCESS_TOKEN}"
+    clis:
+      - id: sentry-cli
+        when: "CONDICIONAL — só ofereça se o projeto JÁ usa Sentry (existe SENTRY_DSN no env, sentry.properties, ou '@sentry/' no package.json) E o estágio é produção: subir release/sourcemaps, associar commits, monitorar erro em deploy. Nunca default e nunca sugerir ADOTAR Sentry só por causa desta CLI — é suporte a um Sentry que já existe, não uma recomendação de ferramenta."
+        not_when:
+          - "Projeto ainda não usa Sentry (sem SENTRY_DSN, sentry.properties ou '@sentry/' no package.json)."
+          - "Fora de estágio de produção."
+        check: "sentry-cli --version"
+        # Pin de supply chain (2026-08-25): versão fixa; atualizar conscientemente.
+        install: "npm install -g @sentry/cli@3.6.2"
 
   qa:
     agent: wizz-qa
@@ -427,16 +374,35 @@ areas:
     skills:
       - id: adversarial-reviewer
         when: "Passe único adversarial, ad hoc, fora de workflow — 'tear this apart' num trecho colado, sem contexto de projeto. Não confundir com wizz-review-adversarial-general (camada interna 'Blind Hunter' chamada só por wizz-code-review) nem com wizz-code-review (orquestrador bmm: 3 camadas paralelas + triagem, para review real de diff/PR)."
+      - id: security-audit-pentest
+        when: "Auditoria/pentest de segurança do app inteiro — 'auditar segurança', 'pentest', 'encontrar vulnerabilidades', varredura antes de release. Só para teste de segurança AUTORIZADO (seus sistemas ou de clientes com permissão): ferramenta dual-use, nunca usar contra alvo sem autorização."
+      - id: launch-readiness
+        when: "Auditoria de prontidão pra lançamento (Pre-launch Audit), multi-área: técnico/build, segurança, SEO/descoberta, analytics/medição, conteúdo/copy/prova social, legal/LGPD, infra/deploy/rollback. Gatilhos: 'tá pronto pra lançar?', 'auditoria de pré-lançamento', 'checklist de release amplo', 'o que falta antes de ir pra produção'. Gate por estágio: só roda de verdade em mvp/production, e recusa educadamente em estágio de descoberta/ideação. Diagnostica e prioriza por severidade (bloqueia/alto/médio/ok), nunca corrige cego: aponta security-audit-pentest pra aprofundar segurança com prova de exploração e site-launch-kit pra executar a correção quando a superfície do achado é site. Resultado persiste numa seção datada do project-context.md."
+        not_when:
+          - "Estágio de descoberta/ideação: projeto ainda sem superfície construída pra auditar (sem project-context.md, ou stage 'prototype' vazio)."
+          - "Correção de um achado isolado de site já identificado: nesse caso vá direto pra site-launch-kit."
+        rel:
+          pairs_with: [site-launch-kit, security-audit-pentest]
       - id: agent-browser
         when: "Verificação visual/browser, preencher forms, screenshots, testar UI no navegador. CLI já instalado (não é MCP); browser SEMPRE via agent-browser, nunca Playwright."
-    # qa NÃO declara mcps: verificação de browser é via agent-browser (CLI/skill),
-    # não via MCP. Não usar o MCP do Playwright.
     clis:
       - id: agent-browser
         when: "Dirigir um browser real pra E2E/verificação: navegar, clicar, preencher form, screenshot, console. É CLI, não MCP."
         check: "agent-browser --version"
-        # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-        install: "npm install -g agent-browser@0.27.0"
+        # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
+        install: "npm install -g agent-browser@0.34.0"
+      - id: strix
+        when: "CONDICIONAL, nunca default — executor de pentest AUTÔNOMO e OFENSIVO (agentes de IA que rodam o app, exploram e VALIDAM vulnerabilidades com PoC real). Complementa security-audit-pentest: aquela skill é a metodologia/checklist humana; o Strix é o executor automatizado. Ferramenta dual-use: SÓ contra alvo próprio ou com AUTORIZAÇÃO ESCRITA do dono do sistema e ESCOPO definido — nunca contra alvo de terceiros sem permissão. Roda SEMPRE dentro do sandbox Docker isolado que a própria ferramenta provê (jamais direto no host). Gate condicional: ofereça apenas mediante confirmação explícita do usuário, com escopo e autorização declarados; jamais acione por padrão silencioso. RETORNO DEFENSIVO OBRIGATÓRIO: o executor (subagente) SEMPRE devolve o achado em formato defensivo — falha, severidade, evidência mínima e correção — nunca payload/exploit cru ou arma pronta; assim o revisor recebe conteúdo defensivo pra corrigir, não instrução de ataque. Precisa de Docker rodando e de uma LLM API key configurada."
+        not_when: "Sem alvo próprio ou sem autorização escrita e escopo definido do dono do sistema; nunca acionar por padrão silencioso."
+        rel:
+          pairs_with: [security-audit-pentest]
+        platform: [darwin, linux]
+        check: "command -v strix"
+        # Pin de supply chain (2026-08-25): versão fixa do pacote pip; o sandbox
+        # é a imagem pinada ghcr.io/usestrix/strix-sandbox:1.3.0, puxada no 1º run
+        # dentro do Docker isolado. Atualizar conscientemente.
+        install: "pipx install strix-agent==1.5.3"
+        verify: "command -v docker >/dev/null 2>&1 && docker info >/dev/null 2>&1"
 
   analyst:
     agent: wizz-agent-analyst
@@ -445,16 +411,7 @@ areas:
       - id: inicio-de-projeto
         when: "Kickoff LEVE de engenharia: stack, personas, glossário, princípios, estrutura de pastas, checklist. Atalho sem cerimônia de PRD."
       - id: implementation-planner
-        when: "Plano técnico de implementação de site/app premium pós-direção aprovada."
-    mcps:
-      - id: exa
-        when: "Pesquisa web/prior-art durante planejamento (web search, descoberta de fontes)."
-        server:
-          command: npx
-          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-          args: ["-y", "exa-mcp-server@3.2.1"]
-          env:
-            EXA_API_KEY: "${EXA_API_KEY}"
+        when: "Plano técnico de implementação de site/app premium pós-direção aprovada. Pesquisa web/prior-art durante o planejamento usa a tool nativa WebSearch (sem custo/MCP metered — o MCP exa foi removido em 2026-08-25)."
 
   memoria:
     agent: wizz-memoria
@@ -484,8 +441,8 @@ mcp_utility:
     when: "Docs atualizadas de qualquer lib/framework/SDK (React, Next, Prisma, Tailwind...). Útil em todo dev."
     server:
       command: npx
-      # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
-      args: ["-y", "@upstash/context7-mcp@3.2.2"]
+      # Pin de supply chain (2026-08-23): versão fixa; atualizar conscientemente.
+      args: ["-y", "@upstash/context7-mcp@4.0.3"]
 
 # ─────────────────────────────────────────────────────────────────────────────
 # CLIs — ferramentas de linha de comando que os agentes chamam direto (não são
@@ -523,16 +480,17 @@ cli_utility:
     # --version` só testava que rodava). Agora `check` volta a ser só
     # presença/versão (roda e imprime o número); a COMPARAÇÃO semver contra
     # min_version é feita pelo installer (detectClis), não em shell.
-    min_version: 0.43.0
+    min_version: 0.45.0
     check: "rtk --version"
-    # Pin de supply chain (2026-07-07): tag v0.43.0 (antes: branch master)
-    # Checksum do install.sh nesta tag (2026-07-07): sha256
+    # Pin de supply chain (2026-08-23): tag v0.45.0 (antes: v0.43.0)
+    # Checksum do install.sh nesta tag (2026-08-23): sha256
     # d6eb73a772903e13ff34ee1be8a8b24e896ba9a978f20d2279a08b4083ea6f77
+    # (install.sh idêntico ao v0.43.0 — mesmo checksum.)
     # (RT1: tag git pode ser movida à força; o checksum trava o conteúdo real
     # que será executado, não só o nome da tag. Verificado com `shasum -c`
     # antes do `sh`; se a tag mudar de conteúdo, o install aborta em vez de
     # rodar script desconhecido.)
-    install: "curl -fsSL https://raw.githubusercontent.com/rtk-ai/rtk/refs/tags/v0.43.0/install.sh -o /tmp/rtk-install-v0.43.0.sh && echo 'd6eb73a772903e13ff34ee1be8a8b24e896ba9a978f20d2279a08b4083ea6f77  /tmp/rtk-install-v0.43.0.sh' | shasum -a 256 -c - && sh /tmp/rtk-install-v0.43.0.sh"
+    install: "curl -fsSL https://raw.githubusercontent.com/rtk-ai/rtk/refs/tags/v0.45.0/install.sh -o /tmp/rtk-install-v0.45.0.sh && echo 'd6eb73a772903e13ff34ee1be8a8b24e896ba9a978f20d2279a08b4083ea6f77  /tmp/rtk-install-v0.45.0.sh' | shasum -a 256 -c - && sh /tmp/rtk-install-v0.45.0.sh"
 
 # ─────────────────────────────────────────────────────────────────────────────
 # SQUADS — painéis consultivos de personas (rodam via wizz-party-mode).

package/src/bmm-skills/3-solutioning/wizz-generate-project-context/project-context-template.md

@@ -4,6 +4,7 @@ user_name: '{{user_name}}'
 date: '{{date}}'
 sections_completed: ['technology_stack']
 existing_patterns_found: { { number_of_patterns_discovered } }
+stage: '{{project_stage}}' # prototype|mvp|production|maintenance
 ---
 
 # Project Context for AI Agents
@@ -12,6 +13,10 @@ _This file contains critical rules and patterns that AI agents must follow when
 
 ---
 
+## Estado do Projeto
+
+_Documented after discovery phase (estágio atual, o que está no ar, o que falta)_
+
 ## Technology Stack & Versions
 
 _Documented after discovery phase_

package/src/bmm-skills/3-solutioning/wizz-generate-project-context/steps/step-01-discover.md

@@ -38,7 +38,18 @@ First, check if project context already exists:
 - If exists: Read complete file to understand existing rules
 - Present to user: "Found existing project context with {number_of_sections} sections. Would you like to update this or create a new one?"
 
-### 2. Discover Project Technology Stack
+### 2. Determine Project Stage
+
+Infer the project's lifecycle stage from repo signals before going deeper:
+
+- No deploy config, few commits, scaffolding only → likely `prototype`
+- Deployed but still shaping core flows, no monitoring/CI → likely `mvp`
+- CI/CD, monitoring, error tracking, real users → likely `production`
+- Low commit velocity, mostly fixes/deps → likely `maintenance`
+
+Present the inferred stage and confirm with the user: "Pelos sinais do repo, este projeto parece estar em **{{inferred_stage}}**. Confere?" Use the confirmed value for `stage:` in the frontmatter.
+
+### 3. Discover Project Technology Stack
 
 Load and analyze project files to identify technologies:
 
@@ -61,7 +72,7 @@ Load and analyze project files to identify technologies:
 - Linting and formatting configs (.eslintrc, .prettierrc, etc.)
 - Testing configurations (jest.config.js, vitest.config.ts, etc.)
 
-### 3. Identify Existing Code Patterns
+### 4. Identify Existing Code Patterns
 
 Search through existing codebase for patterns:
 
@@ -85,7 +96,7 @@ Search through existing codebase for patterns:
 - Documentation requirements
 - README and API doc patterns
 
-### 4. Extract Critical Implementation Rules
+### 5. Extract Critical Implementation Rules
 
 Look for rules that AI agents might miss:
 
@@ -117,7 +128,7 @@ Look for rules that AI agents might miss:
 - PR review requirements
 - Deployment procedures
 
-### 5. Initialize Project Context Document
+### 6. Initialize Project Context Document
 
 Based on discovery, create or update the context document:
 
@@ -131,7 +142,7 @@ Initialize frontmatter fields.
 Load existing context and prepare for updates
 Set frontmatter `sections_completed` to track what will be updated
 
-### 6. Present Discovery Summary
+### 7. Present Discovery Summary
 
 Report findings to user:
 

package/src/bmm-skills/3-solutioning/wizz-generate-project-context/steps/step-03-complete.md

@@ -77,6 +77,10 @@ _This file contains critical rules and patterns that AI agents must follow when
 
 ---
 
+## Estado do Projeto
+
+{{stage_and_current_status}}
+
 ## Technology Stack & Versions
 
 {{concise_technology_list}}
@@ -196,6 +200,7 @@ sections_completed:
 status: 'complete'
 rule_count: { { total_rules } }
 optimized_for_llm: true
+stage: '{{project_stage}}' # prototype|mvp|production|maintenance
 ---
 ```
 

package/src/bmm-skills/4-implementation/wizz-retrospective/customize.toml

@@ -30,7 +30,9 @@ activation_steps_append = []
 #   - a file reference prefixed with `file:`, e.g. "file:{project-root}/docs/standards.md"
 #     (glob patterns are supported; the file's contents are loaded and treated as facts).
 
-persistent_facts = []
+persistent_facts = [
+  "file:{project-root}/**/project-context.md",
+]
 
 # Scalar: executed at the end of Phase 5 (Close), after the retrospective
 # document is saved and sprint-status is updated. Override wins.

package/src/bmm-skills/4-implementation/wizz-sprint-planning/customize.toml

@@ -30,7 +30,9 @@ activation_steps_append = []
 #   - a file reference prefixed with `file:`, e.g. "file:{project-root}/docs/standards.md"
 #     (glob patterns are supported; the file's contents are loaded and treated as facts).
 
-persistent_facts = []
+persistent_facts = [
+  "file:{project-root}/**/project-context.md",
+]
 
 # Scalar: executed when the workflow reaches its final step,
 # after sprint-status.yaml is generated and validated. Override wins.

package/src/modules/wizz/_shared/encerramento.md

@@ -1,11 +1,15 @@
 # Protocolo de Encerramento Wizz
 
+**Antes de montar o bloco:** confira o entregável contra o brief original. Faltou algo? Liste em `⚠️ Não coberto`. Se está tudo coberto, não adicione essa linha.
+
 Toda vez que você terminar uma tarefa ou explicar um serviço, encerre **exatamente** neste formato. Linguagem fácil, frases curtas, em PT-BR. Sem jargão.
 
 ```
 ✅ O que fiz
 <1 a 2 frases simples, como se explicasse para um cliente>
 
+⚠️ Não coberto: <itens> (só quando houver diff contra o brief original)
+
 ➡️ Próximo passo
 <qual agente chamar OU o que fazer agora>
 
@@ -34,3 +38,21 @@ Se preferir já partir pro código, chame o wizz-agent-dev.
 🎯 Comando: /wizz:designer
 💾 Quer que eu salve a estrutura no cerebro?
 ```
+
+## Marcador de decisão (telemetria, opt-in)
+
+Em todo pedido **roteado** (não em conversa trivial), adicione **1 linha extra** no fim da resposta, depois do bloco acima:
+
+```
+🧭 {"rota":"agent:designer","sel":["canvas-design"],"desc":[["hyperframes","carrossel é estático não vídeo"]],"gate":"ok","repetiria":true}
+```
+
+Formato exato — objeto JSON plano numa única linha, sem quebras:
+
+- `rota`: `"agent:<area>"`, `"maestro"` ou `"flat:<skill>"` — quem de fato tratou o pedido.
+- `sel`: array com os ids das skills/agentes selecionados.
+- `desc`: array de `[id_descartado, "motivo em até 6 palavras"]` — o que você considerou e não usou, e por quê.
+- `gate`: string curta com o resultado do gate aplicado (ex: `"ok"`, `"pulado"`, `"bloqueado"`).
+- `repetiria`: bool — self-eval mínima: se recebesse este pedido de novo, faria a mesma escolha?
+
+Isso é telemetria de decisão: um hook de evento Stop lê o transcript e appenda o marcador num log local, opt-in via `WIZZ_TRACE=1` (sem isso, o hook nem toca em disco). Custo: ~30-60 tokens de output, 0 de input. Não emita em conversa trivial.

package/src/modules/wizz/agents/wizz-designer/SKILL.md

@@ -29,7 +29,7 @@ Você é o Designer do Wizz. Cria interfaces e landing pages de alto nível, mos
 
 Para cada tarefa, **entre pela porta certa via a ferramenta `Skill`** e traga o resultado em linguagem fácil:
 - Decidir ANTES de construir (brief, direção visual, caminho de motion/3D) → `decision-maker` (puxa taste-skill, motion-3d-director)
-- Criar/melhorar UI (landing, design system, componente, polish) → `ui-ux-pro-max` (puxa premium-landing-ui-researcher, ui-component-curator, impeccable, taste-redesign, huashu-design, react-components)
+- Criar/melhorar UI (landing, design system, componente, polish) → `ui-ux-pro-max` (puxa premium-landing-ui-researcher, ui-component-curator, impeccable, taste-skill, huashu-design, react-components)
 - Executar animação e gerar mídia → `animate` (puxa design-motion-principles, remotion-best-practices, canvas-design, algorithmic-art)
 
 Sempre **mostre o visual/plano antes do código**. Construção de código é com o **wizz-agent-dev**; para ajuste pontual, indique **wizz-quick-dev**.