wizz-method 1.19.0 → 2.1.0

package/src/skills-lib/{signup-flow-cro → wizz-signup-flow-cro}/evals/evals.json

@@ -1,5 +1,5 @@
 {
-  "skill_name": "signup-flow-cro",
+  "skill_name": "wizz-signup-flow-cro",
   "evals": [
     {
       "id": 1,

package/src/skills-lib/{site-architecture → wizz-site-architecture}/SKILL.md

@@ -1,6 +1,6 @@
 ---
-name: site-architecture
-description: When the user wants to plan, map, or restructure their website's page hierarchy, navigation, URL structure, or internal linking. Also use when the user mentions "sitemap," "site map," "visual sitemap," "site structure," "page hierarchy," "information architecture," "IA," "navigation design," "URL structure," "breadcrumbs," "internal linking strategy," "website planning," "what pages do I need," "how should I organize my site," or "site navigation." Use this whenever someone is planning what pages a website should have and how they connect. NOT for XML sitemaps (that's technical SEO — see seo-audit). For SEO audits, see seo-audit. For structured data, see schema-markup.
+name: wizz-site-architecture
+description: When the user wants to plan, map, or restructure their website's page hierarchy, navigation, URL structure, or internal linking. Also use when the user mentions "sitemap," "site map," "visual sitemap," "site structure," "page hierarchy," "information architecture," "IA," "navigation design," "URL structure," "breadcrumbs," "internal linking strategy," "website planning," "what pages do I need," "how should I organize my site," or "site navigation." Use this whenever someone is planning what pages a website should have and how they connect. NOT for XML sitemaps (that's technical SEO — see wizz-seo-audit). For SEO audits, see wizz-seo-audit. For structured data, see wizz-schema-markup.
 metadata:
   version: 1.1.0
 ---
@@ -349,9 +349,9 @@ Mermaid diagram showing page relationships and navigation zones. Use `graph TD`
 
 ## Related Skills
 
-- **content-strategy**: For planning what content to create and topic clusters
-- **programmatic-seo**: For building SEO pages at scale with templates and data
-- **seo-audit**: For technical SEO, on-page optimization, and indexation issues
-- **page-cro**: For optimizing individual pages for conversion
-- **schema-markup**: For implementing breadcrumb and site navigation structured data
-- **competitor-alternatives**: For comparison page frameworks and URL patterns
+- **wizz-content-strategy**: For planning what content to create and topic clusters
+- **wizz-programmatic-seo**: For building SEO pages at scale with templates and data
+- **wizz-seo-audit**: For technical SEO, on-page optimization, and indexation issues
+- **wizz-page-cro**: For optimizing individual pages for conversion
+- **wizz-schema-markup**: For implementing breadcrumb and site navigation structured data
+- **wizz-competitor-alternatives**: For comparison page frameworks and URL patterns

package/src/skills-lib/{site-architecture → wizz-site-architecture}/evals/evals.json

@@ -1,5 +1,5 @@
 {
-  "skill_name": "site-architecture",
+  "skill_name": "wizz-site-architecture",
   "evals": [
     {
       "id": 1,

package/src/skills-lib/{social-content → wizz-social-content}/SKILL.md

@@ -1,6 +1,6 @@
 ---
-name: social-content
-description: "When the user wants help creating, scheduling, or optimizing social media content for LinkedIn, Twitter/X, Instagram, TikTok, Facebook, or other platforms. Also use when the user mentions 'LinkedIn post,' 'Twitter thread,' 'social media,' 'content calendar,' 'social scheduling,' 'engagement,' 'viral content,' 'what should I post,' 'repurpose this content,' 'tweet ideas,' 'LinkedIn carousel,' 'social media strategy,' or 'grow my following.' Use this for any social media content creation, repurposing, or scheduling task. For broader content strategy, see content-strategy."
+name: wizz-social-content
+description: "When the user wants help creating, scheduling, or optimizing social media content for LinkedIn, Twitter/X, Instagram, TikTok, Facebook, or other platforms. Also use when the user mentions 'LinkedIn post,' 'Twitter thread,' 'social media,' 'content calendar,' 'social scheduling,' 'engagement,' 'viral content,' 'what should I post,' 'repurpose this content,' 'tweet ideas,' 'LinkedIn carousel,' 'social media strategy,' or 'grow my following.' Use this for any social media content creation, repurposing, or scheduling task. For broader content strategy, see wizz-content-strategy."
 metadata:
   version: 1.1.0
 ---
@@ -272,7 +272,7 @@ Instead of guessing, analyze what's working for top creators in your niche:
 
 ## Related Skills
 
-- **copywriting**: For longer-form content that feeds social
-- **launch-strategy**: For coordinating social with launches
-- **email-sequence**: For nurturing social audience via email
-- **marketing-psychology**: For understanding what drives engagement
+- **wizz-copywriting**: For longer-form content that feeds social
+- **wizz-launch-strategy**: For coordinating social with launches
+- **wizz-email-sequence**: For nurturing social audience via email
+- **wizz-marketing-psychology**: For understanding what drives engagement

package/src/skills-lib/{social-content → wizz-social-content}/evals/evals.json

@@ -1,5 +1,5 @@
 {
-  "skill_name": "social-content",
+  "skill_name": "wizz-social-content",
   "evals": [
     {
       "id": 1,

package/src/skills-lib/wizz-supabase-postgres-best-practices/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Supabase
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/src/skills-lib/{supabase-postgres-best-practices → wizz-supabase-postgres-best-practices}/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: supabase-postgres-best-practices
+name: wizz-supabase-postgres-best-practices
 description: Postgres performance optimization and best practices from Supabase. Use this skill when writing, reviewing, or optimizing Postgres queries, schema designs, or database configurations. Use when the user asks about missing indexes, connection pooling, RLS performance, N+1 queries, or Postgres/Supabase schema design.
 license: MIT
 metadata:

package/src/skills-lib/{taste-skill → wizz-taste-skill}/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: taste-skill
+name: wizz-taste-skill
 description: Anti-slop frontend skill for landing pages, portfolios, and redesigns or audits of existing sites and apps. The agent reads the brief, infers the right design direction, and ships interfaces that do not look templated. On an existing project it audits the current design first, identifies generic AI patterns, lists every problem found, and prioritizes fixes without breaking functionality, working with any CSS framework or vanilla CSS. Real design systems when applicable, audit-first on redesigns, strict pre-flight check. Use when building, redesigning, or auditing a landing page, portfolio, or marketing site, or when upgrading an existing site or app that looks generic or AI-generated. Detailed rules live in references/, loaded on demand.
 ---
 
@@ -58,7 +58,7 @@ This skill is NOT for:
 * Data tables (use TanStack Table or AG Grid).
 * Multi-step forms / wizards (use Form-specific patterns; this skill won't make them better).
 * Code editors (use Monaco / CodeMirror with their official skinning).
-* Native mobile (use Apple HIG / Material directly).
+* Native mobile (use Apple HIG / Material directly; the optional external `apple-design` skill, registry `areas.designer.clis`, covers reviewing against the Apple HIG).
 * Realtime collab UIs (presence, cursors, OT-aware - different problem class).
 
 If the brief is one of the above, **say so explicitly**, point to the right tool, and only apply this skill's marketing-page / about-page / landing-page parts to the surfaces where they apply.

package/src/skills-lib/{tracking-audit → wizz-tracking-audit}/SKILL.md

@@ -1,6 +1,6 @@
 ---
-name: tracking-audit
-description: Auditoria e diagnóstico de rastreamento de resposta direta em dois modos. Modo implantação valida pixel, CAPI, domínio verificado, eventos priorizados, template de UTM com ID, repasse do parâmetro nativo pelo checkout, higiene de nomenclatura e compra-teste por caminho. Modo diagnóstico lê as transições do funil contra a régua, separa problema de medição de problema de conversão e diz qual transição está furando. Use quando alguém perguntar "por que a venda não bate com o gerenciador", "onde está furando o funil", "meu pixel está certo?", "as UTMs estão corretas?", "o tráfego orgânico está inflado", "qual dado falta pra eu decidir", ou antes de subir campanha nova. NÃO use para desenhar plano de medição de SaaS/produto (use analytics-tracking), para decidir bid e orçamento (use paid-ads) nem para criar a oferta (use wizz-offer-forge).
+name: wizz-tracking-audit
+description: Auditoria e diagnóstico de rastreamento de resposta direta em dois modos. Modo implantação valida pixel, CAPI, domínio verificado, eventos priorizados, template de UTM com ID, repasse do parâmetro nativo pelo checkout, higiene de nomenclatura e compra-teste por caminho. Modo diagnóstico lê as transições do funil contra a régua, separa problema de medição de problema de conversão e diz qual transição está furando. Use quando alguém perguntar "por que a venda não bate com o gerenciador", "onde está furando o funil", "meu pixel está certo?", "as UTMs estão corretas?", "o tráfego orgânico está inflado", "qual dado falta pra eu decidir", ou antes de subir campanha nova. NÃO use para desenhar plano de medição de SaaS/produto (use wizz-analytics-tracking), para decidir bid e orçamento (use wizz-paid-ads) nem para criar a oferta (use wizz-offer-forge).
 ---
 
 # Tracking Audit
@@ -13,7 +13,7 @@ A skill faz duas coisas e nada além: **valida o que foi instalado** e **diz ond
 
 Benchmark sem origem é chute. Antes de qualquer análise, resolva de onde vêm os números, nesta ordem:
 
-1. **Skill `lowticket-metodologia` instalada?** Se sim, ela tem precedência. Leia a entrada de diagnóstico de funil no INDEX dela e use os benchmarks de lá. Declare na resposta: "régua: metodologia low ticket".
+1. **Skill `wizz-lowticket-metodologia` instalada?** Se sim, ela tem precedência. Leia a entrada de diagnóstico de funil no INDEX dela e use os benchmarks de lá. Declare na resposta: "régua: metodologia low ticket".
 2. **O projeto tem histórico próprio?** Trinta dias de dados reais do mesmo público valem mais que qualquer benchmark de mercado. Use a mediana do próprio histórico como linha de base.
 3. **Nenhum dos dois?** Peça ao usuário. Não invente faixa, não use número de memória, não cite benchmark sem dizer de onde saiu.
 
@@ -64,15 +64,15 @@ Feche com **PENDÊNCIAS**: o que não deu para verificar e o que precisa de aces
 
 ## Ferramentas
 
-- Inspeção de página: CLI `agent-browser`. Nunca Playwright.
+- Inspeção de página: CLI `wizz-agent-browser`. Nunca Playwright.
 - Nada mais é obrigatório. A auditoria funciona lendo print e página.
 
 ## Quando delegar
 
 | Situação | Vai para |
 |---|---|
-| O furo é a página (LCP, mobile, blocos) | `page-cro` |
-| O furo é o criativo | `ad-creative` |
-| O furo é bid, orçamento ou estrutura de campanha | `paid-ads` |
-| Precisa desenhar medição de produto ou SaaS | `analytics-tracking` |
+| O furo é a página (LCP, mobile, blocos) | `wizz-page-cro` |
+| O furo é o criativo | `wizz-ad-creative` |
+| O furo é bid, orçamento ou estrutura de campanha | `wizz-paid-ads` |
+| Precisa desenhar medição de produto ou SaaS | `wizz-analytics-tracking` |
 | A oferta em si não fecha | `wizz-offer-forge` |

package/src/skills-lib/{tracking-audit → wizz-tracking-audit}/references/modo-implantacao.md

@@ -8,7 +8,7 @@ Régua: leia o Passo 0 do `SKILL.md` antes. Sem régua declarada, o relatório s
 
 | Verificar | Como | Reprova quando |
 |---|---|---|
-| Página abre no mobile real | `agent-browser` em viewport de celular | Layout quebra ou bloco some |
+| Página abre no mobile real | `wizz-agent-browser` em viewport de celular | Layout quebra ou bloco some |
 | Tempo até o conteúdo principal | PageSpeed Insights, aba mobile | Fora da meta declarada pela régua do projeto |
 | Redirect | Abrir o link do anúncio sem encurtador no meio | Qualquer salto extra ou loop |
 | SSL | Cadeado e certificado válido no domínio final | Aviso do navegador |

package/src/skills-lib/{ui-component-curator → wizz-ui-component-curator}/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: ui-component-curator
+name: wizz-ui-component-curator
 description: analyze an existing frontend project, infer its visual style and product tone, then research and recommend compatible UI components and effects from public component catalogs, registries and source repositories. use when the user wants help choosing components, effects, sections, or visual patterns that fit an existing project — especially hero effects, cards, buttons, testimonials, pricing sections, navigation, or any interactive pattern. trigger whenever the user wants to add a UI element and wants Claude to study the project first before suggesting options. always inspect the codebase and exact component sources, provide evidence and plan before editing.
 ---
 

package/src/skills-lib/{ui-ux-pro-max → wizz-ui-ux-pro-max}/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: ui-ux-pro-max
+name: wizz-ui-ux-pro-max
 description: "UI/UX design intelligence. 67 styles, 96 palettes, 57 font pairings, 25 charts, 13 stacks (React, Next.js, Vue, Svelte, SwiftUI, React Native, Flutter, Tailwind, shadcn/ui). Actions: plan, build, create, design, implement, review, fix, improve, optimize, enhance, refactor, check UI/UX code. Projects: website, landing page, dashboard, admin panel, e-commerce, SaaS, portfolio, blog, mobile app, .html, .tsx, .vue, .svelte. Elements: button, modal, navbar, sidebar, card, table, form, chart. Styles: glassmorphism, claymorphism, minimalism, brutalism, neumorphism, bento grid, dark mode, responsive, skeuomorphism, flat design. Topics: color palette, accessibility, animation, layout, typography, font pairing, spacing, hover, shadow, gradient. Integrations: shadcn/ui MCP for component search and examples. Use when the user asks to design, build, or review UI/UX, pick a color palette or font pairing, or style a component like a button, modal, navbar, or card."
 ---
 # UI/UX Pro Max - Design Intelligence
@@ -21,10 +21,10 @@ Reference these guidelines when:
 
 Before producing UI code, inspect the existing project and choose the research skill:
 
-- New landing page or a full page composition: invoke `skill:premium-landing-ui-researcher` for source research and section planning.
-- A component or effect in an existing project: invoke `skill:ui-component-curator` to inspect compatible candidates.
-- Existing UI polish only: invoke `skill:impeccable`; invoke `skill:taste-skill` when a redesign direction is needed.
-- HTML prototype/visual variants: invoke `skill:huashu-design`. Stitch-to-React conversion: invoke `skill:react-components`.
+- New landing page or a full page composition: invoke `skill:wizz-premium-landing-ui-researcher` for source research and section planning.
+- A component or effect in an existing project: invoke `skill:wizz-ui-component-curator` to inspect compatible candidates.
+- Existing UI polish only: invoke `skill:wizz-impeccable`; invoke `skill:wizz-taste-skill` when a redesign direction is needed.
+- HTML prototype/visual variants: invoke `skill:wizz-huashu-design`. Stitch-to-React conversion: invoke `skill:wizz-react-components`.
 
 The local Python database below recommends design tokens and patterns; it does **not** search the web, inspect component source code, or prove that a component exists. For component research, require exact demo/source URLs, inspected files or registry items, revision/date, license, dependencies and a fit decision. Continue with an available public source if one fails; state any unverified result. Do not claim research based only on the database output.
 

package/src/skills-lib/{web-security → wizz-web-security}/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: web-security
+name: wizz-web-security
 description: >
   Revisar segurança de apps web. Usar quando: auditar vulnerabilidades, antes de deploy/PR, implementar auth,
   adicionar endpoint de API, lidar com input de usuário, configurar headers, CSP, rate limiting, CORS, clickjacking,
@@ -26,8 +26,8 @@ As que mais aparecem numa auditoria, com a correção direta. Use como triagem r
 | 8 | Extração por paginação (base inteira registro a registro) | 🟠 Alta | Filtrar por dono na query + limite de página + detecção de varredura | `references/headers-rate-limit-cors.md` |
 | 9 | CORS refletindo o `Origin` | 🟠 Alta | Allowlist de origens, nunca ecoar o `Origin` recebido | `references/headers-rate-limit-cors.md` |
 | 10 | PII/dado demais na resposta (até hash de senha) | 🟠 Alta | Retornar só os campos necessários (allowlist de saída) | `references/headers-rate-limit-cors.md` |
-| 11 | JWT na URL / token vivo pós-logout | 🟠 Alta | Token no header `Authorization` + revogar no logout | skill `auth-and-secrets` |
-| 12 | Enumeração de usuário (erro revela se e-mail existe) | 🟡 Média | Mensagem genérica + resposta em tempo constante | skill `auth-and-secrets` |
+| 11 | JWT na URL / token vivo pós-logout | 🟠 Alta | Token no header `Authorization` + revogar no logout | skill `wizz-auth-and-secrets` |
+| 12 | Enumeração de usuário (erro revela se e-mail existe) | 🟡 Média | Mensagem genérica + resposta em tempo constante | skill `wizz-auth-and-secrets` |
 | 13 | Clickjacking (sem header) | 🟡 Média (1 min) | `X-Frame-Options: DENY` + CSP `frame-ancestors 'none'` | `references/headers-rate-limit-cors.md` |
 
 > As quatro primeiras (SQLi, IDOR, mass assignment e RLS permissiva) são **parada de linha**: apareceu, corrige antes de qualquer coisa.

package/src/skills-lib/{web-security → wizz-web-security}/references/headers-rate-limit-cors.md

@@ -53,7 +53,7 @@ async headers() {
 - Endpoints de cobrança (checkout, portal): sempre com rate limit
 - Next.js: `@upstash/ratelimit` no route handler, ou WAF da Vercel para regras por rota
 - Fail closed: se o backend do rate limit cair (ex: Redis fora), rotas de escrita devem negar a request, não deixar passar
-- Comparações de token/secret: `crypto.timingSafeEqual`, nunca `!==` (detalhe em auth-and-secrets)
+- Comparações de token/secret: `crypto.timingSafeEqual`, nunca `!==` (detalhe em wizz-auth-and-secrets)
 - Sem rate limit = brute force de graça. Somar lockout/CAPTCHA após N falhas no login
 
 ### Origem do IP atrás de proxy/CDN

package/tools/fetch-assets.mjs

@@ -4,11 +4,15 @@
 // Por que existe: `huashu-design/assets/**/*.mp3` (~30MB) e
 // `canvas-design/canvas-fonts/**/*.ttf` (~5.5MB) inflavam o pacote npm em
 // ~73%, mas só são necessários no primeiro uso real de export de vídeo
-// (BGM/SFX) ou de uma variante de fonte específica. Fonte de verdade dos BGM
-// é o GitHub Release assets-v1 (fora do git e do tarball desde o P2 da
-// auditoria 360°); os SFX pequenos e as fontes seguem no git. Este script baixa o
-// bundle certo, no lugar certo, verificando sha256 (mesmo espírito do pin
-// com checksum do rtk — nunca extrai um bundle adulterado).
+// (BGM/SFX) ou de uma variante de fonte específica. Fonte de verdade dos
+// bundles é o host público de assets da Wizz! comms. (Cloudflare Workers com
+// assets estáticos, ASSETS_BASE abaixo; saiu do GitHub Releases em 2026-09-12
+// porque o repo virou privado e o download passaria a exigir token); os SFX
+// pequenos e as fontes seguem no git. Este script baixa o bundle certo, no
+// lugar certo, verificando sha256 (mesmo espírito do pin com checksum do rtk
+// — nunca extrai um bundle adulterado). Um bundle pode vir em `parts` (o host
+// limita cada arquivo a 25 MiB): todas as partes são baixadas e verificadas
+// antes de qualquer extração.
 //
 // Uso:
 //   node tools/fetch-assets.mjs <bundle> [--dest <dir>] [--force]
@@ -35,24 +39,34 @@ const __filename = fileURLToPath(import.meta.url);
 const __dirname = path.dirname(__filename);
 const PACKAGE_ROOT = path.resolve(__dirname, '..');
 
-const RELEASE_BASE = 'https://github.com/wizzcomms/wizz-method/releases/download/assets-v1';
+export const ASSETS_BASE = 'https://wizz-assets.junior-aec.workers.dev';
 
 // Fonte única dos bundles conhecidos. `dest` é relativo ao root do pacote
 // (repo em dev, node_modules/wizz-method quando instalado via npm — a mesma
 // árvore src/skills-lib/ existe nos dois casos). `marker` é um arquivo que só
-// existe depois de extraído com sucesso; presença dele = cache hit.
+// existe depois de extraído com sucesso; presença dele = cache hit (num bundle
+// em `parts`, o marker mora na ÚLTIMA parte, senão um download interrompido
+// no meio contaria como cache).
 export const BUNDLES = {
   'huashu-audio': {
-    url: `${RELEASE_BASE}/huashu-audio.tar.gz`,
-    sha256: 'd20ddaefb7fd560837dec8d57ae8698ee51ef553d61a1367f0491183c613129f',
-    dest: 'src/skills-lib/huashu-design/assets',
+    parts: [
+      {
+        url: `${ASSETS_BASE}/huashu-audio-1.tar.gz`,
+        sha256: 'a575040a0341ac77a9135dffbba176891def1d9fb8599fddd659cc773a671b9e',
+      },
+      {
+        url: `${ASSETS_BASE}/huashu-audio-2.tar.gz`,
+        sha256: '6f739cae53b5eb7935a6372fbdc85c1cab47cef80310074e39989122e169c4d9',
+      },
+    ],
+    dest: 'src/skills-lib/wizz-huashu-design/assets',
     marker: 'bgm-ad.mp3',
-    description: '6 trilhas BGM + SFX (huashu-design/assets/**/*.mp3, ~27MB)',
+    description: '6 trilhas BGM + SFX (huashu-design/assets/**/*.mp3, ~27MB em 2 partes)',
   },
   'canvas-fonts': {
-    url: `${RELEASE_BASE}/canvas-fonts.tar.gz`,
+    url: `${ASSETS_BASE}/canvas-fonts.tar.gz`,
     sha256: '7ac839f1dee2883b8e9a7022f246cfece4e203a2fd6ea23c81a5ffa49b812396',
-    dest: 'src/skills-lib/canvas-design/canvas-fonts',
+    dest: 'src/skills-lib/wizz-canvas-design/canvas-fonts',
     marker: 'Outfit-Regular.ttf',
     description: '~54 variantes de fonte (canvas-design/canvas-fonts/*.ttf, ~2.5MB)',
   },
@@ -124,42 +138,52 @@ function isCached(destDir, marker) {
  *
  * @returns {Promise<{ cached: boolean }>}
  */
-export async function fetchBundle({ url, sha256, dest, marker, force = false }) {
+export async function fetchBundle({ url, sha256, parts, dest, marker, force = false }) {
   const destDir = path.isAbsolute(dest) ? dest : path.join(PACKAGE_ROOT, dest);
+  const partList = Array.isArray(parts) && parts.length > 0 ? parts : [{ url, sha256 }];
 
   if (!force && isCached(destDir, marker)) {
     return { cached: true, dest: destDir };
   }
 
-  const tmpFile = path.join(os.tmpdir(), `wizz-fetch-assets-${crypto.randomBytes(6).toString('hex')}.tar.gz`);
+  // Baixa e verifica TODAS as partes antes de extrair qualquer uma: uma parte
+  // corrompida ou fora do ar nunca deixa o destino meio preenchido.
+  const tmpFiles = [];
+  const cleanup = () => {
+    for (const f of tmpFiles) fs.rmSync(f, { force: true });
+  };
   try {
-    await download(url, tmpFile);
-  } catch (error) {
-    fs.rmSync(tmpFile, { force: true });
-    if (isNetworkError(error)) {
-      throw new FetchAssetsError(
-        `Sem conexão para baixar o asset (${error.code || error.message}).\n` +
-          `  Baixe manualmente: ${url}\n` +
-          `  E extraia em: ${destDir}`,
-        { cause: error },
-      );
-    }
-    throw error;
-  }
+    for (const part of partList) {
+      const tmpFile = path.join(os.tmpdir(), `wizz-fetch-assets-${crypto.randomBytes(6).toString('hex')}.tar.gz`);
+      tmpFiles.push(tmpFile);
+      try {
+        await download(part.url, tmpFile);
+      } catch (error) {
+        if (isNetworkError(error)) {
+          throw new FetchAssetsError(
+            `Sem conexão para baixar o asset (${error.code || error.message}).\n` +
+              `  Baixe manualmente: ${partList.map((p) => p.url).join('\n                    ')}\n` +
+              `  E extraia em: ${destDir}`,
+            { cause: error },
+          );
+        }
+        throw error;
+      }
 
-  const actualSha256 = await sha256File(tmpFile);
-  if (actualSha256 !== sha256) {
-    fs.rmSync(tmpFile, { force: true });
-    throw new FetchAssetsError(
-      `sha256 não confere para ${url}\n  esperado: ${sha256}\n  obtido:   ${actualSha256}\n` +
-        `Download abortado, nada foi extraído (bundle pode estar corrompido ou adulterado).`,
-    );
-  }
+      const actualSha256 = await sha256File(tmpFile);
+      if (actualSha256 !== part.sha256) {
+        throw new FetchAssetsError(
+          `sha256 não confere para ${part.url}\n  esperado: ${part.sha256}\n  obtido:   ${actualSha256}\n` +
+            `Download abortado, nada foi extraído (bundle pode estar corrompido ou adulterado).`,
+        );
+      }
+    }
 
-  try {
-    extractTarGz(tmpFile, destDir);
+    for (const tmpFile of tmpFiles) {
+      extractTarGz(tmpFile, destDir);
+    }
   } finally {
-    fs.rmSync(tmpFile, { force: true });
+    cleanup();
   }
 
   return { cached: false, dest: destDir };
@@ -175,6 +199,7 @@ async function fetchNamedBundle(name, { dest, force } = {}) {
   return fetchBundle({
     url: bundle.url,
     sha256: bundle.sha256,
+    parts: bundle.parts,
     dest: dest || bundle.dest,
     marker: bundle.marker,
     force,

package/tools/hooks/README.md

@@ -0,0 +1,22 @@
+# Hooks (fonte de verdade)
+
+Os hooks do Claude Code usados pelo Wizz Method vivem AQUI e são instalados em
+`~/.claude/hooks/` via `npm run sync:global`. Nunca edite a cópia global direto:
+ela é substituída no próximo sync.
+
+| Hook                            | Evento             | O que faz                                                                                                                                                                                                                                                                                                                                                                                                                           |
+| ------------------------------- | ------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `wizz-router-enforce.js`        | UserPromptSubmit   | Gate `isTrivial()` + injeção curta: em projeto Wizz (`_wizz/`) manda delegar direto ao maestro/agente da área (sem router); fora, manda pro `wizz-router`.                                                                                                                                                                                                                                                                          |
+| `session-rules.js`              | SessionStart       | Duas coisas num processo só: injeta as regras de comunicação 1x por sessão (antes era por prompt) e resolve a FEATURE ATIVA sozinho (branch git > `_wizz/bmm/config.yaml` > nada), para ninguém precisar invocar `wizz-set-feature`. Branch de tronco e de release não viram feature; sem feature a linha não é emitida (custo zero). A feature também é o `tema` da memória.                                                       |
+| `security-defensive-context.js` | PreToolUse (Skill) | Metodologia defensiva/escopada ao invocar skills de segurança. Genérico por projeto (v2).                                                                                                                                                                                                                                                                                                                                           |
+| `rtk-rewrite.sh`                | PreToolUse (Bash)  | Reescreve comandos de shell via `rtk rewrite` (token economy). Fork local do hook gerado pelo instalador upstream do rtk, com 3 patches (auditoria 2026-07-07, C4/RT1; e 2026-09-11, RT-H3): reescrita linha a linha em comando multi-linha (o binário só reescrevia a 1ª linha), timeout interno por linha (`RTK_HOOK_TIMEOUT`, default 3s) que não depende do `timeout`/`gtimeout` do GNU coreutils, e cache do version-guard (`RTK_CACHE_TTL_SECONDS`, default 1h, em `${XDG_CACHE_HOME:-$HOME/.cache}/wizz/rtk-version`) pra não rodar `rtk --version` a cada `Bash` tool call da sessão. Requer `rtk` + `jq` no PATH; fail-open em ambos (e no cache: ilegível/corrompido/expirado recomputa em silêncio). |
+
+Removidos em 2026-07 (arquivados em `~/.claude/hooks-archive/`):
+`no-narration-enforce.js` (absorvido pelo session-rules) e `vault-reminder.js`.
+
+Testes: `npm run test:hooks` (isTrivial + contexto por modo), `npm run test:feature-context` (resolução da feature ativa: tronco não vira feature, branch ganha do config, silêncio quando não há feature) e `node test/test-rtk-hook.js` (rewrite básico + multi-linha do `rtk-rewrite.sh`, smoke test que exercita o binário `rtk` real quando disponível, e o cache do version-guard: criado na 1ª chamada e reusado na 2ª, TTL expirado força recompute, path do binário mudou invalida, cache corrompido não quebra e se auto-cura).
+Evals de roteamento: `node evals/routing/run-routing-eval.mjs [--llm]`.
+
+Drift repo ↔ global: `npm run sync:check` compara hash de cada hook (e skill) entre o repo e `~/.claude`, sem escrever nada — é lembrete (fail-open), não gate; roda no fim do `npm test`. Achou drift? `npm run sync:global` atualiza `~/.claude`.
+
+Registro por projeto (RT-C1, item 3): o installer copia estes hooks para `_wizz/hooks/` de cada projeto instalado e registra a chamada em `.claude/settings.json` do projeto, via merge puro em `tools/installer/core/hooks-settings.js`. Antes de registrar, ele lê o `settings.json` GLOBAL do usuário (`~/.claude/settings.json`, ou o path apontado por `WIZZ_GLOBAL_SETTINGS_FILE` quando definido) e pula qualquer hook nosso que já esteja registrado lá no mesmo evento, para não rodar o mesmo hook 2x numa máquina onde o mantenedor já fez o registro global (decisão do dono, 2026-09-11). Settings global ausente ou com JSON inválido não filtra nada.