wizz-method 1.3.2 → 1.4.1

package/src/skills-lib/taste-skill/references/redesign-protocol.md

@@ -0,0 +1,52 @@
+> taste-skill reference file. Loaded on demand from the SKILL.md index.
+> Cross-references like "Section N" map to sibling files via the index table in ../SKILL.md.
+
+## 11. REDESIGN PROTOCOL
+
+This skill handles **greenfield builds AND redesigns**. Misclassifying the mode is the single biggest source of bad redesign output.
+
+### 11.A Detect the Mode (first action)
+* **Greenfield** - no existing site, or full overhaul approved. Dial baseline from Section 1.
+* **Redesign - Preserve** - modernise without breaking the brand. Audit first, extract brand tokens, evolve gradually.
+* **Redesign - Overhaul** - new visual language on top of existing content. Treat as greenfield for visuals; preserve content and IA.
+
+If ambiguous, ask **once**: *"Should this redesign preserve the existing brand, or are we starting visually from scratch?"*
+
+### 11.B Audit Before Touching
+Document the current state before proposing changes:
+* **Brand tokens** - primary / accent colors, type stack, logo treatment, radii.
+* **Information architecture** - page tree, primary nav, key conversion paths.
+* **Content blocks** - what exists, what's doing work, what's filler.
+* **Patterns to preserve** - signature interactions, recognisable hero, copy voice.
+* **Patterns to retire** - AI-slop tells, broken layouts, dead links, generic stock imagery, perf traps.
+* **Dial reading of the existing site** - infer current `DESIGN_VARIANCE` / `MOTION_INTENSITY` / `VISUAL_DENSITY`. That's your starting point, not the baseline.
+* **SEO baseline** - current ranking pages, meta titles, structured data, OG cards. **SEO migration is the #1 redesign risk.**
+
+### 11.C Preservation Rules
+* **Do not change information architecture** unless asked. Keep page slugs, anchor IDs, primary nav labels stable for SEO and muscle memory.
+* **Extract brand colors before applying Section 4.2.** A brand that is already purple stays purple - apply the LILA RULE's override.
+* **Preserve copy voice** unless asked for a rewrite. Visual modernisation ≠ content rewrite.
+* **Honor existing accessibility wins.** Do not regress focus states, alt text, keyboard nav, contrast.
+* **Respect existing analytics events.** Do not rename buttons, form fields, section IDs that downstream tracking depends on.
+
+### 11.D Modernisation Levers (priority order)
+Apply in order - stop when the brief is satisfied:
+1. **Typography refresh** - biggest visual lift per unit of risk.
+2. **Spacing & rhythm** - increase section padding, fix vertical rhythm.
+3. **Color recalibration** - desaturate, unify neutrals, keep brand accent.
+4. **Motion layer** - add `MOTION_INTENSITY`-appropriate micro-interactions to existing components.
+5. **Hero & key-section recomposition** - restructure top-of-funnel using Section 10 vocabulary.
+6. **Full block replacement** - only when the existing block is unsalvageable.
+
+### 11.E Decision Tree: Targeted Evolution vs Full Redesign
+* IA, content, and SEO sound → **targeted evolution** (Levers 1-4). ~70% of value at ~40% of risk.
+* Visual debt is structural (broken IA, no design system, broken mobile) → **full redesign** with strict content preservation.
+* Brand itself is changing → **greenfield**.
+
+### 11.F What Never Changes Silently
+Never modify without explicit user approval:
+* URL structure / route slugs.
+* Primary nav labels.
+* Form field names or order (breaks analytics + autofill).
+* Brand logo or wordmark.
+* Existing legal / consent / cookie copy.

package/src/skills-lib/web-security/SKILL.md

@@ -2,16 +2,55 @@
 name: web-security
 description: >
   Revisar segurança de apps web. Usar quando: auditar vulnerabilidades, antes de deploy/PR, implementar auth,
-  adicionar endpoint de API, lidar com input de usuário, configurar headers, CSP, rate limiting, OWASP Top 10.
-  Inclui checklist das 8 vulnerabilidades mais comuns e exemplos para stack Next.js + Supabase + Clerk.
+  adicionar endpoint de API, lidar com input de usuário, configurar headers, CSP, rate limiting, CORS, clickjacking,
+  IDOR, SQL injection, vazamento de PII/dados na resposta, enumeração de usuário, OWASP Top 10.
+  Inclui triagem de falhas recorrentes de pentest + checklist das 8 vulnerabilidades e exemplos para Next.js + Supabase + Clerk.
 ---
 
 # Web Security (OWASP Top 10)
 
+## Falhas recorrentes em pentest (rankeadas por severidade)
+
+As que mais aparecem numa auditoria, com a correção direta. Use como triagem rápida.
+
+| # | Falha | Severidade | Correção | Onde |
+|---|-------|-----------|----------|------|
+| 1 | SQL Injection | 🔴 Crítica (parada de linha) | Query parametrizada / query-builder, nunca interpolar string | seção 3 |
+| 2 | IDOR (recurso por ID sem checar dono) | 🔴 Crítica (parada de linha) | Validar posse do recurso no servidor a cada request | seção 1 |
+| 3 | Rate limit ausente (brute force grátis) | 🟠 Alta | Limite por IP **e** por conta + lockout/CAPTCHA no login | Rate Limiting |
+| 4 | CORS refletindo o `Origin` | 🟠 Alta | Allowlist de origens, nunca ecoar o `Origin` recebido | CORS |
+| 5 | PII/dado demais na resposta (até hash de senha) | 🟠 Alta | Retornar só os campos necessários (allowlist de saída) | Vazamento na resposta |
+| 6 | JWT na URL / token vivo pós-logout | 🟠 Alta | Token no header `Authorization` + revogar no logout | auth-and-secrets |
+| 7 | Enumeração de usuário (erro revela se e-mail existe) | 🟡 Média | Mensagem genérica + resposta em tempo constante | auth-and-secrets |
+| 8 | Clickjacking (sem header) | 🟡 Média (1 min) | `X-Frame-Options: DENY` + CSP `frame-ancestors 'none'` | Headers |
+
+> As duas primeiras (SQLi e IDOR) são **parada de linha**: apareceu, corrige antes de qualquer coisa.
+
 ## 1. Broken Access Control
 - Verifique permissões no servidor, nunca apenas no frontend
 - IDOR (Insecure Direct Object Reference): valide se o usuário tem acesso ao recurso pelo ID
 - Princípio do menor privilégio em todas as rotas
+- Next.js: middleware não é a única barreira. Re-verifique auth dentro do route handler, Server Action ou página (bypass de middleware já teve CVE)
+
+Exemplo anti-IDOR (Next.js + Clerk + Supabase):
+```ts
+// app/api/projects/[id]/route.ts
+import { auth } from "@clerk/nextjs/server"
+
+export async function GET(req: Request, { params }: { params: Promise<{ id: string }> }) {
+  const { userId } = await auth()
+  if (!userId) return new Response("Unauthorized", { status: 401 })
+  const { id } = await params
+  const { data } = await supabase
+    .from("projects")
+    .select("id, name")
+    .eq("id", id)
+    .eq("user_id", userId) // posse verificada na query, além do RLS
+    .single()
+  if (!data) return new Response("Not found", { status: 404 }) // 404, não 403 (não confirma que o recurso existe)
+  return Response.json(data)
+}
+```
 
 ## 2. Cryptographic Failures
 - HTTPS em tudo, sem exceção
@@ -25,6 +64,8 @@ description: >
 
 ## 4. Cross-Site Scripting (XSS)
 - Escape HTML em todo output de dado do usuário
+- React/Next.js escapa JSX por padrão. O risco real está em `dangerouslySetInnerHTML`: sanitize antes com DOMPurify (ou não use)
+- URLs vindas do usuário em `href`/`src`: bloqueie esquemas `javascript:` e `data:` (valide que começa com `https://` ou caminho relativo)
 - Content-Security-Policy: bloqueie inline scripts
 - HttpOnly e Secure flags nos cookies de sessão
 
@@ -34,8 +75,11 @@ description: >
 - Verifique Origin/Referer em requests sensíveis
 
 ## Headers de segurança obrigatórios
+
+`X-Frame-Options: DENY` + `frame-ancestors 'none'` no CSP mata **clickjacking** (o site não pode ser embutido em `<iframe>` de outro domínio). Fix de 1 minuto, sempre presente.
+
 ```
-Content-Security-Policy: default-src 'self'
+Content-Security-Policy: default-src 'self'; frame-ancestors 'none'
 X-Frame-Options: DENY
 X-Content-Type-Options: nosniff
 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
@@ -75,11 +119,35 @@ async headers() {
 > **Cuidado:** CSP errada quebra o app. Teste sempre em dev antes de subir. Ajuste os domínios (`script-src`, `connect-src`) conforme os serviços reais do projeto.
 
 ## Rate Limiting
-- Login: máximo 5 tentativas por minuto por IP
+- Login: limite por IP **e** por conta (só por IP não segura brute force distribuído; só por conta não segura scan de vários e-mails)
 - APIs públicas: limite por IP e por token
 - Endpoints de reset de senha: especialmente restritivos
 - Endpoints de cobrança (checkout, portal): sempre com rate limit
-- Comparações de token/secret: use `crypto.timingSafeEqual` (nunca `!==`)
+- Next.js: `@upstash/ratelimit` no route handler, ou WAF da Vercel para regras por rota
+- Fail closed: se o backend do rate limit cair (ex: Redis fora), rotas de escrita devem negar a request, não deixar passar
+- Comparações de token/secret: `crypto.timingSafeEqual`, nunca `!==` (detalhe em auth-and-secrets)
+- Sem rate limit = brute force de graça. Somar lockout/CAPTCHA após N falhas no login
+
+## CORS
+- **Nunca reflita o header `Origin` recebido** de volta em `Access-Control-Allow-Origin` (isso libera qualquer site a chamar sua API com credenciais)
+- Use uma **allowlist explícita** de origens: compare o `Origin` recebido contra a lista e só então ecoe o valor exato daquela origem
+- `Access-Control-Allow-Credentials: true` NUNCA junto de `Access-Control-Allow-Origin: *`
+- Padrão = negar: origem desconhecida → sem headers CORS (o browser bloqueia sozinho)
+```ts
+const ALLOWED = new Set(["https://app.exemplo.com", "https://exemplo.com"])
+const origin = req.headers.get("origin")
+if (origin && ALLOWED.has(origin)) {
+  res.headers.set("Access-Control-Allow-Origin", origin) // valor exato, nunca "*" com credentials
+  res.headers.set("Vary", "Origin")
+}
+```
+
+## Vazamento de dados na resposta (over-fetch / PII)
+- Retorne **só os campos que a tela precisa**: monte um DTO/allowlist de saída, nunca devolva a row inteira do banco
+- NUNCA inclua `password`, `password_hash`, tokens, secrets ou colunas internas na resposta de API (é a falha mais grave da lista de PII)
+- Supabase: `.select('id, name, email')` explícito, nunca `.select('*')` em endpoint que responde ao cliente
+- Objeto do usuário logado: serialize por um mapper que só expõe campos públicos
+- Erros: não vaze stack trace, SQL nem nome de tabela pro cliente. Mensagem genérica no response, detalhe só no log do servidor
 
 ---
 
@@ -110,7 +178,7 @@ Usar como auditoria rápida antes de deploy ou revisão de segurança.
 - [ ] Endpoints de cobrança (checkout, portal Stripe) têm rate limit?
 - [ ] Endpoints que disparam operações caras/externas têm rate limit?
 - [ ] Endpoints de admin têm rate limit + comparação timing-safe?
-- [ ] Rotas de escrita de estado usam `failOpen: false`?
+- [ ] Rotas de escrita de estado falham fechado se o rate limiter cair? (ex: `failOpen: false` na lib)
 
 ### 5. Content Security Policy
 - [ ] Header `Content-Security-Policy` configurado? (`next.config.ts` `headers()` ou middleware)

package/src/skills-lib/wizz-router/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: wizz-router
-description: "OBRIGATÓRIO: invoque ANTES de agir em qualquer pedido não-trivial — feature, bug, design, marketing, SEO, infra, refactor, audit, review (amplo OU específico). Só pule em edições triviais de 1 linha (typo, rename) e conversa pura. Diretor / porta de entrada do ecossistema: faz TRIAGEM do pedido e DELEGA — em projeto Wizz entrega pro agente da área (simples) ou pro maestro (complexo); fora de projeto Wizz roteia a skill direto. Não orquestra (isso é o maestro). Gatilho especial: 'auditoria 360°'."
+description: "OBRIGATÓRIO: invoque ANTES de agir em qualquer pedido não-trivial — feature, bug, design, marketing, SEO, infra, refactor, audit, review (amplo OU específico). Só pule em edições triviais de 1 linha (typo, rename) e conversa pura. Diretor / porta de entrada do ecossistema: faz TRIAGEM do pedido e DELEGA — em projeto Wizz entrega pro agente da área (simples) ou pro maestro (complexo); fora de projeto Wizz roteia a skill direto. Não orquestra (isso é o maestro). Use quando qualquer pedido de trabalho chega. Gatilho especial: 'auditoria 360°'."
 ---
 
 # Wizz Router — Diretor / Porta de Entrada
@@ -8,268 +8,46 @@ description: "OBRIGATÓRIO: invoque ANTES de agir em qualquer pedido não-trivia
 <EXTREMELY-IMPORTANT>
 ## Regra de Invocação — NÃO NEGOCIÁVEL
 
-Esta skill DEVE ser invocada ANTES de qualquer ação em pedidos não-triviais.
+Invoque esta skill ANTES de agir em pedidos não-triviais (feature, bug, design, marketing, SEO, infra, refactor, audit, review, integração, configuração — amplo OU específico).
 
-**Obrigatório:** feature, bug, design, marketing, SEO, infra, refactor, audit, review, nova funcionalidade, otimização, integração, configuração — AMPLO OU ESPECÍFICO.
+**Exceção única:** edições de 1 linha (typo, rename) e conversa pura.
 
-**Exceção única:** edições de 1 linha (typo, rename simples) e conversa pura.
-
-**Proibido racionalizar:** "este pedido é muito específico", "já sei o que fazer", "é só um ajuste rápido" — estas frases são sinais de que você está prestes a pular o router. NÃO faça isso.
-
-**Fora do Plan Mode:** liste as candidatas via AskUserQuestion e aguarde confirmação ANTES de disparar. Nunca auto-dispare fora do Plan Mode, nem as skills de Prioridade 1.
-
-**Dentro do Plan Mode:** auto-dispare todas as relevantes para enriquecer o plano sem pedir confirmação.
+**Fora do Plan Mode:** liste candidatas via `AskUserQuestion` e aguarde confirmação ANTES de disparar. Nunca auto-dispare fora do Plan Mode.
+**Dentro do Plan Mode:** auto-dispare todas as relevantes para enriquecer o plano.
 </EXTREMELY-IMPORTANT>
 
-Você é o **Diretor / porta de entrada** do ecossistema — não o orquestrador (esse é o `wizz-maestro`). Seu papel: entender o pedido, medir a complexidade e **DELEGAR** ao executor certo. Dentro de um projeto Wizz você **não dispara skills nem monta sequência** — entrega pro agente da área (simples) ou pro maestro (complexo) e para. Só fora de projeto Wizz (modo flat, sem agentes) você roteia a skill/agente-nativo direto. Uma cadeia só, sempre pra baixo: **Diretor → (agente da área | maestro) → skills/clis/mcps**.
-
-## Passo 0: Economia de tokens (SEMPRE PRIMEIRO)
-
-Antes de qualquer coisa, verifique se o RTK está ativo:
-
-```bash
-rtk --version
-```
-
-Se o comando falhar ou RTK não for encontrado, avise o usuário:
-> "⚠️ RTK (Rust Token Killer) não detectado. Para economizar 60-90% de tokens em comandos, instale: ver ~/.claude/RTK.md para instruções."
-
-Se RTK estiver disponível: confirme internamente e prossiga. O hook `~/.claude/hooks/rtk-rewrite.sh` (PreToolUse) já reescreve comandos automaticamente.
-
-**Preferência de leitura de código:** Antes de ler arquivos crus, prefira:
-1. `/graphify query "..."` — knowledge graph do projeto (menos tokens que leitura linear)
-2. `/cerebro ver` — decisões e contexto já registrados
-3. `grep` com padrão específico — antes de `Read` em arquivos grandes
+Você é o **Diretor / porta de entrada** — não o orquestrador (esse é o `wizz-maestro`). Papel: entender o pedido, medir complexidade e **DELEGAR**. Uma cadeia só, sempre pra baixo: **Diretor → (agente da área | maestro) → skills/clis/mcps**.
 
-## Passo 1: Detectar modo de disparo
+**Economia de tokens:** o hook `rtk-rewrite.sh` já cuida do RTK automaticamente (não rode `rtk --version` a cada roteamento). Antes de ler arquivos crus, prefira `/graphify query`, `/cerebro ver`, ou `grep` específico.
 
-**Dentro do Plan Mode:** auto-dispare TODAS as skills relevantes (Prioridade 1 e 2) SEM pedir permissão. O objetivo é enriquecer o plano com máxima qualidade.
+## Triagem e delegação (o coração do Diretor)
 
-**Fora do Plan Mode:** SEMPRE siga o fluxo lista candidatas → confirma → dispara aprovadas. Isso inclui skills de Prioridade 1 — nunca auto-dispare fora do Plan Mode. O usuário tem controle total sobre o que é disparado.
-
-## Passo 2: Analisar o pedido
-
-Classifique a intenção principal. Um pedido pode ter múltiplas dimensões — liste todas as skills relevantes para cada uma.
-
-## Passo 2.5: Triagem e delegação (o coração do Diretor)
-
-Primeiro descubra o contexto: **existe projeto Wizz?** (`{project-root}/_wizz/` presente).
+Descubra o contexto: **existe `{project-root}/_wizz/`?**
 
 ### A) Dentro de projeto Wizz — você DELEGA, nunca executa
 
 Avalie os 4 fatores de complexidade (sinal compartilhado com `wizz-maestro` e `wizz-quick-dev`):
 
-1. **Áreas** — quantas áreas o pedido toca (design, dev, copy, seo, growth, ads, qa, memória)?
-2. **Passos** — pontual, ou multi-passo?
-3. **Planejamento** — dá pra ir direto, ou precisa planejar antes?
+1. **Áreas** — quantas áreas toca (design, dev, copy, seo, growth, ads, qa, memória)?
+2. **Passos** — pontual ou multi-passo?
+3. **Planejamento** — direto, ou precisa planejar antes?
 4. **Artefato + memória** — gera entregável que merece registro no cerebro?
 
-**Regra de dispatch (decisiva):**
-
-- **2+ ÁREAS, OU 2+ fatores altos → entregue pro `wizz-maestro`.** Ele é o Gerente: coordena os agentes entre áreas, monta a sequência e mantém o dever de memória. Invoque-o via `Skill` e **pare aqui**.
-- **1 área e leve (0–1 fatores altos) → entregue pro AGENTE daquela área.** Descubra a área no `skills-registry.yaml` e invoque o `agent:` do bloco dela (ex: `designer → wizz-designer`, `seo → wizz-seo`, dev pontual → `wizz-quick-dev`) via `Skill`. **Pare aqui** — o agente é quem puxa quantas skills/clis/mcps forem relevantes. Você **não** dispara skills soltas.
-
-> Por quê: um agente de área só cobre a área dele. 2+ áreas exigem coordenação entre agentes = trabalho do maestro. 1 área basta o agente daquela área.
-
-### B) Fora de projeto Wizz (modo flat) — aí sim você roteia direto
-
-Não há agentes wizz nem maestro. Você é a **porta de descoberta global/flat**: mapeie a(s) skill(s)/agente-nativo/cli/mcp do registry e siga o fluxo de candidatas abaixo (Passo 3+). Se nada cobrir, `find-skills` (Passo 5).
-
-## Passo 3: Apresentar candidatas (fora do Plan Mode)
-
-Use `AskUserQuestion` para apresentar as skills encontradas e perguntar quais disparar:
-
-```
-Encontrei X skills relevantes para seu pedido:
-
-[ ] skill-1 — descrição curta
-[ ] skill-2 — descrição curta
-[ ] skill-3 — descrição curta
-
-Quais você quer que eu dispare? (pode selecionar todas)
-```
-
-## Passo 4: Disparar as aprovadas
-
-Invoque cada skill aprovada usando a ferramenta `Skill`. Execute em paralelo quando as skills forem independentes entre si.
-
-## Passo 5: Fallback — skill OU MCP faltante
-
-Se nenhuma skill/MCP instalado mapear o pedido, primeiro **classifique o que falta**:
-- Precisa SABER COMO (conhecimento/fluxo) → falta uma **skill**.
-- Precisa AGIR num sistema externo (rodar SQL, dirigir browser, gerir ads, docs de lib) → falta um **MCP**.
-
-1. Declare: "Não tenho [skill|MCP] instalado para [intenção]."
-2. Invoque `find-skills` (cobre os dois caminhos):
-   - **Skill:** `npx skills find <termo>` → apresente 2-3 candidatas com fonte.
-   - **MCP:** cheque `claude mcp list`; consulte os MCPs recomendados no `skills-registry.yaml` (`mcps:`/`mcp_utility:`); proponha `claude mcp add <id> -- <cmd>`.
-3. Proponha a instalação e peça confirmação:
-   ```
-   Skill: npx skills add <pkg> — descrição
-   MCP:   claude mcp add <id> -- npx -y <pacote> — descrição
-   Instalo?
-   ```
-4. Se aprovado: instale e tente rotear de novo. Secrets sempre via env/placeholder, nunca token real.
-
----
-
-## Tabela de Roteamento
-
-### Área Técnica — Backend / Dados / Infra
-
-| Intenção / palavras-chave | Skills a oferecer | Prioridade |
-|---|---|---|
-| Banco lento, queries, índices, N+1, sharding, connection pool | `database-scaling` + `database-reviewer` | 1 |
-| Cache, Redis, filas, BullMQ, SQS, Kafka, job assíncrono | `caching-and-queues` | 1 |
-| Kubernetes, auto-scaling, CDN, capacidade, SLO, load test | `infrastructure` | 1 |
-| Cloud spend, custo de infra, right-sizing, AWS/GCP billing | `cloud-and-infra` | 1 |
-| Auth, secrets, tokens, OAuth, JWT, Clerk, permissões | `auth-and-secrets` + `security-reviewer` | 1 |
-| Dependências, packages, vulnerabilidades, npm audit | `database-and-deps` | 2 |
-| Segurança, XSS, CSRF, injeção, OWASP, rate limit, headers | `web-security` + `security-reviewer` + `auth-and-secrets` | 1 |
-| Desktop, Electron, contextIsolation, code signing | `desktop-security` | 2 |
-
-### Área Técnica — Código e Qualidade
+**Regra de dispatch:**
 
-| Intenção / palavras-chave | Skills a oferecer | Prioridade |
-|---|---|---|
-| Revisar código, code review, qualidade, refatorar | `code-reviewer` (agente nativo) | 1 |
-| Novo feature, bug fix, TDD, testes, cobertura | `tdd-guide` (agente nativo) | 1 |
-| Build quebrado, erros de TypeScript, lint, CI | `build-error-resolver` (agente nativo) | 1 |
-| Arquitetura, design de sistema, decisão técnica | `architect` (agente nativo) | 1 |
-| Fluxo crítico, E2E, testes de ponta a ponta | `e2e-runner` (agente nativo) | 2 |
-| Dead code, limpeza, refactoring, knip | `refactor-cleaner` (agente nativo) | 2 |
-| SQL, schema, migrations, Supabase, RLS, performance de queries | `database-reviewer` (agente nativo) | 1 |
-| Segunda opinião, revisão crítica adversarial | `adversarial-reviewer` | 2 |
-| Plano técnico, breakdown de tasks, handoff de dev | `implementation-planner` | 2 |
-| Novo projeto, iniciar app, ponto de partida, onboarding dev | `inicio-de-projeto` | 1 |
+- **2+ ÁREAS, OU 2+ fatores altos → `wizz-maestro`.** Ele é o Gerente: coordena agentes entre áreas, monta a sequência, mantém o dever de memória. Invoque via `Skill` e **pare aqui**.
+- **1 área e leve (0–1 fatores altos) → o AGENTE daquela área.** Ache a área no `skills-registry.yaml` e invoque o `agent:` do bloco (ex: `designer → wizz-designer`, `seo → wizz-seo`, dev pontual → `wizz-quick-dev`). **Pare aqui** — o agente puxa as skills/clis/mcps. Você **não** dispara skills soltas.
 
-### Área de Design e UI
+> Um agente de área só cobre a área dele. 2+ áreas exigem coordenação = trabalho do maestro.
 
-| Intenção / palavras-chave | Skills a oferecer | Prioridade |
-|---|---|---|
-| Design, UI, visual, componente, estilo, paleta, tipografia, sistema de design | `ui-ux-pro-max` + `ui-component-curator` | 1 |
-| Landing page, hero, motion, animação 3D, conversão, CRO visual | `premium-landing-ui-researcher` | 1 |
-| Qualidade de design, anti-slop, gosto visual, estética, olhar crítico | `taste-skill` (se instalada) | 1 |
-| Regras de frontend, código UI determinístico, 44 regras, audit de frontend | `impeccable` (se instalada) | 2 |
-| Design system HTML-native, filosofia visual, review 5-dim, export MP4 | `huashu-design` (se instalada) | 2 |
-| Animação, motion, vídeo programático em código, Remotion, Three.js, 3D, WebGL | `motion-3d-director` + `remotion-best-practices` | 1 |
-| Renderizar vídeo de HTML/CSS (HTML→MP4, agent-native) | CLI `hyperframes` (registry designer; `npx skills add heygen-com/hyperframes`) | 2 |
-| **Editar/cortar vídeo** (cortes, selects, roughcut) | CLI `buttercut` (registry designer; **só Apple Silicon**, clone-and-run no projeto, deps pesadas) | 1 |
-| Gerar vídeo-ad/imagem por IA (Sora/Veo/Kling) + publicar Meta | CLI `arcads` (registry `ads`; git clone + Arcads API key) | 1 |
-| Analisar/entender vídeo existente (frames + transcrição) | CLI `claude-video` (registry designer; `npx skills add bradautomates/claude-video`) | 2 |
-| Narração / voz / TTS / clonagem de voz para vídeo | CLI `voicebox` (registry designer; app local com endpoint MCP) | 2 |
-| Componentes prontos via Magic (21st.dev) | Use diretamente: `mcp__magic__21st_magic_component_inspiration` / `mcp__magic__21st_magic_component_builder` | 1 |
+### B) Fora de projeto Wizz (modo flat) — aí você roteia direto
 
-### Área de Marketing / Growth
-
-| Intenção / palavras-chave | Skills a oferecer | Prioridade |
-|---|---|---|
-| Ideias de marketing, estratégia de marketing, posicionamento | `marketing-ideas` + `marketing-psychology` + `product-marketing-context` | 1 |
-| Paid ads, anúncios, Google Ads, Meta Ads, TikTok Ads, mídia paga | `paid-ads` + `ad-creative` + `analytics-tracking` + **MCP meta-ads** | 1 |
-| Gestão de campanha Meta/Facebook/Instagram via API real | **MCP meta-ads** (`mcp-meta-ads`) direto | 1 |
-| Lançamento de feature, lançamento de produto, go-to-market | `launch-strategy` + `social-content` + `email-sequence` | 1 |
-| Preço, planos, pricing, monetização | `pricing-strategy` + `paywall-upgrade-cro` | 1 |
-| Churn, retenção, cancelamento, NPS | `churn-prevention` + `revops` | 1 |
-| Conversão de página, CRO, otimização de funil | `page-cro` + `copywriting` + `form-cro` | 1 |
-| Signup, onboarding, ativação de usuário | `signup-flow-cro` + `onboarding-cro` | 1 |
-| SEO, Google, busca, AI search, LLM SEO | `seo-audit` + `ai-seo` + `schema-markup` + `programmatic-seo` + `site-architecture` | 1 |
-| Comparativo vs concorrente, alternatives page, war room | `competitor-alternatives` | 2 |
-| Conteúdo, social media, newsletter, threads | `content-strategy` + `social-content` + `copy-editing` | 2 |
-| Cold email, outbound B2B, prospecção | `cold-email` | 2 |
-| Referral, indicação, programa de afiliados | `referral-program` | 2 |
-| Material de vendas, pitch, deck, proposta | `sales-enablement` | 2 |
-| Ferramenta grátis de captação de leads | `free-tool-strategy` | 2 |
-| A/B test, variações, experimentos de conversão | `ab-test-setup` + `analytics-tracking` | 2 |
-| Copywriting, copy, persuasão, texto de venda | `copywriting` + `humanizer` | 1 |
-| Pesquisa de mercado, inteligência competitiva | agentes nativos: `market-research` / `deep-research` | 2 |
-
-### Área de Metodologia / Processo de Desenvolvimento
-
-A metodologia é o **Wizz Method** (fork do BMAD personalizado em PT-BR, em `agencywizz/wizz-method`). Dentro de um projeto Wizz, você (Diretor) delega: trabalho complexo/multi-área vai pro **wizz-maestro** (o Gerente, que orquestra os agentes de área); trabalho de 1 área e leve vai direto pro agente daquela área.
-
-| Intenção / palavras-chave | Trilha | Observação |
-|---|---|---|
-| Multi-área, novo projeto, sprint, PRD, fases | **wizz-maestro** (Gerente) | Orquestra a sequência entre agentes de área |
-| 1 área e leve (ajuste pontual, 1 skill) | **agente da área** (`agent:` do bloco no registry; dev pontual → `wizz-quick-dev`) | O agente puxa as skills/clis/mcps da área |
-
-O Wizz Method já absorve brainstorming, planejamento, TDD, fases/checkpoints e verificação (via BMAD) + roteamento para as skills globais. Não há trilhas alternativas a oferecer.
-
-### Contexto e Memória
-
-| Intenção / palavras-chave | Skills a oferecer | Prioridade |
-|---|---|---|
-| O que foi decidido, contexto passado, aprendizados, histórico | `cerebro` (/ver ou /dia) | 1 |
-| Entender o codebase, mapear estrutura do projeto | `/graphify query` (antes de ler arquivos) | 1 |
-
----
+Não há agentes wizz nem maestro. Você é a porta de descoberta global. Fluxo: analise a intenção (pode ter várias dimensões) → mapeie candidatas pela **[tabela de roteamento](references/routing-table-flat.md)** → fora do Plan Mode, apresente via `AskUserQuestion` e confirme → dispare as aprovadas via `Skill` (em paralelo quando independentes). Se nada cobrir, use o protocolo de **skill/MCP faltante** (no fim da mesma tabela).
 
 ## Modo Auditoria 360°
 
-**Gatilho:** "análise geral", "auditoria completa", "revisa tudo", "audita todas as áreas", "360", "/wizz-router auditoria".
-
-Ao detectar esse gatilho, apresente o menu de áreas:
-
-```
-Vou fazer uma Auditoria 360° do projeto. Escolha as áreas:
-
-[ ] 🔧 Código e Arquitetura — code-reviewer + architect
-[ ] 🔒 Segurança — web-security + security-reviewer + auth-and-secrets
-[ ] 🗄️ Banco de Dados — database-reviewer + database-and-deps
-[ ] 🎨 Design e UX — ui-ux-pro-max + premium-landing (Audit Passes)
-[ ] 📈 Growth e SEO — seo-audit + page-cro + analytics-tracking
-[ ] ⚡ Performance — database-scaling + caching-and-queues + infrastructure
-[ ] 🧠 Contexto e Decisões — cerebro (aprendizados registrados)
-
-[ ] Selecionar todas as áreas
-```
-
-Após confirmação, dispare todas as skills selecionadas em paralelo quando possível. Consolide os resultados num relatório final por área.
-
----
-
-## Skill ou MCP Faltante — Protocolo de Busca
-
-Quando nenhuma skill/MCP do ecossistema instalado cobrir o pedido, **classifique o que falta** (skill = conhecimento/fluxo; MCP = acesso real a ferramenta/API) e siga o caminho:
-
-**Falta uma SKILL:**
-
-1. **Informe:** "Não tenho skill instalada para [intenção detectada]."
-2. **Invoque `find-skills`** → `npx skills find "<termo>"`.
-3. **Apresente candidatas** com nome, fonte e breve descrição.
-4. **Proponha instalação** com confirmação: `npx skills add <nome-da-skill>`.
-5. Após instalar, tente rotear novamente.
-
-Fontes: anthropics/skills, superpowers-marketplace, skill-codex, claude-mem, skills.sh.
-
-**Falta um MCP:**
-
-1. **Informe:** "Esse pedido precisa de acesso real via MCP, que não está configurado."
-2. **Cheque o que existe:** `claude mcp list`.
-3. **Consulte o registry** (`skills-registry.yaml` → `mcps:` por área e `mcp_utility:`): o `server` (command/args/env) já vem pronto. Resolva em `{project-root}/_wizz/_config/skills-registry.yaml` ou `{project-root}/skills-registry.yaml`.
-4. **Proponha:** `claude mcp add <id> [-e VAR=$VAR] -- <command> [args]` (ou merge aditivo no `.mcp.json`). Secrets sempre via env/placeholder.
-5. Após configurar, tente rotear novamente. Se não houver MCP pronto, ofereça resolver com as ferramentas atuais.
-
-MCPs comuns no ecossistema: context7 (docs de libs), magic/21st (UI), supabase (Postgres), playwright (browser E2E), meta-ads (Meta), exa (pesquisa).
-
----
-
-## MCP meta-ads (Gestão Real de Anúncios Meta)
-
-Para paid ads em Meta/Facebook/Instagram, o MCP `mcp-meta-ads` está configurado com acesso real à API Meta Marketing:
-- Criar/editar campanhas, ad sets e ads
-- Consultar métricas de performance
-- Gerenciar criativos
-
-Combine com `paid-ads` + `ad-creative` + `analytics-tracking` para o fluxo completo.
-
-> ⚠️ O `META_ACCESS_TOKEN` está em configuração local. Nunca exponha em logs ou código commitado.
-
----
-
-## Dever de Memória (ao final do trabalho)
+Ao detectar "auditoria completa / revisa tudo / 360 / análise geral", siga **[references/auditoria-360.md](references/auditoria-360.md)**.
 
-Após bugs não-óbvios, decisões de arquitetura, armadilhas descobertas, ou correções recebidas:
-1. Registre no `CLAUDE.md` do projeto (seção "Aprendizados").
-2. Registre no Cérebro: `/cerebro decisao` ou `/cerebro salvar`.
+## Dever de Memória (ao final)
 
-Lembre o usuário se relevante ao final da sessão.
+Após bugs não-óbvios, decisões de arquitetura, armadilhas ou correções do usuário: registre no `CLAUDE.md` do projeto (seção "Aprendizados") e no Cérebro (`/cerebro decisao` ou `/cerebro salvar`). Lembre o usuário se relevante.

package/src/skills-lib/wizz-router/references/auditoria-360.md

@@ -0,0 +1,21 @@
+# Modo Auditoria 360°
+
+**Gatilho:** "análise geral", "auditoria completa", "revisa tudo", "audita todas as áreas", "360", "/wizz-router auditoria".
+
+Ao detectar o gatilho, apresente o menu de áreas via `AskUserQuestion`:
+
+```
+Vou fazer uma Auditoria 360° do projeto. Escolha as áreas:
+
+[ ] 🔧 Código e Arquitetura — code-reviewer + architect
+[ ] 🔒 Segurança — web-security + security-reviewer + auth-and-secrets
+[ ] 🗄️ Banco de Dados — database-reviewer + database-and-deps
+[ ] 🎨 Design e UX — ui-ux-pro-max + premium-landing (Audit Passes)
+[ ] 📈 Growth e SEO — seo-audit + page-cro + analytics-tracking
+[ ] ⚡ Performance — database-scaling + caching-and-queues + infrastructure
+[ ] 🧠 Contexto e Decisões — cerebro (aprendizados registrados)
+
+[ ] Selecionar todas as áreas
+```
+
+Após confirmação, dispare as skills selecionadas em paralelo (subagentes independentes) quando possível. Consolide num relatório final por área, com achados classificados por severidade e ações priorizadas por impacto × esforço.

package/src/skills-lib/wizz-router/references/routing-table-flat.md

@@ -0,0 +1,95 @@
+# Tabela de Roteamento — Modo Flat
+
+Use esta tabela **só fora de projeto Wizz** (sem `_wizz/`), quando o router mapeia skills/CLIs/MCPs direto. Dentro de projeto Wizz a delegação é decidida pela regra de dispatch no SKILL.md (maestro vs agente de área) e esta tabela não é necessária.
+
+## Área Técnica — Backend / Dados / Infra
+
+| Intenção / palavras-chave | Skills a oferecer | Prioridade |
+|---|---|---|
+| Banco lento, queries, índices, N+1, sharding, connection pool | `database-scaling` + `database-reviewer` | 1 |
+| Cache, Redis, filas, BullMQ, SQS, Kafka, job assíncrono | `caching-and-queues` | 1 |
+| Kubernetes, auto-scaling, CDN, capacidade, SLO, load test | `infrastructure` | 1 |
+| Cloud spend, custo de infra, right-sizing, AWS/GCP billing | `cloud-and-infra` | 1 |
+| Auth, secrets, tokens, OAuth, JWT, Clerk, permissões | `auth-and-secrets` + `security-reviewer` | 1 |
+| Dependências, packages, vulnerabilidades, npm audit | `database-and-deps` | 2 |
+| Segurança, XSS, CSRF, SQLi, IDOR, OWASP, rate limit, CORS, clickjacking, PII na resposta, enumeração de usuário, headers | `web-security` + `security-reviewer` + `auth-and-secrets` | 1 |
+| Desktop, Electron, contextIsolation, code signing | `desktop-security` | 2 |
+
+## Área Técnica — Código e Qualidade
+
+| Intenção / palavras-chave | Skills a oferecer | Prioridade |
+|---|---|---|
+| Revisar código, code review, qualidade, refatorar | `code-reviewer` (agente nativo) | 1 |
+| Novo feature, bug fix, TDD, testes, cobertura | `tdd-guide` (agente nativo) | 1 |
+| Build quebrado, erros de TypeScript, lint, CI | `build-error-resolver` (agente nativo) | 1 |
+| Arquitetura, design de sistema, decisão técnica | `architect` (agente nativo) | 1 |
+| Fluxo crítico, E2E, testes de ponta a ponta | `e2e-runner` (agente nativo) | 2 |
+| Dead code, limpeza, refactoring, knip | `refactor-cleaner` (agente nativo) | 2 |
+| SQL, schema, migrations, Supabase, RLS, performance de queries | `database-reviewer` (agente nativo) | 1 |
+| Segunda opinião, revisão crítica adversarial | `adversarial-reviewer` | 2 |
+| Plano técnico, breakdown de tasks, handoff de dev | `implementation-planner` | 2 |
+| Novo projeto, iniciar app, ponto de partida, onboarding dev | `inicio-de-projeto` | 1 |
+| Construir/melhorar agente ou produto de IA, escrever/revisar system prompt, persona/tom, guardrails, few-shot, chain-of-thought, orquestração multi-agente, avaliar saída de IA | `ai-product-design` | 1 |
+
+## Área de Design e UI
+
+| Intenção / palavras-chave | Skills a oferecer | Prioridade |
+|---|---|---|
+| Design, UI, visual, componente, estilo, paleta, tipografia, sistema de design | `ui-ux-pro-max` + `ui-component-curator` | 1 |
+| Landing page, hero, motion, animação 3D, conversão, CRO visual | `premium-landing-ui-researcher` | 1 |
+| Qualidade de design, anti-slop, gosto visual, estética, olhar crítico | `taste-skill` (se instalada) | 1 |
+| Regras de frontend, código UI determinístico, 44 regras, audit de frontend | `impeccable` (se instalada) | 2 |
+| Design system HTML-native, filosofia visual, review 5-dim, export MP4 | `huashu-design` (se instalada) | 2 |
+| Animação, motion, vídeo programático em código, Remotion, Three.js, 3D, WebGL | `motion-3d-director` + `remotion-best-practices` | 1 |
+| Craft de animação/micro-interação, easing, timing, reduced-motion, "essa animação travou/tá ruim" | `animate` + `design-motion-principles` | 2 |
+| Gerar imagem por código: carrossel, quote card, infográfico (PNG/PDF editável), fundo/textura generativa de hero | `canvas-design` + `algorithmic-art` | 2 |
+| Renderizar vídeo de HTML/CSS (HTML→MP4, agent-native) | CLI `hyperframes` (registry designer; `npx skills add heygen-com/hyperframes`) | 2 |
+| **Editar/cortar vídeo** (cortes, selects, roughcut) | CLI `buttercut` (registry designer; **só Apple Silicon**, clone-and-run no projeto, deps pesadas) | 1 |
+| Gerar vídeo-ad/imagem por IA (Sora/Veo/Kling) + publicar Meta | CLI `arcads` (registry `ads`; git clone + Arcads API key) | 1 |
+| Analisar/entender vídeo existente (frames + transcrição) | CLI `claude-video` (registry designer; `npx skills add bradautomates/claude-video`) | 2 |
+| Narração / voz / TTS / clonagem de voz para vídeo | CLI `voicebox` (registry designer; app local com endpoint MCP) | 2 |
+| Componentes prontos via Magic (21st.dev) | Use diretamente: `mcp__magic__21st_magic_component_inspiration` / `mcp__magic__21st_magic_component_builder` | 1 |
+
+## Área de Marketing / Growth
+
+| Intenção / palavras-chave | Skills a oferecer | Prioridade |
+|---|---|---|
+| Ideias de marketing, estratégia de marketing, posicionamento | `marketing-ideas` + `marketing-psychology` + `product-marketing-context` | 1 |
+| Paid ads, anúncios, Google Ads, Meta Ads, TikTok Ads, mídia paga | `paid-ads` + `ad-creative` + `analytics-tracking` + **MCP meta-ads** | 1 |
+| Gestão de campanha Meta/Facebook/Instagram via API real | **MCP meta-ads** (`mcp-meta-ads`) direto | 1 |
+| Lançamento de feature, lançamento de produto, go-to-market | `launch-strategy` + `social-content` + `email-sequence` | 1 |
+| Preço, planos, pricing, monetização | `pricing-strategy` + `paywall-upgrade-cro` | 1 |
+| Churn, retenção, cancelamento, NPS | `churn-prevention` + `revops` | 1 |
+| Conversão de página, CRO, otimização de funil | `page-cro` + `copywriting` + `form-cro` | 1 |
+| Signup, onboarding, ativação de usuário | `signup-flow-cro` + `onboarding-cro` | 1 |
+| SEO, Google, busca, AI search, LLM SEO | `seo-audit` + `ai-seo` + `schema-markup` + `programmatic-seo` + `site-architecture` | 1 |
+| Comparativo vs concorrente, alternatives page, war room | `competitor-alternatives` | 2 |
+| Conteúdo, social media, newsletter, threads | `content-strategy` + `social-content` + `copy-editing` | 2 |
+| Cold email, outbound B2B, prospecção | `cold-email` | 2 |
+| Referral, indicação, programa de afiliados | `referral-program` | 2 |
+| Material de vendas, pitch, deck, proposta | `sales-enablement` | 2 |
+| Ferramenta grátis de captação de leads | `free-tool-strategy` | 2 |
+| A/B test, variações, experimentos de conversão | `ab-test-setup` + `analytics-tracking` | 2 |
+| Copywriting, copy, persuasão, texto de venda | `copywriting` + `humanizer` | 1 |
+| Pesquisa de mercado, inteligência competitiva | agentes nativos: `market-research` / `deep-research` | 2 |
+
+## Contexto e Memória
+
+| Intenção / palavras-chave | Skills a oferecer | Prioridade |
+|---|---|---|
+| O que foi decidido, contexto passado, aprendizados, histórico | `cerebro` (/ver ou /dia) | 1 |
+| Entender o codebase, mapear estrutura do projeto | `/graphify query` (antes de ler arquivos) | 1 |
+
+---
+
+## Fallback — skill OU MCP faltante
+
+Quando nenhuma skill/MCP instalado cobrir o pedido, **classifique o que falta** (skill = conhecimento/fluxo; MCP = acesso real a ferramenta/API):
+
+**Falta uma SKILL:** informe → invoque `find-skills` → `npx skills find "<termo>"` → apresente 2-3 candidatas com fonte → proponha `npx skills add <pkg>` com confirmação → roteie de novo. Fontes: anthropics/skills, superpowers-marketplace, skill-codex, claude-mem, skills.sh. **Revise o SKILL.md e qualquer `scripts/` antes de instalar; prefira owners conhecidos.**
+
+**Falta um MCP:** informe → `claude mcp list` → consulte `skills-registry.yaml` (`mcps:`/`mcp_utility:`, com `server` pronto) → proponha `claude mcp add <id> [-e VAR=$VAR] -- <command> [args]`. Secrets sempre via env/placeholder, nunca token real.
+
+MCPs comuns: context7 (docs de libs), magic/21st (UI), supabase (Postgres), playwright (browser E2E), meta-ads (Meta), exa (pesquisa).
+
+Para paid ads Meta, o MCP `mcp-meta-ads` dá acesso real à API Meta Marketing (campanhas, ad sets, ads, métricas, criativos). Combine com `paid-ads` + `ad-creative` + `analytics-tracking`. O `META_ACCESS_TOKEN` vem de env local: nunca exponha em logs ou código commitado.

package/src/squads/advisory-board/agents/ray-dalio.md

@@ -565,23 +565,3 @@ relationships:
 9. **Diversify across what you don't know, concentrate on what you do know.** Most people think they're diversified when they're actually making one big bet (usually on growth). True diversification means balancing risk across all possible future environments, especially the ones you're not expecting. This is the essence of All Weather thinking.
 
 10. **Meditation is the foundation.** Before the principles, before the machines, before the economic models — there is meditation. Ray has practiced Transcendental Meditation every day since 1969. He credits it with his ability to stay calm in crises, think creatively, and maintain the equanimity required for radical open-mindedness. It is not a soft add-on to his system. It is the foundation that makes the system possible.
-
-The file has been written to `/Users/rafa/Desktop/Squads de Agentes/squads/advisory-board/agents/ray-dalio.md`.
-
-It contains a comprehensive agent definition with:
-
-- **Full persona profile** with biographical background, communication style, and greeting
-- **6 major core frameworks**, each fully expanded:
-  - **Principles Meta-Framework** (values-principles-actions structure)
-  - **5 Life Principles** with all sub-principles, the Pain + Reflection = Progress formula, ego/blind spot barriers, and the complete 5-Step Process
-  - **Idea Meritocracy** with three pillars (radical truth, radical transparency, believability-weighting) and all tools (Dot Collector, Baseball Cards, The Combinator)
-  - **Economic Machine Model** with transactions, three forces (productivity, short-term debt cycle, long-term debt cycle), deleveraging levers, and beautiful deleveraging
-  - **Changing World Order** with big cycle phases and key determinants
-  - **All Weather Portfolio** with four economic environments
-- **Management/Work Principles** organized by culture, people, and machine
-- **Views on AI** and systematic decision-making
-- **14 core principles** as direct quotes
-- **24 signature vocabulary words** and **18 signature phrases**
-- **8 commands** (principles, diagnose, machine, cycle, meritocracy, pain-reflect, portfolio, world-order)
-- **4 complementary relationships** and **3 contrasting relationships** with other advisory board agents
-- **10-point "How Ray Dalio Thinks"** section explaining his reasoning patterns