wizz-method 2.1.1 → 2.3.0

package/src/skills-lib/wizz-launch-readiness/SKILL.md

@@ -1,94 +1,94 @@
 ---
 name: wizz-launch-readiness
 description: >
-  Auditoria de prontidão pra lançamento (Pre-launch Audit), multi-área: técnico/build, segurança,
-  SEO/descoberta, analytics/medição, conteúdo/copy/prova social, legal/LGPD, infra/deploy/rollback.
-  Gate por estágio: só roda de verdade em pré-lançamento/lançamento (stage mvp/production no
-  project-context.md); em descoberta/ideação, recuse com explicação. Use quando o pedido for "tá
-  pronto pra lançar?", "auditoria de pré-lançamento", "checklist de release amplo", "o que falta
-  antes de ir pra produção", considerando o projeto inteiro (não só o site). Saída: diagnóstico
-  priorizado por severidade (vermelho bloqueia launch, laranja alto, amarelo médio, verde ok), nunca
-  correção cega. Diferente de security-audit-pentest (caça vulnerabilidade com prova de exploração)
-  e site-launch-kit (executa as 15 rodadas de UM site): esta DIAGNOSTICA o projeto inteiro e aponta
-  o executor certo por achado. Persiste o resultado numa seção datada do project-context.md.
+  Multi-area pre-launch readiness audit: technical/build, security, SEO/discoverability,
+  analytics/measurement, content/copy/social proof, legal/LGPD, infra/deploy/rollback.
+  Stage-gated: only runs for real at pre-launch/launch (stage mvp/production in
+  project-context.md); at discovery/ideation, decline with an explanation. Use when the request is "is it
+  ready to launch?", "pre-launch audit", "broad release checklist", "what's left
+  before going to production", considering the whole project (not just the site). Output: a diagnosis
+  prioritized by severity (red blocks launch, orange high, yellow medium, green ok), never
+  blind fixing. Different from security-audit-pentest (hunts vulnerabilities with proof of exploitation)
+  and site-launch-kit (executes the 15 rounds for ONE site): this DIAGNOSES the whole project and points to
+  the right fix owner per finding. Persists the result in a dated section of project-context.md.
 ---
 
-# Launch Readiness · Auditoria de Prontidão pra Lançamento
+# Launch Readiness
 
-Sete áreas de checagem, cada uma com um passe fechado: escopo único, saída padronizada, régua de corte própria. No fim, um passo de fusão consolida tudo num diagnóstico priorizado e grava o resumo no `project-context.md` do projeto.
+Seven checking areas, each a closed pass: single scope, standardized output, its own cutoff rule. At the end, a merge step consolidates everything into a prioritized diagnosis and writes the summary to the project's `project-context.md`.
 
-Não é skill de construção (isso é `wizz-premium-landing-ui-researcher` / `wizz-taste-skill` / `wizz-agent-dev`), não é a metodologia de caça a vulnerabilidade (isso é `security-audit-pentest`) e não executa as 15 rodadas corretivas de site (isso é `site-launch-kit`): aqui é diagnóstico amplo, com prioridade, pra decidir se dá pra lançar.
+This is not a build skill (that's `wizz-premium-landing-ui-researcher` / `wizz-taste-skill` / `wizz-agent-dev`), not the vulnerability-hunting methodology (that's `security-audit-pentest`), and it doesn't execute the 15 corrective rounds for a site (that's `site-launch-kit`): this is a broad, prioritized diagnosis to decide whether it's ready to launch.
 
-## Gate por estágio (ler ANTES de rodar)
+## Stage gate (read BEFORE running)
 
-Leia o estágio do projeto: `grep -m1 '^stage:' {project-root}/**/project-context.md` (fail-open, igual ao router/maestro).
+Read the project's stage: `grep -m1 '^stage:' {project-root}/**/project-context.md` (fail-open, same as the router/maestro).
 
-- **`mvp` ou `production`:** rode a auditoria completa. É exatamente pra isso que a skill existe.
-- **`prototype` ou sem arquivo `project-context.md`:** pare antes de rodar. Responda que o projeto ainda está cedo demais pra uma auditoria de lançamento (nada ou quase nada construído pra auditar) e aponte o caminho certo pra esse estágio: `wizz-inicio-de-projeto`, `wizz-forge-idea` ou `wizz-decision-maker` pra definir o produto primeiro. Só prossiga se o usuário insistir explicitamente, e nesse caso avise que os achados vão vir cheios de PENDÊNCIA por falta de superfície construída.
-- **`maintenance`:** normalmente não é o caso de uso (produto já lançado, rodando). Só faz sentido se o pedido for sobre uma NOVA leva saindo do zero (feature grande, novo produto dentro do mesmo repo): confirme isso antes de rodar; senão, aponte `security-audit-pentest` (pentest periódico) ou o modo "Auditoria 360°" do `wizz-router` (auditoria ampla de codebase já em produção, não é sobre um evento de lançamento).
+- **`mvp` or `production`:** run the full audit. This is exactly what the skill exists for.
+- **`prototype` or no `project-context.md` file:** stop before running. Reply that the project is still too early for a launch audit (little or nothing built yet to audit) and point to the right path for this stage: `wizz-inicio-de-projeto`, `wizz-forge-idea`, or `wizz-decision-maker` to define the product first. Only proceed if the user explicitly insists, and in that case warn that the findings will come back full of PENDING ITEMS due to lack of built surface.
+- **`maintenance`:** normally not the use case (product already launched, running). Only makes sense if the request is about a NEW batch starting from scratch (a big feature, a new product within the same repo): confirm this before running; otherwise, point to `security-audit-pentest` (periodic pentest) or the `wizz-router`'s "360° Audit" mode (broad audit of a codebase already in production, not about a launch event).
 
-## Contrato comum (vale para as 7 áreas)
+## Common contract (applies to all 7 areas)
 
-1. **Detecte o terreno lendo o repositório**, não perguntando: stack, onde moram as páginas/rotas públicas, onde ficam variáveis de ambiente, pipeline de deploy, se existe `project-context.md`.
-2. **Nunca invente dado de negócio nem status de conformidade.** O que não dá pra verificar no repo (ex.: "o certificado SSL está configurado no provedor?", "o DPO foi nomeado?") vira PENDÊNCIA DE VERIFICAÇÃO MANUAL, nunca um chute de severidade. Não assuma que um arquivo `privacidade.md` está correto só por existir: leia o conteúdo antes de dar 🟢.
-3. **Prova concreta por achado.** "Poderia ser melhor" não é achado. Cada linha cita arquivo:linha (ou rota/config específica) e a evidência do que falta ou está errado.
-4. **Saída padronizada por área**, tabela markdown, sem texto antes:
+1. **Detect the terrain by reading the repository**, not by asking: stack, where the public pages/routes live, where environment variables live, deploy pipeline, whether `project-context.md` exists.
+2. **Never invent business data or compliance status.** What can't be verified in the repo (e.g., "is the SSL certificate configured with the provider?", "was a DPO appointed?") becomes a MANUAL VERIFICATION PENDING item, never a guessed severity. Don't assume a `privacidade.md` file is correct just because it exists: read the content before giving it 🟢.
+3. **Concrete evidence per finding.** "Could be better" is not a finding. Each line cites file:line (or a specific route/config) and the evidence of what's missing or wrong.
+4. **Standardized output per area**, a markdown table, no text before it:
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-5. **Régua de severidade** (a mesma nas 7 áreas):
+5. **Severity scale** (the same across all 7 areas):
 
-| Símbolo | Nome | Critério |
+| Symbol | Name | Criterion |
 |---|---|---|
-| 🔴 | Bloqueia launch | Quebra o produto, expõe dado sensível, ou viola lei/política de plataforma. Não lança com isso aberto. |
-| 🟠 | Alto | Não impede o lançamento tecnicamente, mas custa caro logo na primeira semana (perda de conversão, achado de segurança médio, indexação quebrada). Resolver antes ou no dia seguinte ao launch. |
-| 🟡 | Médio | Deveria ser resolvido, mas não muda o resultado do lançamento. Vira backlog pós-launch. |
-| 🟢 | Ok | Checado e conforme. Sem ação. |
+| 🔴 | Blocks launch | Breaks the product, exposes sensitive data, or violates law/platform policy. Don't launch with this open. |
+| 🟠 | High | Doesn't technically prevent launch, but costs a lot right in the first week (conversion loss, medium security finding, broken indexing). Fix before or the day after launch. |
+| 🟡 | Medium | Should be fixed, but doesn't change the launch's outcome. Becomes post-launch backlog. |
+| 🟢 | Ok | Checked and compliant. No action. |
 
-6. **Nunca corrija cego.** O output é diagnóstico. Cada achado aponta o EXECUTOR certo (a skill/CLI que resolve), nunca a correção já aplicada por esta skill.
-7. **Uma área por vez** ao investigar, mas rode as 7 em paralelo (subagentes) quando possível: elas são independentes entre si.
+6. **Never fix blindly.** The output is a diagnosis. Each finding points to the right EXECUTOR (the skill/CLI that resolves it), never a fix already applied by this skill.
+7. **One area at a time** while investigating, but run the 7 in parallel (subagents) when possible: they are independent of each other.
 
-## As 7 áreas (rodar em paralelo)
+## The 7 areas (run in parallel)
 
-| # | Área | Referência |
+| # | Area | Reference |
 |---|---|---|
-| 01 | Técnico / build / erros | [references/01-tecnico-build.md](references/01-tecnico-build.md) |
-| 02 | Segurança | [references/02-seguranca.md](references/02-seguranca.md) |
-| 03 | SEO / descoberta | [references/03-seo-descoberta.md](references/03-seo-descoberta.md) |
-| 04 | Analytics / medição | [references/04-analytics-medicao.md](references/04-analytics-medicao.md) |
-| 05 | Conteúdo / copy / prova social | [references/05-conteudo-prova-social.md](references/05-conteudo-prova-social.md) |
+| 01 | Technical / build / errors | [references/01-tecnico-build.md](references/01-tecnico-build.md) |
+| 02 | Security | [references/02-seguranca.md](references/02-seguranca.md) |
+| 03 | SEO / discoverability | [references/03-seo-descoberta.md](references/03-seo-descoberta.md) |
+| 04 | Analytics / measurement | [references/04-analytics-medicao.md](references/04-analytics-medicao.md) |
+| 05 | Content / copy / social proof | [references/05-conteudo-prova-social.md](references/05-conteudo-prova-social.md) |
 | 06 | Legal / LGPD | [references/06-legal-lgpd.md](references/06-legal-lgpd.md) |
 | 07 | Infra / deploy / rollback | [references/07-infra-deploy-rollback.md](references/07-infra-deploy-rollback.md) |
 
-Depois das 7:
+After the 7:
 
-| # | Passo | Referência |
+| # | Step | Reference |
 |---|---|---|
-| 08 | Fusão e priorização | [references/08-fusao-priorizacao.md](references/08-fusao-priorizacao.md) |
-| 09 | Persistência no project-context.md | [references/09-persistencia-project-context.md](references/09-persistencia-project-context.md) |
+| 08 | Merge and prioritization | [references/08-fusao-priorizacao.md](references/08-fusao-priorizacao.md) |
+| 09 | Persistence in project-context.md | [references/09-persistencia-project-context.md](references/09-persistencia-project-context.md) |
 
-## Como rodar
+## How to run it
 
-1. Confira o gate de estágio (seção acima). Sem `mvp`/`production`, pare ou avise antes de seguir.
-2. Detecte quais das 7 áreas se aplicam ao projeto (ex.: projeto sem superfície web pública pode pular a área 03; projeto sem LGPD/dados pessoais pode encurtar a área 06, mas nunca pule sem justificar em 1 linha).
-3. Dispare as 7 áreas como subagentes em paralelo, cada um carregando seu prompt de `references/`.
-4. Colete as 7 tabelas.
-5. Rode o passo 08 (fusão): dedup, ordena por severidade, monta a lista final priorizada com recomendação GO / GO COM RESSALVAS / NO-GO (a skill nunca decide sozinha; é uma leitura dos achados, quem decide é o dono do projeto).
-6. Rode o passo 09 (persistência): grava o resumo datado no `project-context.md`.
-7. Entregue o diagnóstico consolidado. As 7 tabelas por área ficam como anexo.
+1. Check the stage gate (section above). Without `mvp`/`production`, stop or warn before proceeding.
+2. Detect which of the 7 areas apply to the project (e.g., a project with no public web surface can skip area 03; a project with no LGPD/personal data can shorten area 06, but never skip without a 1-line justification).
+3. Dispatch the 7 areas as parallel subagents, each loading its prompt from `references/`.
+4. Collect the 7 tables.
+5. Run step 08 (merge): dedup, sort by severity, build the final prioritized list with a GO / GO WITH CAVEATS / NO-GO recommendation (the skill never decides alone; it's a reading of the findings, the project owner decides).
+6. Run step 09 (persistence): write the dated summary to `project-context.md`.
+7. Deliver the consolidated diagnosis. The 7 per-area tables stay as an appendix.
 
-## Relação com as outras skills
+## Relationship with other skills
 
-- **`security-audit-pentest`**: aprofundamento de segurança. A área 02 aqui é uma varredura leve (superfície exposta); achados que precisam de prova de exploração ("como se explora") vão pra `security-audit-pentest`, não são recauchutados aqui.
-- **`site-launch-kit`**: quando a superfície do achado é SITE (CTA, prova social, Open Graph, schema local, robots/sitemap, LGPD do site, medição), o executor da correção é `site-launch-kit`. Esta skill não repete as 15 rodadas: só aponta qual rodada resolve o achado.
-- **`wizz-seo-audit`**: diagnóstico amplo de ranking/tráfego/core web vitals. A área 03 aqui é só indexabilidade básica (o site consegue ser encontrado), não é auditoria de SEO completa.
-- **Modo "Auditoria 360°" do `wizz-router`**: auditoria ampla de um projeto já em produção, por área técnica (código, banco, design, growth...), sem o recorte de "estamos prestes a lançar" nem o gate de estágio. Use wizz-launch-readiness para o evento de lançamento; use o modo 360° para saúde geral de um projeto maduro.
+- **`security-audit-pentest`**: security deep dive. Area 02 here is a light sweep (exposed surface); findings that need proof of exploitation ("how it's exploited") go to `security-audit-pentest`, they aren't redone here.
+- **`site-launch-kit`**: when the surface of the finding is a SITE (CTA, social proof, Open Graph, local schema, robots/sitemap, site LGPD, measurement), the fix owner is `site-launch-kit`. This skill doesn't repeat the 15 rounds: it only points to which round resolves the finding.
+- **`wizz-seo-audit`**: broad ranking/traffic/Core Web Vitals diagnosis. Area 03 here is only basic indexability (can the site be found), not a full SEO audit.
+- **`wizz-router`'s "360° Audit" mode**: a broad audit of a project already in production, by technical area (code, database, design, growth...), without the "we're about to launch" framing or the stage gate. Use wizz-launch-readiness for the launch event; use 360° mode for a mature project's general health.
 
-## O que esta skill NÃO faz
+## What this skill does NOT do
 
-- Não corrige nada sozinha; aponta o executor.
-- Não decide GO/NO-GO pelo dono do projeto; entrega a leitura priorizada.
-- Não substitui `security-audit-pentest` para segurança profunda nem `site-launch-kit` para execução das 15 rodadas de site.
-- Não roda em projeto sem superfície construída (estágio de descoberta/ideação).
+- Doesn't fix anything on its own; it points to the fix owner.
+- Doesn't decide GO/NO-GO on behalf of the project owner; delivers the prioritized reading.
+- Doesn't replace `security-audit-pentest` for deep security or `site-launch-kit` for executing the 15 site rounds.
+- Doesn't run on a project with no built surface (discovery/ideation stage).

package/src/skills-lib/wizz-launch-readiness/references/01-tecnico-build.md

@@ -1,26 +1,26 @@
-# Área 01 · Técnico / Build / Erros
+# Area 01 · Technical / Build / Errors
 
-Checa se o projeto sobe, roda e se comporta como código de produção. Não é code review de arquitetura (isso é `wizz-code-review` / `wizz-adversarial-reviewer`): aqui é "isso quebra no ar?".
+Checks whether the project ships, runs, and behaves like production code. This is not an architecture code review (that's `wizz-code-review` / `wizz-adversarial-reviewer`): here it's "does this break in the wild?".
 
-## Checagens objetivas
+## Objective checks
 
-1. **Build limpo.** Rode o build de produção do projeto (`npm run build` ou equivalente). Qualquer erro é 🔴. Warning de build que aponta comportamento quebrado em produção (ex.: variável de ambiente ausente, import quebrado) é 🟠.
-2. **Type check e lint verdes.** Erro de tipo é 🟠 (não bloqueia sempre, mas indica bug real na maioria dos casos); lint com regra de erro (não só estilo) é 🟠.
-3. **Testes passando.** Suíte de testes existente rodando vermelha é 🔴 se cobre fluxo crítico (pagamento, cadastro, auth), 🟠 caso contrário. Ausência total de testes não é achado desta skill (é decisão de produto já tomada); registre como 🟡 observação, não invente cobertura.
-4. **`console.log` e `debugger` em código de produção.** Presença em rota/componente que roda em produção é 🟡 (vaza informação em log de cliente/servidor, mas raramente quebra o produto).
-5. **Variáveis de ambiente sem fallback silencioso perigoso.** Uma env var crítica (chave de API, DSN, secret) sem valor e sem erro explícito no boot é 🔴 se o app sobe mesmo assim mascarando a falha (ex.: pagamento processa sem gateway configurado). Se o app falha alto e explícito no boot, não é achado.
-6. **Rotas/páginas quebradas.** Navegue (ou leia o roteamento) pelas páginas públicas principais listadas no `project-context.md` ou inferidas do roteador; 404/500 em página que deveria existir é 🔴. Link interno morto é 🟠.
-7. **Dependências com vulnerabilidade conhecida de severidade alta/crítica.** Rode o audit de dependências do gerenciador de pacotes do projeto. Alta/crítica em pacote de produção é 🟠 (aponte `wizz-database-and-deps` como executor); dev-only é 🟡.
-8. **Performance básica de carregamento.** Se existir métrica de Core Web Vitals já coletada (ferramenta do projeto, relatório de build), LCP/CLS ruim em página crítica é 🟡 e aponta `wizz-seo-audit` como aprofundamento; não meça do zero aqui, isso é escopo de `wizz-seo-audit`.
+1. **Clean build.** Run the project's production build (`npm run build` or equivalent). Any error is 🔴. A build warning that points to broken production behavior (e.g., missing environment variable, broken import) is 🟠.
+2. **Type check and lint green.** A type error is 🟠 (doesn't always block, but usually indicates a real bug); lint with an error-level rule (not just style) is 🟠.
+3. **Tests passing.** An existing test suite running red is 🔴 if it covers a critical flow (payment, signup, auth), 🟠 otherwise. Total absence of tests is not a finding for this skill (that's a product decision already made); log it as a 🟡 observation, don't invent coverage.
+4. **`console.log` and `debugger` in production code.** Present in a route/component that runs in production is 🟡 (leaks information into client/server logs, but rarely breaks the product).
+5. **Environment variables without a dangerous silent fallback.** A critical env var (API key, DSN, secret) with no value and no explicit error at boot is 🔴 if the app still boots anyway, masking the failure (e.g., payment processes without a configured gateway). If the app fails loudly and explicitly at boot, it's not a finding.
+6. **Broken routes/pages.** Navigate (or read the routing) through the main public pages listed in `project-context.md` or inferred from the router; a 404/500 on a page that should exist is 🔴. A dead internal link is 🟠.
+7. **Dependencies with a known high/critical severity vulnerability.** Run the project's package manager dependency audit. High/critical in a production package is 🟠 (point to `wizz-database-and-deps` as the fixer); dev-only is 🟡.
+8. **Basic loading performance.** If Core Web Vitals metrics are already collected (project tooling, build report), poor LCP/CLS on a critical page is 🟡 and points to `wizz-seo-audit` for a deeper dive; don't measure from scratch here, that's `wizz-seo-audit` scope.
 
-## Regra de corte
+## Cutoff rule
 
-Sem rodar o build de verdade (ou ler o resultado do último CI verde/vermelho), não dê veredito de "🟢 build ok": marque como PENDÊNCIA DE VERIFICAÇÃO e explique o que faltou rodar. Não estime "provavelmente builda" sem evidência.
+Without actually running the build (or reading the result of the latest green/red CI), don't give a "🟢 build ok" verdict: mark it as VERIFICATION PENDING and explain what was missed. Don't estimate "probably builds" without evidence.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.

package/src/skills-lib/wizz-launch-readiness/references/02-seguranca.md

@@ -1,26 +1,26 @@
-# Área 02 · Segurança
+# Area 02 · Security
 
-Varredura de SUPERFÍCIE exposta antes do launch, não caça a vulnerabilidade com prova de exploração. Achado que exige um payload concreto pra provar (mass assignment, IDOR, injeção) NÃO se aprofunda aqui: registre a suspeita como 🟠 e aponte `security-audit-pentest` como executor do aprofundamento.
+A sweep of the exposed SURFACE before launch, not a hunt for vulnerabilities with proof of exploitation. A finding that requires a concrete payload to prove (mass assignment, IDOR, injection) is NOT dug into here: log the suspicion as 🟠 and point to `security-audit-pentest` as the owner of the deep dive.
 
-## Checagens objetivas
+## Objective checks
 
-1. **Secret hardcoded no repositório.** Chave de API, token, senha ou string de conexão literal em código versionado é 🔴. Vale pra `.env` commitado por engano também.
-2. **HTTPS e certificado.** Site/app sem HTTPS forçado (redirect HTTP→HTTPS ausente) é 🔴. Certificado expirando em menos de 15 dias (quando verificável) é 🟠.
-3. **Painel admin/rota interna exposta sem autenticação.** Rota administrativa, dashboard interno ou endpoint de debug acessível sem login é 🔴.
-4. **Headers de segurança básicos ausentes.** Sem `Content-Security-Policy`, `X-Frame-Options`/`frame-ancestors`, ou `Strict-Transport-Security` num app com dado sensível é 🟠; aponte `wizz-web-security` como executor.
-5. **CORS aberto demais.** `Access-Control-Allow-Origin: *` numa API que aceita credenciais/token é 🔴; sem credenciais é 🟡.
-6. **Rate limiting ausente em rota sensível.** Login, cadastro, recuperação de senha ou endpoint que custa dinheiro (IA, SMS, e-mail) sem limite algum é 🟠; aponte `wizz-web-security` como executor.
-7. **Dependência com CVE crítica conhecida no caminho de produção.** Reforça o achado #7 da área 01 se aplicável a lib de auth/crypto especificamente: sobe pra 🔴.
-8. **Indício de mass assignment, IDOR ou injeção não provado ainda.** Campo de update que aceita o objeto inteiro do cliente sem allowlist, ou query montada por concatenação de string: registre como 🟠 "suspeita, precisa de prova de exploração" e aponte `security-audit-pentest`.
+1. **Hardcoded secret in the repository.** An API key, token, password, or literal connection string in versioned code is 🔴. Also applies to a `.env` committed by mistake.
+2. **HTTPS and certificate.** A site/app without forced HTTPS (missing HTTP→HTTPS redirect) is 🔴. A certificate expiring in less than 15 days (when verifiable) is 🟠.
+3. **Admin panel/internal route exposed without authentication.** An administrative route, internal dashboard, or debug endpoint accessible without login is 🔴.
+4. **Basic security headers missing.** No `Content-Security-Policy`, `X-Frame-Options`/`frame-ancestors`, or `Strict-Transport-Security` on an app with sensitive data is 🟠; point to `wizz-web-security` as the fixer.
+5. **CORS too open.** `Access-Control-Allow-Origin: *` on an API that accepts credentials/tokens is 🔴; without credentials is 🟡.
+6. **Rate limiting missing on a sensitive route.** Login, signup, password recovery, or an endpoint that costs money (AI, SMS, email) with no limit at all is 🟠; point to `wizz-web-security` as the fixer.
+7. **Dependency with a known critical CVE on the production path.** Reinforces finding #7 from area 01 if it applies specifically to an auth/crypto lib: escalate to 🔴.
+8. **Unproven indication of mass assignment, IDOR, or injection.** An update field that accepts the client's entire object with no allowlist, or a query built by string concatenation: log as 🟠 "suspicion, needs proof of exploitation" and point to `security-audit-pentest`.
 
-## Regra de corte
+## Cutoff rule
 
-Esta área NUNCA entrega "como se explora" com payload real: isso é escopo exclusivo de `security-audit-pentest`. Se durante a varredura você já teria o payload pronto, ainda assim não o inclua aqui: registre a suspeita e a referência, para não duplicar o formato de saída das duas skills.
+This area NEVER delivers "how to exploit it" with a real payload: that is exclusively `security-audit-pentest`'s scope. If during the sweep you'd already have the payload ready, still don't include it here: log the suspicion and the reference, to avoid duplicating the two skills' output format.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.

package/src/skills-lib/wizz-launch-readiness/references/03-seo-descoberta.md

@@ -1,27 +1,27 @@
-# Área 03 · SEO / Descoberta
+# Area 03 · SEO / Discoverability
 
-Checa se o produto CONSEGUE ser encontrado no dia do lançamento. Não é diagnóstico de ranking, tráfego ou Core Web Vitals (isso é `wizz-seo-audit`) e, quando a superfície é SITE, não repete as rodadas de execução (isso é `site-launch-kit`, rodadas 08 a 13): aqui só confirma se o básico de indexabilidade existe.
+Checks whether the product CAN be found on launch day. This is not a ranking, traffic, or Core Web Vitals diagnosis (that's `wizz-seo-audit`), and when the surface is a SITE, it doesn't repeat the execution rounds (that's `site-launch-kit`, rounds 08 to 13): here it only confirms whether basic indexability exists.
 
-Se o projeto não tem superfície web pública indexável (ex.: app mobile-only, ferramenta interna), responda `ITEM NÃO SE APLICA` com 1 linha de justificativa e pare.
+If the project has no indexable public web surface (e.g., mobile-only app, internal tool), respond `ITEM DOES NOT APPLY` with a 1-line justification and stop.
 
-## Checagens objetivas
+## Objective checks
 
-1. **`robots.txt` presente e não bloqueando tudo.** Ausente é 🟠; presente bloqueando `Disallow: /` em produção por engano é 🔴. Aponte `site-launch-kit` (rodada 13) como executor.
-2. **Sitemap presente e referenciado no `robots.txt`.** Ausente é 🟠.
-3. **Title e meta description únicos nas páginas públicas principais.** Title padrão/repetido (ex.: mesmo title em todas as páginas) é 🟠. Aponte `site-launch-kit` (rodada 08).
-4. **Open Graph configurado.** Sem `og:title`/`og:image`/`og:description`, a prévia de compartilhamento (WhatsApp, redes) sai quebrada. É 🟡, mas sobe pra 🟠 se o canal de aquisição principal do lançamento é social/WhatsApp. Aponte `site-launch-kit` (rodada 09).
-5. **Dados estruturados básicos do negócio.** Ausência não é bloqueante isolado, mas se o negócio depende de aparecer no Google local/rich snippet, é 🟡. Aponte `site-launch-kit` (rodada 12) ou `wizz-schema-markup`.
-6. **Canonical e indexação não duplicada.** Múltiplas URLs servindo o mesmo conteúdo sem `rel=canonical` é 🟡.
-7. **Domínio/DNS resolvendo pro ambiente de produção certo.** Domínio configurado mas apontando pro ambiente de staging/preview é 🔴 (achado de infra também, ver área 07; registre aqui só a parte de descoberta: se o buscador já indexou o domínio errado).
+1. **`robots.txt` present and not blocking everything.** Missing is 🟠; present but blocking `Disallow: /` in production by mistake is 🔴. Point to `site-launch-kit` (round 13) as the fixer.
+2. **Sitemap present and referenced in `robots.txt`.** Missing is 🟠.
+3. **Unique title and meta description on the main public pages.** A default/repeated title (e.g., the same title on every page) is 🟠. Point to `site-launch-kit` (round 08).
+4. **Open Graph configured.** Without `og:title`/`og:image`/`og:description`, the share preview (WhatsApp, social) comes out broken. It's 🟡, but escalates to 🟠 if the launch's main acquisition channel is social/WhatsApp. Point to `site-launch-kit` (round 09).
+5. **Basic structured business data.** Absence isn't a standalone blocker, but if the business depends on appearing in Google local/rich snippets, it's 🟡. Point to `site-launch-kit` (round 12) or `wizz-schema-markup`.
+6. **Canonical and non-duplicated indexing.** Multiple URLs serving the same content without `rel=canonical` is 🟡.
+7. **Domain/DNS resolving to the right production environment.** A domain configured but pointing to the staging/preview environment is 🔴 (also an infra finding, see area 07; log only the discoverability part here: whether the search engine has already indexed the wrong domain).
 
-## Regra de corte
+## Cutoff rule
 
-Não rode auditoria de ranking/backlink/palavra-chave aqui: isso é escopo do `wizz-seo-audit`, ofereça-o como próximo passo pós-launch, não execute agora.
+Don't run ranking/backlink/keyword audits here: that's `wizz-seo-audit` scope, offer it as a post-launch next step, don't execute it now.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.

package/src/skills-lib/wizz-launch-readiness/references/04-analytics-medicao.md

@@ -1,25 +1,25 @@
-# Área 04 · Analytics / Medição
+# Area 04 · Analytics / Measurement
 
-Checa se o time vai conseguir SABER se o lançamento funcionou. Um lançamento sem medição não é "menos grave", é um lançamento que ninguém consegue avaliar depois: trate ausência de medição em evento-chave como achado sério, não como nice-to-have.
+Checks whether the team will be able to KNOW if the launch worked. A launch without measurement isn't "less serious" — it's a launch nobody can evaluate afterward: treat missing measurement on a key event as a serious finding, not a nice-to-have.
 
-## Checagens objetivas
+## Objective checks
 
-1. **Ferramenta de analytics instalada e disparando.** Sem nenhum GA4/pixel/ferramenta equivalente carregando nas páginas públicas é 🔴 se o lançamento depende de medir aquisição; 🟠 caso contrário.
-2. **Evento de conversão principal configurado.** O evento que representa o objetivo do lançamento (cadastro, compra, lead, download) não disparando ou não existindo é 🔴.
-3. **Evento da página de obrigado/confirmação.** Página pós-conversão sem evento de "conversão confirmada" (distinto de só "visitou a página") é 🟠. Cruza com `site-launch-kit` rodada 15 quando a superfície é site.
-4. **UTM/origem de tráfego rastreável.** Campanhas de lançamento sem UTM padronizado é 🟡: mede o quê aconteceu, mas não de onde veio.
-5. **Monitoramento de erro em produção (Sentry ou equivalente).** Projeto que já usa uma ferramenta de erro mas não está ativa no ambiente de produção é 🟠. Projeto que nunca adotou nenhuma é 🟡 (não é recomendação pra adotar Sentry agora, é registro de lacuna: decisão de adoção é do time).
-6. **Alerta de indisponibilidade/uptime.** Sem alerta configurado pra quando o produto cair no dia do lançamento (quando o tráfego é mais sensível) é 🟠.
-7. **Dashboard ou canal combinado pra acompanhar o dia do lançamento.** Ausência não é achado técnico por si, mas se ninguém sabe onde olhar os números no dia, registre como 🟡.
+1. **Analytics tool installed and firing.** No GA4/pixel/equivalent tool loading on the public pages at all is 🔴 if the launch depends on measuring acquisition; 🟠 otherwise.
+2. **Main conversion event configured.** The event that represents the launch's goal (signup, purchase, lead, download) not firing or not existing is 🔴.
+3. **Thank-you/confirmation page event.** A post-conversion page with no "confirmed conversion" event (distinct from just "visited the page") is 🟠. Overlaps with `site-launch-kit` round 15 when the surface is a site.
+4. **Trackable traffic source/UTM.** Launch campaigns without standardized UTM is 🟡: it measures what happened, but not where it came from.
+5. **Production error monitoring (Sentry or equivalent).** A project that already uses an error tool but it's not active in the production environment is 🟠. A project that never adopted one at all is 🟡 (not a recommendation to adopt Sentry now, just logging a gap: the adoption decision belongs to the team).
+6. **Downtime/uptime alert.** No alert configured for when the product goes down on launch day (when traffic is most sensitive) is 🟠.
+7. **Dashboard or shared channel to track launch day.** Absence isn't a technical finding by itself, but if nobody knows where to look at the numbers on the day, log it as 🟡.
 
-## Regra de corte
+## Cutoff rule
 
-Não invente que um evento "provavelmente dispara": rode/inspecione a implementação (código do evento, ou o próprio painel da ferramenta se houver acesso) antes de marcar 🟢. Sem conseguir verificar, marque PENDÊNCIA DE VERIFICAÇÃO.
+Don't assume an event "probably fires": run/inspect the implementation (event code, or the tool's own panel if accessible) before marking 🟢. If you can't verify it, mark it VERIFICATION PENDING.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.

package/src/skills-lib/wizz-launch-readiness/references/05-conteudo-prova-social.md

@@ -1,25 +1,25 @@
-# Área 05 · Conteúdo / Copy / Prova Social
+# Area 05 · Content / Copy / Social Proof
 
-Checa se o que está escrito e mostrado é REAL e está pronto, não se a copy é boa (isso é `wizz-copywriting`/`wizz-copy-editing`). Regra central, herdada do `site-launch-kit`: nenhum dado de negócio inventado passa como conforme. O que faltar vira PENDÊNCIA, nunca um chute preenchido por estimativa.
+Checks whether what is written and shown is REAL and ready — not whether the copy is good (that's `wizz-copywriting`/`wizz-copy-editing`). Central rule, inherited from `site-launch-kit`: no invented business data passes as compliant. Whatever is missing becomes a PENDING ITEM, never a guess filled in by estimation.
 
-## Checagens objetivas
+## Objective checks
 
-1. **Texto placeholder em produção.** `Lorem ipsum`, `TODO`, `[inserir aqui]`, `{{ASSIM}}` ou qualquer marcador visível numa página/tela que vai ao ar é 🔴.
-2. **Prova social real.** Depoimento, avaliação ou logo de cliente sem fonte verificável (nome genérico tipo "Cliente satisfeito", nota sem origem, logo de empresa que não é cliente de fato) é 🔴: prova social falsa é risco de reputação e, em alguns casos, jurídico. Aponte `site-launch-kit` (rodada 04) quando a superfície é site.
-3. **Preço, prazo, contato correntes.** Preço/plano/telefone/e-mail/horário divergente do que o negócio pratica de verdade é 🔴. Não valide isso "por estimativa": se você não tem como confirmar o dado real, marque PENDÊNCIA e pergunte, nunca aceite o que já está escrito como correto por padrão.
-4. **Imagem real vs. stock genérico.** Foto de banco de imagem genérico em contexto que deveria ser autêntico (equipe, produto, local) é 🟡, sobe pra 🟠 se o setor depende de confiança visual (saúde, serviço presencial, financeiro). Aponte `site-launch-kit` (rodada 06).
-5. **Consistência de nome de produto/marca.** Nome do produto grafado de formas diferentes entre páginas (ex.: "MeJu" vs "Me Ju" vs "meju") é 🟡.
-6. **CTA e mensagem principal presentes e claros.** Ausência de CTA principal acima da dobra na página de entrada é 🔴 quando o objetivo do lançamento depende de conversão direta. Aponte `site-launch-kit` (rodada 01).
-7. **FAQ ou conteúdo de objeção pronto pro volume esperado.** Ausência de FAQ quando o produto tem objeção recorrente conhecida é 🟡. Aponte `site-launch-kit` (rodada 05) ou `wizz-copywriting`.
+1. **Placeholder text in production.** `Lorem ipsum`, `TODO`, `[insert here]`, `{{LIKE THIS}}`, or any visible marker on a page/screen that's going live is 🔴.
+2. **Real social proof.** A testimonial, rating, or client logo without a verifiable source (a generic name like "Satisfied customer", a rating with no origin, a company logo that isn't actually a client) is 🔴: fake social proof is a reputational and sometimes legal risk. Point to `site-launch-kit` (round 04) when the surface is a site.
+3. **Current price, timeline, contact info.** A price/plan/phone/email/hours that diverges from what the business actually does is 🔴. Don't validate this "by estimate": if you have no way to confirm the real data, mark it PENDING and ask — never accept what's already written as correct by default.
+4. **Real image vs. generic stock.** A generic stock photo in a context that should be authentic (team, product, location) is 🟡, escalating to 🟠 if the sector depends on visual trust (health, in-person service, financial). Point to `site-launch-kit` (round 06).
+5. **Product/brand name consistency.** The product name spelled differently across pages (e.g., "MeJu" vs. "Me Ju" vs. "meju") is 🟡.
+6. **Main CTA and message present and clear.** No main CTA above the fold on the landing page is 🔴 when the launch's goal depends on direct conversion. Point to `site-launch-kit` (round 01).
+7. **FAQ or objection-handling content ready for expected volume.** No FAQ when the product has a known recurring objection is 🟡. Point to `site-launch-kit` (round 05) or `wizz-copywriting`.
 
-## Regra de corte
+## Cutoff rule
 
-Nunca preencha um dado de negócio ausente "pra destravar o diagnóstico". Se não dá pra confirmar (preço, depoimento, endereço, prazo), o item vira PENDÊNCIA com "de quem obter / como obter", igual ao `site-launch-kit`. Marcar 🟢 sem checar o conteúdo real é pior que marcar PENDÊNCIA.
+Never fill in missing business data "to unblock the diagnosis". If it can't be confirmed (price, testimonial, address, timeline), the item becomes PENDING with "who to get it from / how to get it", same as `site-launch-kit`. Marking 🟢 without checking the real content is worse than marking PENDING.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.

package/src/skills-lib/wizz-launch-readiness/references/06-legal-lgpd.md

@@ -1,25 +1,25 @@
-# Área 06 · Legal / LGPD
+# Area 06 · Legal / LGPD
 
-Checa exposição legal básica antes do lançamento. Não é parecer jurídico (isso exige advogado real): é uma varredura de ausências óbvias que qualquer projeto brasileiro coletando dado de usuário precisa cobrir.
+Checks basic legal exposure before launch. This isn't a legal opinion (that requires a real lawyer): it's a sweep for obvious gaps that any Brazilian project collecting user data needs to cover.
 
-## Checagens objetivas
+## Objective checks
 
-1. **Política de privacidade existe e está acessível.** Ausência total, num produto que coleta dado pessoal (cadastro, formulário, cookie de analytics), é 🔴. Aponte `site-launch-kit` (rodada 14) quando a superfície é site.
-2. **Política de privacidade condiz com o que o produto faz de verdade.** Documento genérico copiado que não reflete o app real (ex.: menciona dado que não é coletado, ou não menciona um que é) é 🔴: política incorreta é pior que ausente, porque cria compromisso legal falso. Leia o conteúdo, não só confirme que o arquivo existe.
-3. **Termos de uso presentes quando há transação ou conta de usuário.** Ausência é 🟠.
-4. **Consentimento de cookies/tracking implementado quando há cookie não essencial.** Analytics/pixel disparando sem qualquer aviso de cookies é 🟠.
-5. **Canal pra exercício de direito do titular (LGPD).** Sem nenhum e-mail/formulário de contato pra solicitar exclusão/correção de dado é 🟡; se o volume de dado sensível é alto (saúde, financeiro, menor de idade), sobe pra 🟠.
-6. **Base legal e finalidade descritas para dado sensível.** Coleta de dado de categoria sensível (saúde, biometria, dado de criança) sem tratamento específico na política é 🔴: aqui o risco regulatório é maior, não deixe passar como 🟡 por padrão.
-7. **Regra setorial extra quando aplicável.** Setores regulados (saúde, financeiro, jurídico) podem exigir aviso/registro além da LGPD genérica (ex.: aviso de "não substitui consulta médica"). Se o `project-context.md` ou o conteúdo do site indicar o setor, verifique o mínimo esperado; se não souber o setor, não assuma: marque PENDÊNCIA perguntando o setor antes de avaliar este item.
+1. **Privacy policy exists and is accessible.** Total absence, in a product that collects personal data (signup, form, analytics cookie), is 🔴. Point to `site-launch-kit` (round 14) when the surface is a site.
+2. **Privacy policy matches what the product actually does.** A generic copied document that doesn't reflect the real app (e.g., mentions data that isn't collected, or omits data that is) is 🔴: an incorrect policy is worse than none, because it creates a false legal commitment. Read the content, don't just confirm the file exists.
+3. **Terms of use present when there's a transaction or user account.** Absence is 🟠.
+4. **Cookie/tracking consent implemented when there's a non-essential cookie.** Analytics/pixel firing with no cookie notice at all is 🟠.
+5. **Channel for exercising data-subject rights (LGPD).** No email/contact form at all to request deletion/correction of data is 🟡; if the volume of sensitive data is high (health, financial, minors), it escalates to 🟠.
+6. **Legal basis and purpose described for sensitive data.** Collecting sensitive-category data (health, biometric, children's data) with no specific handling in the policy is 🔴: the regulatory risk here is higher, don't let it pass as 🟡 by default.
+7. **Extra sector-specific rule when applicable.** Regulated sectors (health, financial, legal) may require a notice/disclosure beyond generic LGPD (e.g., a "does not replace medical consultation" notice). If `project-context.md` or the site content indicates the sector, check the expected minimum; if you don't know the sector, don't assume: mark PENDING and ask about the sector before evaluating this item.
 
-## Regra de corte
+## Cutoff rule
 
-Não copie um checklist genérico de LGPD sem ler o produto real. O achado tem que citar o que o PRODUTO faz (que dado coleta, de quem, pra quê) confrontado com o que o documento legal diz. Sem essa leitura cruzada, marque PENDÊNCIA DE VERIFICAÇÃO em vez de 🟢.
+Don't copy a generic LGPD checklist without reading the actual product. The finding has to cite what the PRODUCT does (what data it collects, from whom, for what) checked against what the legal document says. Without that cross-reading, mark VERIFICATION PENDING instead of 🟢.
 
-## Formato de saída
+## Output format
 
 ```
-| # | Item | Onde (arquivo/rota) | O que falta ou está errado | Severidade | Executor da correção |
+| # | Item | Where (file/route) | What's missing or wrong | Severity | Fix owner |
 ```
 
-Sem achado que passe na régua: responda só `NENHUM ACHADO NESTA ÁREA`.
+If no finding meets the bar: respond only `NO FINDINGS IN THIS AREA`.