wizz-method 2.1.1 → 2.3.0

package/src/skills-lib/wizz-tracking-audit/references/modo-implantacao.md

@@ -1,89 +1,89 @@
-# Modo implantação
+# Implementation mode
 
-Checklist executável para antes de subir campanha. Roda de cima para baixo. Cada item tem um jeito de verificar, não é declaração de fé.
+Executable checklist for before launching a campaign. Run top to bottom. Every item has a way to verify it — it's not a statement of faith.
 
-Régua: leia o Passo 0 do `SKILL.md` antes. Sem régua declarada, o relatório sai sem número.
+Ruler: read Step 0 of `SKILL.md` first. Without a declared ruler, the report comes out without a number.
 
-## 1. Página e carregamento
+## 1. Page and loading
 
-| Verificar | Como | Reprova quando |
+| Check | How | Fails when |
 |---|---|---|
-| Página abre no mobile real | `wizz-agent-browser` em viewport de celular | Layout quebra ou bloco some |
-| Tempo até o conteúdo principal | PageSpeed Insights, aba mobile | Fora da meta declarada pela régua do projeto |
-| Redirect | Abrir o link do anúncio sem encurtador no meio | Qualquer salto extra ou loop |
-| SSL | Cadeado e certificado válido no domínio final | Aviso do navegador |
+| Page opens on a real mobile device | `wizz-agent-browser` in a phone viewport | Layout breaks or a block disappears |
+| Time to main content | PageSpeed Insights, mobile tab | Outside the target declared by the project's ruler |
+| Redirect | Open the ad link without a shortener in the middle | Any extra hop or loop |
+| SSL | Valid lock icon and certificate on the final domain | Browser warning |
 
-Furou aqui: é trabalho de dev. Não mexa em criativo antes de resolver.
+Fails here: it's dev work. Don't touch the creative before fixing this.
 
-## 2. Pixel e servidor
+## 2. Pixel and server
 
-| Verificar | Como | Reprova quando |
+| Check | How | Fails when |
 |---|---|---|
-| Pixel presente na página | Extensão de debug da plataforma ou console | Não dispara `PageView` |
-| Posição do disparo | Ver se o `PageView` sobe antes do conteúdo visível | Dispara em `onload` tardio: infla connect rate e mente sobre a visita |
-| Evento de conversão do lado do servidor (CAPI) | Painel de qualidade da plataforma | Só navegador, sem servidor |
-| Deduplicação | `event_id` igual entre navegador e servidor | Sem `event_id`: a mesma venda conta duas vezes |
-| Domínio verificado | Painel de negócio da plataforma | Não verificado: perde atribuição em iOS |
+| Pixel present on the page | The platform's debug extension or console | Doesn't fire `PageView` |
+| Firing position | Check whether `PageView` fires before visible content | Fires on a late `onload`: inflates connect rate and lies about the visit |
+| Server-side conversion event (CAPI) | The platform's quality panel | Only browser-side, no server-side |
+| Deduplication | Same `event_id` between browser and server | No `event_id`: the same sale counts twice |
+| Verified domain | The platform's business panel | Not verified: loses attribution on iOS |
 
-> O pixel mede o pixel. Um connect rate bonito com página lenta é métrica maquiada, não conversão.
+> The pixel measures the pixel. A pretty connect rate with a slow page is a made-up metric, not conversion.
 
-## 3. Eventos priorizados
+## 3. Prioritized events
 
-Instale nesta ordem. Os quatro primeiros são obrigatórios; os outros entram quando o funil tiver a etapa.
+Install in this order. The first four are mandatory; the rest come in once the funnel has that step.
 
-1. `PageView` — visita à página de vendas
-2. `ViewContent` — chegou ao bloco de oferta (não é o mesmo que abrir a página)
-3. `InitiateCheckout` — clicou para comprar
-4. `Purchase` — venda aprovada, com valor e moeda
-5. `AddPaymentInfo` — preencheu pagamento, separa atrito de checkout de desistência de preço
-6. `Lead` — captura, quando existir etapa de lead
-7. `Subscribe` ou evento de recorrência, quando existir
-8. Evento próprio de upsell ou order bump, quando existir
+1. `PageView` — visit to the sales page
+2. `ViewContent` — reached the offer block (not the same as opening the page)
+3. `InitiateCheckout` — clicked to buy
+4. `Purchase` — approved sale, with value and currency
+5. `AddPaymentInfo` — filled in payment, separates checkout friction from price hesitation
+6. `Lead` — capture, when a lead step exists
+7. `Subscribe` or a recurrence event, when it exists
+8. Custom upsell or order-bump event, when it exists
 
-Regra: evento sem valor monetário em `Purchase` inutiliza ROAS. Evento duplicado inutiliza tudo.
+Rule: an event without a monetary value in `Purchase` breaks ROAS. A duplicated event breaks everything.
 
-## 4. Tags e atribuição
+## 4. Tags and attribution
 
-Ver `utm-e-atribuicao.md` para os templates. O que a implantação precisa provar:
+See `utm-e-atribuicao.md` for the templates. What the implementation needs to prove:
 
-- O template de UTM está colado no campo de parâmetros de URL do anúncio, não no destino do anúncio.
-- Cada parâmetro carrega nome **e** ID.
-- O parâmetro nativo da plataforma de checkout (quando existir) recebe a mesma informação empacotada, porque o checkout nem sempre repassa `utm_*`.
-- Nenhum nome de campanha, conjunto ou anúncio contém `|`, `#`, `&` ou `?`.
-- O padrão de nomenclatura está escrito em algum lugar que a próxima pessoa lê.
+- The UTM template is pasted into the ad's URL parameters field, not into the ad's destination.
+- Every parameter carries name **and** ID.
+- The checkout platform's native parameter (when one exists) receives the same packaged information, because checkout doesn't always pass through `utm_*`.
+- No campaign, ad set, or ad name contains `|`, `#`, `&`, or `?`.
+- The naming convention is written down somewhere the next person will read.
 
-## 5. Repasse pelo checkout
+## 5. Pass-through via checkout
 
-Este é o item que mais falha e o mais fácil de esquecer.
+This is the item that fails most and is the easiest to forget.
 
-1. Abra a página com uma UTM de teste na URL.
-2. Clique para comprar.
-3. Na página de checkout, confirme que os parâmetros chegaram (URL, campo escondido ou painel da plataforma).
-4. Confirme que o webhook de venda entrega esses parâmetros para o destino final (banco, planilha, painel de atribuição).
+1. Open the page with a test UTM in the URL.
+2. Click to buy.
+3. On the checkout page, confirm the parameters arrived (URL, hidden field, or the platform's panel).
+4. Confirm the sale webhook delivers those parameters to the final destination (bank, spreadsheet, attribution dashboard).
 
-Quebrou entre 2 e 3: o checkout não repassa. Use o parâmetro nativo.
-Quebrou entre 3 e 4: o problema é a integração, não a tag.
+Breaks between 2 and 3: checkout isn't passing it through. Use the native parameter.
+Breaks between 3 and 4: the problem is the integration, not the tag.
 
-## 6. Compra-teste por caminho
+## 6. Test purchase per path
 
-Cada rota de entrada recebe uma compra real de teste antes de investir:
+Every entry route gets a real test purchase before you invest:
 
-- anúncio
-- link da bio
+- ad
+- bio link
 - story
-- destaque
-- direct ou conversa
+- highlight
+- DM or conversation
 
-Para cada rota, registre: a venda apareceu no banco, apareceu no painel de atribuição, e apareceu com a origem certa. Rota que não passa nas três é rota cega.
+For each route, record: did the sale show up in the bank, did it show up in the attribution panel, and did it show up with the correct source. A route that doesn't pass all three is a blind route.
 
-## 7. Fechamento
+## 7. Sign-off
 
-Antes de liberar a subida, o relatório precisa responder sim para as cinco:
+Before clearing the campaign to launch, the report needs to answer yes to all five:
 
-1. A visita é medida no instante certo?
-2. A venda chega ao banco próprio?
-3. A venda sabe de qual anúncio veio, por ID?
-4. O orgânico é o que sobra depois de tudo taguear, e não um balde de preguiça?
-5. Existe pelo menos uma compra-teste aprovada por rota?
+1. Is the visit measured at the right moment?
+2. Does the sale reach your own bank?
+3. Does the sale know which ad it came from, by ID?
+4. Is organic what's left over after tagging everything, not a bucket of laziness?
+5. Is there at least one approved test purchase per route?
 
-Qualquer "não" vira achado `CRÍTICO` ou `ALTO`. Nada sobe com um `CRÍTICO` aberto.
+Any "no" becomes a `CRITICAL` or `HIGH` finding. Nothing launches with an open `CRITICAL`.

package/src/skills-lib/wizz-tracking-audit/references/utm-e-atribuicao.md

@@ -1,75 +1,75 @@
-# UTM e atribuição
+# UTM and attribution
 
-O cimento de todo o resto. Se a tag está errada, o funil inteiro mede ficção.
+The cement holding everything else together. If the tag is wrong, the whole funnel measures fiction.
 
-## A regra central
+## The core rule
 
-Cada parâmetro carrega **nome e ID**, separados por um delimitador fixo. O nome existe para humano ler; o ID existe para a atribuição sobreviver a renomeação.
+Every parameter carries **name and ID**, separated by a fixed delimiter. The name exists for humans to read; the ID exists so attribution survives a rename.
 
 ```
 utm_campaign={{campaign.name}}|{{campaign.id}}
 utm_medium={{adset.name}}|{{adset.id}}
 utm_content={{ad.name}}|{{ad.id}}
 utm_term={{placement}}
-utm_source=<plataforma>
+utm_source=<platform>
 ```
 
-Cole no campo **parâmetros de URL** do anúncio, nunca no destino.
+Paste into the ad's **URL parameters** field, never into the destination.
 
-## Redundância no parâmetro nativo
+## Redundancy in the native parameter
 
-Muito checkout não repassa `utm_*` para o webhook de venda. Quando a plataforma de checkout tem parâmetro próprio (por exemplo `xcod`, `src` ou `sck`), empacote a mesma informação lá também, com um separador longo e improvável:
+Many checkouts don't pass `utm_*` through to the sale webhook. When the checkout platform has its own parameter (for example `xcod`, `src`, or `sck`), pack the same information there too, with a long, unlikely separator:
 
 ```
-xcod=<origem><SEP><campaign.name>|<campaign.id><SEP><adset.name>|<adset.id><SEP><ad.name>|<ad.id><SEP><placement>
+xcod=<source><SEP><campaign.name>|<campaign.id><SEP><adset.name>|<adset.id><SEP><ad.name>|<ad.id><SEP><placement>
 ```
 
-O separador precisa ser uma string que nunca apareça em nome de campanha. Escolha uma vez e nunca mude: mudar quebra o histórico.
+The separator needs to be a string that never appears in a campaign name. Pick one once and never change it: changing it breaks the history.
 
-## Delimitadores proibidos em nomes
+## Forbidden delimiters in names
 
-Nunca use `|`, `#`, `&` ou `?` em nome de campanha, conjunto ou anúncio. São delimitadores da própria string de tag.
+Never use `|`, `#`, `&`, or `?` in a campaign, ad set, or ad name. They are delimiters of the tag string itself.
 
-Violou: **recriar a campanha**. Renomear não resolve, porque a plataforma continua servindo o nome antigo em cache para as impressões já entregues.
+If it happens: **recreate the campaign**. Renaming doesn't fix it, because the platform keeps serving the old cached name for impressions already delivered.
 
-Padrão de nome que não dá problema: minúscula, sem acento, palavras separadas por hífen ou underscore, campos em ordem fixa. Escreva o padrão em algum lugar. Padrão que só existe na cabeça de alguém não é padrão.
+Naming pattern that causes no trouble: lowercase, no accents, words separated by hyphen or underscore, fields in a fixed order. Write the pattern down somewhere. A pattern that only exists in someone's head isn't a pattern.
 
-## Outras plataformas
+## Other platforms
 
-O formato é o mesmo em toda plataforma de mídia: macro nativa da plataforma preenchendo `utm_*`, mais o empacotamento no parâmetro nativo do checkout quando ele existir.
+The format is the same across every media platform: the platform's native macro filling in `utm_*`, plus packing into the checkout's native parameter when one exists.
 
-| Plataforma | O que muda |
+| Platform | What changes |
 |---|---|
 | Meta | Macros `{{campaign.name}}`, `{{campaign.id}}`, `{{adset.*}}`, `{{ad.*}}`, `{{placement}}` |
-| Google | Macros entre chaves simples, mais `{lpurl}?` na frente e `keyword`, `device`, `network` |
-| TikTok, Kwai, Taboola | Mesma estrutura, nomes de macro próprios da plataforma |
+| Google | Macros in single braces, plus `{lpurl}?` in front and `keyword`, `device`, `network` |
+| TikTok, Kwai, Taboola | Same structure, the platform's own macro names |
 
-Antes de escrever o template de uma plataforma, confirme o nome exato da macro na documentação dela. Macro errada entrega a string literal `{{campaign.id}}` na URL, e ninguém percebe até a primeira venda.
+Before writing a platform's template, confirm the exact macro name in its documentation. A wrong macro delivers the literal string `{{campaign.id}}` in the URL, and nobody notices until the first sale.
 
-Existe variação a mais quando há cloaker na frente do checkout: um conector extra para não quebrar a string. Confirme com quem instalou o cloaker.
+There's an extra variation when there's a cloaker in front of the checkout: an extra connector so the string doesn't break. Confirm with whoever installed the cloaker.
 
-## O balde do orgânico
+## The organic bucket
 
-"Orgânico" não é canal. É tudo que chegou sem tag: destaque do Instagram sem UTM, link na bio sem UTM, direct, recompra, boca a boca.
+"Organic" isn't a channel. It's everything that arrived without a tag: an Instagram highlight without a UTM, a bio link without a UTM, DMs, repeat purchases, word of mouth.
 
-Diagnóstico: tague **todas** as rotas próprias (bio, destaque, story, direct, e-mail, grupo) e observe o orgânico cair. O que sobrar depois disso é orgânico de verdade. O tamanho da queda é a prova de quanto o balde estava mentindo.
+Diagnosis: tag **every** owned route (bio, highlight, story, DM, email, group) and watch organic drop. What's left after that is real organic. The size of the drop is proof of how much the bucket was lying.
 
-Padrão sugerido para rota própria:
+Suggested pattern for an owned route:
 
 ```
-utm_source=instagram&utm_medium=<bio|destaque|story|direct>&utm_campaign=<nome-do-destaque-ou-post>
+utm_source=instagram&utm_medium=<bio|highlight|story|dm>&utm_campaign=<highlight-or-post-name>
 ```
 
-## Primeiro toque
+## First touch
 
-Último clique é o padrão de quase toda ferramenta, e ele esconde qual anúncio **apresentou** a oferta. Guarde o primeiro toque no seu banco (primeira UTM vista pelo visitante, com data) e compare com o último. Multi-toque simples, dois campos, resolve a maior parte das decisões de criativo.
+Last click is the default of almost every tool, and it hides which ad **introduced** the offer. Store the first touch in your own database (the first UTM the visitor saw, with a date) and compare it with the last. Simple multi-touch, two fields, resolves most creative decisions.
 
-## Conferência rápida
+## Quick check
 
-Cinco checagens que pegam quase todo erro de tag:
+Five checks that catch almost every tagging error:
 
-1. Abra o anúncio em preview e leia a URL final: tem macro literal sobrando?
-2. A UTM sobrevive ao redirect até o checkout?
-3. O webhook de venda entrega os campos ao banco?
-4. Dois anúncios diferentes geram `utm_content` diferentes?
-5. Renomear um anúncio quebra a atribuição? Se quebrar, está atribuindo por nome.
+1. Open the ad in preview and read the final URL: is a macro left un-substituted?
+2. Does the UTM survive the redirect all the way to checkout?
+3. Does the sale webhook deliver the fields to the bank?
+4. Do two different ads generate different `utm_content` values?
+5. Does renaming an ad break attribution? If it does, it's attributing by name.

package/src/skills-lib/wizz-web-security/SKILL.md

@@ -1,49 +1,49 @@
 ---
 name: wizz-web-security
 description: >
-  Revisar segurança de apps web. Usar quando: auditar vulnerabilidades, antes de deploy/PR, implementar auth,
-  adicionar endpoint de API, lidar com input de usuário, configurar headers, CSP, rate limiting, CORS, clickjacking,
-  IDOR, SQL injection, vazamento de PII/dados na resposta, enumeração de usuário, OWASP Top 10.
-  Inclui triagem de falhas recorrentes de pentest + checklist das 8 vulnerabilidades e exemplos para Next.js + Supabase + Clerk.
-  Use quando o usuário pedir auditoria de segurança ou revisão pré-deploy, ou mencionar CORS, CSP, rate limiting, IDOR ou OWASP.
+  Review the security of web apps. Use when: auditing vulnerabilities, before deploy/PR, implementing auth,
+  adding an API endpoint, handling user input, configuring headers, CSP, rate limiting, CORS, clickjacking,
+  IDOR, SQL injection, PII/data leakage in the response, user enumeration, OWASP Top 10.
+  Includes triage of recurring pentest findings + the checklist of the 8 vulnerabilities and examples for Next.js + Supabase + Clerk.
+  Use when the user asks for a security audit or pre-deploy review, or mentions CORS, CSP, rate limiting, IDOR, or OWASP.
 ---
 
 # Web Security (OWASP Top 10)
 
-## Falhas recorrentes em pentest (rankeadas por severidade)
+## Recurring pentest findings (ranked by severity)
 
-As que mais aparecem numa auditoria, com a correção direta. Use como triagem rápida — comece por aqui em toda revisão de segurança.
+The ones that show up most in an audit, with the direct fix. Use as a quick triage — start here in every security review.
 
-| # | Falha | Severidade | Correção | Onde |
+| # | Finding | Severity | Fix | Where |
 |---|-------|-----------|----------|------|
-| 1 | SQL Injection | 🔴 Crítica (parada de linha) | Query parametrizada / query-builder, nunca interpolar string | `references/owasp-top5-detalhado.md` §3 |
-| 2 | IDOR (recurso por ID sem checar dono) | 🔴 Crítica (parada de linha) | Validar posse do recurso no servidor a cada request | `references/owasp-top5-detalhado.md` §1 |
-| 3 | Mass assignment (body inteiro vai pro banco) | 🔴 Crítica (parada de linha) | Allowlist de campos: só grave os campos do formulário, nunca `spread` do body | `references/owasp-top5-detalhado.md` §6 |
-| 4 | RLS permissiva (`USING(true)`) ou tabela sem policy | 🔴 Crítica | Policy que amarra `auth.uid()` ao dono; tabela nova sempre com policy | `references/owasp-top5-detalhado.md` §1 |
-| 5 | Rate limit ausente (brute force grátis) | 🟠 Alta | Limite por IP **e** por conta + lockout/CAPTCHA no login | `references/headers-rate-limit-cors.md` |
-| 6 | Origem do IP lida do socket atrás de CDN | 🟠 Alta | Ler IP do header certo (`x-forwarded-for` confiável do proxy), senão o rate limit não existe | `references/headers-rate-limit-cors.md` |
-| 7 | Custo por chamada sem limitador (IA/SMS/e-mail) | 🟠 Alta | Rate limit + quota por conta em toda rota que gasta dinheiro real | `references/headers-rate-limit-cors.md` |
-| 8 | Extração por paginação (base inteira registro a registro) | 🟠 Alta | Filtrar por dono na query + limite de página + detecção de varredura | `references/headers-rate-limit-cors.md` |
-| 9 | CORS refletindo o `Origin` | 🟠 Alta | Allowlist de origens, nunca ecoar o `Origin` recebido | `references/headers-rate-limit-cors.md` |
-| 10 | PII/dado demais na resposta (até hash de senha) | 🟠 Alta | Retornar só os campos necessários (allowlist de saída) | `references/headers-rate-limit-cors.md` |
-| 11 | JWT na URL / token vivo pós-logout | 🟠 Alta | Token no header `Authorization` + revogar no logout | skill `wizz-auth-and-secrets` |
-| 12 | Enumeração de usuário (erro revela se e-mail existe) | 🟡 Média | Mensagem genérica + resposta em tempo constante | skill `wizz-auth-and-secrets` |
-| 13 | Clickjacking (sem header) | 🟡 Média (1 min) | `X-Frame-Options: DENY` + CSP `frame-ancestors 'none'` | `references/headers-rate-limit-cors.md` |
-
-> As quatro primeiras (SQLi, IDOR, mass assignment e RLS permissiva) são **parada de linha**: apareceu, corrige antes de qualquer coisa.
+| 1 | SQL Injection | 🔴 Critical (stop-the-line) | Parameterized query / query builder, never interpolate strings | `references/owasp-top5-detalhado.md` §3 |
+| 2 | IDOR (resource by ID without checking owner) | 🔴 Critical (stop-the-line) | Validate resource ownership on the server for every request | `references/owasp-top5-detalhado.md` §1 |
+| 3 | Mass assignment (entire body goes to the database) | 🔴 Critical (stop-the-line) | Field allowlist: only save the form's fields, never `spread` the body | `references/owasp-top5-detalhado.md` §6 |
+| 4 | Permissive RLS (`USING(true)`) or a table with no policy | 🔴 Critical | A policy that ties `auth.uid()` to the owner; every new table always gets a policy | `references/owasp-top5-detalhado.md` §1 |
+| 5 | No rate limit (free brute force) | 🟠 High | Limit per IP **and** per account + lockout/CAPTCHA on login | `references/headers-rate-limit-cors.md` |
+| 6 | IP origin read from the socket behind a CDN | 🟠 High | Read the IP from the right header (a trusted `x-forwarded-for` from the proxy), otherwise the rate limit doesn't exist | `references/headers-rate-limit-cors.md` |
+| 7 | Per-call cost with no limiter (AI/SMS/email) | 🟠 High | Rate limit + per-account quota on every route that spends real money | `references/headers-rate-limit-cors.md` |
+| 8 | Extraction via pagination (entire database, record by record) | 🟠 High | Filter by owner in the query + page limit + scan detection | `references/headers-rate-limit-cors.md` |
+| 9 | CORS reflecting the `Origin` | 🟠 High | Origin allowlist, never echo the received `Origin` | `references/headers-rate-limit-cors.md` |
+| 10 | Too much PII/data in the response (even password hashes) | 🟠 High | Return only the necessary fields (output allowlist) | `references/headers-rate-limit-cors.md` |
+| 11 | JWT in the URL / token still alive after logout | 🟠 High | Token in the `Authorization` header + revoke on logout | skill `wizz-auth-and-secrets` |
+| 12 | User enumeration (error reveals whether an email exists) | 🟡 Medium | Generic message + constant-time response | skill `wizz-auth-and-secrets` |
+| 13 | Clickjacking (no header) | 🟡 Medium (1 min) | `X-Frame-Options: DENY` + CSP `frame-ancestors 'none'` | `references/headers-rate-limit-cors.md` |
+
+> The first four (SQLi, IDOR, mass assignment, and permissive RLS) are **stop-the-line**: if it shows up, fix it before anything else.
 >
-> Para uma auditoria adversarial completa (caça com prova de exploração + plano priorizado), use a skill `security-audit-pentest`. Esta skill aqui é para **corrigir** uma falha específica da tabela.
+> For a full adversarial audit (hunting with exploit proof + a prioritized plan), use the `security-audit-pentest` skill. This skill here is for **fixing** a specific finding from the table.
 
 ## References (load on demand)
 
-- `references/owasp-top5-detalhado.md` — detalhe + exemplo de código (Next.js + Clerk + Supabase) para as 5 categorias OWASP mais comuns: Broken Access Control, Cryptographic Failures, Injection, XSS, CSRF. Carregar ao aprofundar numa falha específica da tabela acima.
-- `references/headers-rate-limit-cors.md` — headers de segurança obrigatórios (com config pronta para `next.config.ts`), rate limiting (login/API/cobrança, fail-closed), CORS (allowlist, exemplo de código), e como evitar vazamento de PII/over-fetch na resposta de API. Carregar ao implementar ou revisar qualquer um desses quatro pontos.
-- `references/checklist-deploy.md` — checklist das 8 vulnerabilidades mais comuns (HTTPS, validação no servidor, secrets, rate limit, CSP, upload, SQL injection, backup), em formato de auditoria pré-deploy. Carregar antes de um deploy ou revisão de segurança formal.
-
-## Checklist de revisão rápida
-- [ ] Todos os inputs do usuário são validados e sanitizados?
-- [ ] Autenticação verificada em todas as rotas protegidas?
-- [ ] HTTPS forçado com redirect de HTTP?
-- [ ] Headers de segurança configurados?
-- [ ] Logs não contêm dados sensíveis?
-- [ ] Dependências auditadas?
+- `references/owasp-top5-detalhado.md` — detail + code example (Next.js + Clerk + Supabase) for the 5 most common OWASP categories: Broken Access Control, Cryptographic Failures, Injection, XSS, CSRF. Load when digging into a specific finding from the table above.
+- `references/headers-rate-limit-cors.md` — mandatory security headers (with ready-made config for `next.config.ts`), rate limiting (login/API/billing, fail-closed), CORS (allowlist, code example), and how to avoid PII leakage/over-fetch in API responses. Load when implementing or reviewing any of those four points.
+- `references/checklist-deploy.md` — checklist of the 8 most common vulnerabilities (HTTPS, server-side validation, secrets, rate limit, CSP, upload, SQL injection, backup), as a pre-deploy audit format. Load before a deploy or a formal security review.
+
+## Quick review checklist
+- [ ] Are all user inputs validated and sanitized?
+- [ ] Is authentication checked on every protected route?
+- [ ] Is HTTPS forced with an HTTP redirect?
+- [ ] Are security headers configured?
+- [ ] Do logs contain no sensitive data?
+- [ ] Have dependencies been audited?

package/src/skills-lib/wizz-web-security/references/checklist-deploy.md

@@ -1,52 +1,52 @@
-# Checklist das 8 Vulnerabilidades Mais Comuns
-
-Carregue este arquivo para uma auditoria rápida antes de deploy ou revisão de segurança.
-
-## 1. HTTPS forçado
-- [ ] A plataforma força HTTPS? (Vercel: sim por padrão)
-- [ ] Header `Strict-Transport-Security` configurado explicitamente no código?
-- [ ] Nenhuma URL `http://` hardcoded em redirects ou fetch?
-
-## 2. Validação no servidor
-- [ ] Todo endpoint de API valida input com Zod (`.parse()` ou `.safeParse()`)?
-- [ ] `workspaceId`/`userId` validados como UUID antes de ir ao banco?
-- [ ] Regras de negócio re-validadas no backend (nunca confiar só no cliente)?
-- [ ] Supabase: RLS ativo nas tabelas? Queries sempre filtram por `workspace_id`/`user_id`?
-
-## 3. Senha do banco / secrets no código
-- [ ] Nenhum secret hardcoded em `.ts`/`.tsx`/`.js`?
-- [ ] `.env*` no `.gitignore`? (`git check-ignore -v .env.local`)
-- [ ] `.env.local` nunca aparece em `git log --all`?
-- [ ] Cripto usa chave de `process.env`, sem fallback de string?
-- [ ] Grep de segurança: `grep -r "sk_live\|sk_test\|service_role\|eyJ" src/` → vazio?
-
-## 4. Rate limiting na API
-- [ ] Endpoints de autenticação têm rate limit por IP?
-- [ ] Endpoints de cobrança (checkout, portal Stripe) têm rate limit?
-- [ ] Endpoints que disparam operações caras/externas têm rate limit?
-- [ ] Endpoints de admin têm rate limit + comparação timing-safe?
-- [ ] Rotas de escrita de estado falham fechado se o rate limiter cair? (ex: `failOpen: false` na lib)
+# Checklist of the 8 Most Common Vulnerabilities
+
+Load this file for a quick audit before deploy or a security review.
+
+## 1. Forced HTTPS
+- [ ] Does the platform force HTTPS? (Vercel: yes by default)
+- [ ] Is the `Strict-Transport-Security` header explicitly configured in the code?
+- [ ] No hardcoded `http://` URL in redirects or fetch calls?
+
+## 2. Server-side validation
+- [ ] Does every API endpoint validate input with Zod (`.parse()` or `.safeParse()`)?
+- [ ] Are `workspaceId`/`userId` validated as UUID before hitting the database?
+- [ ] Are business rules re-validated on the backend (never trusting the client alone)?
+- [ ] Supabase: is RLS active on the tables? Do queries always filter by `workspace_id`/`user_id`?
+
+## 3. Database password / secrets in code
+- [ ] No secret hardcoded in `.ts`/`.tsx`/`.js`?
+- [ ] Is `.env*` in `.gitignore`? (`git check-ignore -v .env.local`)
+- [ ] Does `.env.local` never show up in `git log --all`?
+- [ ] Does crypto use a key from `process.env`, with no string fallback?
+- [ ] Security grep: `grep -r "sk_live\|sk_test\|service_role\|eyJ" src/` → empty?
+
+## 4. API rate limiting
+- [ ] Do auth endpoints have per-IP rate limiting?
+- [ ] Do billing endpoints (checkout, Stripe portal) have rate limiting?
+- [ ] Do endpoints that trigger expensive/external operations have rate limiting?
+- [ ] Do admin endpoints have rate limiting + timing-safe comparison?
+- [ ] Do state-writing routes fail closed if the rate limiter goes down? (e.g. `failOpen: false` in the library)
 
 ## 5. Content Security Policy
-- [ ] Header `Content-Security-Policy` configurado? (`next.config.ts` `headers()` ou middleware)
-- [ ] `X-Frame-Options: DENY` configurado?
-- [ ] `X-Content-Type-Options: nosniff` configurado?
-- [ ] CSP testada em dev sem erros no console?
-
-## 6. Upload sem verificação de tipo
-- [ ] Se há upload: verifica MIME type no servidor (não só no cliente)?
-- [ ] Limite de tamanho de arquivo imposto no servidor?
-- [ ] Extensões permitidas em allowlist (não blocklist)?
-- [ ] Se não há upload: confirmar que não há `<input type="file">` escondido?
-
-## 7. SQL injection na busca
-- [ ] Nenhuma query monta SQL com string interpolation/concatenação?
-- [ ] Supabase: todo acesso via query-builder (`.from().select().eq()`) ou RPC com params nomeados?
-- [ ] RPCs Postgres auditadas no dashboard: não usam `EXECUTE format(...)` com input do usuário?
-- [ ] Grep: `grep -r "\.sql\|raw(\|\.query(" src/` → revisar resultados?
-
-## 8. Backup automatizado
-- [ ] Plano Supabase tem PITR ou backup diário habilitado? (verificar no dashboard)
-- [ ] Retenção de backup documentada?
-- [ ] Existe runbook de restauração?
-- [ ] Credenciais de backup protegidas (não no repo)?
+- [ ] Is the `Content-Security-Policy` header configured? (`next.config.ts` `headers()` or middleware)
+- [ ] Is `X-Frame-Options: DENY` configured?
+- [ ] Is `X-Content-Type-Options: nosniff` configured?
+- [ ] Was the CSP tested in dev with no console errors?
+
+## 6. Upload without type verification
+- [ ] If there's upload: does it check the MIME type on the server (not just the client)?
+- [ ] Is a file size limit enforced on the server?
+- [ ] Are allowed extensions an allowlist (not a blocklist)?
+- [ ] If there's no upload: confirm there's no hidden `<input type="file">`?
+
+## 7. SQL injection in search
+- [ ] No query builds SQL with string interpolation/concatenation?
+- [ ] Supabase: is all access via the query builder (`.from().select().eq()`) or RPC with named params?
+- [ ] Have Postgres RPCs been audited in the dashboard: no `EXECUTE format(...)` with user input?
+- [ ] Grep: `grep -r "\.sql\|raw(\|\.query(" src/` → results reviewed?
+
+## 8. Automated backup
+- [ ] Does the Supabase plan have PITR or daily backup enabled? (check the dashboard)
+- [ ] Is backup retention documented?
+- [ ] Is there a restore runbook?
+- [ ] Are backup credentials protected (not in the repo)?