platformforge 0.1.0__py3-none-any.whl

platformforge/data/portable_skills/platformforge-governance/SKILL.md

@@ -0,0 +1,76 @@
+---
+name: platformforge-governance
+description: "Governança do próprio Platform Forge e da plataforma analisada — freeze de arquitetura (manifest, snapshots, check de drift de contrato, FeatureException/RFC de unfreeze), corpus de evidência (cases golden/holdout, replay determinístico, ledgers de falso positivo/negativo, route-audit, context-audit), evals (coverage/precision), policy-as-code (`policy check`) e platform product (maturity, scorecard, golden paths, Backstage). Use quando `freeze check` falhar, antes de mudar roster/schema/CLI/capabilities, para decidir se uma mudança cabe no freeze ou exige exceção, para adicionar caso/eval de regressão, auditar precisão de regras, checar políticas ou medir maturidade/golden path. Não use para revisar mudança de infra do usuário (→ platformforge-change) nem para fluxo de fases de feature (→ platformforge-sdd)."
+---
+
+# Governança — freeze, evidência, policy, produto
+
+Estado atual: **ARCHITECTURE FROZEN** (`docs/freeze/LIFECYCLE.md`). O
+freeze é o default; quem quer mudar arquitetura carrega o ônus da prova.
+
+## Freeze
+
+```bash
+platformforge freeze check                    # drift de contrato + gate de exceções
+platformforge freeze manifest                 # superfície congelada atual
+platformforge freeze snapshot                 # recalcula hashes (só com exceção aprovada)
+platformforge freeze exception --spec docs/freeze/exceptions/FE-XXX.json
+```
+
+Snapshots em `docs/freeze/snapshots/` hasheiam **todo campo** de
+agents (`roster.py`), capabilities, CLI, MCP e schemas. Consequência
+prática:
+
+- Mudar texto no `roster.py` (até descrição) = `breaking` no
+  `freeze check`. Ajuste de apresentação vai no renderer
+  (`agents/mirrors.py`), que não é snapshotado.
+- Cabe no freeze sem review: bug-fix, performance-fix (com receipt),
+  security-fix, knowledge-update, new-eval, fixture real sanitizada,
+  compatibilidade, documentação.
+- Exige FeatureException (`FE-000-template.json`): subsistema novo,
+  família de schema pública, nível de autonomia, control plane, pilar de
+  domínio, expansão grande de roster. Precisa de `real_world_blocker`
+  nomeado + evidência — "seria legal" é não-razão explícita (§210).
+- `freeze snapshot` sem exceção aprovada esconde drift — não rode para
+  "deixar verde".
+
+## Corpus de evidência
+
+```bash
+platformforge cases list|validate                 # .platformforge/cases/<golden|holdout>/<id>/case.yaml
+platformforge cases template [--out f]          # esqueleto de case (grava case.yaml no cwd)
+platformforge cases replay [--tier golden]        # replay determinístico, hash canônico
+platformforge cases ledger | ledger-check         # FP/FN: todo registro aponta regressão
+platformforge cases route-audit | route-bench     # Router V2 sobre o corpus
+platformforge cases context-audit --stamp         # context_cost medido
+platformforge evals list|run|coverage|precision [--type T]
+```
+
+- Defeito real encontrado → registro no ledger **e** case de regressão;
+  `ledger-check` falha se o ponteiro não resolve.
+- `holdout` não é usado para calibrar — só para medir. Ajustar regra
+  olhando holdout invalida a medição.
+- Replay é determinístico: hash diferente sem mudança de código é bug,
+  não flakiness.
+
+## Policy e produto
+
+```bash
+platformforge policy list | policy check <path>
+platformforge product maturity|scorecard|capabilities [--facts f --findings f]
+platformforge product paths | product path --id <id> | product path-analyze
+platformforge product backstage [--facts f]
+```
+
+- Maturity/scorecard derivam de facts+findings — passe `--facts`/`--findings`
+  do repo analisado; sem eles o score reflete só sinais declarados.
+- Métricas de DX são por time, nunca individuais.
+
+## Fronteira
+
+- `ops`/`live` são boundary do host (níveis S0–S5, `--execute`, aprovação
+  humana). Esta skill audita, não executa — mutação governada pertence a
+  `platformforge-change` + gate humano.
+- Receipts (`docs/freeze/*-RECEIPT.json`) são ligados a um SHA medido;
+  nunca edite à mão para refletir commit novo — regenere pela via que os
+  produziu.

platformforge/data/portable_skills/platformforge-graph/SKILL.md

@@ -0,0 +1,46 @@
+---
+name: platformforge-graph
+description: "Constrói e consulta o grafo de plataforma (Graphfy) a partir de fatos — deps, dependents, blast radius por classe de impacto, paths, gaps, cycles, diff entre snapshots, grafo de identidade (identity-become/access/workloads/blast) e queries temporais (at/timeline). Use para 'o que essa mudança afeta', 'quem depende deste serviço', mapear ownership/deploy/routing, detectar gaps de observabilidade/segurança e cruzar repos de um workspace.yaml. Não use para extrair fatos (→ analyze) nem para julgar regras (→ judge)."
+---
+
+# Graphfy — grafo de plataforma
+
+Grafo é derivado de fatos (`attrs.graph`), nunca de texto livre. Contrato:
+`platformforge/graph/v1`; vocabulário em `platformforge/graph/vocab.py` e
+`GRAPHFY.md`. Backends pluggáveis: memory + SQLite (`graph/backend.py`).
+
+## Verbos
+
+```bash
+platformforge graph build facts.json          # grava .platformforge/graph/
+platformforge graph build facts.json --source-type observed   # tipo do snapshot
+platformforge graph stats
+platformforge graph deps --node <id>          # transitivo, só arestas de dependência
+platformforge graph dependents --node <id>
+platformforge graph blast --node <id>         # by_class: reliability/security/…
+platformforge graph paths --src A --dst B
+platformforge graph gaps                      # nós sem owner/monitoramento/policy
+platformforge graph cycles
+platformforge graph snapshots                 # ids dos snapshots
+platformforge graph diff --before <id> --after <id>
+platformforge graph at --at <ISO-ts>          # grafo num instante
+platformforge graph timeline --edge-id <id>   # vida de uma aresta
+platformforge graph identity-become|identity-access|identity-workloads|identity-blast
+```
+
+## Regras de leitura
+
+- `deps`/`dependents` filtram `DEPENDENCY_KINDS` — `owns` não é dependência.
+- `blast` retorna classes separadas + `note`: proximidade ≠ causalidade.
+  Classe `organizational` é reportada à parte (ownership ≠ blast radius).
+- Edge `inferred` (fatos t6–t7) nunca é apresentada como `observed`.
+- Sem grafo construído → recusa `PF-GRAPH-NOGRAPH` com unlock
+  (`graph build <facts.json>`); não reinterprete silenciosamente.
+- Diff usa cones de ancestrais memoizados (SCC) — escala a 10k nós /
+  500k arestas medidos; além disso, `unsupported-on-host`.
+
+## Multi-repo
+
+Fatos vindos de `analyze` sobre raiz de workspace carregam
+`attrs.workspace_member`; `graph build` cruza os membros por node id
+content-derived (mesma label → mesmo nó → aresta cross-repo).

platformforge/data/portable_skills/platformforge-lab/SKILL.md

@@ -0,0 +1,39 @@
+---
+name: platformforge-lab
+description: "Executa e avalia cenários determinísticos do Forge Lab — fixtures offline com contrato expected.yaml, comparação expected-vs-observed por prefixo de regra e categoria, chaos controlado por profiles. Use para validar analyzer novo, regredir regras, criar cenário novo para um finding, simular falha no grafo, ou avaliar o próprio platform-forge. Não substitui pytest (cobre comportamento unitário; Lab cobre o pipeline analyze→judge)."
+---
+
+# Forge Lab — avaliação determinística
+
+Cenário = `lab/scenarios/<nome>/` com `fixture/` (artefatos) +
+`expected.yaml` (`analyzers`, `rules_fired`, `categories`). 44 cenários,
+incl. 12 `fleet-*` sobre a fixture compartilhada `lab/fleets/acme`.
+
+## Verbos
+
+```bash
+platformforge lab list                          # cenários
+platformforge lab run <nome>                    # um
+platformforge lab run-all                       # suite
+platformforge lab chaos <dir> --profile static|container|kubernetes|cloud
+```
+
+Profiles não-`static` são recusados sem `--allow-profile`; alvo real de
+produção recusado sem `--allow-prod` — boundary por design, não erro.
+
+## Criar cenário
+
+1. `lab/scenarios/<nome>/fixture/` com os artefatos mínimos.
+2. `expected.yaml`: `analyzers: [iac|k8s|gha|gitops|secrets|iam|slo|finops|supply|catalog|crossplane|fleet_report|…]`, `rules_fired` por prefixo (`PF-K8S-`), `categories`.
+3. `lab run <nome>` — runner roda analyze+judge e compara.
+
+Domínios por arquivo único leem um nome fixo dentro de `fixture/`:
+`iam`→`policy.json`, `supply`→`supply.json`, `finops`→`costs.json`,
+`slo`→`slo.yaml` + `events.yaml`. Os demais (iac, k8s, gha, gitops,
+secrets, sbom, catalog, crossplane) varrem `fixture/` inteira.
+
+## Disciplina
+
+- `rules_fired` é prefixo — liste regra inteira se o caso depende dela.
+- Cenário que passa com finding errado ainda falhou — confira `observed`.
+- Fixture não contém segredo real — usar placeholder + pattern.

platformforge/data/portable_skills/platformforge-sdd/SKILL.md

@@ -0,0 +1,39 @@
+---
+name: platformforge-sdd
+description: "Conduz mudanças no próprio Platform Forge pelo SDD nativo — feature dir com intent/design/contract/plan, cascata de hashes (mudança upstream invalida downstream), gates por evidência, override com recibo, learn no fechamento. Use ao iniciar feature/fase, quando `sdd check` recusar, para re-selar com `sdd stamp`, ou para fechar fase com gate. Não use para analisar plataformas de usuário (→ platformforge-core)."
+---
+
+# SDD nativo — fases e gates
+
+Cada feature vive em `sdd/<FEATURE>/`. Fases na ordem:
+
+```text
+init → discover → define → design → contract → plan → build → review →
+verify → ship → learn
+```
+
+Cascata de hashes: mudar uma fase upstream invalida as downstream
+(stale → `sdd check` falha até `sdd stamp` re-selar).
+
+## Verbos
+
+```bash
+platformforge sdd init --feature F --body "objetivo"
+platformforge sdd discover --feature F --body "..."
+platformforge sdd design --feature F --body "..."
+platformforge sdd contract --feature F --body "..."
+platformforge sdd status --feature F       # fases: current/stale/blocked
+platformforge sdd check --feature F --phase plan --verify "pytest -q"
+platformforge sdd stamp --feature F --phase plan   # re-sela após editar
+platformforge sdd ship --feature F --override --override-reason "porquê"
+platformforge sdd learn --feature F --body "o que aprendeu"
+```
+
+## Disciplina
+
+- Gate falha porque upstream está stale ou evidência ausente — corrija o
+  artefato e `sdd stamp`; não use `--override` pra esconder dívida
+  (o recibo fica registrado).
+- `sdd check --verify "cmd"` roda o comando e anexa o resultado como
+  evidência da fase.
+- `learn` é fase de fechamento — capture o que mudou a arquitetura real.

platformforge/data/portable_skills/platformforge-security/SKILL.md

@@ -0,0 +1,38 @@
+---
+name: platformforge-security
+description: "Análise defensiva de plataforma — grafo IAM (principais, ações, recursos, wildcard, trust/SCP/boundary/OIDC/role chaining), secrets com redação automática, SBOM/SLSA e supply chain, Kyverno version-aware, Cosign (claimed ≠ verified), regras PF-SEC-*/PF-IAM-* e grafo de identidade (identity-become/access/workloads/blast). Use para auditar postura, 'isto vaza segredo?', revisar políticas IAM, verificar assinatura/SLSA de artefatos, supply chain de imagens. Não cria exploits nem coleta credenciais."
+---
+
+# DevSecOps — leitura, nunca mutação
+
+## Verbos
+
+```bash
+platformforge analyze iam <dir|policy.json>   # grafo principal→ação→recurso
+platformforge analyze secrets <dir>           # valores redatados por padrão
+platformforge analyze sbom <sbom.json>        # licenças, pinagem, SLSA
+platformforge analyze supply <provenance.json>
+platformforge analyze kyverno <dir> --kyverno-version <v>  # deprecations
+platformforge analyze cosign <artifact>       # assinatura: claimed ≠ verified
+platformforge analyze slsa <provenance.json>
+platformforge security <root>                 # bundle secrets+iam+sbom+supply → judge
+platformforge graph identity-become --node <id>   # quem pode virar o principal
+platformforge graph identity-access --node <id>   # acesso por caminho de identidade
+platformforge graph identity-workloads --node <id>
+platformforge graph identity-blast --node <id>
+```
+
+Wildcard normalizado: `"*"` vira `wildcard` / `wildcard-principal` antes de
+contar — `{"Principal":{"AWS":"*"}}` conta como público.
+Admin: `"*"` ou `iam:*` em actions, ou `iam:PassRole` + `"*"` em resources.
+
+## Disciplina
+
+- Secrets em fact.attrs carregam só `redacted`/`sha256_prefix` — nunca
+  valor. Não remover a redação pra "mostrar o contexto".
+- Finding inclui `location` do artefato — remediação aponta o arquivo, não
+  o valor.
+- Supply chain sem assinatura verificada = finding; scanner local offline
+  falhando degrada a evidência, não cancela o relatório.
+- "Sem caminho de identidade encontrado" é um resultado nomeado — nunca
+  apresente como "sem risco".

platformforge/data/portable_skills/platformforge-sre/SKILL.md

@@ -0,0 +1,41 @@
+---
+name: platformforge-sre
+description: "Avalia confiabilidade de plataforma a partir de contratos SLO, eventos e sinais de observabilidade — error budget, burn rate multi-window, incident readiness, capacity headroom, postmortem, DR, correlação OTel trace→log→métrica e projeções prometheus/grafana. Use para 'este SLO aguenta', burn rate, error budget, readiness operacional, revisar alertas, planejar runbook, capacity, ou correlacionar telemetria sem credencial. Não use para custos (→ platformforge-finops) nem para blast radius estrutural (→ platformforge-graph)."
+---
+
+# SRE / observabilidade
+
+OTel é o contrato canônico; projeções de vendor (prometheus/grafana) são
+leitura, nunca fonte de verdade. Tudo offline — sem credencial.
+
+## Verbos
+
+```bash
+platformforge observe slo contract.yaml --sli '{"total_events":1e6,"bad_events":400}'
+platformforge observe slo-burn contract.yaml --windows '{"1h":{"good":1,"bad":0,"total":100}}'
+platformforge observe otel <otel.yaml>          # correlação declarada vs ausente
+platformforge observe semconv <attrs.json>      # conformidade de convenção semântica
+platformforge observe incident <signal.yaml> --alerts a.yaml --changes c.yaml
+platformforge observe timeline <events.json>
+platformforge observe postmortem --incident inc.json
+platformforge observe capacity <cap.yaml> --window 86400
+platformforge observe dr <dr.yaml> --facts facts.json
+platformforge observe prometheus <rules.yaml>   # projeção: alertas/recording
+platformforge observe grafana <dashboard.json>  # projeção: painéis/datasources
+platformforge reliability <facts.json>          # sre+k8s rules only
+platformforge correlate <otel.yaml>             # = observe otel
+```
+
+Contrato SLO: `contracts/slo-contract.schema.json`. Regras PF-OBS-* em
+`rules/catalog/sre.yaml`.
+
+## Disciplina
+
+- Error budget calculado do contrato + SLI observado; sem SLI →
+  `PF-OBS-NODATA`, não chute.
+- Correlação OTel é declarada-vs-ausente: atributo de log referenciando
+  trace sem binding é finding, não prova.
+- `observe incident` sem `--alerts`/`--changes` degrada a evidência — o
+  sinal ausente volta em `unresolved`, não vira pressuposto.
+- Burn rate usa janelas múltiplas — `slo-burn` exige `--windows` por
+  janela declarada.

platformforge/data/rules/catalog/finops.yaml

@@ -0,0 +1,26 @@
+# FinOps rules — operate on finops.cost facts (tier-1 measured spend).
+rules:
+  - rule_id: PF-FIN-001
+    domain: finops
+    title: "Spend-bearing resource without cost allocation tag"
+    severity: medium
+    applies_to: {fact_kind: finops.cost}
+    conditions:
+      all:
+        - {path: attrs.tags.cost_center, op: absent}
+        - {path: attrs.amount, op: gt, value: 0}
+    message: "unallocated spend breaks unit economics and accountability"
+    sources: ['finops-framework']
+    source_refs:
+      finops-framework: "framework/capabilities/allocation"
+
+  - rule_id: PF-FIN-002
+    domain: finops
+    title: "Cost recorded without service attribution"
+    severity: low
+    applies_to: {fact_kind: finops.cost}
+    conditions:
+      all:
+        - {path: attrs.service, op: absent}
+    message: "service-less cost rows can't be attributed downstream"
+    sources: ['focus-spec']

platformforge/data/rules/catalog/gitops.yaml

@@ -0,0 +1,161 @@
+# GitOps & CI/CD rules — PF-GITOPS-* / PF-CICD-*.
+rules:
+  - rule_id: PF-GITOPS-001
+    domain: gitops
+    title: "ArgoCD app without automated sync"
+    severity: low
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.automated_sync, op: equals, value: false}
+    message: "manual sync lets cluster drift from git silently"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/user-guide/auto_sync"
+
+  - rule_id: PF-GITOPS-002
+    domain: gitops
+    title: "ArgoCD sync without self-heal"
+    severity: medium
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.automated_sync, op: equals, value: true}
+        - {path: attrs.self_heal, op: equals, value: false}
+    message: "out-of-band changes persist until the next sync"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/user-guide/auto_sync#automatic-self-healing"
+
+  - rule_id: PF-GITOPS-003
+    domain: gitops
+    title: "ArgoCD sync without prune"
+    severity: medium
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.automated_sync, op: equals, value: true}
+        - {path: attrs.prune, op: equals, value: false}
+    message: "deleted manifests linger in the cluster"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/user-guide/auto_sync#automatic-pruning"
+
+  - rule_id: PF-GITOPS-010
+    domain: gitops
+    title: "Flux resource suspended"
+    severity: info
+    applies_to: {fact_kind: gitops.flux_resource}
+    conditions:
+      all:
+        - {path: attrs.suspend, op: equals, value: true}
+    message: "suspended resources stop reconciling — confirm intent"
+    sources: ['flux-docs']
+    source_refs:
+      flux-docs: "flux/components/kustomize/kustomizations#suspension"
+
+  - rule_id: PF-CICD-001
+    domain: cicd
+    title: "Third-party action not pinned to SHA"
+    severity: high
+    applies_to: {fact_kind: cicd.github_workflow}
+    conditions:
+      all:
+        - {path: attrs.unpinned_third_party, op: not_empty}
+    message: "tag/branch refs are mutable — supply-chain hijack surface"
+    sources: ['github-actions-docs']
+    source_refs:
+      github-actions-docs: "en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions#using-third-party-actions"
+
+  - rule_id: PF-CICD-002
+    domain: cicd
+    title: "Dangerous trigger on privileged context"
+    severity: critical
+    applies_to: {fact_kind: cicd.github_workflow}
+    conditions:
+      all:
+        - {path: attrs.dangerous_triggers, op: not_empty}
+    message: "pull_request_target/workflow_run expose secrets to forks"
+    sources: ['github-securitylab']
+    source_refs:
+      github-securitylab: "resources/github-actions-preventing-pwn-requests"
+
+  - rule_id: PF-CICD-003
+    domain: cicd
+    title: "Script injection via untrusted context"
+    severity: critical
+    applies_to: {fact_kind: cicd.github_workflow}
+    conditions:
+      all:
+        - {path: attrs.script_injection_risk, op: not_empty}
+    message: "${{ }} inside run: interpolates attacker-controlled text"
+    sources: ['github-actions-docs']
+    source_refs:
+      github-actions-docs: "en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions#understanding-the-risk-of-script-injections"
+
+  - rule_id: PF-CICD-004
+    domain: cicd
+    title: "Broad write permissions at workflow level"
+    severity: medium
+    applies_to: {fact_kind: cicd.github_workflow}
+    conditions:
+      any:
+        - {path: attrs.write_perms, op: contains, value: "*"}
+        - {path: attrs.write_perms, op: contains, value: "id-token"}
+    message: "default broad GITHUB_TOKEN permissions widen compromise impact"
+    sources: ['github-actions-docs']
+    source_refs:
+      github-actions-docs: "en/actions/writing-workflows/workflow-syntax-for-github-actions#permissions"
+
+  - rule_id: PF-CICD-005
+    domain: cicd
+    title: "Self-hosted runner on untrusted path"
+    severity: medium
+    applies_to: {fact_kind: cicd.github_workflow}
+    conditions:
+      all:
+        - {path: attrs.self_hosted_jobs, op: not_empty}
+        - {path: attrs.dangerous_triggers, op: not_empty}
+    message: "self-hosted + fork-reachable triggers = host compromise"
+    sources: ['github-actions-docs']
+    source_refs:
+      github-actions-docs: "en/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions#hardening-for-self-hosted-runners"
+
+  - rule_id: PF-GITOPS-020
+    domain: gitops
+    title: "ArgoCD app not scoped to an AppProject"
+    severity: medium
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.app_project_scope, op: equals, value: false}
+    message: "unscoped apps can deploy any source to any destination"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/user-guide/projects/"
+
+  - rule_id: PF-GITOPS-021
+    domain: gitops
+    title: "AppProject without source restrictions"
+    severity: high
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.source_restrictions, op: equals, value: 0}
+    message: "project admits any repository — supply-chain surface"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/user-guide/projects/"
+
+  - rule_id: PF-GITOPS-022
+    domain: gitops
+    title: "ApplicationSet without generators"
+    severity: info
+    applies_to: {fact_kind: gitops.argocd_app}
+    conditions:
+      all:
+        - {path: attrs.generators, op: empty}
+    message: "ApplicationSet produces no applications"
+    sources: ['argocd-docs']
+    source_refs:
+      argocd-docs: "en/stable/operator-manual/applicationset/Generators/"

platformforge/data/rules/catalog/iac.yaml

@@ -0,0 +1,84 @@
+# IaC rules — executable, not decorative. Convention: PF-IAC-NNN.
+rules:
+  - rule_id: PF-IAC-001
+    domain: iac
+    title: "S3 bucket exposes public ACL"
+    severity: critical
+    applies_to: {fact_kind: iac.resource}
+    conditions:
+      all:
+        - {path: attrs.type, op: equals, value: aws_s3_bucket}
+        - {path: attrs.body.acl, op: in,
+           value: [public-read, public-read-write, authenticated-write]}
+    message: "public ACL on object storage is a near-certain exposure"
+    sources: ['aws-s3-docs']
+    source_refs:
+      aws-s3-docs: "AmazonS3/latest/userguide/about-object-ownership.html"
+
+  - rule_id: PF-IAC-002
+    domain: iac
+    title: "Security group ingress open to the world"
+    severity: critical
+    applies_to: {fact_kind: iac.resource}
+    conditions:
+      all:
+        - {path: attrs.type, op: equals, value: aws_security_group}
+        - {path: "attrs.body.ingress[*].cidr_blocks[*]", op: equals,
+           value: "0.0.0.0/0"}
+    message: "ingress from 0.0.0.0/0 must be justified per-resource"
+    sources: ['aws-vpc-docs']
+    source_refs:
+      aws-vpc-docs: "vpc/latest/userguide/security-group-rules.html"
+
+  - rule_id: PF-IAC-003
+    domain: iac
+    title: "Resource without tags/labels"
+    severity: info
+    applies_to: {fact_kind: iac.resource}
+    conditions:
+      all:
+        - {path: attrs.tags, op: absent}
+        - {path: attrs.type, op: matches, value: "^(aws|azurerm|google)_"}
+    message: "untracked resources break cost allocation and ownership"
+    sources: ['aws-docs']
+    source_refs:
+      aws-docs: "general/latest/gr/aws_tagging.html"
+
+  - rule_id: PF-IAC-010
+    domain: iac
+    title: "Plan destroys a resource"
+    severity: high
+    applies_to: {fact_kind: iac.plan_change}
+    conditions:
+      all:
+        - {path: attrs.delete, op: equals, value: true}
+    message: "deletion in a plan needs explicit human acceptance"
+    sources: ['terraform-docs']
+    source_refs:
+      terraform-docs: "terraform/language/state#staging-a-deletion"
+
+  - rule_id: PF-IAC-011
+    domain: iac
+    title: "Plan replaces a resource"
+    severity: medium
+    applies_to: {fact_kind: iac.plan_change}
+    conditions:
+      all:
+        - {path: attrs.replace, op: equals, value: true}
+    message: "replacement implies downtime unless proven otherwise"
+    sources: ['terraform-docs']
+    source_refs:
+      terraform-docs: "terraform/cli/commands/plan#resource-replacement"
+
+  - rule_id: PF-IAC-020
+    domain: iac
+    title: "Module sourced without version pin"
+    severity: medium
+    applies_to: {fact_kind: iac.module}
+    conditions:
+      all:
+        - {path: attrs.version, op: absent}
+    message: "unpinned module sources make builds non-reproducible"
+    sources: ['terraform-docs']
+    source_refs:
+      terraform-docs: "terraform/language/modules/sources#version-constraints"