[P1] TLS 1.3 no broker MQTT e transporte Traefik → backend (RNF04) #78

Origem: item #4 (P1) do backlog da auditoria do PRD em docs/auditoria-prd/2026-10-15-lacunas-prd.md (PR #74).

Lacuna: Broker MQTT aceita TLS 1.2; Traefik → backend em HTTP

Tipo: infra. Por que esta prioridade: Risco Crítico; tls_version tlsv1.3 no mosquitto.conf e o caso no tls_invariants.sh é pequeno; mTLS interno exige decisão.

Evidência e o que falta, por ID

• RNF04 (parcial): RPC em TLS 1.3 obrigatório (tls_invariants.sh OK); broker MQTT só em TLS na 8883 com mTLS (mtls_invariants.sh OK). — falta: O broker aceita TLS 1.2: openssl s_client -tls1_2 -connect localhost:8883 com certificado de cliente negociou TLSv1.2 (2026-10-15). Falta tls_version tlsv1.3 no mosquitto.conf e o caso no tls_invariants.sh; Traefik-backend em texto claro (CRIPTO-TRAEFIK-BACKEND).
• M2.3 (parcial): MQTT sobre TLS com mTLS na 8883 (mtls_invariants.sh OK). — falta: O critério fala em WSS, e WebSockets (9001) não é publicado por decisão; o broker aceita TLS 1.2 (ver RNF04).
• CRIPTO-TRAEFIK-BACKEND (ausente): Traefik fala com o backend em HTTP puro na 8080 (docker-compose.yml:194, loadbalancer.server.port=8080), sem serversTransport nem mTLS. — falta: mTLS entre Traefik e backend, ou decisão registrada de rede interna confiável.

Medido em 2026-10-15 a partir de develop em 92106d1.