merge: develop → main (2026-10-15)

.env.example

@@ -67,6 +67,15 @@ MQTT_ACS_PASSWORD=
 #   MQTT_CERT_SAN_EXTRA=IP:192.168.0.10
 MQTT_CERT_SAN_EXTRA=
 
+# mTLS do broker: o backend apresenta um certificado de cliente (CN = usuário
+# MQTT, emitido pelo mosquitto-init com a CA de desenvolvimento). O
+# docker-compose.yml já define as duas variáveis para o container do servidor
+# (/app/certs/backend.crt e backend.key); só precisam vir aqui para rodar o
+# servidor fora do Compose. Vêm sempre juntas; fora de development com
+# MQTT_USE_TLS=true são obrigatórias. A senha MQTT continua valendo.
+#   MQTT_CLIENT_CERT_PATH=infra/docker/mosquitto/runtime/certs/backend.crt
+#   MQTT_CLIENT_KEY_PATH=infra/docker/mosquitto/runtime/certs/backend.key
+
 # SANs adicionais no certificado do RPC, que o Traefik apresenta em :443
 # (RNF04). Mesma necessidade e mesmo formato do MQTT_CERT_SAN_EXTRA acima, mas
 # para a outra CA: a do RPC é SEPARADA da do broker — ver docs/README.md.
@@ -161,6 +170,11 @@ CPF_HASH_PEPPER=
 # ---------------------------------------------------------------------------
 DEV_ACS_PASSWORD=
 
+# Senha do admin de desenvolvimento do backoffice (matrícula ADM-001), também
+# gravada por `acs-credential-seed`. A MFA do staff é obrigatória: o primeiro
+# acesso passa pela tela de ativação do TOTP. Gere com `openssl rand -hex 32`.
+DEV_ADMIN_PASSWORD=
+
 # ---------------------------------------------------------------------------
 # Comportamento  ·  consumido por: serverpod
 # ---------------------------------------------------------------------------
@@ -173,6 +187,12 @@ APP_ENV=development
 # autenticação institucional.
 ENABLE_DEV_LOGIN=true
 
+# MFA por TOTP (RFC 6238) no login institucional do ACS (RF07). Com true, o ACS
+# sem MFA ativa não entra: precisa ativá-la antes (auth.beginTotpEnrollment).
+# Em produção o padrão é `true` (variável ausente = ligada fora de development);
+# este default é só da stack local.
+REQUIRE_ACS_MFA=false
+
 # Gateway de SMS do login passwordless. `log` (padrão em development) escreve o
 # código no log do processo em vez de enviar SMS. Em produção é obrigatório
 # apontar para um gateway real — nenhum provedor está escolhido ainda, então
@@ -216,3 +236,26 @@ SMS_GATEWAY=
 # credencial do broker não pode viajar no app. A correção é credencial por
 # dispositivo / mTLS, registrada como lacuna conhecida.
 # ---------------------------------------------------------------------------
+
+# --- Avisos push (RF14) ----------------------------------------------------
+# Gorush é o relé para FCM/APNs e continua exigindo as credenciais dos
+# provedores (arquivos fora do repositório). Vazio desliga o envio de avisos.
+# Para ligar: `docker compose --profile push up` e GORUSH_URL=http://gorush:8088.
+GORUSH_URL=
+GORUSH_CREDENTIALS_DIR=
+GORUSH_IOS_KEY_ID=
+GORUSH_IOS_TEAM_ID=
+
+# --- Retenção e expurgo (LGPD-RF07) ---------------------------------------
+# Opcionais: os defaults são a tabela de spec/lgpd_design.md §5.6 — alertas 2
+# anos (730), visitas e triagens 5 anos (1825). Só inteiro positivo de dias
+# (teto 36500): um valor errado aqui apaga dados de forma irreversível.
+# RETENTION_ALERT_DAYS=730
+# RETENTION_VISIT_DAYS=1825
+# RETENTION_TRIAGE_DAYS=1825
+
+# --- Escalonamento de alertas vermelhos (issue #44) -----------------------
+# Opcional: segundos até um alerta vermelho sem reconhecimento ficar elegível
+# a escalonamento. Padrão 300 (5 min); só inteiro de 30 a 3600, fora disso o
+# servidor não sobe.
+# RED_ALERT_ESCALATION_SECONDS=300

.github/SECURITY.md

@@ -22,9 +22,10 @@ explique como os mantenedores podem reproduzir o problema sem retê-la.
 
 Esta política abrange vulnerabilidades nos componentes versionados do SinalACS:
 
-- Aplicativos em `apps/acs` e `apps/patient`.
+- Aplicativos em `apps/acs`, `apps/patient` e `apps/admin` (backoffice).
 - Backend em `backend` e seus clientes gerados.
 - Infraestrutura, arquivos Docker Compose e configurações sob `infra`.
+- Scripts de desenvolvimento, validação e CI sob `scripts/`.
 - Workflows de CI e dependências declaradas no repositório.
 
 Relatos são bem-vindos inclusive para limitações já documentadas quando

.github/workflows/ci.yml

@@ -6,16 +6,25 @@ on:
     # de develop rodava CI — foi assim que 74d89c0 ficou sem um run sequer
     # (FINDING-2/FINDING-4 da avaliação de 2026-09-28).
     branches: [main, master, develop]
+  # Sem filtro nenhum (branches, branches-ignore, types, paths): uma PR fora
+  # do filtro nunca reporta os checks obrigatórios e espera para sempre.
+  # check_gatilhos em scripts/qa/ci_invariants.sh falha se aparecer um (issue #19).
   pull_request:
   # Para gerar o dado sem precisar abrir PR: `gh workflow run CI --ref <branch>`.
   workflow_dispatch:
 
 # Um run vivo por PR: push novo na mesma PR cancela o anterior, que já não
 # descreve a ponta dela — o android-e2e sozinho chega a 60 min (FINDING-7).
-# Push e dispatch são agrupados pelo SHA, então nenhum commit de main/develop
-# perde o próprio resultado para o commit seguinte.
+# Push e dispatch são agrupados pelo ref E pelo SHA: o SHA impede que um commit
+# de main/develop perca o resultado para o seguinte; o ref impede que main e
+# develop, no mesmo SHA (fast-forward de uma para a outra), se cancelem
+# (issue #23). github.ref, e não ref_name, para uma tag não colidir com uma
+# branch de mesmo nome num dispatch.
+# Este texto é comparado por igualdade com GRUPO_CONCORRENCIA em
+# scripts/qa/ci_invariants.sh (issue #24): mudou aqui, muda lá e em GRUPO_NOVO
+# de scripts/qa/ci_invariants_test.sh no mesmo commit.
 concurrency:
-  group: ci-${{ github.event_name }}-${{ github.event_name == 'pull_request' && github.event.pull_request.number || github.sha }}
+  group: ci-${{ github.event_name }}-${{ github.event_name == 'pull_request' && github.event.pull_request.number || format('{0}-{1}', github.ref, github.sha) }}
   cancel-in-progress: true
 
 # Todos os jobs fixam ubuntu-24.04 em vez de ubuntu-latest: o label migra
@@ -37,6 +46,16 @@ jobs:
         run: |
           python3 -c 'import yaml' 2>/dev/null || { sudo apt-get update && sudo apt-get install -y python3-yaml; }
           ./scripts/qa/ci_invariants.sh
+          ./scripts/qa/ci_invariants_test.sh
+      - name: Testes dos scripts de CI
+        run: |
+          ./scripts/ci/decode_secret_file_test.sh
+          ./scripts/qa/ci_push_e2e_test.sh
+          ./scripts/qa/ci_invariants_fcm_test.sh
+          ./scripts/qa/ci_concurrency_act_test.sh
+          ./scripts/dev/sync_dev_ca_test.sh
+          ./scripts/dev/bootstrap_env_test.sh
+          ./scripts/dev/run_acs_captura_test.sh
   serverpod-backend:
     runs-on: ubuntu-24.04
     defaults:
@@ -177,6 +196,10 @@ jobs:
         with:
           flutter-version: '3.44.8'
       - run: flutter pub get
+      # Mesmo motivo do job patient-app: assets/certs/ é gitignored e vem do
+      # scripts/dev/sync_dev_ca.sh, que precisa da stack de pé.
+      - name: Cria o diretório assets/certs/ que o pubspec declara
+        run: mkdir -p assets/certs
       - run: flutter analyze
       - run: flutter test
 
@@ -214,11 +237,6 @@ jobs:
       GOOGLE_MAPS_API_KEY: ${{ secrets.GOOGLE_MAPS_API_KEY }}
     steps:
       - uses: actions/checkout@v7
-      # Sem isto o emulador roda por emulação de CPU em software: medido, o log
-      # dizia "ProbeKVM: This user doesn't have permissions to use KVM", o boot
-      # levava ~12 min e cada `adb install` de 45 a 95 s. O runner tem
-      # /dev/kvm, só não para o usuário do job — a regra do udev abre o
-      # dispositivo. É o passo documentado pelo android-emulator-runner.
       - name: Habilita KVM
         run: |
           echo 'KERNEL=="kvm", GROUP="kvm", MODE="0666", OPTIONS+="static_node=kvm"' \
@@ -254,12 +272,15 @@ jobs:
           path: |
             ~/.android/avd/*
             ~/.android/adb*
-          key: avd-36-x86_64-pixel_7-ubuntu-24.04
+          # target no nome: o push e2e precisa de Play Services (a imagem padrão da action é
+          # AOSP, sem ele); trocar o target sem trocar a chave restauraria o AVD antigo.
+          key: avd-36-google_apis-x86_64-pixel_7-ubuntu-24.04
       - name: Gera o snapshot do AVD para o cache
         if: steps.avd-cache.outputs.cache-hit != 'true'
         uses: reactivecircus/android-emulator-runner@v2
         with:
           api-level: 36
+          target: google_apis
           arch: x86_64
           profile: pixel_7
           force-avd-creation: false
@@ -278,10 +299,39 @@ jobs:
           (cd apps/patient && flutter pub get) & p2=$!
           (cd apps/acs && flutter pub get) & p3=$!
           wait $p1 && wait $p2 && wait $p3
+      # Credenciais do FCM para o push e2e (Gorush e FCM reais). Cada secret é um arquivo em
+      # base64 (`base64 -w0 arquivo`). A chave da conta de serviço vai para um arquivo
+      # temporário (0600) e GOOGLE_APPLICATION_CREDENTIALS aponta para ele; o
+      # google-services.json vai para onde o build do paciente o procura (sem ele o APK
+      # compila e degrada para "sem push"). Sem os secrets (PR de fork) os passos só avisam
+      # e o job roda como sempre. Cada secret entra por `env:` do PASSO: nunca em `run:`
+      # (injeção de script) e nunca no `env:` do job (toda ação de terceiros o veria) —
+      # ci_invariants.sh vigia as duas coisas. Ficam LOGO ANTES do E2E (e depois do
+      # setup de Java/Flutter/caches/AVD): as credenciais só existem em disco quando quem as usa roda,
+      # e nenhuma ação de terceiros que não precisa delas as lê — o guarda também exige isso.
+      - name: Decodifica a credencial do FCM
+        env:
+          FCM_CREDENTIALS_BASE64: ${{ secrets.FCM_CREDENTIALS_BASE64 }}
+        run: |
+          ./scripts/ci/decode_secret_file.sh --env FCM_CREDENTIALS_BASE64 \
+            --kind service_account --temp-export GOOGLE_APPLICATION_CREDENTIALS
+      - name: Decodifica o google-services.json
+        env:
+          GOOGLE_SERVICES_JSON_BASE64: ${{ secrets.GOOGLE_SERVICES_JSON_BASE64 }}
+        run: |
+          ./scripts/ci/decode_secret_file.sh --env GOOGLE_SERVICES_JSON_BASE64 \
+            --kind google_services --package br.com.prismrr.sinalacs.patient \
+            --to apps/patient/android/app/google-services.json
+      # Sem isto o emulador roda por emulação de CPU em software: medido, o log
+      # dizia "ProbeKVM: This user doesn't have permissions to use KVM", o boot
+      # levava ~12 min e cada `adb install` de 45 a 95 s. O runner tem
+      # /dev/kvm, só não para o usuário do job — a regra do udev abre o
+      # dispositivo. É o passo documentado pelo android-emulator-runner.
       - name: E2E no emulador Android
         uses: reactivecircus/android-emulator-runner@v2
         with:
           api-level: 36
+          target: google_apis
           arch: x86_64
           profile: pixel_7
           force-avd-creation: false
@@ -296,6 +346,15 @@ jobs:
       # container. O pós-passo do flutter-action faz hashFiles('**/pubspec.lock')
       # sobre o workspace inteiro, não consegue ler pg_data/ e derruba o job
       # depois de o E2E ter passado — medido no run 36494654391.
+      # Apaga as credenciais mesmo se o E2E falhar. Num runner hospedado o disco é descartado
+      # ao fim do job, mas o passo mantém a regra verdadeira em qualquer runner (inclusive um
+      # autohospedado no futuro) e tira o google-services.json e a chave do Gorush do workspace.
+      - name: Remove as credenciais do FCM
+        if: always()
+        run: |
+          ./scripts/ci/decode_secret_file.sh --cleanup-temp GOOGLE_APPLICATION_CREDENTIALS
+          ./scripts/ci/decode_secret_file.sh --cleanup-file apps/patient/android/app/google-services.json
+          ./scripts/ci/decode_secret_file.sh --cleanup-file infra/docker/gorush/credentials/fcm-service-account.json
       - name: Remove pg_data/ do workspace
         if: always()
         run: sudo rm -rf pg_data
@@ -336,4 +395,7 @@ jobs:
           key: gradle-admin-${{ hashFiles('apps/admin/android/**/*.gradle.kts', 'apps/admin/android/gradle/wrapper/gradle-wrapper.properties') }}
           restore-keys: gradle-admin-
       - run: flutter pub get
+      # Sem a CA o APK sobe fail-closed (só raízes do sistema); aqui só interessa compilar.
+      - name: Cria o diretório assets/certs/ que o pubspec declara
+        run: mkdir -p assets/certs
       - run: flutter build apk --debug

.gitignore

@@ -2,6 +2,7 @@
 .DS_Store
 *.log
 *.tmp
+.serena/
 
 # Dart / Flutter
 .dart_tool/
@@ -38,4 +39,19 @@ graphify-out/
 # e uma CA de desenvolvimento gerada por máquina não pode ser versionada.
 apps/acs/assets/certs/
 apps/patient/assets/certs/
+apps/admin/assets/certs/
 .worktrees/
+
+# Estado local do proxy headroom (PID e timestamps), reescrito a cada sessão
+.claude/.headroom_wrap_*.json
+infra/docker/gorush/credentials/
+
+# Google services
+google-services.json
+fcm-service-account.json
+
+# Fixtures e segredos da stack de e2e (gerados por scripts/qa/e2e_stack.sh seed)
+.e2e/
+
+__pycache__/
+*.pyc