fix(installer): preserve verified public hook v11

[wesleysimplicio]

Problema

O Runtime v3.8.38 embute o hook 3240-v10. Uma reinstalação válida executava mcp register e substituía o hook público 3240-v11 recém-publicado.

Correção

• macOS/Linux e Windows aplicam o hook público v11 depois do registro do Runtime;
• download usa o commit imutável cc9950025baf823cdecc657228ff1e89d7701e7e;
• SHA-256 é fixado separadamente para shell e PowerShell;
• conteúdo e marcador v11 são verificados antes da troca;
• arquivo já correto não gera download;
• falha de integridade interrompe a instalação.

Validação

• instalação real v3.8.38: MCP → hook v10 → reconciliação v11 passou;
• hook local e público com SHA-256 idêntico;
• contratos allow-unchanged e deny-shell passaram;
• sh -n install.sh passou;
• parser PowerShell passou;
• hooks: 12/12;
• pytest direcionado: 19/19;
• validação completa: 255 testes + 30 subtestes;
• política do repositório e git diff --check passaram.

A publicação continua manual; este PR não usa GitHub Actions para build ou release.