Releases

A dívida mais velha do painel: nenhum endpoint checava quem chamava.

Três níveis, do mais estreito ao mais amplo: analista, supervisor e administrador. A autorização é por piso, cada rota de sessão declara o nível mínimo que a abre, e uma suíte lê o roteador para provar que nenhuma ficou sem piso. Quem assina o contrato virou marca à parte, não um nível de acesso.

Quem era visualizador passou a analista e ganhou escrita, e isso está escrito na própria migração: migrar acesso em silêncio seria decidir por quem opera. O mínimo de dois administradores é trava na saída e aviso na entrada.

Junto, as métricas operacionais no painel: atos a expirar, distribuição por tipo e por versão de política. A tela declara, ao lado da coluna, que latência por fonte não existe, porque o ato registrava só criação e conclusão.

A cadeia não acusa o corte do fim. O ponto acusa.

Uma cadeia isolada denuncia buraco no meio, inserção, reordenação e bifurcação, e não denuncia a remoção dos últimos recibos, porque o que sobra continua contínuo desde o gênesis. Numerar não resolve: uma sequência de 1 a N não revela que existia N+1.

O ponto de conferência é um objeto assinado com a mesma chave dos recibos, dizendo quantos existiam e qual era o último hash. Quem audita guarda fora da Hummand e compara depois. Sem tabela nossa de pontos emitidos: a única cópia que vale é a de quem audita.

Criar o mesmo ato duas vezes deixa de criar dois atos.

Criação de ato aceita uma chave de idempotência: a mesma chave com o mesmo corpo devolve o mesmo ato, e corpo diferente é recusado. Quem retenta por queda de rede não duplica nada.

Consulta barata do estado de um mandato, e revogação em lote por mandatário ou por cliente, com um recibo por mandato derrubado. Os eventos do ato passam a sair no vocabulário do domínio.

A receita do hash do contexto passou a usar a canonicalização do próprio formato, e está publicada: quem tem o contexto original recomputa o hash sozinho, sem nada da Hummand.

O teto passou a valer para o cliente inteiro, e não por processo.

Contagem compartilhada no banco, com tetos por chave de API, por cliente e por endereço nas rotas públicas. Antes, cada processo contava o seu, e o teto real era o número de processos.

A API passou a responder atrás de uma borda que termina a conexão cifrada, com limite também na borda e a documentação interativa fechada por acesso.

Três coisas que não aparecem para quem usa, e que mudam o que dá para prometer.

Rastreamento e logs estruturados no serviço e nos workers, com alertas configurados e entrega de notificação provada, não presumida.

Os segredos de produção saíram do arquivo em disco e passaram a ser lidos de um cofre gerenciado, em memória. Nenhum segredo persiste no servidor.

Backups automáticos com cópia externa cifrada, fora do servidor, e o primeiro ensaio de restauração feito em produção. Backup que nunca foi restaurado é promessa, não garantia.

Quatro defeitos achados em revisão adversarial, corrigidos antes de subir.

A retenção não alcançava o contexto dos atos criados pela API nova; o apagamento irreversível passou a exigir um escopo próprio que nenhuma integração recebe por padrão; o comprovante público deixou de expor a posição do ato na cadeia; a revogação de mandato herda o modo sandbox.

Documentado o limite do apagamento: naquela versão, as validações avulsas de documento não eram alcançadas por pedido, só pelo prazo. Fechado depois, na 0.13.0.

Três fases do plano num release, substituído pela 0.5.1 antes de ir ao ar.

Operador em dupla com recibo composto; mandato de agente com escopo e revogação; ato delegado; prova de exceção por gatilho do cliente ou de uma fonte; alertas computados na leitura, com o evento de expiração; a decisão da fila de revisão exige presença fresca do revisor.

Dois tenants de teste e quatro cenários como suíte de aceitação, cada ato com recibo verificado fora do gateway. Política em leitura, privacidade do titular, recibo pelo token do link e revogação pelo painel.

Painel, jornada e console falam de atos, recibos, mandatos e política.

Painel: telas de atos, recibos com exportação do lote, mandatos com revogação, alertas, política em leitura e privacidade sobre as rotas reais. Jornada: etapa de escopo do mandato, comprovante ao final, acessibilidade para público idoso, bundle inicial de 1,39 MB para 209 kB. Console: decisão da fila só com presença fresca do revisor.

Tipos gerados do contrato OpenAPI nos três; noventa tipos escritos à mão eliminados.

Decisão de produto: API e recibo passam a dizer o mesmo.

Presença viva com match reprovado é ato negativo, não mais positivo com veredito à parte. Match pedido e não computado é falha técnica, com o motivo no recibo.

Correção após o deploy da 0.3.0.

O app não subiu porque a política da chave negava a leitura da chave pública ao serviço de recibos. Agora o erro fica no log, o JWKS sai vazio sem cache e é tentado de novo a cada pedido; a política da chave foi corrigida e documentada.