fix(e2e): uma fonte de ambiente, em vez de três redações do mesmo segredo

O conserto anterior destravou a suíte (27 specs passaram, contra zero). As 8
que sobraram vermelhas — 6 de system-update no `heartbeat`, o drain do
anti-SSRF e o invite-lifecycle — eram todas 401 em rota interna, e a causa
era a mesma: `INTERNAL_SECRET` estava declarado em TRÊS lugares com valores
diferentes.

  .env.e2e              e2e-placeholder-nao-e-segredo   → o servidor
  env: dos 2 passos     ci-placeholder-nao-e-segredo    → o processo de teste
  .env.local do seed    ci-placeholder-nao-e-segredo    → os seeds

MEDIDO (Playwright 1.5x, webServer que imprime o que recebeu):

  var só no process.env       → CHEGA (mescla, não substitui)
  var nos dois, valores dif.  → vence a do `env:` do config

Ou seja: o servidor pegava a do arquivo, o teste mandava a do passo, e
igualar as strings à mão só adiaria a próxima divergência. O conserto é
fonte única — o workflow publica o `.env.e2e` inteiro no `$GITHUB_ENV` e o
`.env.local` do seed passa a ser `cp .env.e2e`. Zero segredos redigitados no
workflow (era 24 linhas).

De brinde, o processo de teste passa a ver as chaves de CIFRA de verdade (32
bytes, geradas pelo script) em vez do rótulo de 21 caracteres que o bloco
`env:` fixava — o mesmo que o comentário do script já registrava como causa
de `credential_decrypt_failed`.

Dois comentários que a medição desmentiu, corrigidos junto:

- `playwright.config.ts` avisava "NÃO declare `env:` aqui sem espalhar
  `process.env` junto ... declarar substitui o ambiente inteiro" — e a linha
  logo acima declarava `env: envDoE2E()`. O arquivo se contradizia, e a
  afirmação é falsa: o Playwright mescla. Trocado pela tabela medida.
- `gerar-env-e2e.sh` prometia "valores iguais aos do CI" e eles não eram
  iguais. É a frase que fazia a divergência parecer impossível.

A guarda ganhou as duas propriedades novas, sabotadas uma a uma:
redigitar `INTERNAL_SECRET` num passo → vermelho; parar de publicar o
`.env.e2e` (que faria o caso anterior passar por ausência) → vermelho.

gov:verify: 0 erros de lint, 286 arquivos / 2933 testes.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HstH7nNmrTvCtZsasppeHj

Author: melgarafael

.github/workflows/e2e.yml

@@ -99,6 +99,27 @@ jobs:
       - name: Gerar o .env.e2e (ambiente da suíte)
         run: pnpm e2e:env
 
+      # E publica o arquivo no ambiente do JOB, para que servidor e testes leiam
+      # literalmente a mesma fonte.
+      #
+      # Sem isto havia duas: o `.env.e2e` (que o playwright.config injeta no
+      # `next start`) e um bloco `env:` copiado à mão em cada passo de teste. As
+      # duas divergiram — `INTERNAL_SECRET` valia `e2e-placeholder…` no servidor
+      # e `ci-placeholder…` no processo de teste. Sintoma medido: 401 em toda
+      # chamada a rota interna, 8 specs vermelhas (6 de system-update no
+      # heartbeat, o drain do anti-SSRF, e o invite-lifecycle).
+      #
+      # Medido no Playwright 1.5x: `webServer.env` MESCLA com o ambiente herdado
+      # (uma var só do shell chega ao servidor) e VENCE nas colisões. Ou seja,
+      # copiar valores à mão nunca ia empatar com o arquivo — só uma fonte
+      # empata.
+      #
+      # De brinde, o processo de teste passa a ver as chaves de CIFRA de verdade
+      # (32 bytes, geradas pelo script) em vez do rótulo de 21 caracteres que o
+      # bloco `env:` fixava e que o app recusa.
+      - name: Publicar o .env.e2e no ambiente do job
+        run: grep -vE '^[[:space:]]*(#|$)' .env.e2e >> "$GITHUB_ENV"
+
       # `pnpm e2e:build`, não `pnpm build`: as três `NEXT_PUBLIC_*` são embutidas
       # no BUNDLE durante o build. Buildar com um env e trocar só no `next start`
       # deixaria a URL errada dentro do JavaScript que roda no browser — servidor
@@ -111,19 +132,23 @@ jobs:
       - name: Instalar o browser
         run: pnpm exec playwright install --with-deps chromium
 
-      # O seed lê `.env.local` do cwd (não de process.env), então o arquivo é
-      # escrito aqui. Ele cria 1 org + 4 usuários com os 4 papéis e um TOTP
-      # verified de secret conhecido no admin — sem isso, todo spec que loga
-      # fica de fora, que era a maior parte da suíte.
+      # `.env.local` é CÓPIA do `.env.e2e`, não uma terceira redação dele.
+      #
+      # O arquivo precisa existir porque alguns seeds leem `.env.local` do disco,
+      # não de `process.env`. Ele era montado à mão aqui, com os valores
+      # redigitados — e foi a terceira fonte do mesmo `INTERNAL_SECRET`, com o
+      # terceiro valor. Copiar não pode divergir; redigitar já divergiu.
+      #
+      # No CI as duas apontam para o mesmo stack local, então a cópia não
+      # reintroduz o risco que o `.env.e2e` existe para evitar (o `.env.local` de
+      # um checkout de trabalho apontar para produção).
+      #
+      # O seed cria 1 org + 4 usuários com os 4 papéis e um TOTP verified de
+      # secret conhecido no admin — sem ele, todo spec que loga fica de fora, que
+      # era a maior parte da suíte.
       - name: Semear credenciais de teste
         run: |
-          cat > .env.local <<EOF
-          NEXT_PUBLIC_SUPABASE_URL=$NEXT_PUBLIC_SUPABASE_URL
-          NEXT_PUBLIC_SUPABASE_ANON_KEY=$NEXT_PUBLIC_SUPABASE_ANON_KEY
-          SUPABASE_SERVICE_ROLE_KEY=$SUPABASE_SERVICE_ROLE_KEY
-          INTERNAL_SECRET=ci-placeholder-nao-e-segredo
-          SUPABASE_DB_URL=postgresql://postgres:postgres@127.0.0.1:54322/postgres
-          EOF
+          cp .env.e2e .env.local
           pnpm exec tsx scripts/seed-e2e-credentials.ts
 
       # `SUPABASE_DB_URL` no `.env.local` (e não só no `env:` do passo de teste):
@@ -195,18 +220,10 @@ jobs:
             kanban-owner-filter.spec.ts queue-assign.spec.ts \
             risk-radar.spec.ts invite-lifecycle.spec.ts system-update.spec.ts
         env:
-          INTERNAL_SECRET: ci-placeholder-nao-e-segredo
-          CPF_ENCRYPTION_KEY: ci-placeholder-nao-e-segredo
-          WAHA_BYO_ENCRYPTION_KEY: ci-placeholder-nao-e-segredo
-          AI_CRED_AES_KEY: ci-placeholder-nao-e-segredo
-          SUPABASE_DB_URL: postgresql://postgres:postgres@127.0.0.1:54322/postgres
-          WAHA_API_BASE_URL: http://127.0.0.1:3999
-          WAHA_API_KEY: ci-placeholder-nao-e-segredo
-          WAHA_WEBHOOK_BASE_URL: http://127.0.0.1:3001
-          UPSTASH_REDIS_REST_URL: http://127.0.0.1:3998
-          UPSTASH_REDIS_REST_TOKEN: ci-placeholder-nao-e-segredo
-          # CI = 1 IP para todos os specs; o teto de produção (60/5min) é irreal aqui.
-          # O teto por CONTA (5 falhas) NÃO muda — é ele que barra brute force.
+          # Só o que NÃO vem do `.env.e2e`: isto é ajuste de CI, não config do
+          # produto. CI = 1 IP para todos os specs, e o teto de produção
+          # (60/5min) é irreal aqui. O teto por CONTA (5 falhas) NÃO muda — é
+          # ele que barra brute force.
           AUTH_RATE_LIMIT_LOGIN_IP: "1000"
 
       - name: E2E — parte 2 de 2 (processo novo, contador de login zerado)
@@ -222,18 +239,10 @@ jobs:
             webhooks.spec.ts \
             capacidades-do-agente.spec.ts
         env:
-          INTERNAL_SECRET: ci-placeholder-nao-e-segredo
-          CPF_ENCRYPTION_KEY: ci-placeholder-nao-e-segredo
-          WAHA_BYO_ENCRYPTION_KEY: ci-placeholder-nao-e-segredo
-          AI_CRED_AES_KEY: ci-placeholder-nao-e-segredo
-          SUPABASE_DB_URL: postgresql://postgres:postgres@127.0.0.1:54322/postgres
-          WAHA_API_BASE_URL: http://127.0.0.1:3999
-          WAHA_API_KEY: ci-placeholder-nao-e-segredo
-          WAHA_WEBHOOK_BASE_URL: http://127.0.0.1:3001
-          UPSTASH_REDIS_REST_URL: http://127.0.0.1:3998
-          UPSTASH_REDIS_REST_TOKEN: ci-placeholder-nao-e-segredo
-          # CI = 1 IP para todos os specs; o teto de produção (60/5min) é irreal aqui.
-          # O teto por CONTA (5 falhas) NÃO muda — é ele que barra brute force.
+          # Só o que NÃO vem do `.env.e2e`: isto é ajuste de CI, não config do
+          # produto. CI = 1 IP para todos os specs, e o teto de produção
+          # (60/5min) é irreal aqui. O teto por CONTA (5 falhas) NÃO muda — é
+          # ele que barra brute force.
           AUTH_RATE_LIMIT_LOGIN_IP: "1000"
 
       - name: Declarar o que este job ainda NÃO cobre

playwright.config.ts

@@ -86,12 +86,22 @@ export default defineConfig({
     // false: reusar um server que já ocupa a porta pode ser OUTRO processo
     // (ex.: bundle do Remotion na 3000) — o teste precisa do NOSSO next start.
     reuseExistingServer: false,
-    // NÃO declare `env:` aqui sem espalhar `process.env` junto. O default do
-    // Playwright é herdar o ambiente, e o CI depende disso: o teto de login por
-    // IP (`AUTH_RATE_LIMIT_LOGIN_IP`) é definido no passo do workflow e precisa
-    // chegar ao `next start`, porque quem aplica o rate limit é o SERVIDOR.
-    // Declarar `env` aqui substitui o ambiente inteiro e o teto volta a 60 —
-    // o sintoma seria "Muitas tentativas" numa spec tardia, não um erro de config.
+    // Sobre a precedência de `env`, MEDIDO (Playwright 1.5x, 2026-08-07) com um
+    // webServer que imprime o que recebeu:
+    //
+    //   var só no process.env        → CHEGA ao servidor (mescla, não substitui)
+    //   var só no `env:` do config   → chega
+    //   var nos DOIS, valores dif.   → vence a do `env:` do config
+    //
+    // A primeira linha é o que mantém `AUTH_RATE_LIMIT_LOGIN_IP` funcionando:
+    // ele é definido no passo do workflow e quem aplica o teto é o SERVIDOR.
+    //
+    // A terceira é a armadilha. Uma chave que exista no `.env.e2e` E no ambiente
+    // do CI silenciosamente resolve para valores DIFERENTES nos dois lados —
+    // servidor com um, processo de teste com outro. Foi assim que
+    // `INTERNAL_SECRET` derrubou 8 specs com 401. Por isso o workflow publica o
+    // `.env.e2e` inteiro no ambiente do job em vez de redigitar valores: uma
+    // fonte não colide consigo mesma.
     timeout: 120_000,
   },
   projects: [{ name: "chromium", use: { browserName: "chromium" } }],

scripts/gerar-env-e2e.sh

@@ -87,8 +87,11 @@ SUPABASE_DB_URL=postgresql://postgres:postgres@127.0.0.1:54322/postgres
 
 # Placeholders: 'next start' roda em NODE_ENV=production, e lib/env.ts exige
 # estas vars em produção. As specs não exercitam os serviços por trás delas.
-# Valores iguais aos do CI (.github/workflows/e2e.yml), para que local e CI
-# falhem pelos mesmos motivos.
+# Local e CI falham pelos mesmos motivos porque leem ESTE arquivo: o workflow
+# publica o `.env.e2e` no ambiente do job em vez de redigitar os valores. A
+# versão anterior desta linha prometia "valores iguais aos do CI" e eles não
+# eram iguais (`e2e-placeholder…` aqui, `ci-placeholder…` lá) — a promessa por
+# coincidência durou até a primeira divergência, que custou 8 specs em 401.
 INTERNAL_SECRET=e2e-placeholder-nao-e-segredo
 # As três abaixo são chaves de CIFRA de verdade: o app exige 32 bytes e recusa
 # um rótulo. Medido — com o placeholder, criar credencial de IA devolvia 500

tests/unit/e2e-workflow-honra-o-env.test.ts

@@ -24,8 +24,19 @@
  *
  * ## O que se guarda
  *
- * A ORDEM, não a presença: existir um passo que gera o `.env.e2e` não adianta
- * se ele vier depois de quem consome. Por isso a asserção é sobre índices.
+ * Duas propriedades, e elas falham por motivos diferentes.
+ *
+ * **A ordem**, não a presença: existir um passo que gera o `.env.e2e` não
+ * adianta se ele vier depois de quem consome. Por isso a asserção é sobre
+ * índices.
+ *
+ * **A fonte única**, não a igualdade: o arquivo chegava ao servidor (via
+ * `playwright.config`) e um bloco `env:` copiado à mão chegava ao processo de
+ * teste. Medido no Playwright 1.5x — em colisão o `env:` do config vence — os
+ * dois lados resolviam `INTERNAL_SECRET` para valores diferentes e toda rota
+ * interna devolvia 401. Foram 8 specs, no run seguinte ao conserto da ordem: o
+ * mesmo refactor, a terceira ponta solta. Igualar as strings à mão consertaria
+ * o dia; publicar o arquivo consertou a classe.
  */
 import { describe, expect, it } from "vitest";
 import * as fs from "node:fs";
@@ -89,6 +100,48 @@ describe("o workflow do e2e honra o contrato de ambiente que a suíte exige", ()
     ).toBeLessThan(consome);
   });
 
+  it("nenhum segredo do produto é redigitado no workflow", () => {
+    // O defeito que este caso guarda é DIFERENTE da ordem: o `.env.e2e` chegava
+    // ao servidor (via playwright.config) e um bloco `env:` copiado à mão
+    // chegava ao processo de teste. Medido no Playwright 1.5x: em colisão, o
+    // `env:` do config VENCE — então os dois lados resolviam `INTERNAL_SECRET`
+    // para valores diferentes e toda rota interna devolvia 401. Oito specs.
+    //
+    // A regra não é "não repita": é que a lista abaixo tem UMA fonte, o
+    // `.env.e2e`, e o workflow a publica em vez de reescrevê-la.
+    const DO_ENV_E2E = [
+      "INTERNAL_SECRET",
+      "CPF_ENCRYPTION_KEY",
+      "WAHA_BYO_ENCRYPTION_KEY",
+      "AI_CRED_AES_KEY",
+      "WAHA_API_KEY",
+      "UPSTASH_REDIS_REST_TOKEN",
+      "SUPABASE_DB_URL",
+    ];
+
+    // Só linhas de conteúdo: um comentário que MENCIONA a variável (e vários
+    // mencionam, é onde a história está escrita) não é uma segunda fonte.
+    const atribuicoes = workflow
+      .split("\n")
+      .filter((l) => !l.trim().startsWith("#"))
+      .filter((l) => DO_ENV_E2E.some((k) => new RegExp(`(^|\\s)${k}\\s*[:=]`).test(l)));
+
+    expect(
+      atribuicoes,
+      "estas variáveis vêm do .env.e2e; redigitá-las cria uma segunda fonte que já divergiu uma vez",
+    ).toEqual([]);
+  });
+
+  it("o workflow publica o .env.e2e no ambiente do job (a fonte única de fato chega)", () => {
+    // Sem este caso, o anterior passaria trivialmente num workflow que
+    // simplesmente não define nada — verde por ausência, e a suíte sem segredo
+    // nenhum. É a guarda de vacuidade do par.
+    const publica = COMANDOS.some((l) => /\.env\.e2e.*GITHUB_ENV/.test(l));
+    expect(publica, "ninguém publica o .env.e2e — o processo de teste fica sem os segredos").toBe(
+      true,
+    );
+  });
+
   it("o build do job é o que embute as NEXT_PUBLIC_* do ambiente de teste", () => {
     // `pnpm build` puro deixaria a URL do `.env.local` dentro do bundle do
     // browser: servidor falando com um banco e cliente com outro, no mesmo