Hardening, segurança e lançamento do MVP

[Bielcx]

Objetivo

Validar o Voha de ponta a ponta para uso diário da Larissa.

Escopo

• executar checklist de segurança, RLS e rotação de segredos;
• testes E2E dos fluxos críticos;
• revisão mobile em aparelhos reais;
• acessibilidade e performance;
• backups, retenção, limites e alertas de custo;
• domínio, política de privacidade e exclusão de dados;
• plano de rollback e runbook operacional;
• retirar mocks restantes do modo autenticado;
• criar um portfólio empresarial próprio do Voha e associar o app da Meta;
• concluir Business Verification e, se exigido pelo painel, Access Verification como Tech Provider;
• submeter instagram_business_basic e instagram_business_content_publish para App Review/Advanced Access;
• preparar vídeo de revisão, instruções de teste e conta profissional de demonstração para a Meta;
• validar URLs públicas de política de privacidade, desautorização e exclusão de dados exigidas pela Meta.

Critérios de aceite

• jornada cliente até publicação validada em produção;
• nenhuma falha crítica de segurança;
• Larissa consegue operar somente pelo celular;
• custos e limites documentados e monitorados;
• uma conta profissional sem função de tester consegue conectar e publicar após as aprovações da Meta;
• portfólio, verificações, permissões aprovadas e processo de renovação documentados.

Dependência

Última etapa após todas as funcionalidades do MVP. A preparação documental da Meta pode começar antes, assim que o fluxo de publicação estiver estável.

[Bielcx]

PR técnico aberto em rascunho: #21

Concluído no código: headers de segurança, páginas legais, desautorização Meta, limite/indicador de mídia, retenção e manutenção, dados reais do workspace e documentação operacional/App Review.

Validação local: lint, 38 testes e build aprovados.

Pendências externas antes do merge: aplicar migration 202607240001, validar deploy/mobile em produção e concluir configurações/verificação da Meta.

[Bielcx]

Atualização: migration 202607240001_hardening_retention.sql aplicada no Supabase. O PR #21 está limpo e com os checks Cloudflare/Vercel aprovados. Seguimos agora para validação em produção/mobile e configuração das URLs públicas na Meta.

[Bielcx]

Deploy de produção concluído no commit d4e1ae5 após o merge do PR #21. Build Cloudflare aprovado. Smoke em https://voha-lab.com.br: /privacidade 200, /exclusao-de-dados 200, /login 200 e callback Meta com assinatura inválida 401. Headers CSP, HSTS, DENY e nosniff ativos. Próximo: validação autenticada/mobile e conferência das URLs no painel Meta.

[Bielcx]

Validação mobile autenticada concluída: sessão, clientes, biblioteca, configurações, calendário e criador carregaram corretamente, sem erros no console. Foi encontrado um bug visual de miniaturas (MP4 renderizado como imagem e ausência de fallback para mídia removida). Correção preparada no PR #22; lint, build, 38 testes e checks Cloudflare/Vercel aprovados.

[Bielcx]

PR #22 mergeado no commit 09fbb13 e deploy Cloudflare concluído. Validação autenticada em produção confirmou: Reel carregado como vídeo (464x832, readyState 4), mídia removida exibida com fallback e nenhum erro/warning no console. A etapa de validação mobile do hardening está concluída. Próximo bloco: configuração/verificação/App Review da Meta.