Staging — Referência Rápida

Documento de referência preenchido com os valores reais do ambiente de staging. Para as motivações e decisões por trás do staging, ver STAGING_WHY.md. Para o guia de setup inicial, ver STAGING_SETUP.md.
Última atualização: 2026-04-05

1. Visão Geral da Infraestrutura

text

 PRODUÇÃO                                    STAGING
 ════════                                    ═══════

 olp.digital                                 staging.olp.digital
      │                                           │
      ▼                                           ▼
 ┌──────────────────┐                       ┌──────────────────┐
 │ Lovable Hosting  │                       │ Cloudflare Pages │
 │ (frontend)       │                       │ Branch: main     │
 └────────┬─────────┘                       └────────┬─────────┘
          │                                          │
          ▼                                          ▼
 ┌──────────────────┐                       ┌──────────────────┐
 │ CF Worker        │                       │ CF Worker        │
 │ gateway.olp      │                       │ gateway-staging  │
 │ .digital         │                       │ .olp.digital     │
 │                  │                       │                  │
 │ COOKIE_DOMAIN:   │                       │ COOKIE_DOMAIN:   │
 │ .olp.digital     │                       │ .staging.olp     │
 │                  │                       │   .digital       │
 └────────┬─────────┘                       └────────┬─────────┘
          │                                          │
          ▼                                          ▼
 ┌──────────────────┐                       ┌──────────────────┐
 │ Supabase PROD    │                       │ Supabase STAGING │
 │ mjvuzsizjlca...  │                       │ nrgcajnhpjmw...  │
 │                  │                       │                  │
 │ JWT_SECRET: A    │  ← DIFERENTES →       │ JWT_SECRET: B    │
 │ PEPPER: X        │                       │ PEPPER: Y        │
 │ 52+ Edge Funcs   │                       │ 52+ Edge Funcs   │
 └──────────────────┘                       └──────────────────┘

 ⚠️ Token assinado com JWT_SECRET A NÃO funciona no ambiente B (e vice-versa)

2. URLs e Endpoints

Recurso	URL
Frontend	`https://staging.olp.digital`
Worker Gateway	`https://gateway-staging.olp.digital`
Supabase API	`https://nrgcajnhpjmwilfcmqyb.supabase.co`
Edge Functions	`https://nrgcajnhpjmwilfcmqyb.supabase.co/functions/v1/<nome>`
Supabase Dashboard	`https://supabase.com/dashboard/project/nrgcajnhpjmwilfcmqyb`
Portal Monteiro Lobato	`https://staging.olp.digital/escola/monteiro-lobato`
Portal Nova Era	`https://staging.olp.digital/escola/nova-era`

3. Supabase Staging — Identificadores

Item	Valor
Project Ref	`nrgcajnhpjmwilfcmqyb`
Região	(mesma de produção)
Anon Key	Configurada no Cloudflare Pages e GitHub Secrets

⚠️ Nunca commitar o service_role_key no código. Está apenas nos GitHub Secrets.

4. Secrets — Supabase Staging

Secrets configurados via Supabase Dashboard → Settings → Edge Functions → Secrets.

Secret	Status	Nota
`OLP_JWT_SECRET`	✅ Configurado	Próprio do staging (≠ produção)
`OLP_PEPPER_SECRET`	✅ Configurado	Próprio do staging (≠ produção)
`E2E_TEST_PASSWORD`	✅ Configurado	Mesmo valor no GitHub Actions
`CRON_SECRET`	✅ Configurado	Próprio do staging (≠ produção)
`WASENDER_API_KEY`	✅ Configurado	Credenciais de staging
`WASENDER_WEBHOOK_SECRET`	✅ Configurado	Credenciais de staging
`NTFY_TOPIC`	✅ Configurado	Tópico diferente de produção
`SUPABASE_URL`	✅ Auto	Preenchido automaticamente
`SUPABASE_ANON_KEY`	✅ Auto	Preenchido automaticamente
`SUPABASE_SERVICE_ROLE_KEY`	✅ Auto	Preenchido automaticamente
`SUPABASE_DB_URL`	✅ Auto	Preenchido automaticamente
`SUPABASE_PUBLISHABLE_KEY`	✅ Auto	Mesmo valor do anon key
~~`OLP_PORTAL_SECRET`~~	N/A	Portal usa `OLP_JWT_SECRET` (unificado). Não existe no código — ver `AUTHENTICATION.md`
~~`TWILIO_*`~~	❌ Descontinuado	Twilio removido — Wasender é o provedor exclusivo
`MP_ACCESS_TOKEN`	❌ Pendente	MercadoPago não configurado

Regra de isolamento

text

CORRETO:
  OLP_JWT_SECRET do staging ≠ OLP_JWT_SECRET da produção
  OLP_PEPPER_SECRET do staging ≠ OLP_PEPPER_SECRET da produção
  CRON_SECRET do staging ≠ CRON_SECRET da produção
  NTFY_TOPIC do staging ≠ NTFY_TOPIC da produção

ERRADO:
  Qualquer secret de segurança igual entre staging e produção

5. Rotação de Secrets

Quando rotacionar

Suspeita de comprometimento
Rotação periódica (recomendado: a cada 90 dias para secrets de segurança)
Mudança de pessoal com acesso

Processo de rotação

bash

# 1. Gerar novo valor
NEW_SECRET=$(openssl rand -hex 32)

# 2. Atualizar no Supabase
supabase secrets set --project-ref nrgcajnhpjmwilfcmqyb \
  OLP_JWT_SECRET="$NEW_SECRET"

# 3. Redeploy de TODAS as Edge Functions que usam o secret
#    (o redeploy faz as funções lerem o novo valor do env)
supabase functions deploy --project-ref nrgcajnhpjmwilfcmqyb

# 4. Validar
curl -X POST "https://nrgcajnhpjmwilfcmqyb.supabase.co/functions/v1/auth-diagnostics" \
  -H "Content-Type: application/json" \
  -d '{"action": "check"}'

Dependências de cada secret

Secret	Edge Functions que dependem	Impacto da rotação
`OLP_JWT_SECRET`	Todas que usam `auth-helpers.ts` (`extractAuthenticatedUser`) — ~45 funções	Todas as sessões existentes são invalidadas (JWT assinado com secret antigo falha verificação)
`OLP_PEPPER_SECRET`	`send-otp`, `verify-otp` (hash do OTP)	OTPs pendentes falham verificação — novos OTPs funcionam normalmente
`CRON_SECRET`	`faturamento-cron`, `maintenance-cron`, `healthcheck-cron`	Crons autenticados via header `X-Cron-Secret` param de funcionar até atualizar o caller (Supabase cron ou externo)
`E2E_TEST_PASSWORD`	`e2e-login`	Testes CI falham até atualizar o GitHub Secret correspondente
`WASENDER_API_KEY`	`send-otp` (envio via WaSender)	Envio de mensagens WhatsApp falha

Ordem recomendada para rotação do OLP_JWT_SECRET

Gerar novo valor
supabase secrets set com novo valor
Redeploy de todas as Edge Functions
Nota: usuários logados serão deslogados (cookie olp_auth contém JWT inválido)
Validar com auth-diagnostics ou login de teste via e2e-login

6. Impacto dos Secrets Pendentes

Secret pendente	Funcionalidade quebrada no staging	Testes afetados	Workaround
Seed data do mural	Portal mural sem dados (mural_liberacoes, mural_dados_publicados, escola_mural_config)	E2E de mural não rodam no CI	Nenhum — testes de mural estão desabilitados
~~`TWILIO_*`~~	(Descontinuado — Wasender é o provedor exclusivo)	N/A	N/A
`MP_ACCESS_TOKEN`	`mercadopago-preference` retorna erro ao criar preferência de pagamento; `mercadopago-webhook` não valida assinatura	Fluxo de pagamento completo não testável	Nenhum — pagamentos não são alvo dos testes CI

7. Mecanismo do `e2e-login`

O login direto para testes automatizados funciona por ausência intencional de secret em produção — sem flags de ambiente, sem código condicional. O E2E_TEST_PASSWORD é a senha real dos usuários de teste, e o e2e-login autentica legitimamente, apenas pulando o envio de OTP WhatsApp.

Como funciona

text

1. Edge Function `e2e-login` registrada em config.toml com verify_jwt = false
2. Recebe: { cpf_or_code, papel? } + header X-E2E-Key
3. Valida: X-E2E-Key === Deno.env.get("E2E_TEST_PASSWORD")
4. Se válido: busca usuário → gera JWT → seta cookie olp_auth → retorna dados

Por que é seguro

text

PRODUÇÃO:
  E2E_TEST_PASSWORD não está configurado
  → Deno.env.get("E2E_TEST_PASSWORD") retorna undefined
  → "qualquer-valor" === undefined → false
  → 401 Unauthorized (SEMPRE)

STAGING:
  E2E_TEST_PASSWORD está configurado
  → header deve conter o valor exato
  → 200 OK + JWT + cookie

Não é uma flag de ambiente. A segurança não depende de NODE_ENV=production ou qualquer condicional. Depende da ausência física do secret no ambiente de produção. Mesmo que alguém descubra o nome do header e da Edge Function, sem o secret correto a resposta é sempre 401.

8. Secrets — GitHub Actions

Repository secrets configurados em Settings → Secrets and variables → Actions.

Secret	Status	Uso
`SUPABASE_ACCESS_TOKEN`	✅	Token pessoal do Supabase CLI
`STAGING_PROJECT_REF`	✅	`nrgcajnhpjmwilfcmqyb`
`STAGING_SUPABASE_URL`	✅	`https://nrgcajnhpjmwilfcmqyb.supabase.co`
`STAGING_SUPABASE_ANON_KEY`	✅	Anon key do projeto staging
`E2E_TEST_PASSWORD`	✅	Mesmo valor do Supabase staging
`SUPABASE_SERVICE_ROLE_KEY`	✅	Para operações administrativas no CI
`NTFY_TOPIC_URL`	✅	Notificações de falha do CI (hash ou URL completa)

Como o CI usa os secrets

yaml

env:
  VITE_SUPABASE_URL: ${{ secrets.STAGING_SUPABASE_URL }}
  VITE_SUPABASE_PUBLISHABLE_KEY: ${{ secrets.STAGING_SUPABASE_ANON_KEY }}
  E2E_TEST_PASSWORD: ${{ secrets.E2E_TEST_PASSWORD }}

9. Frontend — Cloudflare Pages

Item	Valor
Plataforma	Cloudflare Pages
Branch	`main`
Build Command	`bun install && bun run build`
Output Directory	`dist`
Domínio	`staging.olp.digital` (CNAME no Cloudflare DNS)

Variáveis de ambiente (Cloudflare Pages Dashboard)

Variável	Valor
`VITE_SUPABASE_PROJECT_ID`	`nrgcajnhpjmwilfcmqyb`
`VITE_SUPABASE_PUBLISHABLE_KEY`	(anon key do staging)
`VITE_SUPABASE_URL`	`https://nrgcajnhpjmwilfcmqyb.supabase.co`
`VITE_USE_WORKER`	`true`
`VITE_WORKER_URL`	`https://gateway-staging.olp.digital`

10. Worker Gateway — Cloudflare

Item	Valor
Nome	`olp-gateway-staging`
URL	`https://gateway-staging.olp.digital`
COOKIE_DOMAIN	`.olp.digital` (cobre `staging.olp.digital` via domínio pai)
SUPABASE_URL	`https://nrgcajnhpjmwilfcmqyb.supabase.co`

O Worker usa o mesmo código do gateway de produção (ver docs/architecture/CLOUDFLARE_WORKER_CODE.md). As únicas diferenças são as variáveis de ambiente (SUPABASE_URL e SUPABASE_ANON_KEY) configuradas no Cloudflare Dashboard.

Funcionalidades do Worker

Seção	Descrição
CORS	Valida origins permitidos (localhost, lovable, olp.digital)
Cookies	Reescreve `olp_auth`, `olp_portal`, `olp_mural` com `Domain=.olp.digital`
Burst limiter	150 req/5s por IP (portal-escola)
Redirect `/pagar/`	`staging.olp.digital/pagar/{token}` → Edge Function `pagar-redirect`
Geo headers	Injeta `X-Geo-City`, `X-Geo-Region`, `X-Geo-Country`
Segurança	HSTS, X-Frame-Options, CSP

Como atualizar

Copiar o código de docs/architecture/CLOUDFLARE_WORKER_CODE.md
Colar em Cloudflare Dashboard → Workers & Pages → olp-gateway-staging → Edit Code
Verificar variáveis de ambiente (SUPABASE_URL, SUPABASE_ANON_KEY)
Deploy

11. Dados de Teste

Ver seed_test_users.sql para referência completa.

Escolas

Nome	Slug (mural)	Uso
Escola Municipal Monteiro Lobato	`monteiro-lobato`	Escola principal
Colegio Particular Nova Era	`nova-era`	IDOR cross-escola
Rede Educacional Futuro	—	Multi-role

Usuários (7 ativos)

Nome	Código	Papel	Escola
Dev Admin	`42970698064`	administrador	Global
Dev Especialista	`63100416066`	especialista	Global
Dev Coordenador	`99407464075`	coordenador	Monteiro Lobato
Dev Diretor	`61626069026`	diretor	Monteiro Lobato
Dev Escola	`77457094000157`	escola	Monteiro Lobato
Dev Testes Multi Role	`40750810017`	9+ papéis	Todas
Dev Coordenador da Nova Era	`47691226080`	coordenador	Nova Era

Multi-Role detalhamento

O usuário 40750810017 possui: administrador, especialista, coordenador (×3 escolas), diretor, escola, pedagogico, professor.

12. Pipeline CI

text

lint-and-build → unit-tests   ┐
                → deno-tests   ├→ deploy-staging → contract-tests → security-tests → e2e
                → deploy-staging┘    (smoke)         (IDOR)             (Playwright)

O que cada job precisa

Job	Secrets	Dados no banco
`unit-tests`	—	— (sem rede)
`deno-tests`	—	— (testes black-box mockam ou usam env de prod read-only)
`deploy-staging`	`SUPABASE_ACCESS_TOKEN`, `STAGING_PROJECT_REF`	—
`contract-tests`	`STAGING_SUPABASE_URL`, `STAGING_SUPABASE_ANON_KEY`, `E2E_TEST_PASSWORD`	7 usuários com CPFs exatos
`security-tests`	Idem	Coord Monteiro + Coord Nova Era
`e2e`	Idem + `BASE_URL=staging.olp.digital`	Admin, Coordenador, Edge Functions deployadas

13. Storage Buckets

Bucket	Público	Status
`banners-login`	✅	Criado
`curso-thumbnails`	✅	Criado
`tutoriais-thumbnails`	✅	Criado
`mural-imagens`	✅	Criado

14. Diferenças Staging vs Produção

Aspecto	Produção	Staging	Impacto no staging
Supabase Ref	`mjvuzsizjlcalyfmbquy`	`nrgcajnhpjmwilfcmqyb`	Dados e sessões completamente isolados
Domínio	`olp.digital`	`staging.olp.digital`	Cookies não vazam entre ambientes
Frontend	Lovable hosting	Cloudflare Pages	Deploy via CF Pages Dashboard ou CI
Gateway Worker	`gateway.olp.digital`	`gateway-staging.olp.digital`	Reescrita de cookies no domínio staging
WhatsApp (Wasender)	Ativo	✅ Configurado	Provedor exclusivo de mensagens
Pagamentos (MP)	Ativo	❌ Não configurado	Fluxo de pagamento/fatura não testável
Notificações (WaSender)	Ativo	✅ Configurado	WhatsApp funcional para testes
NTFY	Tópico de produção	Tópico separado	Alertas de CI não poluem produção
`E2E_TEST_PASSWORD`	❌ Não existe	✅ Configurado	Senha dos usuários de teste para login direto (sem OTP)
`e2e-login`	Retorna 401 sempre	✅ Funcional	Ver §7 — Mecanismo do e2e-login
Portal (mural)	Ativo (via OLP_JWT_SECRET unificado)	❌ Sem seed data do mural	Testes E2E de portal desabilitados

15. Troubleshooting

Erro	Causa	Fix
404 "Usuário não encontrado"	Usuário de teste não criado	Criar via UI com CPF exato
500 em auth	Catch block da EF não mapeia erro	Corrigir a função
401 com cookie válido	`OLP_JWT_SECRET` não bate	Verificar secret no Supabase staging
CORS bloqueado	Origem não em `ALLOWED_ORIGINS`	Verificar `cors-helpers.ts`
Cookie não setado	Worker não reescreve `Domain`	Verificar `COOKIE_DOMAIN` no Worker
Edge Function timeout	Cold start	Aumentar timeout ou warmup
CI falha "env not set"	Secret faltando no GitHub	Adicionar em Settings → Secrets

16. Referências

Staging WHY — Motivações e decisões arquiteturais
Setup Guide — Guia de setup inicial (template)
Seed Test Users — Referência de dados de teste
Testing Master — Estratégia de testes
Authentication — Fluxo de autenticação
Cloudflare Worker — Documentação do Worker

17. Escolas de teste — Sandboxes técnicas

`[SANDBOX-PERF] Resultados` (Onda A · Resultados Perf)

Item	Valor
`escola_id`	`aa000000-0000-0000-0000-000000900001`
`olimpiada_id`	`aa000000-0000-0000-0000-000000900002`
Seed	`seed_resultados_perf.sql`
Função reset	`public.fn_sandbox_resultados_reset()` (service_role only)
Consumido por	`supabase/functions/_shared/__tests__/fn_resultados_stats.contract.test.ts` (6 cenários)
Consumido por	`supabase/functions/_shared/__tests__/fn_resultados_stats.stress.test.ts` (54 combos)
Script local	`bun run test:contract:sandbox` (roda contract + stress)
CI	job `deno-tests` em `.github/workflows/ci.yml` (auto-skip se secret faltar)
Secret CI obrigatório	`STAGING_SUPABASE_SERVICE_ROLE_KEY` em GitHub → Settings → Secrets → Actions

Dataset determinístico (6 inscrições × 2 fases) que valida fn_resultados_stats contra 5 cenários (C1..C5) + sanity + matriz de 54 combinações (fase × nível × whitelist × confirmação).
O stress test recomputa a estatística em JS a partir de um fixture in-memory que espelha o seed e compara row-a-row com a RPC. Substitui a janela de 24h de observação de PARIDADE_DRIFT em prod (ver .lovable/plan.md — Gate 3 acelerado).
A escola tem excluir_financeiro=true para não aparecer em relatórios de billing.
O reset é idempotente e não recria escola/olimpíada/níveis/fases/alunos (estáticos) — apenas inscrições + resultados.
NUNCA aplicar em produção. Aplicar apenas no Supabase nrgcajnhpjmwilfcmqyb. Há guard assertNot mjvuzsizjlca nos testes.

18. Stress test do importador de alunos (8k+ linhas)

Geração determinística de uma planilha XLSX no formato exato do importador (supabase/functions/_shared/alunos-import.ts + SYSTEM_FIELDS) para subir manualmente em staging e validar o pipeline completo sob volume.

Quando usar

Validar que o importador aguenta ≥ 8k alunos sem timeout/OOM.
Reproduzir em staging o cap silencioso de 1000 do PostgREST (ver mem://architecture/large-dataset-handling-standard) — sintoma do incidente Nível S/J Canguru 2026-06-04.
Popular a sandbox com volume real antes de promover a Entrega 2 (paginação server-side + RPC como SoT). Sem 8k alunos a paridade SQL↔JS de fn_resultados_stats roda contra dataset pequeno e perde sinal.

Como rodar

bash

# default: 8000 alunos, 80 turmas, seed=42 → /mnt/documents/alunos-stress-8000.xlsx
bun run stress:alunos

# parametrizado:
bun run stress:alunos --count 12000 --turmas 100 --seed 7 --out ./alunos-12k.xlsx

Flags suportadas:

Flag	Default	Observação
`--count`	`8000`	Quantidade de linhas (alunos).
`--turmas`	`80`	Quantidade de turmas distintas (auto-criação no import).
`--seed`	`42`	Determinismo: mesma seed → mesmo arquivo.
`--dup-rate`	`0.10`	Fração de matrículas propositalmente repetidas (exercita branch de conflito).
`--missing-cpf-rate`	`0.05`	Fração de linhas sem CPF (campo opcional).
`--out`	`/mnt/documents/alunos-stress-<count>.xlsx`	Caminho de saída.

Convenção para cleanup determinístico

Cada execução marca os registros com:

matrícula: prefixo STRESS-<batchTag>- (ex.: STRESS-X1T8H16-000123)
email: domínio @stress.olp.test

Isso permite reverter sem afetar dados reais via cleanup_alunos_stress.sql.

Procedimento ponta a ponta (staging)

Gerar a planilha com bun run stress:alunos.
Subir na UI: logar em staging como coordenador da escola SANDBOX → Gestão de Alunos → Importar → selecionar o XLSX.
Acompanhar: a iniciar-importacao-alunos despacha trabalho em background (EdgeRuntime.waitUntil, batches de 50). Progresso em importacao_alunos_sessoes.progresso.
Medir:
- Tempo total (esperado: ~3-6 min para 8k em batches de 50).
- SELECT count(*) FROM alunos WHERE matricula LIKE 'STRESS-%' vs total mostrado na listagem de coordenador. Divergência = cap de 1000 ativo na UI.
- Logs de erro: alunos-import edge logs (esperado: ~10% das linhas falhando por matrícula duplicada — esse é o branch que estamos exercitando).
Encadear stress de resultados: depois que alunos + turmas existirem, rodar inscrições em massa e o seed seed_resultados_perf.sql adaptado para popular resultados_aluno. Em seguida, bun run test:contract:sandbox valida paridade contra volume real.
Validar visualmente o dashboard de resultados procurando o sintoma "X no SQL e não na UI" — caso 2026-06-04.

Cleanup

sql

-- Conferir antes:
SELECT count(*) FROM public.alunos
 WHERE matricula LIKE 'STRESS-%' OR email LIKE '%@stress.olp.test';

-- Rodar:
\i docs/staging/cleanup_alunos_stress.sql

O script remove em ordem: resultados_aluno → inscricoes_olimpiada → aluno_turma_historico → aluno_responsaveis → alunos → sessões de import sintéticas → turmas órfãs criadas nos últimos 30 dias.

Garantias do gerador

Colunas alinhadas com SYSTEM_FIELDS (src/components/importacao-alunos/types.ts): nome_completo, data_nascimento (DD/MM/YYYY), sexo (Masculino/Feminino), matricula, cor_raca (Branca/Parda/Preta/Amarela/Indígena/Não declarada), cpf (com DV válido), email, telefone (vazio), turma (formato "8º Ano - EF - A" reconhecido pelo turma-matching).
CPFs com dígito verificador válido (algoritmo oficial), embora o backend valide apenas length === 11.
Datas de nascimento coerentes com a série (idade típica ± 1 ano).
Determinismo via mulberry32 — mesma seed produz arquivo byte-idêntico.

Por que NÃO esperar a Entrega 2

Ver .lovable/plan.md (plano aprovado): a paginação server-side e a promoção do RPC como SoT eliminam drifts que só aparecem com volume. Subir 8k antes garante antes/depois comparável; subir só depois cega a auditoria.

Staging — Referência Rápida ​

1. Visão Geral da Infraestrutura ​

2. URLs e Endpoints ​

3. Supabase Staging — Identificadores ​

4. Secrets — Supabase Staging ​

Regra de isolamento ​

5. Rotação de Secrets ​

Quando rotacionar ​

Processo de rotação ​

Dependências de cada secret ​

Ordem recomendada para rotação do OLP_JWT_SECRET ​

6. Impacto dos Secrets Pendentes ​

7. Mecanismo do e2e-login ​

Como funciona ​

Por que é seguro ​

8. Secrets — GitHub Actions ​

Como o CI usa os secrets ​

9. Frontend — Cloudflare Pages ​

Variáveis de ambiente (Cloudflare Pages Dashboard) ​

10. Worker Gateway — Cloudflare ​

Funcionalidades do Worker ​

Como atualizar ​

11. Dados de Teste ​

Escolas ​

Usuários (7 ativos) ​

Multi-Role detalhamento ​

12. Pipeline CI ​

O que cada job precisa ​

13. Storage Buckets ​

14. Diferenças Staging vs Produção ​

15. Troubleshooting ​

16. Referências ​

17. Escolas de teste — Sandboxes técnicas ​

[SANDBOX-PERF] Resultados (Onda A · Resultados Perf) ​

18. Stress test do importador de alunos (8k+ linhas) ​

Quando usar ​

Como rodar ​

Convenção para cleanup determinístico ​

Procedimento ponta a ponta (staging) ​

Cleanup ​

Garantias do gerador ​

Por que NÃO esperar a Entrega 2 ​

Staging — Referência Rápida

1. Visão Geral da Infraestrutura

2. URLs e Endpoints

3. Supabase Staging — Identificadores

4. Secrets — Supabase Staging

Regra de isolamento

5. Rotação de Secrets

Quando rotacionar

Processo de rotação

Dependências de cada secret

Ordem recomendada para rotação do OLP_JWT_SECRET

6. Impacto dos Secrets Pendentes

7. Mecanismo do `e2e-login`

Como funciona

Por que é seguro

8. Secrets — GitHub Actions

Como o CI usa os secrets

9. Frontend — Cloudflare Pages

Variáveis de ambiente (Cloudflare Pages Dashboard)

10. Worker Gateway — Cloudflare

Funcionalidades do Worker

Como atualizar

11. Dados de Teste

Escolas

Usuários (7 ativos)

Multi-Role detalhamento

12. Pipeline CI

O que cada job precisa

13. Storage Buckets

14. Diferenças Staging vs Produção

15. Troubleshooting

16. Referências

17. Escolas de teste — Sandboxes técnicas

`[SANDBOX-PERF] Resultados` (Onda A · Resultados Perf)

18. Stress test do importador de alunos (8k+ linhas)

Quando usar

Como rodar

Convenção para cleanup determinístico

Procedimento ponta a ponta (staging)

Cleanup

Garantias do gerador

Por que NÃO esperar a Entrega 2