📄 Documento de Execução — Card 1: [M0] Setup de Infraestrutura de Produção

🎯 1. O que foi implementado

Ambiente DEV/HOMOLOG do GENIOON totalmente funcional na VPS Oracle, com:

• Repositório GitHub privado (Wellitiz/genioon) com CI/CD Actions rodando lint + type-check + test a cada push/PR.
• Stack Docker (Postgres 16 + Redis 7 + MinIO) em portas dedicadas que não conflitam com projetos existentes na VPS.
• App Next.js 15 standalone rodando via pm2 (genioon-dev, id 39, porta 3020).
• Nginx com security headers OWASP + rate limits (api/login/upload) + WebSocket-ready + client_max_body_size 50M.
• SSL Let's Encrypt reaproveitado (válido até Out/2026).
• API /api/health que valida status real de Postgres + Redis + uptime.
• Prisma 7 com adapter-pg (novo padrão da v7 — sem url no schema).
• Validação de env com zod (falha early se faltar variável crítica).
• ESLint 9 flat config + TypeScript parser + Next.js plugin.
• Vitest configurado com 10 testes unitários cobrindo cn, formatCurrency, formatPercent, getInitials.

✅ Critérios de aceite validados

📁 2. Arquivos criados / modificados

Criados

Modificados

🗄️ 3. Schema do banco (atual)

model HealthCheck {
  id        Int      @id @default(autoincrement())
  ping      String   @db.VarChar(50)
  createdAt DateTime @default(now()) @map("created_at")
  @@map("health_checks")
}

⚠️ Schema mínimo proposital. O Card 2 vai expandir com User, Account, Session, VerificationToken, Branch, etc. — completo conforme docs/BANCO_DE_DADOS.md.

🔌 4. Handoff para o Card 2 (próximo dev)

Variáveis de ambiente disponíveis (já configuradas)

DATABASE_URL=postgresql://genioon:***@localhost:5434/genioon
REDIS_URL=redis://localhost:6380
NEXTAUTH_URL=https://sistemaescolar.wellka.com.br
NEXTAUTH_SECRET=<32+ chars aleatórios>
ENCRYPTION_KEY=<64 hex chars>
S3_ENDPOINT=http://localhost:9100
TOTP_ISSUER=GENIOON
NEXT_PUBLIC_DEFAULT_LOCALE=pt-BR

Portas dedicadas DEV (auditadas 25/07/2026)

🚫 NÃO USAR: 5432 (CRM), 5433 (postgres nativo), 6379 (CRM), 3001/3010/3011 (outros apps).

Endpoints disponíveis

• GET /api/health → JSON {status, checks: {postgres, redis}}
• GET / → página inicial Next.js (protótipo front-end)
• Demais rotas do protótipo: /local/*, /master/*, /pais/*, /professor/*

Comandos úteis na VPS

# SSH direto
ssh oracle-free
cd /home/ubuntu/projetos/genioon

# Ver status do app
pm2 logs genioon-dev --lines 50
pm2 describe 39

# Ver containers Docker
docker compose -f docker-compose.dev.yml ps
docker compose -f docker-compose.dev.yml logs -f postgres

# Acessar banco
docker exec -it genioon-postgres-dev psql -U genioon -d genioon

# Re-deploy (após novo push)
git pull && npm install && npx prisma migrate deploy && npm run build && pm2 reload genioon-dev

Hooks que o Card 2 já tem disponíveis

• prisma (v7) + @prisma/client + @prisma/adapter-pg já instalados e funcionando
• src/server/db.ts (Prisma Client singleton) — pronto para importar
• src/server/redis.ts (ioredis + clientes para queues/pubsub) — pronto para importar
• src/lib/env.ts (validação zod das env vars) — pronto para importar
• next-auth@beta (v5) + @auth/prisma-adapter já instalados — pronto para configurar rotas [...nextauth]
• bcryptjs, otplib, qrcode já instalados — prontos para 2FA e hash de senha
• next-intl já instalado (configuração das mensagens fica para Card 2 validar)

📋 5. Checklist do Trello — status por item

Checklist "Especificação Técnica" (24 itens)

Resumo: 12 ✅ feitos · 6 🟡 parciais (continuam nos próximos cards) · 6 ⏩ diferidos para M7

Checklist "Entregas" (8 itens)

Checklist "Validar com Cliente" (3 itens)

🚀 6. Deploy DEV (como foi feito — passo a passo)

1. Limpeza: pm2 delete 22 (sistema-escolar velho), backup tar.gz, rm -rf /home/ubuntu/projetos/sistema-escolar/
2. Repo GitHub: gh auth login (browser) → gh repo create genioon --private --source=. --push
3. Deploy key VPS: ssh-keygen ed25519 → gh repo deploy-key add --allow-write → git clone git@github.com-genioon:Wellitiz/genioon.git .
4. Containers: docker compose -f docker-compose.dev.yml up -d (pg:5434, redis:6380, minio:9100/9101)
5. App: npm install → npx prisma generate → npx prisma migrate dev --name init_healthcheck → npm run build → PORT=3020 pm2 start npm --name genioon-dev -- start -- -p 3020
6. Nginx: backup do config antigo → novo config com porta 3020 + security headers + rate limits → nginx -t && sudo systemctl reload nginx
7. Smoke test final: curl https://sistemaescolar.wellka.com.br/api/health → {"status":"healthy"} ✅

🧠 7. Contexto gerado para próximas etapas

Este documento deve ser lido antes de iniciar o Card 2. Ele garante que o próximo dev (ou a IA em nova sessão) saiba exatamente:

• ✅ Onde o código está (GitHub + VPS)
• ✅ Quais variáveis de ambiente existem e quais valores esperar
• ✅ Quais portas estão dedicadas ao GENIOON
• ✅ Quais hooks/utilidades já estão prontos para import
• ✅ O que foi diferido para M7 (não tentar reimplementar)

Leituras obrigatórias antes do Card 2

1. docs/ARQUITETURA.md §1 (visão geral) + §3 (banco) + §7 (RBAC)
2. docs/SEGURANCA_LGPD.md §2 (autenticação) + §3 (criptografia) + §4 (2FA)
3. docs/BANCO_DE_DADOS.md (modelos User, Account, Session, VerificationToken, Branch)
4. decisoes.md (respostas do cliente sobre acesso: login por email OU matrícula, recuperação via WhatsApp, 2FA para MASTER/LOCAL/SUPERVISOR)
5. Este documento (handoff técnico)

🎯 8. Próximo card

[2] [M0] Autenticação - 5 Niveis RBAC

Após este card, o próximo passo é implementar:

• NextAuth v5 com Prisma Adapter
• Modelo User completo (6 roles: STUDENT, PARENT, PROFESSOR, LOCAL, SUPERVISOR, MASTER)
• Login por email OU matrícula (decisão do cliente)
• Recuperação de senha via WhatsApp OU email (decisão do cliente)
• 2FA TOTP obrigatório para MASTER/LOCAL/SUPERVISOR (otplib)
• bcrypt salt 12 para senhas
• JWT 24h (web) / 7d (PWA)
• Middleware de proteção de rotas por role

Doc de execução do Card 2 deverá ser criado em: docs/execucao/02-m0-autenticacao-rbac.md

📝 Histórico

• v1.0 (25/07/2026) — Documento criado com execução completa do Card 1.