docs: add lgpd_data_audit.md (Análise LGPD dos dados armazenados: anonimização e pontos de vazamento)

.env.example

@@ -0,0 +1,136 @@
+# Configuração do SinalACS — modelo.
+#
+# NÃO edite este arquivo com valores reais: ele é versionado. Gere o seu `.env`
+# com segredos aleatórios próprios da sua máquina:
+#
+#     ./scripts/dev/bootstrap_env.sh
+#
+# O `.env` é lido automaticamente pelo `docker compose` para substituir as
+# `${VARIÁVEIS}` do docker-compose.yml, e é ignorado pelo git (.gitignore).
+#
+# Todo segredo abaixo é declarado no compose como `${VAR:?...}`: se faltar, o
+# `docker compose` falha dizendo qual variável está ausente, em vez de subir a
+# stack com uma senha embutida. Era exatamente esse o problema anterior.
+#
+# ATENÇÃO ao trocar senhas de uma stack que já rodou:
+#   · POSTGRES_PASSWORD só vale na PRIMEIRA inicialização do volume. Para
+#     trocar, apague ./pg_data/ antes de subir.
+#   · As senhas MQTT são regravadas a cada boot pelo mosquitto-init, então
+#     trocá-las aqui basta.
+
+# ---------------------------------------------------------------------------
+# Google Maps Android SDK  ·  consumido por: apps/acs
+#
+# Crie uma chave restrita no Google Cloud Console, habilite Maps SDK for
+# Android, restrinja por package name/SHA-1 e mantenha o valor apenas no `.env`.
+# O script de execução injeta a chave por dart-define e no manifest Android.
+# Nunca versione uma chave real neste arquivo.
+# ---------------------------------------------------------------------------
+GOOGLE_MAPS_API_KEY=
+
+# ---------------------------------------------------------------------------
+# Postgres da stack local  ·  consumido por: postgres, serverpod, database-seed
+# ---------------------------------------------------------------------------
+POSTGRES_USER=sinalacs_user
+POSTGRES_DB=sinalacs_db
+# openssl rand -hex 32
+POSTGRES_PASSWORD=
+
+# ---------------------------------------------------------------------------
+# Postgres do harness de teste do Serverpod
+#
+# Sobe com `docker compose --profile test up -d postgres-test`, na porta 9090,
+# como backend/sinalacs_server/config/test.yaml espera. O bootstrap grava este
+# mesmo valor em backend/sinalacs_server/config/passwords.yaml — os dois PRECISAM
+# coincidir: se divergirem, o Serverpod falha ao carregar a config e chama
+# exit(1), que não dá flush no stdout, e a suíte inteira morre sem uma linha de
+# log sequer.
+# ---------------------------------------------------------------------------
+# openssl rand -hex 32
+TEST_DATABASE_PASSWORD=
+
+# ---------------------------------------------------------------------------
+# Broker MQTT  ·  consumido por: mosquitto-init (cria os usuários), serverpod
+#
+# Dois usuários, com ACLs distintas em infra/docker/mosquitto/aclfile:
+#   backend      → readwrite em sinalacs/v1/#
+#   acs-area-12  → read no tópico da microárea, write nos ACKs
+# ---------------------------------------------------------------------------
+# openssl rand -hex 32
+MQTT_BACKEND_PASSWORD=
+# openssl rand -hex 32
+MQTT_ACS_PASSWORD=
+
+# SANs adicionais no certificado do broker. Necessário para validar em aparelho
+# físico na LAN, já que o certificado padrão só cobre mosquitto, localhost,
+# 127.0.0.1 e 10.0.2.2 (o host visto do emulador Android).
+#   MQTT_CERT_SAN_EXTRA=IP:192.168.0.10
+MQTT_CERT_SAN_EXTRA=
+
+# ---------------------------------------------------------------------------
+# Segredos da aplicação  ·  consumido por: serverpod
+# ---------------------------------------------------------------------------
+# Chave HMAC que assina os tokens de auth.developmentLogin. O token carrega o
+# papel e a microárea, então quem conhece este valor pode forjar um acesso de
+# ACS para qualquer território. Nunca reaproveite entre ambientes.
+# openssl rand -hex 32
+JWT_SECRET=
+
+# ---------------------------------------------------------------------------
+# Cadeia de hash de audit_logs  ·  consumido por: serverpod
+#
+# Chave HMAC que encadeia cada linha de audit_logs à anterior (ver
+# backend/sinalacs_server/lib/src/application/audit/). Detecta edição, remoção
+# ou reordenação de linhas — inclusive por quem tem acesso de escrita direto ao
+# Postgres, que é por isso que este segredo NÃO pode ser derivado do
+# JWT_SECRET nem reaproveitado dele.
+#
+# ATENÇÃO: rotacionar este valor invalida a verificação de TUDO que já foi
+# gravado na trilha até aqui — ao contrário do JWT_SECRET, que pode ser trocado
+# livremente. Trocar exige aceitar que a cadeia anterior à troca não verifica
+# mais contra o segredo novo.
+# openssl rand -hex 32
+AUDIT_CHAIN_SECRET=
+
+# ---------------------------------------------------------------------------
+# Comportamento  ·  consumido por: serverpod
+# ---------------------------------------------------------------------------
+# development | staging | production. Fora de development, o servidor recusa
+# subir com JWT_SECRET ausente, vazio ou igual ao fallback de desenvolvimento.
+APP_ENV=development
+
+# Gate de auth.developmentLogin. Com false, a chamada falha como se a rota não
+# existisse. É o único mecanismo de autenticação do protótipo — não é
+# autenticação institucional.
+ENABLE_DEV_LOGIN=true
+
+# ---------------------------------------------------------------------------
+# Apps Flutter  ·  NÃO são lidos do .env
+#
+# Os apps resolvem estes valores em tempo de COMPILAÇÃO, via --dart-define, com
+# defaults em apps/*/lib/core/network/backend_config.dart.
+#
+# Para o ACS, use o script — ele lê MQTT_ACS_PASSWORD daqui, copia a CA do
+# broker para os assets e preenche tudo:
+#
+#   ./scripts/dev/run_acs.sh
+#   ./scripts/dev/run_acs.sh --build
+#
+# O que ele passa:
+#
+#   --dart-define=SINALACS_HOST=http://10.0.2.2:8080/
+#   --dart-define=SINALACS_MQTT_HOST=10.0.2.2
+#   --dart-define=SINALACS_MQTT_USER=acs-area-12
+#   --dart-define=SINALACS_MQTT_PASSWORD=<MQTT_ACS_PASSWORD>
+#
+# O default de 10.0.2.2 é o host da máquina visto de dentro do emulador Android.
+#
+# SINALACS_MQTT_PASSWORD **não tem default**: o broker usa um segredo por
+# máquina, então nenhum valor embutido acertaria — o app compilado sem ele
+# avisa que falta a senha, em vez de dizer "sem conexão com a central".
+#
+# AVISO: SINALACS_MQTT_PASSWORD vira uma CONSTANTE NO BINÁRIO — String.fromEnvironment
+# é resolvido na compilação, e o valor é extraível de qualquer APK. Em produção a
+# credencial do broker não pode viajar no app. A correção é credencial por
+# dispositivo / mTLS, registrada como lacuna conhecida.
+# ---------------------------------------------------------------------------

.github/workflows/ci.yml

@@ -11,6 +11,21 @@ jobs:
     defaults:
       run:
         working-directory: backend
+    env:
+      # Senha do Postgres efêmero deste job. NÃO é um segredo: o banco existe só
+      # dentro do runner, some ao fim do job e nunca é alcançável de fora.
+      #
+      # O que importa é que este valor não seja compartilhado com mais nada.
+      # Antes era a MESMA senha do config/passwords.yaml local — que o
+      # .gitignore protege e que é idêntica nos blocos development, test,
+      # staging e production. O segredo protegido pelo .gitignore estava, na
+      # prática, publicado aqui.
+      #
+      # Declarado uma vez e referenciado nos dois lugares: o serviço abaixo e a
+      # geração do passwords.yaml. Eram dois literais mantidos iguais à mão, e
+      # divergir fazia a suíte morrer sem log nenhum.
+      CI_POSTGRES_PASSWORD: ci-ephemeral-not-a-secret
+
     services:
       # Banco que o harness de teste do Serverpod espera, conforme
       # sinalacs_server/config/test.yaml. O harness aplica as migrações sozinho
@@ -20,7 +35,7 @@ jobs:
         image: postgres:15-alpine
         env:
           POSTGRES_USER: postgres
-          POSTGRES_PASSWORD: ZGib82sxRnAaTto3iglbPkARA1qZUv0W
+          POSTGRES_PASSWORD: ${{ env.CI_POSTGRES_PASSWORD }}
           POSTGRES_DB: sinalacs_test
         ports:
           - 9090:5432
@@ -41,11 +56,12 @@ jobs:
       # Serverpod não carrega a senha do banco, falha ainda no carregamento de
       # config e chama exit(1); como o exit() do Dart não dá flush no stdout, a
       # mensagem de erro se perde e a falha fica totalmente silenciosa (exit 1,
-      # zero linhas de log). A senha tem que ser a mesma do serviço postgres
-      # acima: se as duas divergirem, o harness volta a falhar sem log nenhum.
+      # zero linhas de log).
+      #
+      # Localmente, quem gera este arquivo é scripts/dev/bootstrap_env.sh.
       - name: Cria config/passwords.yaml para o harness de teste
         run: |
-          printf "test:\n  database: '%s'\n" 'ZGib82sxRnAaTto3iglbPkARA1qZUv0W' \
+          printf "test:\n  database: '%s'\n" "$CI_POSTGRES_PASSWORD" \
             > sinalacs_server/config/passwords.yaml
       # Suíte completa: 16 testes herméticos em test/unit, que usam fakes das
       # interfaces AlertPublisher e AlertStore, mais 9 de integração que sobem o
@@ -90,3 +106,50 @@ jobs:
       - run: flutter pub get
       - run: flutter analyze
       - run: flutter test
+
+  admin-app:
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: apps/admin
+    steps:
+      - uses: actions/checkout@v4
+      - uses: subosito/flutter-action@v2
+        with:
+          flutter-version: '3.44.8'
+      - run: flutter pub get
+      - run: flutter analyze
+      - run: flutter test
+
+  # Único job do repositório que executa o Gradle. `flutter analyze` e
+  # `flutter test` não enxergam namespace inconsistente, AGP/Kotlin
+  # incompatíveis, MainActivity em pacote errado nem merge de manifest
+  # quebrado — erros que só apareceriam quando alguém tentasse compilar.
+  #
+  # É o app admin e não o ACS porque `apps/acs/android/app/build.gradle.kts`
+  # tem a guarda que faz o build falhar sem SINALACS_MQTT_PASSWORD: cobri-lo
+  # aqui exigiria compilar um APK que a própria guarda declara inútil.
+  admin-android-build:
+    runs-on: ubuntu-latest
+    defaults:
+      run:
+        working-directory: apps/admin
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-java@v4
+        with:
+          distribution: temurin
+          java-version: '17'
+      - uses: subosito/flutter-action@v2
+        with:
+          flutter-version: '3.44.8'
+      # Sem cache, cada execução rebaixa ~200MB de Gradle e AGP.
+      - uses: actions/cache@v4
+        with:
+          path: |
+            ~/.gradle/caches
+            ~/.gradle/wrapper
+          key: gradle-admin-${{ hashFiles('apps/admin/android/**/*.gradle.kts', 'apps/admin/android/gradle/wrapper/gradle-wrapper.properties') }}
+          restore-keys: gradle-admin-
+      - run: flutter pub get
+      - run: flutter build apk --debug

.gitignore

@@ -18,10 +18,17 @@ coverage/
 # Environment
 .env
 .env.*
+# ...menos o modelo, que é documentação e precisa ser versionado. Sem esta
+# exceção o padrão .env.* acima o engoliria.
+!.env.example
 
 # Docker / local runtime
 pg_data/
 infra/docker/mosquitto/runtime/
 
 # Grafo de conhecimento (saída regenerável do graphify)
 graphify-out/
+
+# Asset de desenvolvimento: CA do broker MQTT, copiada por
+# scripts/dev/sync_dev_ca.sh a partir do runtime regerável do Mosquitto.
+apps/acs/assets/certs/