Kit de finalização: segurança, qualidade e publicação

Uma aplicação pode abrir no navegador e ainda não estar pronta para ser publicada. Faltam perguntas: quem consegue acessar cada dado? Os erros são observáveis? Os testes cobrem os fluxos importantes? O código que vai para produção é o mesmo que foi revisado?

Organizei o Kit de finalização de projetos para transformar essas perguntas em uma sequência de trabalho. Ele reúne um superprompt, instruções persistentes para agentes e modelos de entrega. Pode ser usado em projetos construídos com IA ou em um fluxo tradicional de desenvolvimento.

Baixar kit completo (ZIP, em português)

Ver os arquivos no GitHub

Uma sequência que dá para verificar

O ponto de partida é simples: segurança e funcionamento vêm antes da limpeza. A entrega precisa preservar os fluxos legítimos e deixar evidências do que foi testado.

1. Entender o estado inicial: projeto, branch, remoto, ambiente, escopo e testes existentes.
2. Revisar segurança: segredos, autenticação, autorização, entradas, dados e integrações.
3. Validar funcionamento e interface: fluxos principais, erros, recuperação, celular e acessibilidade.
4. Verificar observabilidade e qualidade: diagnóstico de falhas, arquitetura, lint, tipos e testes.
5. Limpar por último: confirmar o que está sem uso, remover em pequenas etapas e testar novamente.
6. Publicar com rastreabilidade: Issue, PR, revisão, checks, commit integrado e confirmação no ambiente final.

O prompt orienta o agente a corrigir problemas dentro do escopo autorizado e a distinguir resultado aprovado, falha e verificação não executada. Ele também pede que o agente explique mudanças de comportamento e preserve o trabalho de outras pessoas.

O que vem no pacote

Arquivo	Para que serve
README.md	Guia de uso, ferramentas e referências.
SUPERPROMPT.md	Roteiro completo de auditoria, correção e entrega.
AGENTS.template.md	Regras para incorporar às instruções do projeto.
GIT-WORKFLOW.md	Fluxo de Git, GitHub, publicação e reversão.
TEMPLATES.md	Modelos de Issue, PR e relatório final.

Para começar, preencha o contexto do superprompt e indique o repositório, os ambientes autorizados e os critérios de aceitação. Incorpore o modelo de agentes ao arquivo existente, preservando as regras do projeto. Quando uma ferramenta não carregar esse arquivo automaticamente, aponte-o explicitamente na tarefa.

Git: buscar, comparar e só depois integrar

O guia separa git fetch de git pull. O primeiro atualiza referências remotas locais; o segundo também integra alterações na branch atual. O exemplo de atualização usa --ff-only para recusar uma integração que não possa avançar diretamente, mas ainda exige verificar branch, upstream, mudanças locais e commits exclusivos. Documentação do Git: fetch e pull.

Cada tarefa deve ter uma Issue. O PR deve explicar o resultado, trazer evidências e referenciar essa Issue. Depois da revisão e dos checks, a publicação parte do commit integrado ou de um artefato rastreável a ele. O kit também lembra que o fechamento automático de Issues depende da branch de destino do PR. Documentação do GitHub.

Interface, diagnóstico e qualidade

Na interface, o kit incorpora a referência à skill externa Design Motion Principles, de Kyle Zantos. A orientação é cobrir espera, sucesso, vazio, erro e nova tentativa nas superfícies assíncronas, com movimento acessível e carregamento sob demanda quando útil.

Na observabilidade, o roteiro pede dados que ajudem a investigar falhas: ambiente, versão e correlação, com proteção de informações sensíveis e alertas com responsável. OpenTelemetry é uma opção para instrumentação e exportação; o destino de análise pode ser o serviço que a equipe já adotou.

O guia também organiza o papel de ArchContract, Biome, Commitlint, Knip, Stryker, Codecov e Playwright. A escolha depende da stack e do risco. Cada ferramenta precisa de configuração, critérios e integração à rotina; a lista não é uma instalação automática.

Limites e uso responsável

Este é um kit de instruções, não um scanner nem uma certificação de segurança. Ele não cria proteções de branch, configura serviços ou garante que um agente siga todas as regras sozinho. Revisão, permissões e evidências continuam fazendo parte da entrega.

As regras de segurança foram escritas para exigir análise do contexto: limites de autenticação, políticas de banco, CORS e retenção de dados precisam atender ao sistema real. Se uma credencial foi exposta, apagar a linha do código não resolve toda a ocorrência; a contenção inclui avaliar revogação e rotação. OWASP: gestão de segredos.

O objetivo é tornar a finalização mais clara e repetível: saber o que mudou, por que mudou, como foi validado e como voltar atrás se necessário.