8. Segurança & confiabilidade

• #20 IA nunca define senha: a ferramenta de senha do Rosa Bot foi reescrita para disparar o fluxo seguro de redefinição (token + e-mail); a IA não acessa hash nem define senha arbitrária.
• #19 Auditoria imutável: admin_audit_log tem cadeia de hash (hash_atual = SHA256(hash_anterior + evento)). Editar/apagar qualquer linha quebra a cadeia das seguintes. Verificação em /admin/api/auditoria/verificar (aponta a 1ª linha adulterada).
• #6 RBAC granular (APLICADO — corrigido pós-auditoria): além do papel, o operador tem permissoes (JSON: pedido.cancelar, caixa.reabrir, estoque.ver_custo, comanda.desconto_sem_limite, fiscal.cancelar_nfce…), limite_desconto e unidades. O modelo Operador mapeia essas colunas e os gates são efetivamente consultados (call-sites reais): cancelar pedido exige pedido.cancelar (403 sem); custo de insumo/CMV some para quem não tem estoque.ver_custo (padrão negar); desconto acima do limite_desconto do operador é barrado (salvo comanda.desconto_sem_limite). Configurável na tela Operadores (checkboxes + limite). Ações têm padrão PERMITIR (o papel governa; só nega quem estiver marcado False); visualização de custo tem padrão NEGAR. Provado por harness E2E (Persona 7: PASS).
• #7 Isolamento multi-tenant: guarda defensiva _tenant_guard() + auditoria de superfície /admin/api/tenant/auditoria (quais tabelas têm/não têm casa_id) + script RLS pronto (services/rls_tenant.sql) para rollout por tabela.
• #25 Confiabilidade: health check em /health e /healthz (app + banco + backlog do outbox). Observabilidade do Event Bus em /admin/api/eventos.

Versão para IA/crawler: /manual.md (Markdown cru) · /manual/completo (página única) · /sitemap.xml