Cobre: RF-BND-003.

Como testar: importar um conjunto de metas para um cliente, compor um relatório, e confirmar ausência de alerta, recalculo periódico ou notificação fora do relatório.

Passa quando: Dado um conjunto de metas importado para um cliente, Quando o operador compõe um relatório, Então as metas aparecem apenas como comparação planejado versus realizado nos blocos daquele relatório, E o sistema não dispara alerta, recalculo periódico nem notificação baseada nessas metas fora do relatório.

Cobre: RF-ADM-005.

Como testar: preencher a ficha de identidade de um cliente com cores e tom de voz; compor e publicar um relatório; conferir tokens visuais e narrativa.

Passa quando: Dado um cliente com ficha de identidade visual preenchida (cores válidas e tom de voz), Quando um relatório é composto e publicado para ele, Então os tokens visuais da página usam as cores da ficha, E o tom de voz da ficha é injetado como parâmetro da narrativa da IA.

Cobre: RF-ADM-006.

Como testar: tentar publicar para um cliente sem ficha preenchida; conferir bloqueio ou aviso explícito de default.

Passa quando: Dado um cliente sem ficha de identidade preenchida, Quando o operador tenta publicar, Então o sistema bloqueia e pede o preenchimento, ou aplica o default declarado da agência exibindo o aviso "usando identidade padrão da agência", E em nenhum caso o sistema inventa cor ou tom sem aviso.

Cobre: RF-ADM-007.

Como testar: criar um cliente novo a partir do chrome do Reports; conferir que o registro nasce como Account do Hub e que o operador permanece no chrome do Reports.

Passa quando: Dado um operador no ModularReports, Quando ele cria um cliente novo, Então o registro é gravado como Account do Hub vinculado à Company da agência, E o operador continua no chrome do Reports sem ser jogado para o chrome do Hub.

Cobre: RF-ADM-008.

Como testar: clicar em "ativar acesso" na ficha de um Contact sem acesso; conferir acionamento da função nativa do Hub, sem convite próprio do Reports.

Passa quando: Dado um Contact sem acesso ativado, Quando o operador clica em "ativar acesso" na ficha do cliente, Então o sistema aciona a ativação de acesso do Hub para aquele Contact, E o Reports não cria fluxo de convite ou senha próprio.

Cobre: RF-ADM-009.

Como testar: iniciar um relatório com um template; conferir que nasce com os blocos padrão na ordem definida; editar, duplicar e excluir o template pelo painel.

Passa quando: Dado um template "resultado de campanha" com blocos padrão definidos, Quando o operador inicia um relatório escolhendo esse template, Então o rascunho nasce com exatamente os blocos padrão do template na ordem definida, E editar, duplicar ou excluir o template é possível pelo painel sem tocar em código.

Cobre: RF-ADM-010.

Como testar: salvar um relatório curado como template novo; conferir estrutura de blocos na biblioteca e ausência de dados do cliente original; conferir que o perfil de direção (objetivo, decisão alvo, tom, blocos preferidos, pesos, sem números nem textos do cliente) foi salvo junto e aparece pré-carregado no próximo relatório que usa o template.

Passa quando: Dado um relatório curado, Quando o operador escolhe "salvar como template" e dá um nome, Então um template novo com a estrutura de blocos daquele relatório passa a aparecer na biblioteca de templates da agência, E o conteúdo específico do cliente (números, textos) não é copiado para o template, E o perfil de direção (sem números nem textos do cliente) é salvo no template e pré-carregado no próximo relatório que o usar.

Cobre: RF-ADM-011.

Como testar: encerrar um cliente com links publicados; conferir que todos os links respondem como revogados e que o processo de eliminação apagou os snapshots e anonimizou a origem (corpo do comentário, watermark do snapshot, Contact) conforme a retenção, e que as referências do log de auditoria deixam de resolver sem o log ter sido mutado. Apagar o Contact autor de um comentário e conferir que o comentário sobrevive com author_contact_id em NULL (ON DELETE SET NULL) e o body anonimizado, sem cascade que apague o comentário.

Passa quando: Dado um cliente com links publicados, Quando o admin encerra esse cliente, Então todos os links do cliente passam a responder como revogados, E o processo de eliminação apaga os snapshots e anonimiza os comentários na origem conforme a retenção, E a pseudonimização na origem faz as referências do log de auditoria deixarem de resolver sem mutar o log append-only (RN-007), E apagar o Contact autor põe author_contact_id em NULL preservando o comentário anonimizado.

Cobre: RF-ADM-013.

Como testar: abrir a ficha de um cliente com relatórios em anos diferentes; conferir agrupamento por ano e ausência de KPI de mídia contínuo.

Passa quando: Dado um cliente com relatórios publicados em anos diferentes, Quando o operador abre a ficha do cliente, Então os relatórios aparecem agrupados por ano, E a ficha não exibe nenhum KPI de mídia contínuo.

Cobre: RF-ADM-015.

Como testar: iniciar e publicar um relatório; conferir duração registrada e disponível no painel de analytics.

Passa quando: Dado um relatório iniciado no wizard, Quando ele é publicado, Então o sistema registra a duração decorrida entre o início da composição e a publicação, E essa duração fica disponível no painel de analytics da agência.

Cobre: RF-ADM-016, RN-013.

Como testar: promover um template individual da agência A como Super Admin e conferir identificador inalterado, contagem de linhas da tabela inalterada, agência de origem preservada e presença na biblioteca da agência B; tentar editar, despromover e excluir como admin e como operador de A; despromover e conferir a volta ao escopo individual de A; tentar promover e despromover com papel fora do Super Admin, inclusive depois de conceder individualmente a esse usuário todas as permissões do módulo; conferir os eventos de auditoria com valor anterior e novo.

Passa quando: Dado um template individual da agência A, Quando o Super Admin o marca como Global, Então o registro segue sendo o mesmo (mesmo identificador, contagem de linhas inalterada, agência de origem preservada) e passa a aparecer na biblioteca de todas as agências, E o admin e o operador de A deixam de conseguir editar, despromover ou excluir esse template, E despromover devolve o template ao escopo individual da agência A, E a tentativa feita por qualquer papel fora do Super Admin é recusada, inclusive quando esse usuário recebeu concessão individual de qualquer permissão do módulo, E cada ação gravou evento de auditoria com valor anterior e valor novo.

Cobre: RF-ADM-017, RN-013.

Como testar: com um Global, um individual da agência A e um individual da agência B, abrir a biblioteca como operador de A; duplicar o Global; alterar os blocos padrão do Global e conferir a cópia; alterar a cópia e conferir o Global; abrir a visão do Super Admin.

Passa quando: Dado um template Global, um individual da agência A e um individual da agência B, Quando um operador de A abre a biblioteca, Então ele vê o Global e o individual de A e não vê o individual de B, E ao duplicar o Global a cópia nasce individual de A e editável por ele, E alterar os blocos padrão do Global depois não altera a cópia, E alterar a cópia não altera o Global, E o Super Admin enxerga os individuais de A e de B.

Cobre: RF-ADM-019.

Como testar: criar uma agenda mensal de propósito fechamento para um cliente sem agenda e conferir os cinco campos gravados (cadência, âncora de calendário, modelo, responsável, estado ativa); tentar criar a segunda agenda para o MESMO par e conferir a recusa com motivo em linguagem humana, tanto pela interface quanto por INSERT direto no banco (a unicidade tem de estar no banco e não só na tela); criar agenda de outro propósito do mesmo cliente e conferir aceita; compor um relatório avulso desse cliente e conferir que a agenda não impede.

Passa quando: Dado um cliente sem agenda para o propósito fechamento, Quando o operador cria uma agenda mensal para esse par, Então a agenda é gravada com cadência, âncora de calendário, modelo, responsável e estado ativa, E uma segunda tentativa no MESMO par é recusada com o motivo, E uma agenda de outro propósito do mesmo cliente é aceita, E o operador continua conseguindo compor um relatório avulso desse cliente fora da agenda.

Cobre: RF-ADM-020.

Como testar: com uma agenda mensal que já gerou três edições, mudar a cadência para trimestral; anotar o identificador da agenda antes e depois e conferir que é o mesmo; conferir que as três edições continuam ligadas a ela e que nenhuma foi alterada; conferir no log de alterações a cadência anterior, a nova, quem mudou e quando; conferir que a mudança só vale do próximo ciclo em diante.

Passa quando: Dada uma agenda mensal com três edições já geradas, Quando o operador a muda para trimestral, Então a agenda continua sendo a mesma e as três edições anteriores seguem ligadas a ela, E a mudança vale do próximo ciclo em diante, E nenhuma edição já publicada é alterada, E o log registra a cadência anterior e a nova com quem mudou e quando.

Cobre: RF-ADM-021.

Como testar: este cartão é uma lista de controles NEGATIVOS e cada um é conferido nominalmente, porque é exatamente aqui que a implementação erra. Com uma agenda ativa de quatro edições, uma delas em rascunho: pausar, avançar o relógio até vencer o ciclo, e conferir um a um que nenhuma edição nova nasceu; que a linha da agenda continua existindo; que os quatro campos de configuração seguem com os MESMOS valores de antes da pausa; que as quatro edições seguem alcançáveis; que cada link já publicado segue respondendo 200; e que o rascunho em curso segue editável e publicável.

Passa quando: Dada uma agenda mensal ativa com quatro edições geradas, uma delas em rascunho, Quando o operador a pausa e o ciclo seguinte vence, Então nenhuma edição nova nasce, E a agenda continua existindo com a mesma cadência, âncora, modelo e responsável, E as quatro edições continuam alcançáveis, E os links já publicados continuam respondendo, E o rascunho em curso continua editável e publicável.

Cobre: RF-ADM-022.

Como testar: pausar uma agenda mensal, avançar o relógio três ciclos, retomar, e conferir IMEDIATAMENTE que nenhum rascunho nasceu no ato (a contagem de relatórios do cliente antes e depois do gesto tem de ser a mesma); avançar até o próximo vencimento e conferir que nasceu exatamente UM; conferir que a agenda lista os três ciclos vencidos durante a pausa com as janelas e o desfecho de pulado por pausa.

Passa quando: Dada uma agenda mensal pausada por três ciclos, Quando o operador a retoma, Então nenhuma edição nasce no ato de retomar, E a próxima edição nasce só quando o próximo ciclo vencer, E a agenda mostra os três ciclos vencidos durante a pausa com as janelas deles, E cada um deles só vira relatório se o operador o compuser à mão.

Cobre: RF-ADM-023.

Como testar: declarar consultiva num cliente e conferir gravado; tentar gravar um terceiro valor por INSERT direto e conferir a recusa do banco; deixar nulo em outro cliente e conferir aceito e que os relatórios dele seguem renderizando o funil livre; publicar um relatório e depois trocar o modelo do cliente, conferindo que o snapshot publicado não mudou; conferir o negativo cross-tenant de leitura e de escrita no perfil.

Passa quando: Dado um cliente com modelo de venda consultiva, Quando o funil canônico dele renderiza, Então as quatro etapas aparecem com o vocabulário consultivo do Ap.10, E o mesmo funil para um cliente direta aparece com o vocabulário direto nas MESMAS quatro etapas e na mesma ordem, E o conjunto de métricas do bloco de resultado é idêntico nos dois, E trocar o modelo depois não altera nenhum relatório já publicado, E um cliente sem modelo declarado continua renderizando o funil livre sem erro.

Cobre: RF-ING-003.

Como testar: submeter um xlsm, um SVG com script e um zip bomb acima da razão de descompressão; confirmar que o container de parse não tem rede de saída. Caso de lote: submeter 6 arquivos com 1 corrompido e confirmar que só o corrompido é excluído (com motivo visível) e vira lacuna, e os outros 5 seguem.

Passa quando: Dado um arquivo submetido ao parse, Quando o parser roda, Então ele executa sem acesso de rede de saída, E um xlsm é rejeitado, um SVG com script é sanitizado, e um arquivo compactado com razão de descompressão acima do limite é recusado, E num lote com 1 arquivo falho os demais seguem e o falho vira lacuna com motivo (fail-closed por arquivo).

Cobre: RF-ING-004.

Como testar: publicar um relatório, simular a expiração do TTL do artefato; conferir remoção do storage e integridade do relatório publicado.

Passa quando: Dado um relatório publicado, Quando o TTL do artefato cru expira, Então o artefato cru é apagado do storage, E o relatório publicado continua íntegro sem depender do artefato.

Cobre: RF-ING-006.

Como testar: ligar a pesquisa de mercado num relatório de teste; conferir isolamento de contexto dos artefatos do cliente e fonte/URL nomeadas em cada achado usado. Caso negativo: forçar uma fonte fora da allowlist e confirmar que ela não é consultada nem citada no relatório.

Passa quando: Dado que o operador liga a pesquisa de mercado para um relatório, Quando a etapa roda, Então ela executa isolada dos artefatos do cliente e consulta apenas fontes da allowlist, E cada achado usado no relatório carrega a fonte e a URL de origem nomeadas.

Cobre: RF-ING-007.

Como testar: importar um arquivo de metas para um cliente; compor um relatório e conferir disponibilidade nos blocos de comparação; confirmar ausência de monitoramento contínuo criado.

Passa quando: Dado um arquivo de metas e planejamento importado para um cliente, Quando o operador compõe um relatório, Então os valores planejados ficam disponíveis para os blocos de comparação planejado versus realizado, E a importação não cria monitoramento contínuo.

Cobre: RF-ING-008.

Como testar: importar um arquivo com fee, margem de contribuição e multiplicador de valor do cliente, com vigência; conferir os três disponíveis como pontos de dado com proveniência de importação; conferir que NENHUM dos três aparece na leitura de planejado contra realizado das metas (controle negativo que separa os dois conceitos); publicar e conferir que o snapshot congelou os valores vigentes na data; mudar um parâmetro e conferir que o snapshot publicado não mudou; tentar importar sem vigência e conferir a recusa; conferir que a importação não criou monitoramento contínuo e que o arquivo não foi persistido.

Passa quando: Dado um arquivo de parâmetros de negócio importado para um cliente com fee, margem de contribuição e multiplicador vigentes, Quando o operador compõe um relatório desse cliente, Então os três ficam disponíveis como pontos de dado com proveniência de importação, E nenhum dos três aparece na leitura de planejado contra realizado, E o snapshot congela os valores vigentes na data do publish, E importar um parâmetro não cria monitoramento contínuo.

Cobre: RF-CMP-003.

Como testar: submeter artefatos com um dado esperado pela intenção ausente; conferir que aparece explicitamente em "o que não achei".

Passa quando: Dado artefatos processados no passo de dados, Quando a leitura da IA termina, Então o operador vê um preview do que a IA entendeu e uma lista explícita "o que não achei", E um dado esperado pela intenção mas ausente nos artefatos aparece nessa lista, não some em silêncio.

FECHADO em 2026-08-03 pela suíte de interface nova. O teste de componente confirma que a tela lista explicitamente, em destaque, o dado esperado que não veio nos artefatos, que é a cláusula que faltava provar: o backend já estava provado, e o que não se sabia era se a lacuna chegava aos olhos do operador em vez de sumir em silêncio.

Cobre: RF-CMP-005.

Como testar: compor com um artefato numérico; rastrear todo número exibido até o extrator determinístico.

Passa quando: Dado um artefato com valores numéricos, Quando o pipeline compõe, Então todo número exibido no relatório provém do extrator determinístico ligado a uma célula ou campo, E nenhum número exibido é gerado pelo texto do modelo de linguagem.

Cobre: RF-CMP-006.

Como testar: compor um relatório e conferir dp:<id> em cada número; forçar um número sem origem e conferir sinalização de pendência.

Passa quando: Dado um relatório em composição, Quando um número é colocado num bloco, Então ele carrega um dp:<id> cuja origem aponta para um artefato e localizador ou uma fonte da allowlist, E um número sem dp: é sinalizado como pendência.

Cobre: RF-CMP-007.

Como testar: tentar publicar um relatório com um número sem dp:; conferir recusa e apontamento exato do número.

Passa quando: Dado um relatório com ao menos um número sem dp: de origem, Quando o operador tenta publicar, Então a publicação é recusada, E o sistema aponta exatamente quais números estão sem origem.

Cobre: RF-CMP-008.

Como testar: montar um caso com narrativa invertida (diz "melhorou" com número que piorou); conferir sinalização.

Passa quando: Dado um número cuja narrativa afirma uma direção (subiu, caiu, melhorou, piorou), Quando o check de polaridade roda, Então a direção afirmada é conferida contra a comparação numérica de origem, E uma inversão (narrativa diz "melhorou" e o número piorou) é sinalizada.

Cobre: RF-CMP-009.

Como testar: processar duas composições de agências diferentes em sequência; conferir que o contexto é montado só do report_id e não há vazamento entre elas; conferir que o parse de arquivo roda em sandbox sem rede de saída.

Passa quando: Dado duas composições de agências diferentes processadas em sequência, Quando a segunda roda, Então ela não acessa nenhum dado da primeira (contexto por report_id, sem estado global), E o parse de arquivo do cliente roda em sandbox isolado sem rede de saída.

Cobre: RF-CMP-010.

Como testar: tentar publicar a partir da composição automática (capability reports.compose); publicar a partir de sessão humana com reports.publish.

Passa quando: Dado um ator com a capability reports.compose, Quando ele tenta publicar um relatório, Então a publicação é recusada, E publicar só é possível a partir de uma sessão humana com a capability reports.publish.

Cobre: RF-CMP-011.

Como testar: inspecionar a configuração do pipeline em produção; conferir ausência de fallback automático para modelo pago. Caso de runtime: simular a falha do provedor gratuito primário e confirmar que só o fallback gratuito é acionado, nunca um modelo pago em silêncio.

Passa quando: Dado o pipeline de composição, Quando ele roda em produção, Então usa apenas modelos da cadeia gratuita configurada, E nenhum upgrade para modelo pago acontece automaticamente sem decisão registrada.

Cobre: RF-CMP-012.

Como testar: concluir uma composição; conferir tokens e tempo registrados e disponíveis.

Passa quando: Dado uma composição concluída, Quando ela termina, Então o sistema registra tokens consumidos e tempo de processamento daquele job, E esses valores ficam disponíveis para o acompanhamento operacional.

Cobre: RF-CMP-013.

Como testar: compor para dois clientes com tons de voz diferentes; comparar o registro da narrativa.

Passa quando: Dado um cliente com tom de voz "técnico e sóbrio" e outro com "leve e próximo", Quando a IA compõe para cada um, Então a narrativa reflete o tom declarado do respectivo cliente, E o tom nunca é inferido em silêncio quando a ficha está vazia.

Cobre: RF-CMP-014.

Como testar: compor um relatório com comparação de mercado; conferir fonte nomeada da allowlist em toda comparação emitida. Caso negativo: induzir uma comparação de mercado sem fonte na allowlist e confirmar que ela não é emitida.

Passa quando: Dado uma afirmação de comparação com o mercado no relatório, Quando ela é composta, Então o benchmark citado provém da allowlist e carrega a fonte, E uma comparação de mercado sem fonte na allowlist não é emitida.

Cobre: RF-CMP-015.

Como testar: forçar geração de um bloco de insight acima do teto de caracteres; conferir rejeição ou truncamento.

Passa quando: Dado um bloco de insight, Quando a IA produz um texto acima do teto de caracteres, Então o bloco é rejeitado ou truncado pelo schema, E nenhum bloco publicado ultrapassa o teto definido.

Cobre: RF-CMP-016.

Como testar: montar os quatro casos do quadro de quadrantes com o mesmo cliente e conferir cada desfecho: dado igual mais leitura igual (deve PASSAR e a página declarar que não houve mudança material desde a edição anterior); dado mudado mais leitura idêntica (deve REPROVAR); dado igual mais leitura nova (deve SINALIZAR sem reprovar); dado mudado mais leitura nova (passa). Conferir que o acervo de narrativa anterior consultado NÃO é filtrado por cadência (ao contrário da base do selo). Montar três edições consecutivas com a mesma recomendação pendente e conferir que a terceira sai com o item promovido e a contagem de edições consecutivas, sem reescrita do texto. Executar a recomendação e conferir que a contagem zera. Fixture de controle negativo obrigatória (RNF-MANUT-003): a composição com dado mudado e leitura idêntica, que a suíte deve reprovar.

Passa quando: Dado um cliente com relatório anterior, Quando o relatório novo é composto, Então o sistema o classifica num dos quatro quadrantes de dado contra texto, E "dado mudou e leitura igual" reprova, E "dado igual e leitura nova" é sinalizado sem reprovar, E "dado igual e leitura igual" passa e a página declara que não houve mudança material desde a edição anterior, E uma recomendação repetida sai com a contagem de edições consecutivas em que está pendente.

Cobre: RF-CMP-017.

Como testar: preencher a direção e chegar ao prompt; conferir que o prompt de instrução aparece montado e editável e que o catálogo de pontos de dado aparece em modo somente leitura; tentar digitar ou colar texto de dado no catálogo e confirmar que é recusado; editar o prompt e conferir que nenhum dp: novo é criado em data_points; tentar compor sem confirmar o prompt.

Passa quando: Dado a direção pronta, Quando o operador chega ao prompt, Então o sistema mostra o prompt de instrução montado e editável e o catálogo de pontos de dado em modo somente leitura, E a composição só dispara após o operador confirmar, E nenhuma edição do prompt cria um dp: nem torna o catálogo de pontos de dado editável.

FECHADO em 2026-08-03 pela suíte de interface nova. O teste confirma que o prompt montado aparece editável e que a composição só dispara após a confirmação (o botão fica desabilitado com o texto vazio).

Cobre: RF-CMP-020.

Como testar: simular a queda dos 4 provedores da cadeia gratuita (suíte automatizada FAIL-LOUD do gateway) e confirmar que composeWithFreeChain sinaliza explicitamente que todos os provedores falharam, com failures carregando o motivo real de cada tentativa (não descartado); composeReport (suíte de composição) devolve aiOk:false, narrativeText:null, dataPoints/gaps intactos, e narrativeFailure com operatorMessage e adminAlertPayload; a mensagem ao operador (suíte de falha de composição) não contém nenhum termo técnico (código de falha interno, status HTTP cru, código de status, nome de variável de ambiente, marcador de modo de segurança) e afirma que os números continuam válidos e que dá para escrever à mão ou tentar depois; o payload do admin carrega o reportId, o horário e o motivo real por provedor, com link relativo; notifyComposeFailureAdmins contra o schema real do Hub (suíte de notificação de falha, com credenciais lidas do ambiente e nunca persistidas) grava uma linha em messages.notifications por admin alvo (dois admins da mesma agência recebem, cada um, sua própria linha), lida de volta com type='system_alert', origin_module='reports', company_id e link corretos.

Passa quando: Dado que a cadeia gratuita de IA falhou por completo durante uma composição, Quando o resultado chega ao operador, Então nenhuma narrativa é entregue (nem local nem de stub), E o operador vê uma mensagem em linguagem humana explicando o que aconteceu e o que fazer, sem jargão técnico nem código de erro cru, E os números do relatório continuam íntegros e disponíveis, E uma ação de um clique dispara um aviso ao admin da agência pela Central de Notificações do Hub com o relatório, o horário e os provedores que falharam e o motivo de cada um.

Achado de 2026-08-03, registrado porque este cartão esteve VERDE sobre uma peça inalcançável. A mensagem em linguagem humana que este teste valida era produzida por uma função que nunca esteve no índice público do pacote, e portanto era um valor indefinido para o consumidor externo real (a rota da API). O teste passava porque importava o módulo de origem direto, que é o único caminho em que a função existe; em produção o operador recebia o erro técnico cru. Corrigido em {F17-12}, e a classe inteira ficou coberta por máquina pela RNF-MANUT-006. A lição para este e para qualquer outro cartão: exercitar a peça pelo caminho do consumidor externo, não pelo import do módulo.

Cobre: RF-CMP-021, RN-014 item 5, RN-012 item 2.

Como testar: montar um relatório de janela de 31 dias com base de comparação de 92 dias e conferir, nos dois modos do parâmetro de agência, que a variação ou não é emitida ou sai com a marca de janela parcial declarando 31 e 92 dias; conferir que nenhuma variação sem marca foi gravada no dp: derivado; publicar e conferir que a marca sobreviveu no snapshot; tentar remover a marca pela curadoria e confirmar recusa; repetir com duas janelas dentro da tolerância e confirmar que a variação sai limpa, sem marca; reproduzir o caso real que originou o requisito (um trimestre com um mês de dados contra o trimestre cheio do ano anterior) e confirmar que a afirmação de queda não sai sem marca.

Passa quando: Dado um relatório cuja janela tem 31 dias e cuja base de comparação tem 92 dias, Quando a composição emite a variação, Então ou ela não é emitida, ou ela sai com a marca de janela parcial declarando as duas larguras em dias, E nenhuma variação sem marca é gravada no dp: derivado, E a marca aparece no snapshot publicado, E uma comparação entre janelas dentro da tolerância continua saindo sem marca.

Cobre: RF-CMP-022.

Como testar: montar um relatório que agrega três janelas mensais com alcance em cada uma e conferir que o dp: gravado é o maior dos três e não a soma; ler a formula do dp: derivado e conferir que ela declara pico e o número de janelas; agregar no mesmo relatório uma métrica fora do conjunto (por exemplo investimento) e conferir que ela continua somando; acrescentar uma métrica ao conjunto pelo painel de configuração e conferir que o comportamento muda sem deploy; conferir que alcance, usuários únicos e visitantes únicos nunca aparecem somados em nenhum número exibido.

Passa quando: Dado um relatório que agrega três janelas mensais com alcance em cada uma, Quando o valor agregado é calculado, Então o dp: gravado é o maior dos três e não a soma, E a formula declara que o valor é o pico e sobre quantas janelas, E uma métrica fora do conjunto agregada no mesmo relatório continua sendo somada, E acrescentar uma métrica ao conjunto pelo painel muda o comportamento sem deploy.

Cobre: RF-CMP-027.

Como testar: com a edição do mês anterior publicada, vencer o ciclo e conferir que o rascunho nasceu sozinho, com a base apontando para a edição anterior e com a base por extenso dentro da frase de cada número comparativo; forçar uma janela de largura diferente e conferir que a comparação sai recusada ou marcada como parcial; rodar a PRIMEIRA edição de uma agenda nova e conferir que ela nasce no estado sem base, sem seta, e que isso NÃO reprova o publish.

Passa quando: Dada uma agenda mensal ativa cuja edição do mês anterior está publicada, Quando o ciclo do mês corrente vence, Então a edição nasce sozinha em rascunho, E a base de comparação dela é a edição do mês anterior, E a base aparece por extenso dentro da frase de cada número comparativo, E uma edição cuja janela tenha largura diferente da anterior sai recusada ou marcada como parcial, E a primeira edição de uma agenda nasce no estado sem base sem reprovar.

Cobre: RF-CMP-028.

Como testar: vencer o ciclo e conferir que, sem gesto humano, o relatório fica em rascunho e nenhum link público responde por ele; publicar pelo gesto do operador e conferir que a edição atravessou os mesmos gates de proveniência e de honestidade; introduzir numa edição agendada um número sem proveniência e conferir que o publish reprova exatamente como reprovaria numa edição manual; conferir por leitura do código que existe UM caminho de publish e que ele não recebe a origem da edição como parâmetro; procurar nominalmente por parâmetro de agência, de agenda ou de ambiente que autorize publicar sem gate e registrar a ausência junto com o que foi procurado.

Passa quando: Dada uma edição nascida de agenda e completa, Quando nenhum operador a publica, Então ela permanece em rascunho indefinidamente e nenhum link público responde por ela, E ao ser publicada ela atravessa os mesmos gates que uma edição manual atravessa, E uma edição agendada que reprove qualquer gate não publica, E não existe parâmetro que permita publicar sem esses gates.

FECHADO em 2026-08-03, e esta era a condição imposta pelo dono. Provado por dois meios independentes. Busca dirigida: nenhuma referência a publicação no disparador de ciclo nem no módulo de agenda, nos dois repositórios, conferida arquivo a arquivo e não por amostra. E por teste: o publish continua sendo o único endpoint e não recebe parâmetro de origem, de modo que não existe sequer a forma de dizer a ele que a edição veio da agenda. A guarda aqui não é uma condição escrita dentro do publish, que alguém poderia inverter num refactor; é a AUSÊNCIA do caminho, e caminho que não existe ninguém chama por engano.

Cobre: RF-CMP-029.

Como testar: provocar os quatro motivos, um por rodada, e conferir que cada um grava o desfecho próprio e distinto: vencer o ciclo sem artefato do período; vencer com artefato que não parseia; vencer com a cadeia de inteligência artificial indisponível; vencer com uma guarda reprovando. Em cada rodada conferir que o responsável recebeu o aviso pela Central de Notificações interna, que a agenda continuou ativa, e que o sistema não tentou de novo sozinho. Conferir que nenhum ciclo vencido ficou sem desfecho gravado.

Passa quando: Dada uma agenda ativa cujo ciclo venceu sem artefato disponível, Quando o ciclo se encerra, Então a agenda registra o ciclo como sem edição com um dos motivos nominais, E o responsável recebe o aviso pela Central de Notificações interna, E a agenda continua ativa para o ciclo seguinte, E o ciclo falhado não é repetido por conta do sistema.

FECHADO em 2026-08-03. Escopo declarado que este cartão NÃO testa, e não por omissão: o desfecho de falha da composição automática cobre falha estrutural e exceção, nunca reprovação de honestidade (RN-017 item 8). O gate de honestidade roda no publish, que continua manual, porque o rascunho automático é matéria-prima e a honestidade é a pergunta que se faz na hora de publicar. Se um dia a publicação virar automática, este cartão muda junto e o gate passa a ser exigido antes.

Cobre: RF-CMP-030.

Como testar: com as quatro etapas medidas, conferir os três números em cada uma e conferir que a primeira etapa não tem taxa e que essa ausência NÃO entra no bloco de lacunas (controle negativo que distingue ausência estrutural de lacuna); conferir que cada taxa é ponto de dado derivado com fórmula e operandos declarados; apagar o volume da segunda etapa e conferir que ela sai tracejada, que a taxa da terceira não é emitida, que os dois motivos entram no bloco de lacunas, e que em nenhum ponto da página aparece zero no lugar do não medido.

Passa quando: Dado um funil canônico com as quatro etapas medidas, Quando o relatório renderiza, Então cada etapa mostra volume, custo unitário e taxa da etapa anterior, E a primeira etapa mostra volume e custo unitário sem taxa e essa ausência não entra no bloco de lacunas, E cada taxa é ponto de dado derivado com fórmula e operandos declarados, E com o volume da segunda etapa ausente a segunda sai tracejada, a taxa da terceira não é emitida e os dois motivos aparecem no bloco de lacunas.

Cobre: RF-CMP-031.

Como testar: conferir que as 20 entradas do Ap.10.2 existem com classe de origem declarada e que os dois placares fecham (2 artefato mais 3 parâmetro mais 15 derivada igual a 20; conferidas mais a conferir igual a 15); compor com os três parâmetros importados e conferir que as métricas emitidas saem com proveniência; remover a importação do fee e conferir que as métricas dependentes dele saem como lacuna declarada e que NENHUMA delas sai como zero (controle negativo); tentar exibir uma métrica de resultado fora do catálogo e conferir que o publish reprova; conferir que uma métrica com fórmula em estado a conferir não é emitida; conferir o caso do CAC Payback, que tem fórmula conferida e mesmo assim NÃO é emitido porque o operando Margem média por cliente não resolve (é este o controle que prova que fórmula conferida sozinha não libera a emissão); conferir que o valor de LTV em dinheiro e o LTV multiplicador nunca aparecem com o rótulo um do outro; conferir que o compositor não oferece campo digitável de métrica de resultado.

Passa quando: Dado um relatório cuja camada de resultado exibe métricas do Ap.10, Quando o gate de publicação roda, Então cada métrica exibida resolve para uma entrada do Ap.10 com origem declarada, E uma métrica fora do catálogo reprova o publish, E uma métrica cujo operando de negócio não foi importado sai como lacuna declarada e não como número, E nenhum operando faltante é substituído por zero.

FECHADO em 2026-08-03, e a prova aqui é do tipo que quase nunca se faz. As 11 métricas com fórmula a conferir foram exercitadas com TODOS os operandos plausíveis PRESENTES no contexto, e nenhuma emitiu. Não é "não emitiu porque faltou dado", que passaria por acidente; é não emite mesmo com o dado na mão, porque a fórmula não foi conferida. O prazo de retorno do CAC continua bloqueado mesmo tendo fórmula literal transcrita da planilha, porque um operando dele não existe no catálogo, testado inclusive com o custo real de aquisição hipoteticamente resolvido. E as contagens do catálogo são função CALCULADA do próprio catálogo, nunca constante escrita à mão, que é o que impede o placar de mentir quando uma entrada nova nascer.

Cobre: Ap.4, {F18-12}, {F1-17} (gate D).

Como testar: conferir que o conjunto de referência contém ao menos um documento de 20 ou mais seções, real e entregue a cliente, anonimizado antes do parse (cliente, sub-marcas, cidades, concorrentes, domínio e identificadores de conta trocados, números e estrutura preservados); rodar a régua sobre o conjunto inteiro; conferir separadamente o veredito dos dois documentos legados e o do documento grande.

Passa quando: o conjunto tem o exemplar do tamanho em que o produto opera, E o veredito distingue a causa da reprovação: os legados reprovam por honestidade comparativa e não por comprimento, E o documento grande não é reprovado por tamanho. A conclusão registrada é que a régua é exigente contra a prática antiga, não descalibrada contra a escala.

FECHADO em 2026-08-03. Documento real de 25 seções incorporado; os dois legados seguem reprovando por honestidade comparativa e passam limpos no critério novo, o que prova que comprimento não explica a reprovação. Confirma {Q6}.

Cobre: RNF-MANUT-006, {F17-12}.

Como testar: rodar o teste de contrato do pacote, que obtém os nomes realmente exportados por cada módulo em tempo de execução (nunca de lista escrita à mão) e os compara com os nomes do índice público, descontando os classificados como internos; conferir que a classificação de interno declara, nome a nome, o critério e o consumidor real; executar o CONTROLE NEGATIVO removendo do índice um nome que deve ser público e confirmar que o teste reprova nomeando o módulo e o nome; conferir que um nome interno não reprova.

Passa quando: todo nome destinado a consumidor externo está no índice, E remover um deles reprova com o módulo e o nome citados, E nome interno não reprova, E a classificação de interno tem critério escrito e consumidor conferido.

FECHADO em 2026-08-03. Varredura medida: 55 módulos, 279 exports, 63 nomes fora do índice, dos quais 62 internos de propósito e 1 defeito vivo (o aviso de falha da composição), e 62 mais 1 fecham em 63. Corrigido o defeito e criado o teste, a medição repetida dá 62 fora do índice, todos classificados. O controle negativo direto sobre o defeito desta sessão passa.

Cobre: Ap.3 (os cinco tipos novos), {F17-01} a {F17-04}, {F17-09}, {F17-10}.

Como testar: renderizar um documento que percorre os tipos novos e OLHAR página por página, desktop e mobile, em vez de apenas conferir asserções: a série menor do gráfico de linha é legível junto da série maior; o texto do centro do donut não se sobrepõe a nada; o bloco de confiabilidade não repete o mesmo fato; a abertura em prosa e a régua aparecem na ordem do modelo; o plano de ação fecha o documento.

Passa quando: cada tipo novo aparece legível e sem sobreposição nas duas larguras, E nenhum bloco repete o mesmo fato, E a leitura da página inteira faz sentido de cima a baixo.

FECHADO em 2026-08-03, e com a lição registrada: o smoke achou três defeitos que 32 testes verdes não pegaram, todos invisíveis para asserção e óbvios para o olho (escala única esmagando a série menor no gráfico de linha, texto do centro do donut sobreposto, bloco de confiabilidade repetindo o mesmo fato três vezes). Nenhum quebrava build. A suíte prova que o dado está certo, não que a página está legível.

Cobre: RF-CUR-005.

Como testar: abrir a edição de um bloco; conferir que só os campos da whitelist aparecem editáveis, nunca o número com proveniência. Caso de API (não só UI): enviar um PATCH direto tentando alterar um campo de proveniência (o valor numérico) fora da UI e confirmar que o backend recusa (4xx), pois esconder o campo na tela não prova que o servidor rejeita.

Passa quando: Dado um tipo de bloco com whitelist de campos editáveis, Quando o operador abre a edição desse bloco, Então só os campos da whitelist são editáveis, E campos fora da whitelist (por exemplo, o valor numérico com proveniência) não são editáveis nem pela UI nem por chamada direta à API.

FECHADO em 2026-08-03 pela suíte de interface nova. O teste confirma as duas cláusulas: só o campo da lista de editáveis aparece, e o campo de fora dela (incluindo o número com proveniência) nunca é oferecido. Cobre a interface, que era a metade não provada.

FECHADO em 2026-08-18 pelo {F8-24}. A resolucao ja saia de ponto unico (fn_resolve_identity, a mesma funcao que o publish chama), e o que faltava era esse ponto unico CHEGAR a quem compoe: a rota de pre-visualizacao resolvia a procedencia e a descartava. Provado com os tres cenarios pela rota real (ficha vazia, ficha preenchida, cor escolhida no relatorio), e um quarto caso exige que sejam distinguiveis entre si.

Cobre: RF-CUR-012, RN-020 item 1.

Como testar: para o MESMO estado de rascunho, pedir o preview do compositor e publicar, e comparar a cor e o logo resolvidos nos dois: têm de ser idênticos. Repetir nos quatro estados de procedência da cor (sobreposição do relatório, ficha do cliente preenchida, ficha vazia com padrão da agência, e nenhum dos três) conferindo o marcador de procedência gravado em cada um, e nos dois do logo. Controle negativo obrigatório: um relatório SEM sobreposição nenhuma tem de continuar resolvendo exatamente como antes desta regra, ficha do cliente e depois padrão da agência, com o logo vindo da agência, que é o que impede esta entrega de desfazer a anterior.

Passa quando: Dado um mesmo estado de rascunho, Quando o preview do compositor e a publicação resolvem a identidade daquele relatório, Então as duas devolvem a mesma cor e o mesmo logo, E a resposta resolvida declara a procedência da cor entre os quatro valores nominais e a do logo entre os dois, E existe um único ponto no sistema que aplica a precedência de RN-020, E nenhuma superfície que exiba o relatório cai num valor padrão por não ter passado por esse ponto.

Cobre: RF-PUB-001.

Como testar: publicar, depois alterar identidade visual ou metas do cliente; conferir que o relatório publicado não muda até novo publish. Tentar um UPDATE direto em snapshot pela role de aplicação e confirmar que é recusado (RN-010, só a função SECURITY DEFINER de publish escreve).

Passa quando: Dado um relatório publicado, Quando a identidade visual do cliente ou as metas são alteradas depois, Então o relatório publicado continua exibindo os valores copiados no momento do publish, E editar o rascunho não muda o snapshot já servido até um novo publish, E um UPDATE direto em snapshot pela role de aplicação é recusado (RN-010).

Cobre: RF-PUB-003.

Como testar: abrir um link com senha definida e um sem senha.

Passa quando: Dado um link com senha definida, Quando alguém abre o link, Então a página pede a senha antes de exibir o conteúdo, E um link sem senha definida abre direto.

Cobre: RF-PUB-004.

Como testar: abrir um link com expiração no passado e um sem expiração.

Passa quando: Dado um link com data de expiração no passado, Quando alguém o abre, Então a página responde como expirada com o estado brandado, E um link sem expiração continua servindo indefinidamente.

Cobre: RF-PUB-006.

Como testar: editar og:title, og:description e capa; publicar; compartilhar o link e conferir o card exato.

Passa quando: Dado o modal de publicação, Quando o operador edita og:title, og:description e a capa e publica, Então o link compartilhado exibe exatamente esses metadados no card, E o operador viu o preview do card antes de publicar.

FECHADO em 2026-08-03 pela suíte de interface nova. O teste confirma que a prévia do card atualiza ao vivo enquanto o operador edita, ANTES de publicar, que é a cláusula de "viu o preview antes" deste critério.

Cobre: RF-PUB-008.

Como testar: revogar um link em cache; conferir 410 e ausência do conteúdo em qualquer camada de cache.

Passa quando: Dado um link ativo em cache, Quando o operador o revoga, Então o cache é purgado e o link passa a responder 410 com a página brandada de link revogado, E o conteúdo anterior não é mais servido de nenhum cache.

Cobre: RF-PUB-009.

Como testar: editar o rascunho e republicar; conferir mesmo link, snapshot novo, ausência de galeria de versões.

Passa quando: Dado um relatório já publicado, Quando o operador republica após editar o rascunho, Então o mesmo link passa a servir o snapshot novo, E não é criada nenhuma versão navegável separada da página.

Cobre: RF-PUB-010.

Como testar: republicar; conferir entrada no histórico visível na agência; conferir ausência dessa informação no leitor público.

Passa quando: Dado um relatório republicado, Quando alguém da agência abre o histórico de alterações, Então vê a lista de alterações em linguagem humana, E nenhuma superfície do leitor público expõe esse histórico ao cliente.

Cobre: RF-REN-001.

Como testar: republicar um relatório; conferir id estável dos blocos não removidos; esconder um bloco e conferir ausência no snapshot.

Passa quando: Dado um documento de relatório, Quando ele é serializado, Então cada bloco tem um id estável que não muda entre republicações, E um bloco marcado oculto não aparece no snapshot publicado.

Cobre: RF-REN-003.

Como testar: renderizar um snapshot fixture em versão de schema antiga; conferir conversão em memória e integridade do registro armazenado.

Passa quando: Dado um snapshot em versão de schema antiga, Quando o leitor o renderiza, Então ele o converte em memória para a versão corrente e exibe corretamente, E o registro armazenado permanece na versão original.

Cobre: RF-REN-004.

Como testar: injetar um bloco com script embutido; conferir remoção nos três consumidores (leitor, preview, PDF).

Passa quando: Dado um bloco cujo corpo contém um script embutido, Quando qualquer consumidor renderiza o bloco, Então o script é removido pela sanitização, E nenhum HTML executável do corpo chega ao navegador do cliente.

Cobre: RF-REN-005.

Como testar: renderizar o mesmo documento nos três consumidores; comparar a saída; buscar no código uma segunda implementação de bloco.

Passa quando: Dado um mesmo documento de relatório, Quando ele é renderizado pelo leitor, pelo preview e pelo gerador de PDF, Então os três usam as mesmas funções do package renderizador, E não existe uma segunda implementação dos blocos fora do package.

Cobre: RF-REN-006.

Como testar: pela role reports_reader, primeiro o par positivo (ler report, snapshot e comment de um relatório publicado deve funcionar); depois os negativos, tentar um INSERT/UPDATE (deve recusar), uma leitura de outro schema (deve recusar) e uma leitura de uma quarta tabela do próprio schema reports como report_draft, artifact ou report_goal (deve recusar, o GRANT é só em report, snapshot e comment).

Passa quando: Dado o serviço do leitor público, Quando ele resolve um link, Então usa a role reports_reader com SELECT apenas em report, snapshot e comment, E não tem permissão para escrever, nem para ler report_draft/artifact/report_goal, nem qualquer outro schema do Hub (RN-011).

Cobre: RF-REN-007.

Como testar: renderizar relatórios de dois clientes com paletas diferentes; trocar a paleta de um e conferir que o já publicado do outro não muda. Caso de contraste: usar um cliente com cor de acento de baixo contraste sobre o fundo escuro e medir o contraste resultante do acento.

Passa quando: Dado dois clientes com paletas diferentes, Quando seus relatórios são renderizados, Então cada página aplica os tokens --r-* do respectivo cliente, E trocar a paleta de um cliente não afeta a página já publicada do outro, E quando a cor de acento do cliente cai abaixo de AA sobre o fundo, a luminância é ajustada por algoritmo determinístico até atingir AA antes de renderizar (RF-REN-007, ADR-014, RNF-A11Y-001).

Cobre: RF-REN-009.

Como testar: inspecionar as imagens do leitor (URL assinada de curta duração) e do PDF (base64 embutido, sem chamada de rede durante a geração). Conferir também a moldura de mídia nas DUAS superfícies, porque o CSS é compartilhado: um defeito de moldura visto só no PDF costuma ser do renderizador e aparece igual no leitor, e corrigir de um lado só cria a divergência entre saídas que RF-REN-005 existe para impedir.

Passa quando: Dado um relatório com criativos, Quando o leitor o exibe, Então as imagens carregam por URL assinada de curta duração, E o PDF do mesmo relatório embute os assets em base64 pré-buscado, sem buscar em rede durante a geração.

Cobre: RF-REN-010.

Como testar: abrir um link revogado e um expirado; conferir página brandada com a marca da agência e ausência total do conteúdo.

Passa quando: Dado um link revogado ou expirado, Quando o cliente o abre, Então vê uma página brandada com a identidade da agência e a mensagem para pedir novo link, E nenhum conteúdo do relatório é exibido.

Cobre: RF-REN-011.

Como testar: autenticado como um Contact, abrir o portal do cliente e conferir que lista só os relatórios publicados dos Accounts a que ele pertence; autenticar como um Contact de outro cliente e confirmar que ele não vê esses relatórios; conferir que nenhuma ação de compor, publicar ou administrar aparece para o Contact.

Passa quando: Dado um Contact autenticado pela sessão do Hub, Quando ele abre o portal do cliente, Então vê a lista dos relatórios publicados para os seus Accounts com atalho para abrir cada um, E não vê relatório de cliente a que não pertence, E nenhuma ação de composição, publicação ou administração é oferecida.

Cobre: RF-REN-012, RF-REN-002, Ap.3.

Como testar: montar um documento cujos blocos percorrem os dezesseis tipos nominados do Ap.3 (hero, kpis, funnel_simple, stat_cards, video_retention, rankings, data_table, insights, gap, comparison, media, section_intro, reliability, line_chart, donut, action_plan) e renderizar; conferir que cada um resolve para o seu componente e nenhum cai no caminho de tipo desconhecido; rodar a conferência automática que compara as chaves do registro declarativo contra a lista nominal do Ap.3 e confirmar que ela reprova quando um tipo é removido do registro; confirmar que a conferência lê a lista do Ap.3 e não uma lista escrita à parte; conferir que um tipo inventado, fora dos dezesseis, continua caindo na tolerância a tipo desconhecido de RF-REN-002 sem quebrar a página.

Passa quando: Dado um documento cujos blocos percorrem os dezesseis tipos nominados do Ap.3, Quando o renderizador o processa, Então cada um dos dezesseis resolve para o seu componente próprio, E nenhum deles cai no caminho de tipo desconhecido, E remover qualquer um dos dezesseis do registro faz a conferência de cobertura reprovar, E um tipo fora dos dezesseis continua sendo ignorado em silêncio pelo leitor sem quebrar a página.

Cobre: RF-REN-016.

Como testar: renderizar o mesmo relatório para um cliente consultiva e um direta e conferir lado a lado que as quatro etapas e a ordem são idênticas e que só os rótulos mudam, batendo com a tabela do Ap.10.1; renderizar um cliente SEM modelo declarado e conferir que o funil livre segue funcionando com o número de etapas que o operador montou, que é o controle negativo de regressão do comportamento que existe hoje; publicar um snapshot, trocar o modelo do cliente e conferir que o rótulo publicado não mudou; conferir que o registro de tipos de bloco continua com dezesseis e que nenhum tipo novo foi criado.

Passa quando: Dado um cliente com modelo de venda direta, Quando o funil canônico dele renderiza, Então aparecem exatamente quatro etapas na ordem Atenção, Interesse, Consideração e Ação com os rótulos diretos do Ap.10, E o mesmo funil para um cliente consultiva tem as mesmas quatro etapas na mesma ordem com os rótulos consultivos, E um cliente sem modelo declarado renderiza o funil livre com o número de etapas que o operador montou, E o rótulo de um snapshot publicado não muda quando o modelo é alterado depois, E o registro de tipos continua com os dezesseis do Ap.3.

FECHADO em 2026-08-03 com os dois negativos exercidos. O funil canônico IGNORA o rótulo digitado: o teste corrompe o rótulo de propósito no bloco e prova que o texto digitado NÃO chega ao HTML servido, ou seja, o vocabulário vem sempre do modelo de venda do cliente. E o funil livre, de cliente sem modelo declarado, roda inalterado contra o conjunto de calibração real: regressão zero, que era a condição para esta fase ser aditiva e não uma troca.

Cobre: RF-REN-017.

Como testar: publicar um relatório que exibe ao operador o fee da agência e o lucro operacional e conferir, no conteúdo BRUTO do snapshot gravado no banco, que nenhuma das duas está lá (não basta olhar a tela: o snapshot é o que se serve a quem tem o link); buscar as duas no HTML servido da página pública e nos metadados dela e conferir zero ocorrências; conferir que as duas seguem visíveis ao operador e ao admin no compositor; marcar uma como visível ao cliente e conferir que ela passa a entrar nos publishes seguintes sem alterar nenhum snapshot anterior; conferir que o operador não consegue afrouxar a visibilidade por página.

Passa quando: Dado um relatório cuja camada de resultado exibe ao operador o fee da agência e o lucro operacional, Quando o operador publica, Então nenhuma das duas está presente no conteúdo do snapshot, E a página pública não as exibe nem no HTML nem em metadado, E as duas continuam visíveis ao operador e ao admin no compositor, E marcar uma como visível ao cliente passa a incluí-la nos publishes seguintes sem alterar nenhum snapshot anterior.

Cobre: RF-COM-001.

Como testar: tentar comentar sem sessão; conferir pedido de login e ausência de comentário anônimo gravado.

Passa quando: Dado um visitante não autenticado numa página pública, Quando ele tenta comentar, Então o sistema pede login (via atalho de acesso do Hub) antes de aceitar o comentário, E nenhum comentário anônimo é gravado.

Cobre: RF-COM-002.

Como testar: enviar um comentário e conferir que passa por endpoint distinto do leitor (anônimo recebe 401); e conferir no banco que a role do leitor público não tem permissão de escrita. As duas metades são fatos distintos e foram provadas separadamente: o 401 prova o endpoint, a conferência de privilégio prova a role (feita na Fatia 13, junto com {TA-75}).

Passa quando: Dado o serviço do leitor público, Quando um comentário é enviado, Então a escrita acontece por um endpoint separado autenticado, E a role do leitor público segue sem qualquer permissão de escrita.

Cobre: RF-COM-003.

Como testar: criar um comentário sobre um bloco; conferir id do bloco e excerpt gravados; conferir âncora correta na leitura.

Passa quando: Dado um comentário criado sobre um bloco, Quando ele é gravado, Então carrega o id do bloco e o trecho citado, E o comentário aparece ancorado ao bloco correto na leitura.

Verificado em 2026-08-02 em navegador real: ancoragem correta, legível em desktop e em 390 pixels; nenhum comentário vaza entre relatórios; assinatura com o nome real do autor após o fix da consulta do leitor.

Cobre: RF-COM-004.

Como testar: comentar um bloco, remover esse bloco numa republicação; conferir permanência do comentário com marca "versão anterior".

Passa quando: Dado um comentário ancorado num bloco, Quando esse bloco é removido numa republicação, Então o comentário permanece visível com o trecho citado e a marca "versão anterior", E o sistema não cria uma versão navegável da página para preservá-lo.

Cobre: RF-COM-005.

Como testar: marcar um comentário como resolvido; conferir notificação ao autor e mudança de estado.

Passa quando: Dado um comentário aberto, Quando o operador o marca como resolvido, Então o autor do comentário é notificado, E o comentário passa a exibir estado "resolvido".

Cobre: RF-COM-006.

Como testar: pedir acesso pela página sem sessão; autenticar via magic link; conferir campo de comentário habilitado.

Passa quando: Dado um cliente com Contact provisionado mas sem sessão, Quando ele pede acesso pela página, Então recebe um magic link do Hub que abre a sessão, E o campo de comentário fica habilitado após a autenticação.

Cobre: RF-ANL-001.

Como testar: abrir uma página pública com o ingestor artificialmente LENTO e conferir que a resposta do leitor continua rápida (prova o "não bloqueia"); repetir com o ingestor FORA DO AR e conferir que a página não cai (prova o "não depende"). Os dois modos de falha são distintos e os dois precisam ser provocados de propósito.

Passa quando: Dado a leitura de uma página pública, Quando um evento de visualização é registrado, Então ele é ingerido por um pipeline separado do render, E a coleta de evento não bloqueia nem depende do caminho somente-leitura do leitor.

Cobre: RF-ANL-002.

Como testar: gerar acessos REAIS no link público (não semear linha no banco, porque o critério exige que os valores reflitam acessos reais) e conferir no painel a contagem e a data e hora do último acesso.

Passa quando: Dado um link acessado várias vezes, Quando o operador abre o analytics do relatório, Então vê o número de visualizações e a data e hora do último acesso, E esses valores refletem os acessos reais registrados.

Cobre: RF-ANL-004.

Como testar: as duas cláusulas são fatos diferentes e provam-se separadamente. Identificador: conferir que é derivado por hash com sal que MUDA TODO DIA, não reversível nem correlacionável entre dias, e que nunca carrega o endereço de origem (lado negativo). HTML público: buscar ANONIMAMENTE o HTML bruto de relatórios publicados reais e varrer em busca de email, confirmando zero email de verdade (um campo de formulário vazio não conta). Feito em 2026-08-02 sobre 2 relatórios reais.

Passa quando: Dado um visitante deslogado, Quando ele é contabilizado, Então aparece agregado como "visitante" com identificador opaco, E nenhum email cru é exposto no HTML público.

Cobre: RF-ANL-005.

Como testar: acessar com e sem referrer e conferir a saída do resolvedor de origem na tela. O caso que importa é o SEM referrer: precisa sair "Origem desconhecida" e nunca um canal fabricado, porque canal inventado é mentira silenciosa que o leitor acredita, enquanto origem errada com referrer presente seria erro visível.

Passa quando: Dado um acesso com referrer disponível, Quando a origem é registrada, Então ela reflete o referrer, E a ausência de referrer é registrada como origem desconhecida, sem inventar um canal.

Cobre: RF-ANL-006.

Como testar: logado como admin da agência A, abrir o painel e conferir agregados só de A; ATACAR o isolamento de propósito, abrindo um relatório de outra agência pela URL direta, e conferir que a resposta é "inexistente" e não "permissão negada" (negar permissão confirma que o recurso existe e já é vazamento); conferir zero distinguível de não medido (relatório sem acesso mostra 0, traço no último acesso e "Sem acessos ainda"); conferir que papel sem a capability não vê o item de menu E é recusado na URL direta; conferir em desktop e em 390 pixels. Conferir também que o Super Admin em modo global vê o painel VAZIO e que com contexto de empresa ativo vê os dados daquela agência, que é o comportamento correto (RF-ANL-006) e não defeito.

Passa quando: Dado um admin da agência A, Quando ele abre o painel de analytics, Então vê os agregados apenas dos relatórios de A, E não enxerga dados de nenhuma outra agência.

Cobre: RF-REN-013, Ap.3.

Como testar: enviar pela API um documento com dois blocos hero e conferir recusa; pedir à composição um segundo hero e conferir que ela não o emite; procurar a ação de duplicar hero no compositor e conferir que ela não existe; forçar dois hero no rascunho por caminho de banco e conferir que o publish reprova; acrescentar três blocos section_intro e conferir que passam sem restrição; enviar period ou source num section_intro e conferir recusa pelo schema. Fixture de controle negativo: o documento com dois hero, que a suíte deve reprovar.

Passa quando: Dado um documento que já tem um bloco hero, Quando a composição, a curadoria ou a API tentam acrescentar um segundo, Então a operação é recusada nas três superfícies, E o gate de publicação recusa um documento com dois blocos hero, E acrescentar um segundo section_intro continua sendo permitido sem restrição de quantidade.

Cobre: RF-REN-014.

Como testar: compor um relatório com um line_chart de min_periods igual a 3 e apenas 2 períodos de dado e conferir que o bloco não aparece na página; conferir que a lacuna aparece no bloco gap declarando o exigido e o disponível; repetir com 3 períodos e conferir que renderiza; forçar a ocultação sem a lacuna e conferir que reprova; alterar min_periods pelo painel e conferir que o comportamento muda sem deploy. Fixture de controle negativo: o gráfico de linha de dois pontos renderizado, que a suíte deve reprovar.

Passa quando: Dado um bloco line_chart com min_periods igual a 3 e um relatório com 2 períodos disponíveis, Quando o relatório é composto, Então o bloco não aparece na página, E a lacuna aparece no bloco gap declarando o histórico exigido e o disponível, E o mesmo bloco com 3 períodos renderiza normalmente.

FECHADO em 2026-08-03, e com o achado que este cartão quase escondeu. A saída legal que este requisito documenta (a seção que se oculta e vira lacuna declarada) era ela própria sempre reprovada pelo gate de proveniência estrutural: a escotilha existia no texto e era inalcançável no código. Corrigido isentando o histórico mínimo do gate. Uma saída legal que o sistema recusa não é saída, é a mesma parede com outro nome, e este é o defeito exato contra o qual a regra de {F18-10} foi escrita, encontrado dentro da nossa própria implementação dela.

Cobre: RF-REN-015, RN-015.

Como testar: montar um relatório em que uma etapa do funil, um ponto de série e uma célula de tabela são todos não medidos; conferir que os três aparecem como interrupção (etapa tracejada, traço na série, célula vazada) e nenhum como zero; conferir que os três motivos aparecem no bloco gap; conferir por consulta que nenhum dp gravado para eles carrega zero; conferir que o nulo de COMPARAÇÃO ("sem base") continua publicando normalmente, para provar que a guarda distingue as duas classes de nulo da RN-015. Fixture de controle negativo: o não medido gravado como zero, que a suíte deve reprovar.

Passa quando: Dado um relatório em que uma etapa do funil, um ponto de série e uma célula de tabela são todos não medidos, Quando a página é renderizada, Então os três aparecem como interrupção e nenhum como zero, E os três motivos aparecem no bloco gap, E nenhum ponto de dado gravado para eles carrega o valor zero, E um nulo de comparação continua publicando sem reprovar.

Cobre: RF-CMP-023, Ap.3.

Como testar: compor um relatório a partir de dois artefatos, com um bloco esperado virado lacuna e com a âncora no estado "sem base"; conferir pelo contador de chamadas do gateway que o bloco reliability nasceu com ZERO chamada de IA; conferir que ele nomeia as duas fontes, a lacuna com motivo e o estado "sem base"; tentar editar cada um dos três campos derivados pelo compositor, pela API e pela curadoria e conferir recusa nos três caminhos; tentar excluir o bloco e conferir recusa; acrescentar a note do operador e conferir que nenhum dos três campos muda; comparar o que a régua afirma com o bloco gap e o selo da âncora da mesma página e conferir coerência.

Passa quando: Dado um relatório composto a partir de dois artefatos, com uma lacuna e com a âncora sem base, Quando a página é montada, Então o bloco reliability existe sem nenhuma chamada de IA, E ele nomeia as duas fontes, a lacuna com o motivo e o estado "sem base", E nenhuma superfície permite editar ou remover esses três campos, E acrescentar a note não altera nenhum dos três.

Cobre: RF-CMP-024, RN-016.

Como testar: montar um bloco comparison cuja origem é a meta importada e outro cuja origem é o período anterior; conferir que cada um exibe a sua base por extenso no cabeçalho e em cada linha; varrer a página publicada e conferir que nenhum número comparativo aparece sem base na própria frase (nem no selo da âncora, nem em variação derived); tentar trocar a base pela curadoria e conferir recusa; publicar e conferir que a base sobreviveu no snapshot; enviar um comparison sem base e conferir recusa pelo schema. Fixture de controle negativo: a página com um percentual comparativo sem base, que a varredura deve reprovar.

Passa quando: Dado um bloco comparison de base meta e outro de base período anterior, Quando a página é renderizada, Então cada um exibe a sua base por extenso no cabeçalho e em cada linha, E nenhum número comparativo da página aparece sem a base na própria frase, E a base não é editável pelo operador, E ela sobrevive no snapshot publicado.

Cobre: RF-CMP-025; evolui a guarda de {F9-13}.

Como testar: reproduzir o caso que passa na guarda atual, a frase "o criativo em vídeo alcançou 167.364 impressões em julho" com um ponto de dado cuja tupla diz entidade igual a campanha, e conferir que agora ela é reprovada com o campo divergente NOMEADO (entidade); corrigir a entidade e conferir que passa; repetir a prova, uma por vez, para período, segmento e agregação (número de julho citado como do trimestre; total citado como média); conferir por consulta que nenhum ponto de dado chega ao snapshot com qualquer um dos cinco campos vazio. Fixture de controle negativo: exatamente a frase do criativo com o número da campanha, que a suíte deve reprovar.

Passa quando: Dado um ponto de dado cuja tupla declara entidade igual a campanha e uma frase que atribui esse número a um criativo, Quando o gate de coerência roda, Então a frase é reprovada com o campo divergente nomeado, E a mesma frase com a entidade correta passa, E a divergência é detectada também em período, segmento e agregação, E nenhum número exibido chega ao snapshot com campo vazio na tupla.

Cobre: RF-CMP-026.

Como testar: compor com um artefato sem evidência designada e uma leitura que usaria conectivo causal, e conferir que a frase chega ao operador já na forma de coocorrência, sem ter sido apagada; repetir com evidência designada no artefato e conferir que a forma causal é mantida com a evidência referenciada; percorrer o conjunto nominal de conectivos, um a um, e conferir que nenhum chega ao snapshot sem evidência; conferir que a guarda trata o conjunto como nominal e não como ilustrativo. Fixture de controle negativo: a frase causal sem evidência, que a suíte deve flagrar.

Passa quando: Dado uma frase com conectivo causal do conjunto nominado e um artefato sem evidência designada, Quando a composição termina, Então a frase chega ao operador na forma de coocorrência, E a mesma frase com evidência designada é mantida causal com a evidência referenciada, E nenhum conectivo do conjunto chega ao snapshot sem evidência designada.

Cobre: RF-ADM-018, RN-016.

Como testar: marcar um cliente como sazonal e compor um relatório dele, conferindo que a base primária é o mesmo período do ano anterior; compor um relatório de cliente não sazonal e conferir que a base é o período imediatamente anterior; conferir que a base aparece por extenso dentro da frase de cada número comparativo; varrer as telas do wizard e do compositor e confirmar que a escolha da base por relatório NÃO é oferecida em lugar nenhum; trocar o atributo do cliente e conferir que nenhum relatório já publicado mudou de base.

Passa quando: Dado um cliente marcado como sazonal, Quando um relatório dele é composto, Então a base primária é o mesmo período do ano anterior, E a base aparece por extenso dentro da frase de cada número comparativo, E o mesmo relatório para um cliente não sazonal usa o período imediatamente anterior, E trocar o atributo depois não altera nenhum relatório já publicado.

Cobre: RF-CUR-009.

Como testar: disparar cada guarda não estrutural, uma a uma, e conferir que a mensagem NOMEIA a saída legal daquele caso (média diária, recorte equivalente, pico com janela nomeada, quantos períodos faltam); tentar o override sem justificativa e conferir recusa; fazer o override com justificativa e conferir que ela aparece no log de auditoria com autor, relatório e guarda; conferir a marca de liberação humana na página publicada; tentar override numa guarda ESTRUTURAL (número sem proveniência, publicar sem sessão humana) e conferir recusa; percorrer as guardas e conferir que nenhuma dispara pela primeira vez só no gate de publicação.

Passa quando: Dado um operador que esbarra numa guarda não estrutural, Quando a guarda dispara, Então a mensagem nomeia a saída legal disponível, E o operador consegue seguir escrevendo uma justificativa obrigatória, E a justificativa fica gravada no log com autor, relatório e guarda, E a página publicada carrega a marca de liberação humana, E a mesma tentativa contra uma guarda estrutural é recusada sem oferecer override.

Cobre: RNF-SEG-008; cartão {F18-17} do Roadmap.

Como testar: injetar num documento de teste, uma classe por vez, um nome de repositório, um nome de branch, um hostname interno, um endereço IP, um caminho de arquivo de código, um caminho de container, uma porta, um arquivo de ambiente e um nome de pessoa, confirmando que a varredura REPROVA cada uma nomeando o documento e o trecho; confirmar que uma afirmação de prova sem endereço ("provado de ponta a ponta em produção", "552 de 552 testes verdes") NÃO é reprovada, que é o controle negativo que impede a varredura de comer a substância junto com o endereço; confirmar que as exceções nominais (URLs públicas do mockup e do leitor, rotas da própria API, identificadores do modelo de dados) passam; rodar contra os 6 documentos publicados e obter zero.

Passa quando: Dado um documento com uma menção de qualquer das classes nominadas, Quando a varredura do publish roda, Então o publish é reprovado com o documento e o trecho nomeados, E uma afirmação de prova sem endereço passa sem ser reprovada, E a varredura contra os 6 documentos publicados retorna zero ocorrência.

Cobre: RNF-MANUT-004; cartão {F18-18} do Roadmap.

Como testar: inverter a ordem de registro de um par conhecido (rota fixa e rota dinâmica do mesmo prefixo) e confirmar que a conferência REPROVA; criar uma rota fixa sombreada de propósito e confirmar que o teste de HTTP real contra o roteador montado a pega, enquanto um teste que chama o handler importado direto passaria (é essa diferença que justifica a regra inteira, e precisa ser demonstrada, não afirmada); rodar a conferência sobre todas as rotas existentes e obter zero sombreamento, porque as duas ocorrências conhecidas foram achadas por acaso e não por varredura; confirmar que uma rota sombreada produz na interface o sintoma "não tem nada" e não uma mensagem de erro, que é o que torna o defeito invisível. Fixture de controle negativo (RNF-MANUT-003): o par sombreado.

Passa quando: Dado uma rota de caminho fixo que compartilha prefixo com uma rota dinâmica, Quando a conferência roda sobre o roteador montado, Então a fixa está registrada antes da dinâmica, E existe um teste que faz a requisição HTTP real e recebe a resposta da rota fixa, E inverter a ordem de registro faz esse teste falhar, E a varredura sobre as rotas existentes retorna zero sombreamento.

Cobre: RNF-SEG-006, RF-ADM-004 (parte do domínio); Fatia 14 ({F14-01}, {F14-02}).

Como testar: cadastrar um domínio custom de agência de teste, receber o desafio TXT, tentar rotear antes de validar a posse (deve recusar), validar o TXT contra DNS REAL (sem simulação) e confirmar que o leitor resolve no domínio; remover o vínculo e confirmar que o domínio para de rotear e a URL canônica neutra ainda resolve os links antigos. O teste central é o NEGATIVO do isolamento white-label: fazer uma requisição HTTP real chegando pelo domínio ativo da agência A carregando token de relatório da agência B, e confirmar que é recusada como INEXISTENTE. Domínio custom sem isolamento é vazamento entre agências com a marca do cliente por cima, então esse é o caso que precisa ser exercitado e não deduzido. Nota de limitação declarada (ADR-020): a emissão do certificado na ativação tem um passo manual no servidor.

Passa quando: o roteamento e a emissão de certificado só acontecem após a posse do domínio ser comprovada pelo desafio TXT, E uma requisição pelo domínio da agência A com token de relatório da agência B é recusada como inexistente, E ao desvincular o domínio para de rotear enquanto a URL canônica neutra segue resolvendo os links já emitidos.