Nenhuma chave privada, token ou credencial é embarcada no pacote publicado. As variáveis públicas do Firebase são tratadas como públicas por natureza.

Evidência: src/lib/firebase.ts e .env.example

As dependências são fixadas por arquivo de bloqueio versionado, e a publicação usa instalação limpa a partir dele.

Evidência: package-lock.json e npm ci no fluxo de publicação

A automação de publicação autentica por federação de identidade de carga de trabalho. Não existe chave JSON de conta de serviço nem token pessoal no processo.

Evidência: Fluxo de publicação em .github/workflows

Verificação de tipos, análise estática, testes e testes das regras do Firestore em emulador precisam passar antes de qualquer publicação.

Evidência: package.json — scripts de verificação executados na integração contínua

A auditoria bloqueia achados de severidade alta. Achados moderados transitivos permanecem registrados e revisados.

Evidência: npm audit --audit-level=high no fluxo de publicação

Cada componente do build é inventariado com versão, licença declarada e classificação, e a lista de materiais é publicada em SPDX. A triagem é de engenharia, não parecer jurídico: componentes de copyleft fraco ficam marcados para decisão humana.

Evidência: docs/LICENSE_INVENTORY.md e docs/sbom.spdx.json

A publicação falha quando um componente distribuído ao usuário tem licença de copyleft forte ou sem identificador declarado. Dependências apenas de desenvolvimento geram aviso, porque não são distribuídas.

Evidência: scripts/license-policy.mjs e o passo de licenças na integração contínua

As regras do banco negam leitura e escrita para qualquer caminho não autorizado explicitamente.

Evidência: firestore.rules — regra final negando todos os documentos

Nenhuma identidade de navegador consegue gravar nas coleções administrativas. A escrita ocorre apenas por processo autorizado fora do navegador.

Evidência: firestore.rules — escrita negada nas coleções administrativas

A carga do panorama de governança usa uma identidade técnica dedicada, separada da identidade que publica o site e sem permissão de administração de identidade.

Evidência: scripts/ingest-governance-snapshot.mjs

As regras são testadas na integração contínua contra acesso anônimo, ausência de papel, ausência de segundo fator, papel inválido e tentativa de escrita.

Evidência: scripts/firestore-rules.integration.node-test.mjs

Todo dado exibido em demonstração é sintético. Nenhum ambiente de terceiro é capturado e nenhuma informação pessoal aparece.

Evidência: src/data/demos.ts

A coleta é desenhada para ler metadados sem editar a fonte observada. Como nenhum conector existe, o princípio ainda não foi exercido contra ambiente real.

Evidência: docs/CONTENT_GOVERNANCE.md e catálogo de integrações

O isolamento entre organizações é requisito de desenho registrado no modelo de ameaça da Suíte. Não há organização conectada, portanto o isolamento não foi exercido em uso real.

Evidência: nodrail-suite/docs/THREAT_MODEL.md

A NODRAIL não possui certificação emitida para este escopo. Qualquer material que sugira o contrário está incorreto.

Evidência: Panorama de governança da Suíte — estado declarado como não certificada

O sistema de gestão da Suíte registra controles e riscos, e nenhum controle teve eficácia comprovada. Eficácia exige teste independente com amostra, que não foi executado. Contagem de evidência não é prova de eficácia.

Evidência: Panorama de governança da Suíte — zero controles eficazes

O Portal coleta apenas os dados informados voluntariamente em formulário de contato, com finalidade e direitos do titular descritos na política de privacidade. Não há tratamento de dado operacional de organização cliente, porque não há organização conectada.

Evidência: src/routes/privacidade.tsx e src/lib/validation.ts

Não há lista publicada de subprocessadores, porque ainda não há tratamento de dado operacional de organização cliente que a exija.

Evidência: docs/CONTENT_GOVERNANCE.md §8 — registrado como pendência