Atualização Automatica dos numeros e correção de erro e falha de segurança

.agents/skills/agent-browser/SKILL.md

@@ -0,0 +1,50 @@
+---
+name: agent-browser
+description: Browser automation CLI for AI agents. Use when the user needs to interact with websites, including navigating pages, filling forms, clicking buttons, taking screenshots, extracting data, testing web apps, or automating any browser task. Triggers include requests to "open a website", "fill out a form", "click a button", "take a screenshot", "scrape data from a page", "test this web app", "login to a site", "automate browser actions", or any task requiring programmatic web interaction. Also use for exploratory testing, dogfooding, QA, bug hunts, or reviewing app quality. Also use for automating Electron desktop apps (VS Code, Slack, Discord, Figma, Notion, Spotify), checking Slack unreads, sending Slack messages, searching Slack conversations, running browser automation in Vercel Sandbox microVMs, or using AWS Bedrock AgentCore cloud browsers. Prefer agent-browser over any built-in browser automation or web tools.
+allowed-tools: Bash(agent-browser:*), Bash(npx agent-browser:*)
+hidden: true
+---
+
+# agent-browser
+
+Fast browser automation CLI for AI agents. Chrome/Chromium via CDP with accessibility-tree snapshots and compact `@eN` element refs.
+
+Install: `npm i -g agent-browser && agent-browser install`
+
+## Start here
+
+This file is a discovery stub, not the usage guide. Before running any `agent-browser` command, load the actual workflow content from the CLI:
+
+```bash
+agent-browser skills get core             # start here — workflows, common patterns, troubleshooting
+agent-browser skills get core --full      # include full command reference and templates
+```
+
+The CLI serves skill content that always matches the installed version, so instructions never go stale. The content in this stub cannot change between releases, which is why it just points at `skills get core`.
+
+## Specialized skills
+
+Load a specialized skill when the task falls outside browser web pages:
+
+```bash
+agent-browser skills get electron          # Electron desktop apps (VS Code, Slack, Discord, Figma, ...)
+agent-browser skills get slack             # Slack workspace automation
+agent-browser skills get dogfood           # Exploratory testing / QA / bug hunts
+agent-browser skills get vercel-sandbox    # agent-browser inside Vercel Sandbox microVMs
+agent-browser skills get agentcore         # AWS Bedrock AgentCore cloud browsers
+```
+
+Run `agent-browser skills list` to see everything available on the installed version.
+
+## Why agent-browser
+
+- Fast native Rust CLI, not a Node.js wrapper
+- Works with any AI agent (Cursor, Claude Code, Codex, Continue, Windsurf, etc.)
+- Chrome/Chromium via CDP with no Playwright or Puppeteer dependency
+- Accessibility-tree snapshots with element refs for reliable interaction
+- Sessions, authentication vault, state persistence, video recording
+- Specialized skills for Electron apps, Slack, exploratory testing, cloud providers
+
+## Observability Dashboard
+
+The dashboard runs independently of browser sessions on port 4848 and can also be opened through a proxied or forwarded URL such as `https://dashboard.agent-browser.localhost`. Agents should stay on the dashboard origin: session tabs, status, and stream traffic are proxied internally, so session ports do not need to be exposed.

.env.example

@@ -4,7 +4,10 @@
 # ============================================================
 
 # Ambiente Rails
-RAILS_ENV=development
+# ⚠️ NO SERVIDOR DE PRODUÇÃO use `production` (modo development expõe páginas de
+# erro com código-fonte/stack, o rack-mini-profiler e desliga otimizações).
+# Use `development` só na sua máquina local.
+RAILS_ENV=production
 
 # ── Banco de dados (seu PostgreSQL já existente) ─────────────
 # Aponte DB_HOST para o IP ou hostname do seu servidor PostgreSQL
@@ -29,6 +32,11 @@ DB_EXISTING_ACCOUNT_ID=all
 # Gere com: docker-compose exec app bundle exec rails secret
 SECRET_KEY_BASE=gere_com_rails_secret_e_cole_aqui
 
+# Força HTTPS: redireciona HTTP→HTTPS e marca cookies como "Secure".
+# Deixe "true" no servidor (atrás do Cloudflare). Em desenvolvimento local
+# deixe vazio/false para não forçar https em localhost.
+FORCE_SSL=true
+
 # ── Twilio — WhatsApp (opcional, Fase 8) ─────────────────────
 TWILIO_ACCOUNT_SID=
 TWILIO_AUTH_TOKEN=

Dockerfile

@@ -9,6 +9,7 @@ RUN apt-get update -qq && apt-get install -y \
   curl \
   git \
   libvips \
+  cron \
   && rm -rf /var/lib/apt/lists/*
 
 # Diretório da app

Gemfile

@@ -48,7 +48,11 @@ end
 
 group :development do
   gem "web-console"
-  gem "rack-mini-profiler"
+  # require: false → não monta o middleware automaticamente (evita vazar o
+  # cookie __profilin e a rota /mini-profiler-resources em produção). Para usar
+  # numa investigação de performance, rode com RACK_MINI_PROFILER=1 ou
+  # adicione `require "rack-mini-profiler"` temporariamente.
+  gem "rack-mini-profiler", require: false
   gem "annotate"
 end
 

README.md

@@ -1208,3 +1208,97 @@ app/views/layouts/_navbar.html.erb                     # botão flutuante + alç
 
 </details>
 
+---
+
+<details>
+<summary><strong>🔒 Segurança + auto-atualização do painel + cron (06/07/2026)</strong></summary>
+
+Revisão de segurança do site em produção (via browser + inspeção de headers) e
+melhorias no **Dashboard de Operações**. **Sem migration.**
+
+### 🩸 Causa-raiz descoberta — produção em modo `development`
+A página de erro 404 do site expunha o backtrace do Rails e havia o cookie
+`__profilin` (rack-mini-profiler) — sinais de que o container roda em
+**`RAILS_ENV=development`**. Isso é a origem de várias falhas abaixo (cookie de
+sessão sem `Secure`, sem redirect HTTPS, sem CSP, páginas de exceção vazando
+código).
+
+> ⚠️ **Ação necessária no servidor** (o `.env` não está no repositório): definir
+> `RAILS_ENV=production` e `FORCE_SSL=true` no `.env` e rebuildar. Ao migrar para
+> `production`, validar o carregamento dos assets (Tailwind via CDN + importmap).
+
+### 🔴 Correções de segurança
+- **HTTPS obrigatório + cookie `Secure` (itens 1 e 2)** — `config.force_ssl` +
+  `assume_ssl` (este último para o TLS terminado no Cloudflare, evitando loop de
+  redirect). Em `application.rb` fica atrás de `ENV["FORCE_SSL"]=="true"`, então
+  **funciona mesmo enquanto o deploy roda fora do modo production**;
+  `production.rb` também já vem com `force_ssl = true`.
+- **rack-mini-profiler desligado (item 3)** — no `Gemfile` passou a `require:
+  false`: a gem não monta mais o middleware (fim do cookie `__profilin` e da rota
+  `/mini-profiler-resources`), em qualquer ambiente.
+- **Content Security Policy (item 5)** — nova política em
+  `config/initializers/content_security_policy.rb` com allowlist dos CDNs reais
+  (Tailwind, Chart.js, Flatpickr, Leaflet, Google Fonts, tiles ArcGIS/OSM).
+  Começa em **Report-Only** (só reporta violações, não bloqueia) para não quebrar
+  mapa/gráficos; instruções no topo do arquivo para ativar o bloqueio
+  (`report_only = false`) depois de validar no console.
+- Erro de login genérico ("Invalid email or password.") e recuperação de senha
+  **não** revelam se o e-mail existe (sem enumeração de usuários) — **OK**, sem
+  mudança. Pendência conhecida: login por **PIN de 4 dígitos sem identificador** —
+  avaliar rate-limiting/rack-attack.
+
+### 🔄 Painel de Operações atualiza sozinho (sem F5)
+- Novo `app/javascript/controllers/auto_refresh_controller.js` — a cada **5 min**
+  (`data-auto-refresh-interval-value`, em ms) faz `Turbo.visit` na própria URL:
+  re-renderiza KPIs/gráficos/mapa **sem o flash do F5**, **preserva os filtros**
+  (que vivem na query string) e a **posição de rolagem**; pausa em aba oculta ou
+  quando há um campo em foco.
+
+### 🕑 Horário da "última atualização" corrigido
+- Antes mostrava `Time.now` — o **fuso do container (UTC)** e a **hora de
+  renderização** (por isso aparecia adiantado e sempre "agora"). Agora um helper
+  (`ultima_atualizacao_dados` / `ultima_atualizacao_label`) calcula o **último
+  slot real de sincronização** (a cada 30 min, das 08h às 18h) no fuso de
+  Brasília (`Time.current`).
+
+### ⏰ Agendamento (whenever/cron) no Docker
+- `config/schedule.rb` — job de histórico passou de `every 1.hour` para
+  **`*/30 8-18`** (a cada 30 min, 08h-18h), batendo com a cadência real.
+- `Dockerfile` — instala o pacote **`cron`**.
+- `docker-compose.yml` — o boot agora roda, em ordem: `db:prepare` →
+  **`whenever --update-crontab`** (grava os jobs) → **`cron`** (sobe o daemon) →
+  `rails s`. As variáveis do banco chegam ao job via **dotenv** quando o rake
+  carrega o Rails.
+
+### 📂 Arquivos
+```
+config/application.rb                                   # gate FORCE_SSL → force_ssl + assume_ssl
+config/environments/production.rb                      # force_ssl = true (+ assume_ssl)
+config/initializers/content_security_policy.rb         # CSP (report-only) — NOVO
+config/initializers/rack_mini_profiler.rb              # comentário atualizado
+Gemfile                                                # rack-mini-profiler, require: false
+.env.example                                           # RAILS_ENV=production + FORCE_SSL=true
+app/helpers/application_helper.rb                      # ultima_atualizacao_dados / _label
+app/javascript/controllers/auto_refresh_controller.js  # auto-refresh do painel — NOVO
+app/views/operacoes_dashboard/index.html.erb           # data-controller auto-refresh + horário
+config/schedule.rb                                     # cron */30 8-18
+lib/tasks/historico.rake                               # desc atualizada
+Dockerfile                                             # instala cron
+docker-compose.yml                                     # whenever --update-crontab + cron no boot
+```
+
+### ▶️ Deploy
+```bash
+# 1. No servidor, ajustar o .env:
+#      RAILS_ENV=production
+#      FORCE_SSL=true
+# 2. Rebuildar e subir (já roda whenever --update-crontab + cron no boot):
+docker compose up -d --build
+# 3. Validar a CSP no navegador (F12 → console, sem violações) e então trocar
+#    config/initializers/content_security_policy.rb para report_only = false.
+```
+
+> **Sem migration.** ⚠️ Em produção, **reiniciar o Puma** após o deploy.
+
+</details>
+

app/helpers/application_helper.rb

@@ -72,6 +72,44 @@ module ApplicationHelper
     tag.span label, class: "inline-flex items-center px-2.5 py-1 rounded-full text-xs font-bold #{cor}"
   end
 
+  # Horário da última sincronização dos dados de operação.
+  #
+  # O backend atualiza os dados a cada 30 min, das 08h às 18h (horário de
+  # Brasília). Como as tabelas externas de rastreio não têm um carimbo de
+  # sincronização confiável, derivamos o último "slot" concluído a partir dessa
+  # grade fixa. Usa Time.current (fuso do app), NUNCA Time.now — que pega o fuso
+  # do container (UTC) e por isso mostrava o horário adiantado/errado.
+  DADOS_SYNC_INICIO = 8   # abre às 08h
+  DADOS_SYNC_FIM    = 18  # fecha às 18h
+  DADOS_SYNC_PASSO  = 30  # minutos entre atualizações
+
+  def ultima_atualizacao_dados(agora = Time.current)
+    agora = agora.in_time_zone
+    abre  = agora.change(hour: DADOS_SYNC_INICIO, min: 0)
+    fecha = agora.change(hour: DADOS_SYNC_FIM,    min: 0)
+
+    if agora < abre
+      # Antes de abrir: a última atualização foi o fechamento do dia anterior.
+      (abre - 1.day).change(hour: DADOS_SYNC_FIM, min: 0)
+    elsif agora >= fecha
+      fecha
+    else
+      # Arredonda para baixo ao múltiplo de 30 min dentro da janela.
+      minuto = (agora.min / DADOS_SYNC_PASSO) * DADOS_SYNC_PASSO
+      agora.change(min: minuto, sec: 0)
+    end
+  end
+
+  # Rótulo amigável: "às 14:30" (hoje) ou "em 05/07 às 18:00" (outro dia).
+  def ultima_atualizacao_label(agora = Time.current)
+    t = ultima_atualizacao_dados(agora)
+    if t.to_date == agora.in_time_zone.to_date
+      "às #{t.strftime('%H:%M')}"
+    else
+      "em #{t.strftime('%d/%m')} às #{t.strftime('%H:%M')}"
+    end
+  end
+
   # Barra de progresso laranja
   def progress_bar(percentual, label: nil)
     pct = percentual.to_i.clamp(0, 100)

app/javascript/controllers/auto_refresh_controller.js

@@ -0,0 +1,45 @@
+import { Controller } from "@hotwired/stimulus"
+
+// Atualiza o painel automaticamente, sem o usuário precisar apertar F5.
+//
+// A cada `interval` ms faz um Turbo.visit "replace" na própria URL: o Turbo
+// re-renderiza o corpo (KPIs, gráficos, mapa) e re-executa os <script> inline,
+// preservando os filtros — que vivem na query string. Pausa quando a aba está
+// oculta ou quando o usuário está com um campo em foco, e restaura a posição de
+// rolagem após cada atualização (para não "pular" para o topo).
+//
+// Uso:
+//   <div data-controller="auto-refresh"
+//        data-auto-refresh-interval-value="300000"> ... </div>
+export default class extends Controller {
+  static values = { interval: { type: Number, default: 300000 } } // 5 min
+
+  connect() {
+    // Restaura a rolagem salva antes da última atualização automática.
+    const y = sessionStorage.getItem("autoRefreshScroll")
+    if (y !== null) {
+      window.scrollTo(0, parseInt(y, 10))
+      sessionStorage.removeItem("autoRefreshScroll")
+    }
+    this.timer = setInterval(() => this.refresh(), this.intervalValue)
+  }
+
+  disconnect() {
+    clearInterval(this.timer)
+  }
+
+  refresh() {
+    // Não recarrega em aba oculta (economiza recursos) nem se o usuário estiver
+    // digitando/selecionando algo (evita perder o que está fazendo).
+    if (document.visibilityState !== "visible") return
+    const ativo = document.activeElement
+    if (ativo && ["INPUT", "SELECT", "TEXTAREA"].includes(ativo.tagName)) return
+
+    sessionStorage.setItem("autoRefreshScroll", String(window.scrollY))
+    if (window.Turbo) {
+      window.Turbo.visit(window.location.href, { action: "replace" })
+    } else {
+      window.location.reload()
+    }
+  }
+}

app/views/operacoes_dashboard/index.html.erb

@@ -42,7 +42,9 @@
 <%# Parâmetros de operação a preservar ao trocar de modo/período %>
 <% ctx_ops = { operacao: @operacao, op_a: @op_a, op_b: @op_b }.compact %>
 
-<div class="space-y-6">
+<%# Atualiza os dados sozinho a cada 5 min (data-auto-refresh-interval-value em
+    ms), sem o operador apertar F5. Ver auto_refresh_controller.js. %>
+<div class="space-y-6" data-controller="auto-refresh" data-auto-refresh-interval-value="300000">
 
   <%# ── Cabeçalho ─────────────────────────────────────────── %>
   <div class="flex flex-col sm:flex-row sm:items-center justify-between gap-4">
@@ -58,7 +60,7 @@
         <% elsif @operacao %>
           <%= Operacao.label(@operacao) %>
         <% end %>
-        · Atualizado às <%= Time.now.strftime('%H:%M') %>
+        · Atualizado <%= ultima_atualizacao_label %>
       </p>
     </div>
 

config/application.rb

@@ -8,6 +8,16 @@ module ReemLogistica
   class Application < Rails::Application
     config.load_defaults 7.1
 
+    # Segurança de transporte — força HTTPS e cookies "Secure" quando
+    # FORCE_SSL=true no .env. Fica em application.rb (e não só em
+    # production.rb) para valer MESMO enquanto o deploy roda fora do modo
+    # `production`. O Cloudflare termina o TLS e envia X-Forwarded-Proto=https;
+    # assume_ssl evita loop de redirecionamento nesse cenário.
+    if ENV["FORCE_SSL"] == "true"
+      config.assume_ssl = true
+      config.force_ssl  = true
+    end
+
     # Timezone e idioma Brasil
     config.time_zone = "America/Sao_Paulo"
     config.i18n.default_locale = :'pt-BR'

config/environments/production.rb

@@ -5,7 +5,11 @@ Rails.application.configure do
   config.eager_load = true
   config.consider_all_requests_local = false
 
-  config.force_ssl = false   # mude para true quando tiver HTTPS
+  # HTTPS obrigatório: redireciona HTTP→HTTPS e marca cookies como "Secure".
+  # assume_ssl faz o Rails confiar no TLS terminado no Cloudflare (que envia
+  # X-Forwarded-Proto=https), evitando loop de redirecionamento.
+  config.assume_ssl = true
+  config.force_ssl  = true
   config.log_level = ENV.fetch("RAILS_LOG_LEVEL", "info")
   config.log_tags  = [:request_id]
   config.logger    = ActiveSupport::Logger.new(STDOUT).tap { |l| l.formatter = ::Logger::Formatter.new }

config/initializers/content_security_policy.rb

@@ -0,0 +1,60 @@
+# config/initializers/content_security_policy.rb
+#
+# Content Security Policy (CSP) — defesa em profundidade contra XSS,
+# clickjacking e injeção de recursos externos.
+#
+# ⚠️  MODO REPORT-ONLY (por enquanto)
+# A política abaixo apenas REPORTA violações no console do navegador, sem
+# BLOQUEAR nada. Isso é proposital: o app carrega mapa (Leaflet + tiles),
+# gráficos (Chart.js), date-picker (Flatpickr), Tailwind e Google Fonts de
+# CDNs externos, e um bloqueio mal calibrado quebraria essas telas.
+#
+# COMO ATIVAR O BLOQUEIO DE VERDADE:
+#   1. Publique este arquivo e navegue por: /operacoes (painel), dashboard,
+#      login por PIN, telas de motorista e relatórios.
+#   2. Abra o console do navegador (F12) e confirme que NÃO aparecem erros de
+#      "Content-Security-Policy" / "Refused to load ...".
+#   3. Se aparecer algum host novo, adicione-o ao diretivo correspondente aqui.
+#   4. Troque a última linha para:
+#         config.content_security_policy_report_only = false
+#
+Rails.application.configure do
+  config.content_security_policy do |p|
+    p.default_src     :self
+    p.base_uri        :self
+    p.object_src      :none
+    p.frame_ancestors :self          # anti-clickjacking (reforça X-Frame-Options)
+    p.form_action     :self
+
+    # Scripts do app (self/inline) + CDNs usados:
+    #   cdn.tailwindcss.com → Tailwind (Play CDN, precisa de eval p/ o JIT)
+    #   cdn.jsdelivr.net    → Chart.js, Flatpickr
+    #   unpkg.com           → Leaflet, Leaflet.heat
+    p.script_src :self, :unsafe_inline, :unsafe_eval,
+                 "https://cdn.tailwindcss.com",
+                 "https://cdn.jsdelivr.net",
+                 "https://unpkg.com"
+
+    # Estilos inline (Tailwind/estilos embutidos) + Google Fonts + CSS dos CDNs
+    p.style_src :self, :unsafe_inline,
+                "https://fonts.googleapis.com",
+                "https://cdn.jsdelivr.net",
+                "https://unpkg.com"
+
+    p.font_src :self, :data, "https://fonts.gstatic.com"
+
+    # Imagens: data/blob (QR base64, canvas dos gráficos), ícones do Leaflet e
+    # tiles do mapa (ArcGIS World Imagery + OpenStreetMap).
+    p.img_src :self, :data, :blob,
+              "https://unpkg.com",
+              "https://cdn.jsdelivr.net",
+              "https://server.arcgisonline.com",
+              "https://*.tile.openstreetmap.org"
+
+    p.connect_src :self
+  end
+
+  # Enquanto validamos, apenas REPORTA (não bloqueia). Mude para false para
+  # ativar o bloqueio — veja as instruções no topo deste arquivo.
+  config.content_security_policy_report_only = true
+end

config/initializers/rack_mini_profiler.rb

@@ -1,8 +1,10 @@
-# Desliga o badge/caixa de tempo de resposta do rack-mini-profiler.
+# Reforço de segurança do rack-mini-profiler.
 #
-# A gem só é carregada no group :development; o `defined?` evita NameError em
+# A gem agora é carregada com `require: false` no Gemfile, então normalmente
-# produção (onde ela não existe). Para reativar durante uma investigação de
+# `Rack::MiniProfiler` nem existe (nenhum cookie __profilin, nenhuma rota
-# performance, comente este arquivo e reinicie o servidor.
+# /mini-profiler-resources). Se alguém a exigir manualmente para investigar
+# performance, este initializer garante que o profiler fique DESLIGADO por
+# padrão — habilite conscientemente durante a investigação.
 if defined?(Rack::MiniProfiler)
   Rack::MiniProfiler.config.enabled = false
 end

config/schedule.rb

@@ -6,7 +6,8 @@
 set :output, "log/cron.log"
 set :environment, ENV.fetch("RAILS_ENV", "production")
 
-# A cada 1 hora — atualiza o valor estimado do dia
+# A cada 30 min, das 08h às 18h — atualiza o valor estimado do dia.
-every 1.hour do
+# (Depois de alterar, rode: bundle exec whenever --update-crontab)
+every "*/30 8-18 * * *" do
   rake "historico:atualizar"
 end

docker-compose.yml

@@ -20,9 +20,16 @@ services:
     volumes:
       - ".:/app"
       - "bundle_cache:/usr/local/bundle"
-    # db:prepare = cria o banco se não existir, roda migrations pendentes e
+    # No boot/deploy, em ordem:
-    # só faz seed se o banco acabou de ser criado (idempotente, seguro no boot).
+    #  1. db:prepare  — cria o banco se não existir, roda migrations pendentes e
-    command: bash -c "rm -f tmp/pids/server.pid && bundle exec rails db:prepare && bundle exec rails s -b 0.0.0.0"
+    #     só faz seed se o banco acabou de ser criado (idempotente, seguro).
+    #  2. whenever --update-crontab — grava no crontab os jobs do config/schedule.rb
+    #     (ex.: atualizar histórico a cada 30 min, 08h-18h).
+    #  3. cron — sobe o daemon de cron (em background) que executa esses jobs.
+    #     As variáveis de ambiente do banco vêm do .env via dotenv-rails quando
+    #     o rake carrega o Rails, então o cron não precisa herdar o ENV.
+    #  4. rails s — sobe a aplicação (processo em primeiro plano).
+    command: bash -c "rm -f tmp/pids/server.pid && bundle exec rails db:prepare && bundle exec whenever --update-crontab && cron && bundle exec rails s -b 0.0.0.0"
     # O banco PostgreSQL já existe externamente.
     # Configure DB_HOST no .env com o IP/hostname do seu servidor PostgreSQL.
 

lib/tasks/historico.rake

@@ -1,6 +1,6 @@
 # lib/tasks/historico.rake
 namespace :historico do
-  desc "Atualiza o histórico de valor estimado (rodado a cada 1h via cron/whenever)"
+  desc "Atualiza o histórico de valor estimado (a cada 30 min, 08h-18h, via cron/whenever)"
   task atualizar: :environment do
     puts "[#{Time.current}] Atualizando histórico estimado..."
     registro = AtualizarHistoricoEstimadoJob.perform_now

skills-lock.json

@@ -0,0 +1,11 @@
+{
+  "version": 1,
+  "skills": {
+    "agent-browser": {
+      "source": "vercel-labs/agent-browser",
+      "sourceType": "github",
+      "skillPath": "skills/agent-browser/SKILL.md",
+      "computedHash": "ecc7641aea05f85ca3b11e7759d32aaf52fe05946ab4b63739c7bf78a41237a2"
+    }
+  }
+}