- production.rb (hosts): a linha que parecia só liberar o APP_HOST na verdade
LIGAVA a verificação de Host e recusava todo o resto — o acesso pelo IP
interno caía em 'Blocked hosts: 100.75.222.23:3001'. Agora entram também
localhost/127.0.0.1 e a lista HOSTS_PERMITIDOS.
- production.rb (i18n): 'fallbacks = true' significa cair no default_locale,
que aqui é o próprio pt-BR — o fallback apontava para si mesmo e chave
ausente virava 'Translation missing' na tela do usuário. Agora [:en], igual
ao application.rb.
- pt-BR.yml: traduções do Devise (failure/sessions/passwords). O projeto não
usa devise-i18n; em development o texto vinha em inglês pelo fallback e o
buraco passava despercebido.
- docker-compose.yml / .env.example: porta do host parametrizada
(${PORTA_APP:-3001}) e APP_HOST/APP_NAME/WHATSAPP_URL/HOSTS_PERMITIDOS com
padrão — essa configuração vivia só no .env do servidor e sumiu junto com ele.
Três problemas de exposição, todos com o mesmo efeito: dado interno saindo
para quem não deveria ver.
1. Painel de debug do Rails na tela do usuário
O servidor sobe com RAILS_ENV=development (docker-compose.yml), e
development tinha `consider_all_requests_local = true`. A página
"Action Controller: Exception caught" mostra parâmetros, SESSÃO
(session_id, _csrf_token, id do usuário logado), cookies, IP do cliente,
caminho do servidor e o trace inteiro — para qualquer pessoa que
provocasse um erro. Agora o detalhe depende de ERROS_DETALHADOS=true,
que só é ligado na máquina de desenvolvimento.
2. Senha e PIN em texto puro no log
Não existia filter_parameter_logging.rb neste projeto: toda senha do
login, PIN de motorista e token do WhatsApp iam para log/ em texto
puro — e log vai junto em backup e em suporte. Era o pior dos três,
porque é permanente e não aparece na tela de ninguém.
3. Páginas de erro do usuário final
Sem public/500.html, desligar o painel deixaria tela em branco. Criadas
500/404/422 em português, sem CSS externo (precisam funcionar com a
aplicação fora do ar).
Também sai do versionamento a pasta Erros/, com 16 páginas de debug salvas
do navegador. Não há cookie de sessão assinado nelas — ninguém entra no
sistema com o que está ali — mas há session_id, token CSRF, id de usuário e
IPs, que não têm por que estar no repositório.
Correção estrutural pendente: subir o servidor com RAILS_ENV=production
(production.rb já tem consider_all_requests_local=false e force_ssl=true).
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Nova tela ADM/gerente (Administração > Planilha SimpliRoute) que gera a
planilha de importação (.xlsx) de uma operação vigente, no formato do
pt_br_example.xlsx. Preenche Latitude/Longitude reaproveitando a
geocodificação do mês anterior da mesma operação (casa nome + endereço +
supervisão; geo vem do rastreio db_reem_simplerout_2026). Pacientes novos
saem sem lat/long.
- SimpliRoute::PlanilhaCarga: monta linhas + resolve match do mês anterior
- SimpliRoute::PlanilhaCargaXlsx: builder caxlsx com cabeçalho verbatim
- Admin::PlanilhasSimpliRouteController (show/baixar) + policy admin/gerente
- Gem caxlsx (rebuild do container atualiza o Gemfile.lock)
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
O extra pagy/extras/overflow foi removido no Pagy 9 e quebrava o boot
(LoadError no initializer). Remove o require, trata Pagy::OverflowError
no controller e versiona o Gemfile.lock para travar as versões.
- Dashboard: no_periodo passa a cobrir o dia inteiro (planned_date é timestamp),
corrigindo período que zerava ao terminar no dia dos dados
- Dashboard: card de consolidações filtra por sobreposição de datas (não created_at)
- Usuários: adiciona helper role_options_for_select (corrige edição/criação)
- Consolidação: set_consolidacao nas actions de PDF/preview (corrige
Pundit::NotDefinedError em Relatório Individual, Gerar Holerite e Preview)
- Revisão: paginação com Pagy (20/página + seletor 20/50/100)
- Nova consolidação: veículos filtrados pelo(s) motorista(s) no período
