chore: prepara versao 2.7.9

.github/workflows/ci.yml

@@ -0,0 +1,49 @@
+name: CI
+
+on:
+  push:
+    branches:
+      - main
+  pull_request:
+    branches:
+      - main
+  workflow_dispatch:
+
+concurrency:
+  group: ci-${{ github.workflow }}-${{ github.ref }}
+  cancel-in-progress: true
+
+permissions:
+  contents: read
+
+jobs:
+  quality:
+    runs-on: ubuntu-latest
+
+    steps:
+      - name: Checkout repository
+        uses: actions/checkout@v5
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@v4
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v5
+        with:
+          node-version: 22
+          cache: pnpm
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      - name: Generate Next.js types
+        run: pnpm exec next typegen
+
+      - name: Typecheck
+        run: pnpm exec tsc --noEmit
+
+      - name: Lint
+        run: pnpm run lint
+
+      - name: Build application
+        run: pnpm run build

.github/workflows/docker-publish.yml

@@ -1,87 +0,0 @@
-name: Build and Push to Docker Hub
-
-on:
-  push:
-    branches:
-      - main
-    tags:
-      - 'v*.*.*'
-  pull_request:
-    branches:
-      - main
-  workflow_dispatch:
-
-env:
-  DOCKER_IMAGE_NAME: openmonetis
-
-jobs:
-  quality:
-    runs-on: ubuntu-latest
-    steps:
-      - name: Checkout repository
-        uses: actions/checkout@v5
-
-      - name: Setup pnpm
-        uses: pnpm/action-setup@v4
-
-      - name: Setup Node.js
-        uses: actions/setup-node@v5
-        with:
-          node-version: 22
-          cache: 'pnpm'
-
-      - name: Install dependencies
-        run: pnpm install --frozen-lockfile
-
-      - name: Lint
-        run: pnpm run lint
-
-  build-and-push:
-    runs-on: ubuntu-latest
-    needs: quality
-    permissions:
-      contents: read
-      packages: write
-
-    steps:
-      - name: Checkout repository
-        uses: actions/checkout@v5
-
-      - name: Set up Docker Buildx
-        uses: docker/setup-buildx-action@v3
-
-      - name: Log in to Docker Hub
-        if: github.event_name != 'pull_request'
-        uses: docker/login-action@v3
-        with:
-          username: ${{ secrets.DOCKER_USERNAME }}
-          password: ${{ secrets.DOCKER_PASSWORD }}
-
-      - name: Extract metadata (tags, labels)
-        id: meta
-        uses: docker/metadata-action@v5
-        with:
-          images: ${{ secrets.DOCKER_USERNAME }}/${{ env.DOCKER_IMAGE_NAME }}
-          tags: |
-            type=ref,event=branch
-            type=ref,event=pr
-            type=semver,pattern={{version}}
-            type=semver,pattern={{major}}.{{minor}}
-            type=semver,pattern={{major}}
-            type=raw,value=latest,enable={{is_default_branch}}
-            type=sha,prefix={{branch}}-
-
-      - name: Build and push Docker image
-        uses: docker/build-push-action@v5
-        with:
-          context: .
-          file: ./Dockerfile
-          push: ${{ github.event_name != 'pull_request' }}
-          tags: ${{ steps.meta.outputs.tags }}
-          labels: ${{ steps.meta.outputs.labels }}
-          cache-from: type=gha
-          cache-to: type=gha,mode=max
-          platforms: linux/amd64,linux/arm64
-
-      - name: Image digest
-        run: echo ${{ steps.meta.outputs.digest }}

.github/workflows/release.yml

@@ -2,58 +2,151 @@ name: Release
 
 on:
   push:
-    branches:
+    tags:
-      - main
+      - "v*.*.*"
+
+concurrency:
+  group: release-${{ github.ref }}
+  cancel-in-progress: false
+
+env:
+  DOCKER_IMAGE_NAME: openmonetis
+
+permissions:
+  contents: read
 
 jobs:
-  release:
+  quality:
     runs-on: ubuntu-latest
+
+    steps:
+      - name: Checkout repository
+        uses: actions/checkout@v5
+
+      - name: Validate release version
+        shell: bash
+        run: |
+          TAG_VERSION="${GITHUB_REF_NAME#v}"
+          PACKAGE_VERSION="$(jq -r '.version' package.json)"
+
+          if [[ ! "$TAG_VERSION" =~ ^[0-9]+\.[0-9]+\.[0-9]+$ ]]; then
+            echo "A tag $GITHUB_REF_NAME não segue o formato vX.Y.Z."
+            exit 1
+          fi
+
+          if [[ "$TAG_VERSION" != "$PACKAGE_VERSION" ]]; then
+            echo "A tag $GITHUB_REF_NAME não corresponde à versão $PACKAGE_VERSION do package.json."
+            exit 1
+          fi
+
+          if ! grep -Fq "## [$TAG_VERSION]" CHANGELOG.md; then
+            echo "A versão $TAG_VERSION não foi encontrada no CHANGELOG.md."
+            exit 1
+          fi
+
+      - name: Setup pnpm
+        uses: pnpm/action-setup@v4
+
+      - name: Setup Node.js
+        uses: actions/setup-node@v5
+        with:
+          node-version: 22
+          cache: pnpm
+
+      - name: Install dependencies
+        run: pnpm install --frozen-lockfile
+
+      - name: Generate Next.js types
+        run: pnpm exec next typegen
+
+      - name: Typecheck
+        run: pnpm exec tsc --noEmit
+
+      - name: Lint
+        run: pnpm run lint
+
+  docker:
+    runs-on: ubuntu-latest
+    needs: quality
+
+    steps:
+      - name: Checkout repository
+        uses: actions/checkout@v5
+
+      - name: Set up Docker Buildx
+        uses: docker/setup-buildx-action@v3
+
+      - name: Log in to Docker Hub
+        uses: docker/login-action@v3
+        with:
+          username: ${{ secrets.DOCKER_USERNAME }}
+          password: ${{ secrets.DOCKER_PASSWORD }}
+
+      - name: Extract Docker metadata
+        id: meta
+        uses: docker/metadata-action@v5
+        with:
+          images: ${{ secrets.DOCKER_USERNAME }}/${{ env.DOCKER_IMAGE_NAME }}
+          tags: |
+            type=semver,pattern={{version}}
+            type=semver,pattern={{major}}.{{minor}}
+            type=semver,pattern={{major}}
+            type=raw,value=latest
+
+      - name: Build and push Docker image
+        id: build
+        uses: docker/build-push-action@v5
+        with:
+          context: .
+          file: ./Dockerfile
+          push: true
+          tags: ${{ steps.meta.outputs.tags }}
+          labels: ${{ steps.meta.outputs.labels }}
+          cache-from: type=gha
+          cache-to: type=gha,mode=max
+          platforms: linux/amd64,linux/arm64
+
+      - name: Image digest
+        run: echo "${{ steps.build.outputs.digest }}"
+
+  github-release:
+    runs-on: ubuntu-latest
+    needs: docker
     permissions:
       contents: write
 
     steps:
       - name: Checkout repository
         uses: actions/checkout@v5
-        with:
-          fetch-depth: 0
-
-      - name: Read version from package.json
-        id: version
-        run: |
-          VERSION=$(jq -r '.version' package.json)
-          echo "value=$VERSION" >> $GITHUB_OUTPUT
-          echo "tag=v$VERSION" >> $GITHUB_OUTPUT
-
-      - name: Check if tag already exists
-        id: tag_check
-        run: |
-          if git ls-remote --tags origin "refs/tags/v${{ steps.version.outputs.value }}" | grep -q .; then
-            echo "exists=true" >> $GITHUB_OUTPUT
-          else
-            echo "exists=false" >> $GITHUB_OUTPUT
-          fi
 
       - name: Extract changelog for this version
-        if: steps.tag_check.outputs.exists == 'false'
         id: changelog
+        shell: bash
         run: |
-          VERSION="${{ steps.version.outputs.value }}"
+          VERSION="${GITHUB_REF_NAME#v}"
-          # Extrai o bloco entre ## [X.Y.Z] e o próximo ## [
+          NOTES=$(awk -v version="$VERSION" '
-          NOTES=$(awk "/^## \[$VERSION\]/{found=1; next} found && /^## \[/{exit} found{print}" CHANGELOG.md)
+            index($0, "## [" version "]") == 1 { found=1; next }
-          # Remove linhas em branco do início e fim
+            found && /^## \[/ { exit }
-          NOTES=$(echo "$NOTES" | sed '/./,$!d' | sed -e :a -e '/^\n*$/{$d;N;ba}')
+            found && !started && /^[[:space:]]*$/ { next }
+            found { started=1; print }
+          ' CHANGELOG.md)
+
+          if [[ -z "$NOTES" ]]; then
+            echo "Não foi possível extrair as notas da versão $VERSION."
+            exit 1
+          fi
+
           {
             echo "notes<<EOF"
             echo "$NOTES"
             echo "EOF"
-          } >> $GITHUB_OUTPUT
+          } >> "$GITHUB_OUTPUT"
 
-      - name: Create tag and GitHub Release
+      - name: Create GitHub Release
-        if: steps.tag_check.outputs.exists == 'false'
         uses: softprops/action-gh-release@v2
         with:
-          tag_name: ${{ steps.version.outputs.tag }}
+          tag_name: ${{ github.ref_name }}
-          name: ${{ steps.version.outputs.tag }}
+          name: ${{ github.ref_name }}
           body: ${{ steps.changelog.outputs.notes }}
           draft: false
           prerelease: false

.gitignore

@@ -105,7 +105,6 @@ docker-compose.override.yml
 .gemini/
 .cursor/
 QWEN.md
-AGENTS.md
 .codex
 # === Backups locais ===
 /backup/

AGENTS.md

@@ -0,0 +1,366 @@
+# AGENTS.md - OpenMonetis
+
+> Self-hosted personal finance app (Next.js 16, React 19, PostgreSQL, Drizzle ORM, Better Auth, Tailwind 4, shadcn/ui).
+> Portuguese UI, English folders/imports. Linter: Biome 2.x. Package manager: pnpm.
+
+## Related Projects
+
+- **OpenMonetis Companion** (`~/github/openmonetis-companion`): Android app que captura notificacoes de apps bancarios e envia para o OpenMonetis via API. Os itens chegam na feature `inbox` para revisao.
+
+---
+
+## Critical Rules
+
+1. **Sempre filtrar por `userId`** em queries.
+2. **Usar `getAdminPayerId(userId)`** de `src/shared/lib/payers/get-admin-id.ts` ao inves de JOIN com `payers` para descobrir o admin.
+3. **Periods** usam formato `YYYY-MM` (ex: `"2025-11"`). Utils em `src/shared/utils/period/`.
+4. **Moeda**: R$ com 2 decimais. DB: `numeric(12, 2)`. Utils em `src/shared/utils/currency.ts`.
+5. **Revalidation**: usar `revalidateForEntity("entity")` de `src/shared/lib/actions/helpers.ts` apos mutations.
+6. **Versionamento e publicação**: registrar mudancas no `CHANGELOG.md` seguindo Keep a Changelog, também alterar o `package.json` e o badge de versão do `README.md`. Cada versão deve ter um parágrafo introdutório em linguagem humana logo abaixo do cabeçalho `## [x.y.z]`, antes das seções `### Adicionado/Alterado/Removido` — descrevendo em prosa o que a versão representa (ex: "Esta versão foca em polimento visual e reorganização interna..."). A `main` executa somente a CI; imagens Docker e GitHub Releases são publicadas exclusivamente por tags SemVer no formato `vX.Y.Z`. Antes de criar a tag, confirmar que a CI da `main` passou e que tag, `package.json`, `CHANGELOG.md` e badge do `README.md` usam a mesma versão. A tag deve apontar para o commit validado. Criar ou enviar uma tag dispara publicação externa (`X.Y.Z`, `X.Y`, `X` e `latest` no Docker Hub, seguida da GitHub Release), portanto agentes nunca devem criar ou fazer push de tags sem autorização explícita do usuário. Não voltar a publicar `latest` diretamente de pushes na `main`.
+7. **Comunicacao**: responder em portugues clara e direta com o time.
+8. **Commit messages**: agrupar por natureza. em pt-br. seguindo o padrao do sistema.
+9. **README.md**: sempre que fizer alteracoes significativas, atualize o README.md.
+
+---
+
+## Architecture
+
+### Feature-First
+
+- `src/app/`: roteamento, layouts, loading states e paginas finas
+- `src/features/`: codigo de dominio por feature
+- `src/shared/`: tudo que e genuinamente reutilizado entre features
+- `src/db/`: schema do banco
+
+### Regra Feature vs Shared
+
+Use esta pergunta:
+
+> Se eu deletar esta feature, este arquivo deveria sumir junto?
+
+- Sim: vai para `src/features/<feature>/`
+- Nao: vai para `src/shared/`
+
+### Features nao importam outras features
+
+Se um contrato cruza dominios, ele deve morar em `src/shared/`.
+
+**Excecao intencional: `attachments` depende de `transactions`**
+
+`src/features/attachments` importa `TransactionDialog`, `TransactionDetailsDialog` e `TransactionItem` diretamente de `src/features/transactions`. Isso e uma dependencia explicita e aceita: anexos sao semanticamente uma extensao de lancamentos — existem por causa deles e nao fazem sentido sem esse contexto. Mover esses componentes para `shared/` seria errado (eles pertencem a transactions). Nao tratar isso como bug a corrigir.
+
+Exemplos comuns:
+
+- auth: `src/shared/lib/auth/*`
+- db: `src/shared/lib/db.ts`
+- revalidation helpers: `src/shared/lib/actions/*`
+- payers cross-domain helpers: `src/shared/lib/payers/*`
+- period/currency/date: `src/shared/utils/*`
+- shadcn/ui: `src/shared/components/ui/*`
+
+---
+
+## Directory Structure
+
+```text
+src/
+├── app/
+│   ├── (auth)/
+│   │   ├── login/page.tsx
+│   │   └── signup/page.tsx
+│   ├── (dashboard)/
+│   │   ├── dashboard/
+│   │   ├── transactions/
+│   │   ├── cards/
+│   │   │   └── [cardId]/invoice/
+│   │   ├── accounts/
+│   │   │   └── [accountId]/statement/
+│   │   ├── categories/
+│   │   │   ├── [categoryId]/
+│   │   │   └── history/
+│   │   ├── budgets/
+│   │   ├── payers/
+│   │   │   └── [payerId]/
+│   │   ├── notes/
+│   │   ├── insights/
+│   │   ├── calendar/
+│   │   ├── inbox/
+│   │   ├── attachments/
+│   │   ├── changelog/
+│   │   ├── reports/
+│   │   │   ├── category-trends/
+│   │   │   ├── card-usage/
+│   │   │   ├── installment-analysis/
+│   │   │   └── establishments/
+│   │   └── settings/
+│   ├── (landing-page)/
+│   ├── api/
+│   ├── globals.css
+│   └── layout.tsx
+├── features/                      # cada feature segue: actions.ts, queries.ts, actions/, components/, hooks/, lib/
+│   ├── auth/
+│   ├── landing/
+│   ├── dashboard/
+│   ├── transactions/
+│   ├── cards/
+│   ├── invoices/
+│   ├── accounts/
+│   ├── categories/
+│   ├── budgets/
+│   ├── payers/
+│   ├── notes/
+│   ├── insights/
+│   ├── calendar/
+│   ├── inbox/
+│   ├── attachments/
+│   ├── reports/
+│   └── settings/
+├── shared/
+│   ├── components/
+│   │   ├── ui/                # shadcn/ui primitives
+│   │   ├── navigation/        # navbar, sidebar, breadcrumbs
+│   │   ├── providers/         # React context providers
+│   │   ├── brand/             # logos do app (logo, logo-icon, logo-text)
+│   │   ├── widgets/           # widget-card, widget-empty-state, expandable-widget-card
+│   │   ├── feedback/          # empty-state, status-dot, payment-success
+│   │   ├── month-picker/
+│   │   ├── logo-picker/
+│   │   ├── calculator/
+│   │   ├── entity-avatar/
+│   │   └── skeletons/
+│   ├── hooks/
+│   ├── lib/
+│   │   ├── actions/
+│   │   ├── auth/
+│   │   ├── accounts/
+│   │   ├── cards/
+│   │   ├── calculator/
+│   │   ├── categories/
+│   │   ├── email/
+│   │   ├── import/
+│   │   ├── installments/
+│   │   ├── invoices/
+│   │   ├── logo/
+│   │   ├── notifications/
+│   │   ├── payers/
+│   │   ├── schemas/
+│   │   ├── storage/
+│   │   ├── transfers/
+│   │   ├── types/
+│   │   ├── version/
+│   │   └── db.ts
+│   └── utils/
+│       ├── period/
+│       ├── calculator.ts
+│       ├── calendar.ts
+│       ├── category-colors.ts
+│       ├── currency.ts
+│       ├── date.ts
+│       ├── export-branding.ts
+│       ├── fetch-json.ts
+│       ├── financial-dates.ts
+│       ├── icons.tsx
+│       ├── id.ts
+│       ├── initials.ts
+│       ├── math.ts
+│       ├── number.ts
+│       ├── percentage.ts
+│       ├── string.ts
+│       └── ui.ts
+└── db/
+    └── schema.ts
+```
+
+### Estrutura interna padrão de uma feature
+
+Toda feature em `src/features/<nome>/` segue:
+
+```text
+<feature>/
+├── actions.ts        # entry point de Server Actions (barrel quando há actions/)
+├── queries.ts        # entry point de leitura do banco
+├── actions/          # (opcional) Server Actions divididas por domínio quando o volume cresce
+├── components/       # componentes de UI da feature
+├── hooks/            # React hooks específicos da feature
+└── lib/              # helpers, types, sub-queries e constantes internas
+```
+
+`actions.ts` e `queries.ts` são as portas de entrada da feature. Tudo que é helper interno fica em `lib/`. Componentes e hooks ficam nas pastas com nome óbvio.
+
+---
+
+## Import Patterns
+
+### Preferidos
+
+```ts
+import { getUser } from "@/shared/lib/auth/server";
+import { revalidateForEntity } from "@/shared/lib/actions/helpers";
+import { parsePeriodParam } from "@/shared/utils/period";
+import { TransactionsPage } from "@/features/transactions/components/page/transactions-page";
+import { fetchLancamentos } from "@/features/transactions/queries";
+```
+
+### Evitar
+
+```ts
+import { Something } from "@/components/...";
+import { Something } from "@/lib/...";
+import { something } from "@/app/(dashboard)/...";
+```
+
+---
+
+## App Router Pattern
+
+Paginas em `src/app/` devem ser finas:
+
+```ts
+import { getUser } from "@/shared/lib/auth/server";
+import { TransactionsPage } from "@/features/transactions/components/page/transactions-page";
+import { fetchLancamentos } from "@/features/transactions/queries";
+
+export default async function Page() {
+  const user = await getUser();
+  const data = await fetchLancamentos([/* filters */]);
+  return <TransactionsPage {...data} />;
+}
+```
+
+Layouts, `loading.tsx` e metadata continuam em `src/app/`.
+
+---
+
+## Naming
+
+### Routes / folders
+
+| Portugues | English |
+|---|---|
+| `lancamentos` | `transactions` |
+| `cartoes` | `cards` |
+| `contas` | `accounts` |
+| `categorias` | `categories` |
+| `orcamentos` | `budgets` |
+| `pessoas` | `payers` |
+
+> **Nota:** o conceito de "pagador" foi renomeado para **"pessoa"** na UI (labels, toasts, textos visíveis ao usuário). O código, rotas e schema continuam usando o termo original em inglês (`payer`, `payerId`, `adminPayerId`) e em português interno (`pagador` como variável). Não renomear esses identificadores — a divergência entre UI e código é intencional e documentada.
+| `anotacoes` | `notes` |
+| `calendario` | `calendar` |
+| `ajustes` | `settings` |
+| `pre-lancamentos` | `inbox` |
+| `relatorios/tendencias` | `reports/category-trends` |
+| `relatorios/uso-cartoes` | `reports/card-usage` |
+| `relatorios/analise-parcelas` | `reports/installment-analysis` |
+| `relatorios/estabelecimentos` | `reports/establishments` |
+| `contas/[contaId]/extrato` | `accounts/[accountId]/statement` |
+| `cartoes/[cartaoId]/fatura` | `cards/[cardId]/invoice` |
+| `categorias/historico` | `categories/history` |
+| `changelog` | `settings/changelog` |
+
+### Files
+
+- preferir `kebab-case`
+- preferir nomes em ingles
+- manter nomes internos de tipos/funcoes somente quando a troca aumentar risco sem ganho real
+
+---
+
+## Commands
+
+```bash
+pnpm run dev
+pnpm run build
+pnpm run lint
+pnpm run lint:fix
+pnpm exec next typegen
+pnpm exec tsc --noEmit
+pnpm run db:generate
+pnpm run db:push
+pnpm run db:studio
+pnpm run docker:up:db
+```
+
+---
+
+## Revalidation
+
+Arquivo: `src/shared/lib/actions/helpers.ts`
+
+- atualizar sempre os paths em ingles
+- lembrar de manter a tag `"dashboard"` para invalidacoes financeiras
+
+---
+
+## Auth
+
+- `getUser()` / `getUserId()` em `src/shared/lib/auth/server.ts`
+- sessao deduplicada por request com `React.cache()`
+
+---
+
+## Dashboard Fetcher
+
+Padrao recomendado:
+
+```ts
+import { getAdminPayerId } from "@/shared/lib/payers/get-admin-id";
+
+export async function fetchData(userId: string, period: string) {
+  const adminPayerId = await getAdminPayerId(userId);
+  if (!adminPayerId) return [];
+
+  return db.query.transactions.findMany({
+    where: /* sempre com userId + adminPayerId + period */,
+  });
+}
+```
+
+---
+
+## New Feature Checklist
+
+1. Criar a rota fina em `src/app/(dashboard)/<feature>/page.tsx`
+2. Criar a feature em `src/features/<feature>/`
+3. Separar:
+   - `components/`
+   - `queries.ts` (entry point de leitura)
+   - `actions.ts` (entry point de Server Actions; vira barrel quando crescer e migrar para `actions/`)
+   - `lib/` para helpers internos, sub-queries por tópico, types e constantes da feature
+   - `types.ts` ou `schemas.ts` quando fizer sentido (alternativa a `lib/`)
+   - `hooks/` quando houver hooks específicos da feature
+4. Extrair para `src/shared/` tudo que for reutilizavel
+5. Atualizar navegacao e `revalidateForEntity()` se a feature tiver CRUD
+6. Rodar:
+   - `pnpm exec next typegen`
+   - `pnpm exec tsc --noEmit`
+   - `pnpm run lint`
+
+---
+
+## Security Rules
+
+Regras aplicadas automaticamente ao gerar codigo.
+
+### Secrets
+Nunca colocar API keys, credenciais de banco ou tokens em codigo frontend. Evitar variaveis prefixadas com `NEXT_PUBLIC_` para dados sensiveis — estas sao bundladas no cliente. Usar variaveis server-side apenas. `.env` deve estar no `.gitignore` antes do primeiro commit. `.env.example` deve ter apenas placeholders.
+
+### Autenticacao & Autorizacao
+Toda rota protegida em `src/app/api/` requer `getUser()` ou `getOptionalUserSession()` antes de qualquer logica, retornando 401 para nao autenticados. Rotas com IDs de recursos devem verificar ownership: `eq(table.userId, userId)`. Rotas admin devem checar role e retornar 403 para nao-admins. Session cookies em Better Auth ja tem `httpOnly`, `secure` e `sameSite` configurados — nao alterar.
+
+### Input & Output
+Usar Drizzle ORM (parametrizado por padrao) — nunca concatenar input de usuario em SQL. Validar todo input com Zod antes de usar. Upload de arquivos: usar whitelist de MIME types (`ALLOWED_MIME_TYPES`), presigned URLs para S3, token de upload assinado com verificacao pos-upload. Nunca usar `dangerouslySetInnerHTML` com conteudo de usuario.
+
+### Headers & CSP
+CSP definida em `src/proxy.ts` via middleware — alterar la, nao em `next.config.ts`. Headers de seguranca (HSTS, X-Frame-Options, etc.) definidos em `next.config.ts`. Nao remover nem enfraquecer essas configuracoes.
+
+### Rate Limiting
+Login: 5 tentativas/min. Signup: 3 tentativas/min. API tokens: 100 req/min (inbox), 20 req/min (batch). Configurado em `src/shared/lib/auth/config.ts` e nas rotas de inbox. Nao remover.
+
+### Tratamento de Erros
+Erros nao devem expor stack traces, paths ou nomes de bibliotecas ao cliente. Usar mensagens genericas: `"Algo deu errado"`. Logar detalhes apenas no servidor com `console.error()`.
+
+### Dependencias
+Verificar pacotes novos sugeridos pela IA em npmjs.com antes de instalar. Red flags: menos de 1.000 downloads/semana, publicado nos ultimos 30 dias, nome muito parecido com pacote popular. Rodar `pnpm audit` periodicamente.
+
+---

CHANGELOG.md

@@ -5,6 +5,15 @@ Todas as mudanças notáveis deste projeto serão documentadas neste arquivo.
 O formato é baseado em [Keep a Changelog](https://keepachangelog.com/pt-BR/1.1.0/),
 e este projeto adere ao [Versionamento Semântico](https://semver.org/lang/pt-BR/).
 
+## [2.7.9] - 2026-06-21
+
+Esta versão torna a publicação mais previsível ao separar a validação contínua da entrega de versões oficiais. Pull requests e a branch principal continuam sendo verificadas, enquanto imagens Docker e releases passam a ser produzidas somente a partir de uma tag SemVer validada.
+
+### Alterado
+- CI: pull requests e pushes na `main` agora executam geração de tipos, verificação TypeScript, lint e build sem publicar imagens.
+- Releases: tags `vX.Y.Z` agora validam sua correspondência com o `package.json` e o `CHANGELOG.md` antes de publicar as imagens Docker e criar a GitHub Release.
+- Docker: as tags versionadas e `latest` passam a ser publicadas exclusivamente por releases oficiais, depois das verificações de qualidade.
+
 ## [2.7.8] - 2026-06-21
 
 Esta versão deixa documentos e comprovantes mais fáceis de guardar e encontrar sem tirar o foco da rotina financeira. Agora é possível manter arquivos junto às notas, consultar a galeria por pessoa com identificação visual e abrir uma categoria diretamente das tendências do dashboard, sempre preservando o contexto do período selecionado.

README.md

@@ -10,7 +10,7 @@
 
 > **Não há versão online hospedada.** Você precisa clonar o repositório e rodar localmente ou no seu próprio servidor.
 
-[![Version](https://img.shields.io/badge/version-2.7.8-blue?style=flat-square)](CHANGELOG.md)
+[![Version](https://img.shields.io/badge/version-2.7.9-blue?style=flat-square)](CHANGELOG.md)
 [![Next.js](https://img.shields.io/badge/Next.js-black?style=flat-square&logo=next.js)](https://nextjs.org/)
 [![TypeScript](https://img.shields.io/badge/TypeScript-blue?style=flat-square&logo=typescript)](https://www.typescriptlang.org/)
 [![PostgreSQL](https://img.shields.io/badge/PostgreSQL-blue?style=flat-square&logo=postgresql)](https://www.postgresql.org/)
@@ -623,6 +623,17 @@ A regra é: `actions.ts` e `queries.ts` são as portas de entrada da feature. Tu
 
 Antes de começar, leia o [`CLAUDE.md`](CLAUDE.md) — ele documenta a arquitetura, convenções de nomenclatura, regras de queries e o checklist para novas features. Use TypeScript, commits semânticos e mantenha o `CHANGELOG.md` atualizado.
 
+### Publicando uma versão
+
+As validações rodam em pull requests e em cada push na `main`. A publicação só começa quando uma tag SemVer aponta para um commit validado e a versão da tag corresponde ao `package.json` e ao `CHANGELOG.md`.
+
+```bash
+git tag -a v2.7.9 -m "v2.7.9"
+git push origin v2.7.9
+```
+
+O workflow da tag valida o código, publica as imagens Docker versionadas e `latest` e, somente depois, cria a GitHub Release com as notas do changelog.
+
 ---
 
 ## 💖 Apoie o Projeto

package.json

@@ -1,6 +1,6 @@
 {
 	"name": "openmonetis",
-	"version": "2.7.8",
+	"version": "2.7.9",
 	"private": true,
 	"packageManager": "pnpm@11.1.3",
 	"scripts": {