Releases

Terceira release com binários para Linux, macOS e Windows, cada um com checksum.

Um lote pode trazer recibos de ato e recibos de acesso à evidência; o verificador agrupa por formato e por cliente e confere a cadeia de cada grupo. O relatório diz quem abriu, por papel e id opaco, o desfecho de cada abertura e quando. O motivo nunca, só o hash, que quem tem o texto confere com um subcomando.

O ponto de conferência da versão 2 afirma as duas cadeias, a de atos e a de acessos, e cada uma é conferida contra o que o ponto diz dela. Um ponto da versão 1 num lote com acessos não aprova por omissão.

O relatório sai também como página autocontida, sem script nem rede, para quem audita guardar junto com o lote e imprimir em PDF. Diz o que o texto diz, com as mesmas frases.

Quatro migrações aditivas numa janela só; nada muda no que o cliente já chama.

Abrir o conteúdo cifrado de um ato já exigia uma pessoa e um motivo e deixava registro. Agora cada abertura gera um recibo assinado, numa cadeia própria por cliente, verificável fora da Hummand com a mesma chave pública dos recibos de ato. Recusa e falha também viram recibo. Só hashes e ids opacos: o motivo nunca sai em claro.

Encerrar um contrato abre uma janela só leitura de trinta dias, imposta na credencial: o cliente lê e exporta, a escrita responde com o motivo e a data, e o pedido de apagamento continua atendido na hora. Ao fim da janela, a eliminação é automática e fica registrada.

Cada etapa passa a registrar quando começou, e o painel mostra a latência por fonte como medida, sem juízo. A revogação de mandato, que não tinha recibo, passa a ter. O detalhe do ato serve os consentimentos por camada. O certificado de cliente por contrato entra no código, desligado até a borda autenticar a origem.

humanproof-acesso/1 e humanproof-ponto/2, com as mesmas regras em Rust no servidor, na linha de comando e no navegador.

O recibo de acesso é um formato irmão do recibo de ato, assinado com a mesma chave, numa cadeia separada por cliente e com gênesis próprio: acesso não é ato. Diz quem abriu, por papel e id opaco, o que foi tocado e o desfecho; o motivo entra só como hash.

A verificação de lote passa a aceitar lotes mistos, agrupados por formato e cliente, e o ponto de conferência da versão 2 afirma as duas cadeias. O formato humanproof/1 continua humanproof/1.

Distribuída por release, com checksums e inventário de componentes.

Sem migração: o deploy é troca de imagem.

O gateway passa a assinar e a conferir o próprio recibo com a mesma biblioteca que o verificador de linha de comando, o SDK e a página em labs. aplicam: coerência de mandato, revogação como resultado próprio e a receita do hash do contexto.

Vinte e seis rotas passam a declarar no contrato o que devolvem. A forma da resposta não muda; o que muda é o contrato dizer isso, e os clientes gerados deixam de estreitar o tipo à mão.

Segunda release com binários para Linux, macOS e Windows, cada um com checksum.

Um recibo positivo cuja concessão não autoriza a ação passa a ser recusado, e o relatório conta o mandato em palavras: a concessão, o uso, a queda e o motivo. Antes, um ato delegado positivo se lia como qualquer outro positivo, e é justamente o mandato que o sustenta.

Com um ponto de conferência guardado antes por quem audita, o verificador confere o lote contra ele e acusa a remoção dos últimos recibos, que a cadeia sozinha não acusa. Duas contagens sempre, a do lote e a do ponto, porque quem audita precisa da diferença e não só do veredito. O relatório da cadeia passa a dizer contínua desde o gênesis, porque íntegra prometia uma completude que só o ponto sustenta.

Revogação como resultado próprio, coerência de mandato e a receita do hash do contexto no formato.

A revogação de um mandato passa a ser resultado próprio do recibo, e a coerência cobra o que o schema não cobria: concessão e uso nunca no mesmo recibo, escopo e mandatário juntos, resultado sustentado pelas afirmações do mandato. A receita do hash do contexto entrou no formato, para quem enviou o contexto conferir sozinho. O formato humanproof/1 continua humanproof/1.

O ponto de conferência é um formato irmão, assinado com a mesma chave: quantos recibos existiam e qual era o último, para quem audita guardar e comparar depois.

Primeira etiqueta do repositório: a biblioteca passa a ser distribuída por release, com checksums e inventário de componentes, e o verificador do navegador em labs. usa a mesma versão.

Sem migração: o deploy é troca de imagem.

O apagamento a pedido do titular passa a alcançar a validação documental avulsa pelo identificador do veredito, que é o que o cliente recebe desde que a rota existe. O alvo anterior pedia um id que nunca saía do servidor; este alcança também as validações já feitas. Consentimento, veredito e trilha morrem juntos, e o pedido registra o que morreu.

Mandato a agente, ato delegado e o passo de presença do revisor passam a disponível no catálogo que o painel lê, fechando uma divergência entre o que este site dizia e o que o cliente via na tela de política. O rótulo é declaração, não comportamento: nenhuma rota passou a aceitar o que recusava.

Uma dependência de rede subiu para a versão corrigida, e o comando que cria o primeiro revisor da fila passou a viajar na imagem.

Quem revisa um ato não ganha de brinde a visão de todos os clientes.

Um ato que precisa de decisão humana vai para uma fila com superfície própria: autenticar, ver a fila, abrir o caso, abrir a evidência e registrar o veredito, e nada além disso. Não há cliente, chave, faturamento nem configuração ali, e não porque a tela não mostre: a rota não existe.

Quem revisa tem credencial própria, que não abre o console de operação, e a sessão do console não abre a fila. Decidir exige presença provada na hora, pelo próprio revisor, na mesma jornada que qualquer pessoa percorre.

O veredito segue um protocolo versionado que o servidor serve, com justificativa de vocabulário fechado que não pode contradizer o veredito: "aprovado porque a fonte não respondeu" deixa de ser escrevível. O terceiro veredito devolve o ato para nova tentativa em vez de concluí-lo.

Mais a telemetria do console interno.

Abrir o conteúdo cifrado de um ato passa a exigir uma pessoa, um motivo declarado e deixa registro encadeado. O cliente lê no painel dele quem abriu, quando e por quê, inclusive quando quem abriu foi a Hummand, e a lista carrega antes de qualquer abertura: é ela a razão de existir do bloco.

A ausência vai declarada em três estados distintos, aberto, apagado e nunca houve, porque somar os dois últimos apagaria a diferença entre um apagamento que aconteceu e um campo nunca preenchido.

O recibo passa a dizer quando cada etapa aconteceu, medido.

O formato não mudou: ele já previa o instante por etapa, e o que mudou é que o valor passou a ser medido em vez de omitido. Três ausências ficaram declaradas em vez de preenchidas: ato anterior à mudança, etapa resolvida no mesmo instante em que o ato nasce, e sandbox, que não executa etapa.

Toda visualização de dado de cliente pelo console interno passou a deixar registro atribuível, e não só as alterações: é o mecanismo de controle de um console que, por decisão, não tem níveis. O cliente consulta a trilha de acesso ao que é dele.

Cabeçalhos de segurança de navegador nos cinco hosts, com transporte estrito e subdomínios incluídos, e resposta da API sem cache por padrão.