BK-156 · Triagem organizacional dos 23 achados do auditor do RNT

Natureza deste arquivo

• Este BK e somente de triagem e organizacao.
• Nenhum dos achados listados aqui deve ser apagado, movido, desversionado ou alterado nesta primeira rodada.
• O objetivo e preparar a segunda rodada com limpeza segura, por hunk e com destino claro para cada item.

Status

• Estado do BK: em andamento
• Responsavel: codex
• Branch: vps/BK-156-triagem-auditor-rnt

Escopo desta rodada

• classificar item a item os achados do auditor
• separar o que e P0 de seguranca
• separar doc fora do padrao, debug/teste legado e endpoint legitimo
• propor destino e acao da segunda rodada

Observacao importante sobre a contagem

• O briefing textual falava em 23 achados, mas a lista nominal enviada continha 22 caminhos.
• O 23o item foi recuperado do proprio relatorio do auditor (BK-145): implementation_plan.md, outro .md solto na raiz.
• Para fechar a triagem sem buraco, a tabela abaixo classifica os 23 itens.

Tabela unica de classificacao

| caminho | categoria | status_git | risco | classificacao | destino sugerido | acao recomendada na proxima rodada | observacao curta |

|---|---|---|---|---|---|---|---|

| /www/wwwroot/rionoteatro.com.br/CREDENCIAIS_EXPOSTAS_RELATORIO.md | seguranca / raiz | tracked | alto | segredo | fora do repo, em cofre/nota privada operacional | P0: preservar copia segura privada, remover do Git e sanear historico depois | contem credenciais explicitas em texto |

| /www/wwwroot/rionoteatro.com.br/.env | seguranca / raiz | untracked | alto | segredo | fora do Git, mantendo apenas no host com permissao restrita | P0: confirmar owner/perms, manter fora do versionamento e nao mexer no conteudo agora | arquivo existe na arvore real, mas nao entra no worktree por ser untracked |

| /www/wwwroot/rionoteatro.com.br/algolia_payload.json | seguranca / raiz | tracked | baixo | migrar | docs/documentacao_tecnica/ ou docs/arquivo_v2026/ como exemplo nomeado | confirmar que nao e runtime; depois mover e remover a copia da raiz | payload de exemplo, sem segredo aparente |

| /www/wwwroot/rionoteatro.com.br/implementation_plan.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/arquivo_v2026/implementation-plan-docker-local.md | decidir se o plano Docker ainda vale; se sim, migrar para docs; se nao, quarentenar para descarte posterior | 23o achado recuperado do relatorio BK-145 |

| /www/wwwroot/rionoteatro.com.br/BK-102-admin-login.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/arquivo_v2026/ | converter para nome canonico em docs/ e remover a copia solta da raiz | relato historico de correcao ja aplicada |

| /www/wwwroot/rionoteatro.com.br/BK-103-profile-password-form.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/arquivo_v2026/ | migrar para docs com nomenclatura padrao antes de limpar a raiz | relato historico de correcao |

| /www/wwwroot/rionoteatro.com.br/BK-104-profile-password-column.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/arquivo_v2026/ | migrar para docs e atualizar referencias se houver | doc de RCA/solucao antiga |

| /www/wwwroot/rionoteatro.com.br/BK-105-fix-open-basedir-formularios-compra.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/arquivo_v2026/ | migrar para docs padrao e remover copia da raiz depois | doc descreve hotfix concluido |

| /www/wwwroot/rionoteatro.com.br/BK-106-fix-event-photo-upload.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/arquivo_v2026/ | migrar para docs padrao e remover copia da raiz depois | relato tecnico de upload |

| /www/wwwroot/rionoteatro.com.br/BK-107-bootstrap-refactor-audit.md | BK/doc fora do padrao | tracked | medio | migrar | docs/backlog/ se ainda aberto ou docs/arquivo_v2026/ se for apenas historico | confirmar se o BK ficou pendente; so depois escolher backlog vs arquivo historico | checklist ainda mostra itens em aberto |

| /www/wwwroot/rionoteatro.com.br/docs/BK-133-RELATORIO-RESGATE-ARCHIVE-20260209.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/CL-2026-03-15-BK-133.md ou nome canonico equivalente | renomear para padrao CL- e atualizar referencia em docs/CHANGELOG.md | ja esta em docs/, mas fora do padrao canonico |

| /www/wwwroot/rionoteatro.com.br/docs/BK-90-RELATORIO-TESTES-INTEGRACAO.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/documentacao_tecnica/testes/ | mover para local canonico e atualizar referencia em docs/BACKLOG.md e scripts de evidencia | e evidencia de BK concluido |

| /www/wwwroot/rionoteatro.com.br/docs/BK-94-RELATORIO-VALIDACAO-WHATSAPP.md | BK/doc fora do padrao | tracked | baixo | migrar | docs/changelog/2026/ ou docs/documentacao_tecnica/whatsapp/ | mover para local canonico e atualizar referencias | e evidencia de BK concluido |

| /www/wwwroot/rionoteatro.com.br/admin/passcon.php | debug / utilitario / revisar manualmente | tracked | medio | quarentenar | pasta de quarentena fora da webroot ou admin/_quarentena/ temporaria | confirmar ausencia de referencia e retirar da webroot na rodada 2 | consulta fixa de pedidos por user_id especifico |

| /www/wwwroot/rionoteatro.com.br/admin/run_sql_local.php | debug / utilitario / revisar manualmente | tracked | alto | quarentenar | ferramenta manual fora da webroot ou backup versionado fora do fluxo publico | prioridade alta: retirar da webroot e preservar apenas como snippet/manual se ainda necessario | executa INSERT direto sem fluxo canonico de auth |

| /www/wwwroot/rionoteatro.com.br/admin/search_result.php | debug / utilitario / revisar manualmente | tracked | baixo | remover depois | docs/arquivo_antigo/ apenas se quiser preservar amostra do template | confirmar ausencia de uso real e remover depois | template FlatLab espelhado, sem integracao aparente |

| /www/wwwroot/rionoteatro.com.br/admin/test_cwd.php | debug / utilitario / revisar manualmente | tracked | medio | quarentenar | ferramenta de diagnostico fora da webroot | retirar da webroot apos confirmar zero referencias | expõe caminhos internos e estrutura de arquivos |

| /www/wwwroot/rionoteatro.com.br/admin/test_db_constants.php | debug / utilitario / revisar manualmente | tracked | alto | quarentenar | ferramenta de diagnostico fora da webroot | prioridade alta: retirar da webroot na rodada 2 | imprime DB_PASS e usa mysql_* deprecated |

| /www/wwwroot/rionoteatro.com.br/admin/test_includes_step.php | debug / utilitario / revisar manualmente | tracked | medio | quarentenar | ferramenta de diagnostico fora da webroot | retirar da webroot apos confirmar zero referencias | debug passo a passo de includes |

| /www/wwwroot/rionoteatro.com.br/admin/test_setup_debug.php | debug / utilitario / revisar manualmente | tracked | medio | quarentenar | ferramenta de diagnostico fora da webroot | retirar da webroot apos confirmar zero referencias | debug verbose de setup/login |

| /www/wwwroot/rionoteatro.com.br/admin/test_setup_isolated.php | debug / utilitario / revisar manualmente | tracked | medio | quarentenar | ferramenta de diagnostico fora da webroot | retirar da webroot apos confirmar zero referencias | debug isolado de bootstrap/include |

| /www/wwwroot/rionoteatro.com.br/api/admin/get_events_status.php | endpoint baixo risco / nao limpar agora | tracked | baixo | manter | manter em api/admin/ | nao limpar agora; documentar contrato e colocar em whitelist do auditor se necessario | ha consumidores reais em testes e app React |

| /www/wwwroot/rionoteatro.com.br/api/admin/monitor.php | endpoint baixo risco / nao limpar agora | tracked | baixo | manter | manter em api/admin/ | nao limpar agora; documentar contrato e colocar em whitelist do auditor se necessario | ha consumidores reais em testes e app React |

Resumo por grupo

• Seguranca urgente (P0): CREDENCIAIS_EXPOSTAS_RELATORIO.md, .env, admin/run_sql_local.php, admin/test_db_constants.php
• Doc fora do padrao: implementation_plan.md, BK-102 a BK-107, docs/BK-133-, docs/BK-90-, docs/BK-94-*
• Debug/teste legado: admin/passcon.php, admin/search_result.php, admin/test_*
• Endpoint legitimo a manter: api/admin/get_events_status.php, api/admin/monitor.php

Proposta objetiva para a segunda rodada

1. P0 de seguranca: tratar CREDENCIAIS_EXPOSTAS_RELATORIO.md e admin/test_db_constants.php antes de qualquer faxina cosmetica.
2. P1 de exposicao: tirar da webroot os scripts de debug com output sensivel ou execucao manual (run_sql_local.php, test_*, passcon.php).
3. P2 documental: migrar os .md soltos/fora do padrao para docs/ com nomenclatura canonica e atualizar referencias.
4. P3 cosmetico controlado: decidir destino de algolia_payload.json e search_result.php.
5. P4 manutencao preventiva: documentar e whitelistar os dois endpoints legitimos para o auditor nao sugerir limpeza indevida.

Path List

• docs/LOCK.md
• docs/BACKLOG.md
• docs/backlog/BK-156-triagem-achados-auditor-rnt.md

Evidencias usadas nesta triagem

• git ls-files para classificar tracked vs untracked
• leitura controlada dos headers dos arquivos listados
• validacao do .env com chaves mascaradas
• busca por referencias internas com rg
• leitura do relatorio do auditor BK-145 para recuperar o 23o item omitido no briefing nominal

Criterios de aceite desta rodada

1. Todos os 23 achados ficam classificados individualmente.
2. Fica claro o que e segredo, doc fora do padrao, debug/teste legado e endpoint legitimo.
3. Nenhuma acao destrutiva e executada nesta rodada.
4. A segunda rodada fica preparada com prioridade e destino sugerido para cada item.