BK-158 · Saneamento P0 de credenciais expostas

Natureza deste arquivo

• Este backlog vivo descreve o escopo e os critérios do BK-158.
• O histórico final desta entrega deve virar changelog detalhado quando o BK for fechado.

Status

• Estado do BK: concluído e pronto para fechamento
• Responsável: a definir
• Branch: vps/BK-158-seguranca-credenciais-p0

Problema

• O repositório do RNT mantinha na raiz um relatório versionado (CREDENCIAIS_EXPOSTAS_RELATORIO.md) contendo segredos literais reais.
• O .gitignore local protegia .env, mas não cobria explicitamente algumas variantes operacionais comuns, como .env.local e .env.*.local.

Objetivo

• Remover da raiz o relatório inseguro.
• Preservar o conteúdo útil em documento sanitizado dentro de docs/seguranca/.
• Endurecer o .gitignore para reduzir risco de versionamento acidental de arquivos de ambiente.

Escopo entregue

• Removido CREDENCIAIS_EXPOSTAS_RELATORIO.md da raiz do repositório.
• Criado docs/seguranca/credenciais-audit-20260213.md com os segredos literais ofuscados.
• Atualizado .gitignore para cobrir:
• .env
• .env.local
• .env.*.local
• **/.env

Fora de escopo

• Não houve rotação de credenciais.
• O arquivo .env ativo não foi alterado.
• algolia_payload.json permaneceu fora deste BK.

Validacoes esperadas

• git diff --check
• conferência de ausência de segredos literais no documento sanitizado
• conferência de remoção do relatório da raiz

Path List

• .gitignore
• CREDENCIAIS_EXPOSTAS_RELATORIO.md
• docs/seguranca/credenciais-audit-20260213.md
• docs/BACKLOG.md
• docs/CHANGELOG.md
• docs/LOCK.md
• docs/backlog/BK-158-seguranca-credenciais-p0.md
• docs/changelog/2026/CL-2026-03-19-BK-158.md