CL-2026-03-17-BK-115

• Status: (V) conferido e aprovado
• Backlog: BK-115
• Escopo: Infraestrutura e Segurança
• Projetos afetados: cerebro (OpenGravity)
• Aprovacao humana obrigatoria: Nao
• Revisor IA: auto-revisao

Resumo

O módulo OpenGravity passou por um hardening de segurança para remover o acoplamento de suas credenciais operacionais com o diretório versionável, evitando vazamentos e dependência de arquivos .env locais no PM2. A configuração Git do repositório /root/cerebro também foi saneada para remover tokens de acesso (PAT) embutidos na URL remota.

Entregas

• O arquivo local .env foi movido para o diretório seguro de configuração do sistema /etc/cerebro/opengravity.env (isolado fora da árvore do repositório e com permissões 600).
• O módulo src/config/env.ts foi refatorado para carregar as configurações de /etc/cerebro/opengravity.env prioritariamente e manter .env apenas como conveniência de fallback para dev.
• O PM2 e o bot foram recompilados e validados (Agent Online!), comprovando que o runtime acessa corretamente a nova estrutura via File System.
• O remote origin do repositório Git foi reconfigurado para a URL padrão HTTPS limpa (https://github.com/GeJoRei/cerebro.git), garantindo que futuros pushes não exponham ou repliquem as credenciais.
• A documentação OpenGravity/README.md foi atualizada informando a alteração e instruindo o novo fluxo de variáveis de ambiente.

Ação do Usuário (Obrigatório)

O token ghp_... exposto anteriormente na URL de origin foi removido do servidor, mas ainda deve ser invalidado pelo painel do GitHub, uma vez que não é possível rotacioná-lo via CLI automatizada.