Vigilância: o contrato da Plataforma foi para v1.1.0 e o detector não olhava onde ele é publicado

[Mozurok]

Auditoria de drift de 04/09/2026, disparada por um mês sem checagem manual (a última foi 03/08). Seis achados, um deles muda a leitura do projeto.

O achado principal

O contrato oficial que gera os dois pacotes publicados foi substituído. Em 24/08/2026 o CGIBS publicou o OpenAPI v1.1.0 da Plataforma Pública, pareado com o Manual de Integração v1.1.0, e moveu o v0.0.10 para "versões anteriores".

	v0.0.10 (vendorado desde julho)	v1.1.0
rotas	32	35
schemas	57	78 (33 dos 55 comuns alterados)
stream	{idPsp}/tributos/...	{cnpjRaizPspRecDir}/transacoes/...
MOC	não existe	3 rotas novas
X-JWS-Signature	ausente	required: true nas 43 operações

O manual acrescenta que o Informe de Transação Atualizada perdeu o Pix Automático, numCodBarras ficou fixo em 44 caracteres e dtHrRepasse ganhou prazo-limite.

@splitbr/client e @splitbr/mock continuam gerados do v0.0.10. Este PR não migra os pacotes: é major bump nos dois e merece task própria. O que ele faz é vendorar o v1.1.0, dizer a verdade sobre a situação em todo lugar que hoje mente, e fechar o buraco de vigilância que deixou isso passar.

Por que passou

O drift-check.mjs afirmava, em comentário, que esse contrato não tinha fonte pública e por isso não dava para monitorá-lo. O README repetia. Era falso: https://www.cgibs.gov.br/split-payment serve o zip do OAS sem login e sem mTLS, e o arquivo de lá é byte-idêntico ao que estava vendorado desde julho.

$ curl -sL "https://www.cgibs.gov.br/upload/arquivos/202606/03172158-openapi-v0-0-10.zip" -o old.zip   # 200
$ shasum -a 256 oldoas/openapi-v0_0_10.json vendor/swagger/openapi-v0_0_10.json
c5f60c84...29e2b  oldoas/openapi-v0_0_10.json
c5f60c84...29e2b  vendor/swagger/openapi-v0_0_10.json

Custo medido: 11 dias sem detecção. O quarto alvo do detector fecha isso, comparando o inventário de artefatos da página (o nome de cada upload carrega timestamp, então a URL de um arquivo nunca é alvo estável; a página é).

O que mais estava desatualizado

• NT 2025.002 v1.51 (04/08), NT 2026.006 v1.00 e IT 2026.001 v1.01 (25/08), PL 010f v1.04 (31/08). Todos vendorados aqui.
• Calculadora de produção em app 1.3.1 / banco V0043 desde 31/08; o repo registrava 1.2.4 / V0039 em quatro lugares.
• Contratos da Calculadora: portal e piloto divergentes (36 para 40 rotas), re-vendorados. Fecha a issue Drift detectado nos contratos oficiais #6, aberta desde 31/08 sem tratamento.
• O Manual de Tempos é minuta publicada desde 15/07/2026, e quatro documentos o davam como inédito.
• docs/site/novidades.md estava cinco semanas em silêncio apesar do contrato fixo da própria página. Ganhou as quatro entradas que faltavam.

Infraestrutura

• Não havia CI. Os 162 testes só rodavam na máquina do mantenedor. ci.yml roda build, typecheck e testes em matriz Node 22 e 24 (o 22 é prometido em engines sem nenhuma evidência por trás).
• Não havia prepublishOnly. Como dist/ é gitignored, um pnpm publish a partir de clone limpo geraria tarball apontando para arquivos inexistentes.
• pnpm test na raiz não alcançava os 30 testes do detector, que vivem em scripts/.

Release 0.1.1

Patch, sem mudança de comportamento. O conteúdo é o aviso no README dos dois pacotes: quem instala hoje precisa saber que o contrato oficial saiu de baixo do pacote.

Verificação

build            OK
typecheck        OK (client + mock)
testes           162 (27 client + 105 mock + 30 detector)
drift-check      4/4 MATCH
hashes           42 artefatos vendorados conferidos contra vendor/MANIFEST.md

Nota sobre o MANIFEST: nenhuma linha foi sobrescrita, conforme a convenção do arquivo. Os rótulos CURRENT e LATEST que ficaram falsos foram datados ("foi CURRENT até 04/08/2026") em vez de apagados, e as notas de contract diff anteriores foram marcadas como superadas, não editadas.