feat: protect production Snipe-IT operations

docs/PRODUCTION_CHECKLIST.md

@@ -21,7 +21,10 @@ Referências oficiais: [Authorization Code Flow com PKCE](https://learn.microsof
 - [ ] Criar conta/token de leitura com menor privilégio.
 - [ ] Criar conta/token operacional separado, apenas com checkout/check-in necessários.
 - [ ] Executar sincronização integral e comparar amostra de etiquetas, categorias, estados e localizações.
-- [ ] Exercitar checkout/check-in com equipamentos de teste e reconciliar `handover_records`.
+- [ ] Confirmar por inspeção e testes simulados que o portal não contém endpoints de criação, edição ou eliminação de inventário.
+- [ ] Validar tecnicamente a produção apenas com pedidos `GET`; nunca usar um movimento artificial como teste de conectividade.
+- [ ] No primeiro movimento institucional legítimo, usar um ativo existente e não atribuído, verificar o preflight e reconciliar `handover_records`.
+- [ ] Confirmar que um ativo já atribuído é bloqueado sem qualquer pedido de escrita.
 - [ ] Confirmar resposta a indisponibilidade, timeout e falha parcial sem retries de escrita.
 
 ## 3. Email, domínio e TLS
@@ -72,7 +75,7 @@ Referências oficiais: [Authorization Code Flow com PKCE](https://learn.microsof
 | Área | Responsável | Data | Resultado | Evidência externa |
 |---|---|---|---|---|
 | Entra ID | Por atribuir | — | Pendente | — |
-| Snipe-IT | Por atribuir | — | Pendente | — |
+| Snipe-IT | Codex (validação técnica) | 2026-08-05 | Parcial: dois tokens distintos responderam a `GET`; sincronização de 2367 ativos; zero escritas | Registo interno em [PROJECT_STATUS.md](PROJECT_STATUS.md); validação institucional pendente |
 | SMTP/TLS | Por atribuir | — | Pendente | — |
 | Monitorização | Por atribuir | — | Pendente | — |
 | Restauro | Por atribuir | — | Pendente | — |