feat: harden identity and recovery operations

docs/PROJECT_STATUS.md

@@ -1,7 +1,7 @@
 # Estado do projeto e handoff
 
 **Atualizado em:** 4 de agosto de 2026  
-**Fase:** Fases 1 a 6 concluídas; próxima entrega: Fase 7
+**Fase:** Fases 1 a 6 concluídas; Fase 7 em curso (base técnica de identidade, saúde e recuperação concluída)
 **Último agente:** Codex
 
 ## Resultado disponível
@@ -49,11 +49,18 @@
 - Exportação CSV protegida contra formula injection e limitada a períodos de 366 dias.
 - Consulta paginada e filtrável de `audit_logs`, apenas para administradores e auditores.
 - Modelos editáveis de assunto/mensagem para os seis eventos de notificação, com variáveis validadas e auditoria das alterações.
+- Autenticação Microsoft Entra/OIDC de tenant único com descoberta `.well-known`, Authorization Code Flow, PKCE, `state`, `nonce` e validação criptográfica RS256.
+- Associação Microsoft explícita após login local e confirmação recente da palavra-passe; nenhuma conta é associada automaticamente por email.
+- Login Microsoft para identidades previamente associadas, bloqueio de contas inativas e eventos de associação/login/remoção em auditoria.
+- Endpoints `/health/live` e `/health/ready`, sendo readiness dependente de PostgreSQL e cache sem divulgar detalhes internos.
+- Health check Docker do Nginx sobre readiness.
+- Scripts operacionais de backup PostgreSQL custom com checksum e restauro de teste numa base temporária isolada.
+- Checklist versionado de produção, incluindo Entra, Snipe-IT, SMTP/TLS, segredos, monitorização, recuperação, segurança e piloto.
 
 ## Limites conhecidos
 
 - A integração está implementada e testada contra respostas simuladas; falta configurar e validar URL, versão e token da instância institucional. Até lá, o catálogo utiliza dados fictícios do seeder.
-- Microsoft Entra ID ainda não está implementado; as variáveis de ambiente já estão definidas.
+- Microsoft Entra ID está implementado e testado com tokens assinados simulados; falta registar/configurar a aplicação no tenant institucional e validar Conditional Access/MFA real.
 - As notificações estão implementadas com Mailpit em desenvolvimento; falta validar SMTP institucional antes do piloto.
 - O calendário atual é a vista mensal pessoal do MVP; vistas diária, semanal, global e por equipamento/categoria/localização ficam para as áreas operacional e administrativa.
 - O leitor operacional aceita scanners QR/código de barras que funcionem como teclado. A leitura direta pela câmara do navegador ainda não foi adicionada.
@@ -64,10 +71,10 @@
 
 Implementar a **Fase 7 — hardening e entrada em produção**:
 
-1. implementar Microsoft Entra ID/OIDC e associação segura a contas locais;
+1. configurar e validar Microsoft Entra no tenant institucional, incluindo Conditional Access/MFA;
 2. validar a integração contra o Snipe-IT institucional e configurar tokens reais de menor privilégio;
 3. configurar SMTP institucional, domínio, HTTPS e gestão externa de segredos;
-4. adicionar health checks, monitorização, alertas, backups e teste de restauro;
+4. ligar os health checks a monitorização/alertas e agendar backups cifrados externos;
 5. executar testes de segurança, concorrência, desempenho e end-to-end com equipamentos reais;
 6. preparar formação, dados iniciais e piloto com um grupo reduzido;
 7. corrigir resultados do piloto e preparar a disponibilização geral.
@@ -77,9 +84,9 @@ Implementar a **Fase 7 — hardening e entrada em produção**:
 Validação concluída em 4 de agosto de 2026:
 
 - `docker compose exec -T app composer test`: passou;
-- Laravel Pint: 132 ficheiros sem desvios;
-- PHPStan/Larastan nível 7: 100 ficheiros, zero erros;
-- Pest: 92 testes passaram, 522 asserções e 2 testes de registo ignorados por a funcionalidade estar deliberadamente desativada;
+- Laravel Pint: 141 ficheiros sem desvios;
+- PHPStan/Larastan nível 7: 107 ficheiros, zero erros;
+- Pest: 103 testes passaram, 585 asserções e 2 testes de registo ignorados por a funcionalidade estar deliberadamente desativada;
 - TypeScript (`tsc --noEmit`): passou;
 - ESLint: passou;
 - Prettier: passou;
@@ -94,6 +101,12 @@ Validação concluída em 4 de agosto de 2026:
 - Vite em Docker: URL pública, HMR e CORS verificados em `localhost:5173`; corrigida a página em branco causada pela publicação anterior de `0.0.0.0:5173`;
 - Inertia SSR: renderização do login validada através do serviço `node`; corrigido o componente de mensagens flash que usava `usePage()` fora do contexto Inertia;
 - verificação visual no browser integrado: a inspeção controlada de `localhost` continua impedida por uma política administrativa temporariamente indisponível; aprovações, esclarecimentos e notificações foram validados por testes Inertia, TypeScript e builds cliente/SSR.
+- testes focados de Microsoft Entra e health checks: 9 passaram, com 57 asserções;
+- PHPStan/Larastan depois da integração OIDC: 107 ficheiros, zero erros;
+- TypeScript, ESLint e Prettier depois das alterações de login/segurança: passaram;
+- backup PostgreSQL real em formato custom criado com checksum e validado por `pg_restore --list`;
+- restauro real numa base temporária: passou e confirmou 12 migrations antes da remoção automática;
+- smoke tests via Nginx: `/health/live` devolveu `ok` e `/health/ready` devolveu `ready`.
 
 ## Decisões pendentes do contexto institucional
 
@@ -106,3 +119,7 @@ Estas decisões não bloqueiam o desenvolvimento com defaults seguros, mas devem
 - duração máxima, antecedência e margens por categoria;
 - domínio institucional e método de emissão TLS;
 - SMTP institucional.
+
+## Próximo ficheiro a abrir
+
+Começar em `docs/PRODUCTION_CHECKLIST.md`. A próxima alteração de código pode preparar testes de concorrência/desempenho e observabilidade local; as validações Entra, Snipe-IT e SMTP só ficam concluídas quando existirem serviços institucionais concretos, sem guardar os respetivos segredos no repositório.