Investidor-V2/tools/portal-stability-cases-template.md

Casos adicionais da frente técnica

São ocorrências ligadas a AUD-OPS-01 na matriz existente. Os recibos iniciais continuam privados e preservados; as provas publicáveis omitem credenciais, cookies, cabeçalhos CSRF e códigos MFA.

Caso	Reprodução em QA equivalente	Esperado	Observado e causa	Correção/prova
C110	Abrir o instalador no hostname HTTP não seguro; nos consumidores, retirar Crypto.prototype.randomUUID mantendo getRandomValues e executar as ações listadas	Preparar a operação com chave válida, conservada no erro/repetição	Chamada direta a método indisponível; no 040000 cada tentativa gerava chave diferente	COUNTRY usa chave do servidor; 25 chamadas usam utilitário CSPRNG comum; erro/repetição/recuperação demonstrados por consumidor
C111	Navegar no perfil privado com histórico cifrado num hostname HTTP não seguro	Dados privados protegidos, navegação utilizável	WebCrypto subtle indisponível; erro ao cifrar o histórico	HTTPS Apache real, confiança normal, cifragem mantida; Back/Forward/nova sessão demonstrados
C112	Autenticar, abrir país mestre, fazer logout e usar Back	API recusada, dados privados não reaparecem	Sessão invalidada, mas chave de histórico Inertia sobrevivia no cliente	Resposta Fortify limpa histórico após invalidação; API401, Back com login sem master, nova sessão/MFA recupera dados autorizados
C113	Arrancar a cópia QA do Apache/PHP do destino e consultar runtime HTTP	Extensão cURL carregada	DLL nghttp2 1.47 do diretório Apache não exporta nghttp2_option_set_no_rfc9113_leading_and_trailing_ws_validation, exigido pelo cURL do PHP atual	DLL 1.70 da própria instalação PHP, somente na cópia QA; mod_php mostra cURL 8.22.0 e restantes extensões
C114	Arrancar o segundo Apache Windows com OPcache usando a configuração partilhada	QA arranca sem interferir com Apache ativo	Conflito de identidade/mapeamento dos opcode handlers na memória partilhada	Identidade própria e fallback gravável na QA; OPcache continua habilitado e ativo permanece intacto
C115	No importador autenticado, escolher níveis territoriais 2 e 3, mantendo memory_limit=128M e timeout do destino	Prévia apresentada, correspondências e originais conservados	Decodificação da coleção inteira excedia memória; primeira abordagem por byte excedia tempo	Parser por feature e varrimento de blocos: 581 features idênticas, pico 38 MiB, três estruturas inválidas dão 422; prévias HTTP dos três níveis funcionam
C116	Preparar dois titulares e aprovador sintéticos usando habilitação/confirmação MFA normal Fortify, instalar 040000 e inicializar o par	MFA válido aceite; titulares e histórico preservados	422 «Configuração MFA inválida»: serviço tratava envelope serializado como segredo cru	Leitura estrita compatível com os envelopes existentes, sem recifrar; instalação/replay e bootstrap únicos, recuperação noutra sessão; MAC inválido continua controlado
C117	Na sala privada, enviar mensagem e escrever a segunda antes de a resposta anterior concluir	Ambos os textos persistem e reaparecem após F5	Resposta anterior limpava o formulário e a segunda seguia com corpo vazio	Campo bloqueado durante envio; duas mensagens consecutivas com corpos distintos/exatos persistem e são recuperadas. Proteção comum aplicada também ao Balcão

Falsas falhas de instrumentação foram distinguidas: reutilização do mesmo TOTP na janela em que Fortify impede replay, ausência de consentimento/documento obrigatório, combobox tratado como select nativo e ordenação de auditorias por UUID. Não motivaram alterações em políticas, MFA ou critérios de aceitação. A auditoria cifrada é conferida por data/versão, não por ordenação lexicográfica de IDs aleatórios.