feat: identidade visual, convergência dos irmãos e desafio interativo de login

.env.example

@@ -39,7 +39,7 @@ DB_PATH=/app/data/storage.sqlite
 # 2. Conectividade com o Gateway OmniRoute
 # ------------------------------------------------------------------------------
 # URL base do gateway OmniRoute para testes de conexao e diagnosticos
-OMNIROUTE_URL=http://127.0.0.1:20128
+OMNIROUTE_URL=http://ominirtk-router:20128
 
 # ------------------------------------------------------------------------------
 # 3. Parametros de Sincronizacao e Agendador Cron
@@ -85,7 +85,7 @@ DASHBOARD_PASSWORD=
 
 # Deixou DASHBOARD_PASSWORD vazia? O container gera uma credencial de
 # recuperacao no primeiro boot. Leia e entre com ela como usuario 'admin':
-#   docker exec ominirtksync cat /app/data/.dashboard_recovery
+#   docker exec ominirtk-sync cat /app/data/.dashboard_recovery
 # Depois defina a sua senha pela tela.
 #
 # Com DASHBOARD_PASSWORD preenchida, o ambiente vira a fonte da verdade e a
@@ -99,6 +99,26 @@ DASHBOARD_PASSWORD=
 # quando e necessaria.
 # DASHBOARD_RECOVERY_HASH=
 
+# ------------------------------------------------------------------------------
+# Entrada federada (SSO / OpenID Connect) -- opcional
+# ------------------------------------------------------------------------------
+# O SSO e configurado PELA TELA (botao Configuracoes no cabecalho do painel), e
+# nao por variaveis: issuer, client_id, endereco publico e lista de autorizados
+# ficam no banco de preferencias. Estas duas variaveis existem porque nao
+# pertencem ao banco.
+#
+# Segredo do cliente OAuth. Quando preenchido aqui, o ambiente VENCE o arquivo
+# .sso_client_secret (modo 0600) e a tela trava o campo, do mesmo jeito que faz
+# com DASHBOARD_PASSWORD. E um segredo: o lugar dele e o seu .env, que nunca e
+# versionado, jamais este arquivo de exemplo.
+# OIDC_CLIENT_SECRET=
+
+# Interruptor de emergencia. Com 1, a entrada federada e desligada sem tocar no
+# banco e nenhuma rota /sso/* responde -- o formulario local volta a ser a unica
+# porta. E o que salva quando o provedor de identidade cai e o painel esta atras
+# de um tunel: suba com a variavel e entre com usuario e senha.
+SSO_DISABLED=0
+
 # ------------------------------------------------------------------------------
 # Log persistente em arquivo
 # ------------------------------------------------------------------------------
@@ -127,3 +147,20 @@ REQUIRE_LOGIN=false
 # que uma conexao esta saudavel so por carregar uma credencial.
 CREDENTIAL_CHECK_ENABLED=1
 CREDENTIAL_CHECK_TIMEOUT=8
+
+# --- Acesso remoto (opcional) ------------------------------------------------
+# Só têm efeito quando você sobe o perfil correspondente:
+#   docker compose --profile tunel   up -d
+#   docker compose --profile tailnet up -d
+# Leia docs/wiki/Remote-Access.md ANTES de ligar qualquer um dos dois: com a
+# porta em 127.0.0.1 o painel só é alcançado por esta máquina, e um túnel
+# inverte isso.
+
+# Vazio = quick tunnel da Cloudflare: URL nova a cada subida, pública para quem
+# a tiver. Preenchido com o token de um túnel nomeado = URL estável e a
+# possibilidade de pôr o Cloudflare Access na frente.
+TUNNEL_TOKEN=
+
+# Chave efêmera gerada em https://login.tailscale.com/admin/settings/keys
+# (efêmera para o nó sumir sozinho quando o contêiner morrer).
+TS_AUTHKEY=

.github/workflows/cleanup-packages.yml

@@ -5,7 +5,7 @@ name: Package Retention
 # Historico: a primeira versao deste arquivo nao era limpeza. Com
 # min-versions-to-keep: 0 e delete-only-untagged-versions: false ela apagava
 # TODAS as versoes e em seguida removia o proprio package via API. Quem
-# estivesse puxando ghcr.io/pathbit/ominirtksyncatest ficava sem imagem.
+# estivesse puxando ghcr.io/pathbit/ominirtksync ficava sem imagem.
 #
 # A segunda versao corrigia isso, mas usava actions/delete-package-versions,
 # que trata cada manifesto como uma versao independente. O build e multi-arch

.gitignore

@@ -1231,6 +1231,9 @@ temp/
 # Credenciais do painel: o hash de recuperacao e a senha em texto herdada.
 .dashboard_recovery
 .dashboard_auth.json
+# Segredo do cliente OAuth da entrada federada. Mora no diretorio de dados
+# (modo 0600), mas em execucao local esse diretorio pode ser o proprio repo.
+.sso_client_secret
 # Log persistente: pode conter endereco, nome de conexao e mensagem de erro.
 *.log
 logs/

.vscode/settings.json

@@ -1,12 +1,13 @@
 {
-    "editor.formatOnSave": true,
-    "editor.defaultFormatter": "esbenp.prettier-vscode",
-    "editor.formatOnPaste": true,
-    "explorer.autoReveal": true,
-    "explorer.compactFolders": false,
-    "files.exclude": {
-        "**/.git": false
-    },
-    "claudeCode.includeCoAuthoredBy": false,
-    "git.includeCoAuthoredBy": false
+  "editor.formatOnSave": true,
+  "editor.defaultFormatter": "esbenp.prettier-vscode",
+  "editor.formatOnPaste": true,
+  "explorer.autoReveal": true,
+  "explorer.compactFolders": false,
+  "files.exclude": {
+    "**/.git": false
+  },
+  "claudeCode.includeCoAuthoredBy": false,
+  "git.includeCoAuthoredBy": false,
+  "git.ignoredRepositories": ["**/tmp/**"]
 }

Dockerfile

@@ -34,6 +34,11 @@ COPY pyproject.toml /app/
 RUN pip install --no-cache-dir --upgrade pip && \
     pip install --no-cache-dir -e .
 
+# Criado na imagem, com o dono que o compose usa: um volume nomeado herda o
+# dono do diretorio que cobre. Sem isto ele nasce root e o processo (uid 1000)
+# nao consegue escrever o proprio log.
+RUN mkdir -p /app/logs && chown -R 1000:1000 /app/logs
+
 EXPOSE 9090
 
 HEALTHCHECK --interval=15s --timeout=5s --start-period=10s --retries=3 \

Makefile

@@ -3,7 +3,17 @@
 # Cria o .env a partir do .env.example. Nunca sobrescreve um .env existente:
 # ele carrega os seus segredos, e um `make setup` distraido nao pode apaga-los.
 # O docker compose le esse .env sozinho, por estar ao lado do compose.
-setup:
+# A rede de inferencia e compartilhada pelos tres gateways e declarada como
+# externa nos tres composes -- externa justamente para que nenhuma das stacks
+# seja dona dela: qualquer uma pode subir primeiro, e derrubar uma nao leva a
+# rede junto. O preco e que ela precisa existir antes do primeiro `up`, e o
+# compose so diz "network declared as external, but could not be found".
+rede-de-inferencia:
+	@docker network inspect rtk-inference-net >/dev/null 2>&1 \
+		|| docker network create rtk-inference-net >/dev/null \
+		&& echo "rede rtk-inference-net pronta."
+
+setup: rede-de-inferencia
 	@if [ -f .env ]; then \
 		echo ".env ja existe — preservado."; \
 	else \
@@ -38,8 +48,13 @@ status:
 docker-build:
 	docker build -t ominirtksync:latest -t ghcr.io/pathbit/ominirtksync:latest .
 
+# O bind em 127.0.0.1 nao e detalhe: este painel le o banco do gateway e mostra
+# a saude das credenciais. Sem o prefixo, "-p PORTA:9090" publica em TODA
+# interface -- o Wi-Fi do cafe, a VLAN do escritorio -- enquanto os composes
+# deste repo publicam so no loopback. Comentario FORA da receita: linha iniciada
+# por # dentro de um alvo vai para o shell e aparece na saida.
 docker-run:
-	docker run --rm -it --name ominirtksync -p 9092:9090 ominirtksync:latest
+	docker run --rm -it --name ominirtk-sync -p 127.0.0.1:9092:9090 ominirtksync:latest
 
 clean:
 	find . -type d -name "__pycache__" -exec rm -rf {} +