Esteira Hermes · entrega de chamado

Laercio A.I Builder — publicado e provado

Chamado TesteRun, solicitante Nathan. Pacote Builder.zip, atendido de ponta a ponta pela esteira. Esta pagina foi publicada pela propria esteira que ela descreve.

release v1-fadcc683 · commit c74caa4f · 2026-09-25 · emitido por Hermes Agent (a pedido de Laercio)

As tres provas do verify

1. Run do commit

success

workflow run 35872047042, buscado por head_sha c74caa4f

2. Deployment de producao

production

deployment 0de7098d-b2d1-4926-8ae0-f0570937e48e do mesmo commit (URL deployment-scoped)

3. Canario

v1-fadcc683

/hermes-release.txt devolve exatamente o releaseId -- conferido tambem por curl fora do pipeline

Status 200 sozinho nao prova nada: a Cloudflare responde 200 com o deployment anterior quando o novo falha. Por isso sao tres provas, e por isso a terceira e o canario.

Links vivos

Site publicado (homologacao) Canario (releaseId) URL do deployment Parecer de seguranca Texto do chamado

Registro, nao link publico: o repositorio e privado por desenho (hermes-test-*, Fase 1). Se o link do GitHub aparecer aqui, ele responde 404 para quem nao estiver autenticado -- use-o como registro, nao como prova publica.

Resumo de seguranca

Veredito do assess: APROVADO. Cabecalhos (MDN HTTP Observatory): nota C. "Nao se aplica" nao e "nenhuma vulnerabilidade" -- sao coisas diferentes.

Ressalvas (decisao de uma pessoa)

cabecalhos -- CSP e X-Frame-Options ausentes na URL publicada (Observatory, -25 e -20). Pagina sem script, sem formulario e sem terceiro: risco baixo hoje. Resolve com _headers no projeto Pages, na troca para o dominio definitivo. Quem decide: quem responde pela publicacao.

O que foi verificado, e o que nao se aplica

bloco	situacao	o que foi feito
Integridade e estrutura	`avaliado`	`assess`: 1 entrada, 1 arquivo avaliado, `zip.lido` ok, 895 bytes
Segredos e credenciais	`avaliado`	varredura do gate sobre a arvore do push: nenhum achado
Pacote de previa / template	`avaliado`	nenhum id dessa classe disparou
Codigo (sinks, eval, redirect)	`avaliado`	semgrep 1.177.0: 1 alvo lido, 0 erro de regra, 0 achado -- o pacote nao tem JavaScript
Dependencias e CVE	`nao se aplica`	pacote sem lockfile -- nao e 'nenhuma vulnerabilidade'
Recursos de terceiro / SRI	`avaliado`	nenhuma referencia externa; 0 requisicao cruzando origem em runtime
Bibliotecas com versao	`nao se aplica`	nenhuma biblioteca no pacote: nada a consultar no osv.dev
Arquivos fora do escopo	`avaliado`	nenhum
Publicacao provada	`avaliado`	tres provas do verify: run 35872047042 (success), deployment `0de7098d` em production, canario `v1-fadcc683`
Conteudo servido == pacote	`avaliado`	`diff` byte a byte: identico (1002 bytes, md5 b6958d08d86a487300197d162cf9644e)
Cabecalhos e borda	`avaliado`	Observatory C (55/100), 2 de 12 falhando
Comportamento em runtime	`avaliado (parcial)`	observacao em navegador limpo contra a URL de homologacao: 0 recurso, 0 script, 0 cookie, 0 storage
Autenticacao e sessao	`nao se aplica`	site estatico, sem login
Exploracao de falha	`nao se aplica`	nao houve teste de intrusao; daemon do docker indisponivel nesta VPS

O que NAO foi testado

comportamento em runtime alem de uma carga de pagina em navegador limpo;
formularios de ponta a ponta (nao existe formulario neste pacote);
navegacao, aparencia, acessibilidade e conteudo em outros navegadores e em celular;
qualquer cenario de exploracao: nao houve teste de intrusao;
desempenho, cache, CDN e comportamento sob carga;
dominio definitivo, DNS e configuracao da conta.

Identificacao do pacote

fadcc683e185d4ddaaeb7136d4ab826c21ecff3ea8b174ddf8444eca44ac42f4 — Builder.zip, 895 bytes, copiado para var/incoming/ antes de qualquer verbo. Nada do pacote foi executado nesta maquina: a build roda no runner descartavel do GitHub e a revisao de codigo foi somente leitura.

Esta URL e de homologacao. A troca para o dominio definitivo e um passo separado. Quem responde o chamado e o responsavel pelo time -- o Hermes redige, nunca responde.