[Vinny1313]

Refs #46. Rascunho: nada foi executado ainda.

O que muda

Na partida fria (processo novo, sem cache), a primeira gravação verificava a trilha inteira sob o lock exclusivo (~1 s com 100 mil entradas; com vários processos nascendo juntos, fila e lock expirado). Agora a trilha tem um arquivo ao lado, <trilha>.checkpoint, com contagem, último hash, kid e o SHA-256 dos bytes já verificados, assinado por HMAC (com prefixo de domínio, para não se confundir com entrada da cadeia). A partida fria calcula o SHA-256 do trecho antigo, compara com o ponto e verifica só o que veio depois.

O que NÃO muda

• verificar() e resumo() continuam percorrendo a trilha inteira.
• Qualquer dúvida cai na verificação completa de hoje: ponto ausente, assinatura inválida, chave desconhecida, arquivo menor que o ponto, bytes diferentes, acréscimo inválido.
• Sem chave configurada não se grava ponto (não há como autenticá-lo).
• O ponto é regravado a cada 1000 entradas (CHECKPOINT_INTERVALO) e nunca levanta erro.

Limites de segurança (a documentar no ADR 0002)

• Quem não tem a chave não forja o ponto; trocar bytes do trecho antigo muda o SHA-256 e invalida o ponto.
• Voltar arquivo e ponto juntos para uma versão antiga é indistinguível de truncar a trilha: continua coberto só pela âncora externa, como já era.

Estado e riscos

• Testes não executados: a máquina de desenvolvimento não tem Python. 13 testes novos em engenharia/tests/test_audit_checkpoint.py; as contagens esperadas foram calculadas à mão e podem precisar de ajuste. O CI é a primeira execução.
• Mexe no núcleo de integridade e o congelamento é 11/11. Precisa da revisão independente do Iohan. Se não houver tempo, adiar para a Sprint 3 é aceitável.
• Duplica o laço de verificação do acréscimo de _avancar, de propósito, para não alterar código já revisado; unificar depois.
• ADR 0002 ainda não atualizado.
• Benchmark: benchmark_auditoria_contencao.py ganhou --sem-ponto; a medição antes/depois está planejada para o computador do estágio.

🤖 Generated with Claude Code