# PROMPT 12 — Auditoria, Sentry e hardening de segurança

Use o MASTER CONTEXT. Trate esta etapa como security review.

## Auditoria

Reutilize o mecanismo Elo Pro para registrar, no mínimo:
- upload de modelo;
- exclusão de modelo;
- alteração do setting de upload por não-admin;
- criação/início de job;
- conclusão;
- falha;
- download relevante.

Registre IDs técnicos, actor, workspace, timestamps, ação e resultado. Não registre conteúdo de célula, planilha completa, token, segredo ou arquivo bruto.

## Sentry

- usar integrações client/server/edge existentes;
- definir tags seguras: módulo, job_id, workspace_id técnico, error_code;
- scrubbing de request body, headers e breadcrumbs;
- não anexar arquivo nem amostra de linhas;
- errors esperados de validação não devem gerar ruído como exception crítica.

## Hardening

Revisar e testar:
- IDOR;
- workspace forging;
- bypass de papel;
- MIME spoofing;
- extensão enganosa;
- path traversal;
- nome de arquivo malicioso;
- CSV injection nas exportações;
- zip bomb/arquivo excessivamente complexo quando aplicável;
- download de artefato de outro workspace;
- replay/double-submit;
- XSS em nomes de arquivo/headers;
- logs contendo PII/dados financeiros.

## Headers/Runtime

Siga CSP/security headers já existentes. Não crie política conflitante com o app principal.

## Entrega

- testes automatizados onde possível;
- `docs/spreadsheet-adapter/05-security-observability.md` com threat model resumido;
- lista de riscos residuais e mitigação.