# Prova direta HTTPS sem VPS

## Resultado nesta etapa
Não comprovado no Lovable hospedado. O teste é isolado e injetável, sem implementação padrão de DNS, socket ou fetch, sem RPC/rota, sem credenciais, sem acesso a painéis e sem ativar o conector.

## Arquivos
- `src/lib/direct-https-proof.server.ts`: valida origem e respostas A/AAAA; congela IPs públicos; exige conexão apenas ao IP selecionado, certificado do hostname original, SNI e evidência independente do peer; uma leitura GET `/`, 64 KiB, 10 segundos, zero redirects/retries.
- `src/test/direct-https-proof.test.ts`: somente fixtures; endereços não são contatados. Resultado simulado nunca vira comprovação hospedada.

## O que a simulação não prova
O adaptador simulado fornece evidências inventadas explicitamente para exercitar aceitação/recusa. Não demonstra suporte do ambiente hospedado à API de socket/TLS, nem existência de metadados confiáveis de peer/SNI. Copiar o IP passado para connect não é confirmação.

## Bloqueios da prova hospedada
1. Nenhum destino HTTPS controlado disponível/autorizado. Não usar um site público arbitrário como se fosse controlado.
2. Nenhum adaptador hospedado com evidência independente do IP efetivamente conectado, hostname certificado e SNI negociado foi validado. `cloudflare:sockets` é candidato, não comprovação. Não importar código Node da VPS nem substituir por fetch não fixado.
3. Não usar invoke-server-function para esse teste: a ferramenta prioriza o app publicado. Não publicar para desbloquear o teste.

## Próxima validação mínima sob autorização separada
Um domínio próprio não é obrigatório: um serviço HTTPS de teste de terceiro pode servir, desde que seu operador autorize o teste e forneça certificado, destino e observação independente da conexão/SNI. Um simples echo do IP enviado pelo cliente ou do IP de saída do cliente não serve.

Antes de uma única execução: preparar/validar adaptador compatível no preview hospedado, destino fixo sem parâmetros de URL fornecidos pelo navegador, autorização protegida realmente de uso único, relógio/limites e coleta independente correlacionada do destino. Sem evidência confiável do peer no cliente, a atestação do destino é indispensável. Isso não autoriza painéis, importação, VPS, banco, configuração ou publicação.

Documentação de referência: https://developers.cloudflare.com/workers/runtime-apis/tcp-sockets/ e https://github.com/cloudflare/workerd/blob/main/src/cloudflare/internal/sockets.d.ts . Capacidade documentada não equivale a execução neste projeto.