# Teste nativo restrito Speed Live — mecanismo instalado, sem autorização

- Exclusivo à referência `painelfoda-reference` e origem exata `https://speedlivem.painelr.top`; nenhum parâmetro de URL do navegador.
- Núcleo privado em `src/lib/speed-live-native-test.server.ts`, RPCs autenticados próprios e botão manual em Integrações, sob a seção ADMIN. Nenhuma autorização criada e nenhuma conexão executada.
- Revalida sessão/ADMIN e exige preview hospedado; integração futura deve derivar URL e runtime da requisição real, nunca do navegador.
- SQL canônico em `src/lib/speed-live-native-test.sql.ts`, instalado pela migração `0032_speed_live_native_test_authorization`: uso único consumido antes da rede, proprietário ADMIN, origem/preview/finalidade fixos, impressão SHA-256 do ciphertext, máximo cinco minutos, trava pelo servidor e fechamento sanitizado por etapa. RLS ativa, zero políticas/browser grants e nenhuma autorização inserida. Nenhuma operação pública de concessão/renovação.
- Reutiliza AES-GCM e sessão efêmera/CSRF/cookies; sem fallback de credenciais de ambiente. Credenciais descriptografadas somente após consumo.
- Única sequência GET `/login` → POST `/login` → GET `/api/users`; não visita dashboard, não lê lines, não pagina/importa e não repete automaticamente.
- HTTPS nativo preserva validação TLS padrão do hostname. Todos os status diferentes de 200 (incluindo 300–399) e respostas já redirecionadas são rejeitados.
- Máximo três requisições, uma página, 5 MB acumulados, dez segundos por requisição incluindo leitura do corpo, 45 segundos por sessão e nunca além do prazo original.
- Retorna/grava somente etapa fechada, sucesso/falha/bloqueado, HTTP e formato; nenhum corpo, identificador de revendedor, credencial, cookie, mensagem ou stack.

## Limitação expressa
`fetch` resolve o hostname internamente: **não há fixação do IP conectado, verificação independente do peer nem garantia completa contra DNS rebinding**. Origem fixa e rejeição de redirecionamentos reduzem a superfície, mas não eliminam o risco caso o DNS/domínio aprovado seja comprometido. Não foi implementada nem alegada validação prévia A/AAAA neste modo. Um handshake de outro serviço não comprova compatibilidade ou segurança do Speed Live. Universal permanece bloqueado.

## Primeira tentativa real: ações exatas, sob autorização separada
1. Proprietário abre o preview hospedado ADMIN → Integrações e confirma presença do botão Speed Live bloqueado. Não acessar tecnicamente o preview por automação; testes da interface usam RPCs simulados.
2. Proprietário autoriza expressamente UMA concessão e execução manual, aceitando o risco residual de DNS rebinding.
3. Operação privilegiada confere ADMIN, referência/origem, versão criptografada atual e ausência de tentativas pendentes. Insere exatamente uma aprovação documentada, com prazo máximo cinco minutos, vinculada ao ADMIN, referência, preview e finalidade. Nenhum clique cria aprovação.
4. Proprietário clica “Verificar autorização Speed Live”, depois “Testar conexão Speed Live” e “Confirmar teste único”, dentro do prazo. A confirmação é obrigatória e o consumo durável ocorre antes da primeira requisição externa.
5. Somente GET login → POST login → GET users primeira página. Falha interrompe sem repetir. Exibir/gravar etapas sanitizadas e conferir encerramento; erro de fechamento mantém bloqueio durável, nunca desbloqueio automático.

O contexto real é derivado da requisição e runtime, não de parâmetros do navegador. Localhost e produção recusam execução. Universal permanece `false`; FLOW, VPS, DNS CONTROL e revendedores não foram alterados. A instalação no Cloud compartilhado não publica o botão. Disponibilidade visual hospedada aguarda confirmação manual do proprietário.

## Validação local final
Compilação automática aprovada em 20/10/2026 23:23:35 UTC; 7/7 testes mínimos aprovados (seis Speed Live e um callback DNS antigo). O erro TS2554 em `tools/painelfoda-vps/transport.ts:62` exigia o argumento address no callback de erro: preenchido com valor vazio conforme options.all, mantendo o mesmo erro e rejeição. Nenhuma VPS foi utilizada. O SQL revisado reafirma expiração/revogação no próprio UPDATE de consumo; permanece não instalado e sem autorização concedida.