diff --git a/.env.example b/.env.example
index 1b1c4b8..87e4178 100644
--- a/.env.example
+++ b/.env.example
@@ -18,6 +18,10 @@ BETTER_AUTH_URL=http://localhost:3000
 # Banco de dados (Prisma)
 DATABASE_URL=file:./prisma/db.sqlite
 
+# Seeds automáticos (Better Auth)
+# Por padrão (true), garantindo apenas existência dos usuários padrão sem resetar senhas
+SEED_ENSURE_ONLY=true
+
 # Provisionamento e inventário de máquinas
 # Segredo obrigatório para registrar/atualizar máquinas (Convex)
 MACHINE_PROVISIONING_SECRET=change-me-provisioning
@@ -56,4 +60,3 @@ SEED_USER_ROLE=admin
 # Desenvolvimento Desktop (Tauri/Vite)
 # Em redes locais, defina o IP do host para HMR.
 TAURI_DEV_HOST=
-
diff --git a/docs/OPERACAO-PRODUCAO.md b/docs/OPERACAO-PRODUCAO.md
index 40410be..24e117a 100644
--- a/docs/OPERACAO-PRODUCAO.md
+++ b/docs/OPERACAO-PRODUCAO.md
@@ -9,6 +9,7 @@
 - Banco Prisma (SQLite) persistente via volume `sistema_db` (mapeado em `/app/data`).
 - Estado do Convex persistente via volume `convex_data`.
 - Seeds prontos (Better Auth e dados demo Convex).
+ - Seeds Better Auth automáticos: o container do web executa `pnpm auth:seed` após `prisma migrate deploy`, garantindo usuários padrão em toda inicialização (sem resetar senha existente por padrão).
 
 ## Requisitos
 - VPS com Docker/Swarm e Traefik já em execução na rede externa `traefik_public`.
@@ -33,6 +34,10 @@ NEXT_PUBLIC_CONVEX_URL=https://convex.esdrasrenan.com.br
 BETTER_AUTH_SECRET=<hex forte gerado por `openssl rand -hex 32`>
 DATABASE_URL=file:./prisma/db.sqlite
 
+# Seeds automáticos (Better Auth)
+# Garante usuários padrão sem resetar senhas existentes
+SEED_ENSURE_ONLY=true
+
 # SMTP
 SMTP_ADDRESS=<smtp.host>
 SMTP_PORT=465