chore: sincroniza alterações locais

docs/OPERACAO-PRODUCAO.md

@@ -165,6 +165,41 @@ docker run --rm -it \
 Observação
 - Sempre que alterar código em `convex/`, repita o comando acima para publicar as mudanças.
 
+### Variáveis do Convex (importante)
+As functions do Convex leem variáveis via `convex env`, não do `.env` do container.
+No CI, defina os seguintes Secrets (Repo → Settings → Secrets and variables → Actions):
+
+- `CONVEX_SELF_HOSTED_URL` — ex.: `https://convex.esdrasrenan.com.br`
+- `CONVEX_SELF_HOSTED_ADMIN_KEY` — gerada por `./generate_admin_key.sh`
+- `MACHINE_PROVISIONING_SECRET` — hex forte
+- (opcional) `MACHINE_TOKEN_TTL_MS` — ex.: `2592000000`
+- (opcional) `FLEET_SYNC_SECRET`
+
+O job `convex_deploy` sempre roda `convex env set` com os Secrets acima antes do `convex deploy`.
+Se preferir setar manualmente:
+
+- `MACHINE_PROVISIONING_SECRET` — obrigatório para `/api/machines/register`
+- (opcional) `MACHINE_TOKEN_TTL_MS`, `FLEET_SYNC_SECRET`
+
+CLI manual (exemplo):
+```
+docker run --rm -it \
+  -v /srv/apps/sistema:/app -w /app \
+  -e CONVEX_SELF_HOSTED_URL=https://convex.esdrasrenan.com.br \
+  -e CONVEX_SELF_HOSTED_ADMIN_KEY='COLE_A_CHAVE' \
+  node:20-bullseye bash -lc "set -euo pipefail; corepack enable && corepack prepare pnpm@9 --activate && pnpm i --frozen-lockfile --prod=false; \
+    unset CONVEX_DEPLOYMENT; \
+    pnpm exec convex env set MACHINE_PROVISIONING_SECRET 'seu-hex' -y; \
+    pnpm exec convex env list"
+```
+
+### Smoke test pós‑deploy (CI)
+O pipeline executa um teste rápido após o deploy do Web:
+- Registra uma máquina fake usando `MACHINE_PROVISIONING_SECRET` do `/srv/apps/sistema/.env`
+- Espera `HTTP 201` e extrai `machineToken`
+- Envia `heartbeat` e espera `HTTP 200`
+- Se falhar, o job é marcado como erro (evita regressões silenciosas)
+
 ## Seeds
 - Dados de demonstração Convex: acesse uma vez `https://tickets.esdrasrenan.com.br/dev/seed`.
 - Usuários (Better Auth):