Transparência — como você confere os números você mesmo

Nível 1 — Integridade: o dado fecha? (22)

• MED13 — MED13 · O registro de uso não permite reconstruir quem pediu o quê.
• MED14 — MED14 · O painel diz DESDE QUANDO mede o uso de chave.
• MED15 — MED15 · O uso de chave é contado num ponto só, e ele existe.
• MED16 — MED16 · A degustação — o denominador da conversão em chave — é contada no middleware só quando é rota de DADO de papel aberto, sem chave, que deu certo e foi pedida por gente; guarda família do caminho e dia, nunca o ticker.
• MED17 — MED17 · A retenção sai por coorte da semana do primeiro uso da chave: quantas estrearam e quantas voltaram N dias ou mais depois.
• MED18 — MED18 · /admin/metricas não existe sem ADMIN_TOKEN (404) e, com ele, traz as quatro métricas do Bloco 5 — conversão da degustação, retenção, chegadas por via e eventos do vigia por mês (o mesmo contador da página /vigia) — sem e-mail, IP ou hash de chave.
• MED19 — MED19 · Dois cenários sintéticos no mesmo dia-tipo: pessoas lendo 10 páginas muitas vezes NÃO é suspeito; o mesmo volume espalhado uma vez por página em 1.000 páginas É suspeito de rastreador.
• MED20 — MED20 · derivado/search_console.
• MED21 — MED21 · O pulso lê o relatório "estado do produto" da semana pelo /admin/metricas e imprime o resumo, a semana e o arquivo em que o servidor o gravou (DADOS_DIR/relatorios/AAAA-WW.
• MED22 — MED22 · OAI-SearchBot e Claude-SearchBot (montando o índice da busca de IA) são `ia_indexador`, não `ia_a_pedido`; ChatGPT-User, Claude-User e Perplexity-User continuam `ia_a_pedido`.
• MED23 — MED23 · O painel lê `dia` pelo MESMO relógio (UTC) com que a linha foi gravada.
• MED31 — MED31 · O painel enxerga erro de IA: o acesso de IA grava status e tempo, o MCP é contado DEPOIS de rodar, com resultado ('ok' ou 'erro:<classe>'), e o bloco `ia_erros` separa 200 de 404, lista os caminhos que falham e dá mediana e p90. Nem ticker nem texto do usuário ficam gravados, e banco antigo sem as colunas migra sem perder linha.
• MED40 — MED40 · Cada acesso de robô grava só a FAMÍLIA (ex.
• MED41 — MED41 · ★ 01/11/2026: a medida do Google ficou parada de 26/09 a 01/11 porque a única linha do Search Console era a lançada à mão no repositório.
• MED42 — MED42 · Cada pedido de IA a pedido grava a FAMÍLIA da rota (ticker vira *) e o tempo em ms, em histograma por hora; navegador, robô de busca e pedido sem tempo não gravam; query string, IP e user-agent não vão para o banco.
• MED43 — MED43 · /admin/stats > ia_erros.
• MED44 — MED44 · O armazenamento é limitado: no máximo 60 famílias por hora (o resto vira '(outros)'), só 10 caminhos lentos por hora, horas com mais de 48 h viram linhas por dia e o que passa de 35 dias some; o middleware grava o pedido de IA (e só o de IA) sem mudar a resposta.
• MED45 — MED45 · `sinais_mcp.
• MED46 — MED46 · O ticker só é gravado se existe na base pública (ação, FII, ETF, BDR); código desconhecido, frase ou e-mail vira 'outro' (classe 'outro'), e chamada sem código fica 'nenhum'.
• MED47 — MED47 · A LOTE_LIMIAR-ésima chamada idêntica (mesma ferramenta, cliente e argumentos) em LOTE_JANELA_S segundos, e as seguintes, saem com lote=1; as anteriores, argumento diferente, cliente diferente ou a mesma chamada depois da janela ficam lote=0. A chave do argumento NÃO separa rajada (é a mesma chamada).
• MED48 — MED48 · /admin/stats ganha `mcp_sinais` (por cliente da lista fechada chatgpt/claude/cursor/outro, por classe, tickers, parâmetros, rajada, primeiro uso de cada ferramenta) e `robos_por_familia_30d` (janela de 30 dias, 10 rotas e soma por seção por família), e mantém TODAS as chaves e formatos de antes: `mcp`, `robos_por_familia` de 7 dias com 5 rotas e sem `secoes`.
• MED49 — MED49 · A /privacidade (PT e EN) descreve os sinais do conector com os números do código (marca de rajada com LOTE_LIMIAR, códigos não encontrados com a guarda de `_DIAS_CODIGO_GUARDADOS`), diz que não grava texto livre, chave, IP nem cabeçalho, e a tabela `mcp_uso` tem exatamente as colunas que a política cobre (coluna nova reprova até a política ser revista), nasce de forma idempotente e entra na limpeza de 365 dias (`retencao.

Nível 2 — Semântica: a conta significa o que o cálculo supõe? (0)

Nível 3 — Econômico: o resultado é possível no mundo real? (0)

Outros testes do produto (12)

Gate comercial, navegação e o conector MCP — testam se o produto funciona, não se um número está certo, então não entram nos 3 níveis acima por natureza. Contados e listados do mesmo jeito:

• MED01 — MED01 · Toda ferramenta do conector MCP passa pelo ponto de contagem.
• MED02 — MED02 · Chamar uma ferramenta MCP grava mesmo a chamada.
• MED03 — MED03 · Clique do próprio funil não é contado como visita.
• MED04 — MED04 · O alarme do build acende pelo fato, não pelo instante.
• MED05 — MED05 · Se a base no ar não é a que o código promete, o /saude avisa.
• MED06 — MED06 · 'Rodando' tem prazo — build travado não passa por saudável.
• MED07 — MED07 · Página que publica número vivo diz de quando ele é.
• MED08 — MED08 · Passo de funil dado por robô não conta como intenção humana.
• MED09 — MED09 · Crawler que segue o link "Assinar" não cria sessão de pagamento.
• MED10 — MED10 · O plano grátis aparece no HTML servido, sem executar script.
• MED11 — MED11 · A landing servida traz o grátis quando o plano está ligado.
• MED12 — MED12 · Nenhuma página escreve à mão um número que o banco já sabe.