A oficina, com a porta aberta.

É o número que o navegador realmente baixou, medido pelo Lighthouse: HTML, CSS, JavaScript e fontes somados. As 31 requisições foram todas para o mesmo domínio — nenhuma para servidor de terceiro.

Abrindo: 574,2 KB de JavaScript bruto que viram 178,1 KB em gzip e 154,2 KB em Brotli, que é o que a borda serve; 5,9 KB de CSS, folha única para o site inteiro; 83,0 KB em 2 arquivos de fonte, servidos do próprio domínio.

Nove arquivos de JavaScript são comuns a todas as rotas medidas. Baixados uma vez, valem para o site inteiro — inclusive para esta página, que não soma nem um arquivo a eles. Na prática: depois da primeira página, navegar pelo site não custa JavaScript novo.

Três rotas somam algo, e cada uma tem motivo escrito: /contato e /avaliacoes somam 1 arquivo de cerca de 5 KB comprimidos, que é o formulário; a home soma 1 arquivo de 2,1 KB. Código interativo só é entregue a quem abre a página que tem interação.

O resto é vetor: a marca e o ícone, desenhados à mão em SVG, e as telas de demo dos cases, que são HTML e CSS — não imagem. Os ícones PNG saem do próprio SVG por scripts/gerar-icones.mjs, e as capturas entram por scripts/importar-capturas.mjs, a partir dos repositórios dos produtos.

O efeito é medido: deslocamento de layout igual a zero no Lighthouse — nada chega atrasado para empurrar o texto que a pessoa já estava lendo. Coluna de largura e altura que existe só para segurar o layout parado.

O aplicativo declara 27 pontos de entrada e o build gera 27 páginas. Todas as públicas são HTML pronto, servido da borda: as páginas do site, os ícones, o sitemap e o robots.

Este é o único número desta página que se move sozinho, e vale dizer por quê em vez de deixar a armadilha montada: cada projeto publicado no painel vira uma página gerada a mais. Era 26 até 8 de setembro de 2026, quando um nono projeto entrou no ar. O número certo é sempre a saída do comando acima — não o que está escrito aqui.

Sete executam algo por requisição, e é exatamente onde tem que ser: as três rotas que recebem formulário e as quatro telas do painel administrativo, que têm sessão. Página com login não pode ser cacheada — servir a resposta de uma sessão para outra pessoa é o defeito que ninguém percebe até acontecer.

O que isso significa quando algo dá errado: se o banco cair, o site continua no ar e indexável, porque o portfólio tem uma cópia versionada como reserva. Só a escrita para — e ela recusa em vez de fingir que recebeu.

Política de segurança de conteúdo com 12 diretivas, HSTS de dois anos, X-Frame-Options: DENY, nosniff, política de referência, isolamento de janela e política de permissões negando câmera, microfone, geolocalização e mais cinco. O X-Powered-By foi removido: o site não anuncia com o que foi feito.

A política autoriza exatamente dois domínios de terceiro, e vale dizer quais: o Turnstile da Cloudflare, que é o antispam e só carrega nas duas páginas com formulário, e o Supabase, que é o banco. As fontes não entram na lista porque são servidas do próprio domínio — um terceiro a menos no caminho crítico e uma transferência de IP a menos para declarar na política de privacidade.

As sete tabelas têm segurança em nível de linha habilitada e forçada — forçada vale inclusive para o dono da tabela. Sobre elas existem seis policies, e a conta importa mais que o total: três deixam o visitante ler só o que já está publicado (projeto no ar, imagem de projeto no ar, depoimento aprovado), duas servem ao painel e exigem estar na tabela de administradores, e uma é do dono.

O número que vale é o outro: duas tabelas não têm policy nenhuma — a de mensagens de contato e a do contador antispam. Sem policy, com RLS forçada, a resposta do Postgres é vazio para todo mundo que não seja a chave de servidor. Não é uma regra que alguém escreveu e pode apagar: é a ausência de regra, que nega por definição.

Dito na prática: a chave que roda no navegador de quem visita não lê nenhuma mensagem de contato. Não porque o código esquece de pedir — porque o banco recusa. Ela vaza por desenho, e o que ela abre é exatamente o que já está publicado na tela.

A medição varre 37 arquivos — todo o estático servido mais todo o HTML pré-renderizado — procurando o valor literal de cada variável de ambiente. Chave de serviço do banco, sal do hash de IP, chave da API de e-mail, segredo do antispam e endereço de destino: nenhum aparece. Também não aparece o nome de nenhuma delas, que é como o vazamento costuma começar.

Foi medido com valores-sentinela, não com as chaves de produção — de propósito. Auditoria que exige o segredo para rodar é auditoria que ninguém de fora consegue repetir; os valores estão escritos em scripts/medir.mjs para você reproduzir. As duas variáveis públicas aparecem, porque é para isso que servem.

Os casos que valem citar não são os felizes. São: quebra de linha CRLF no campo de nome, que é injeção de cabeçalho de e-mail; campo-armadilha mordido, que responde sucesso falso sem denunciar qual campo era; corpo de requisição acima do teto, conferido antes do JSON.parse, porque analisar 9 KB para depois recusar já é o ataque funcionando; e um status mandado pelo cliente, que o esquema simplesmente não tem.

O script lê os tokens do próprio arquivo de estilo — não uma cópia em documento — e falha com código de saída 1 se um par cair abaixo do alvo da WCAG. Roda em npm run verify, portanto no CI, portanto antes do merge.

Ele já reprovou e forçou correção. Uma cor de texto secundário estava testada só contra o fundo da página, onde passava; duas páginas a pintavam sobre uma superfície elevada, onde ela dava 4,26:1 e reprovava. Quem achou foi o axe no navegador, não o script. A regra que ficou: toda cor de texto é testada contra toda superfície onde o site a desenha — e os dois pares que faltavam entraram na lista. Vale mais dizer isso do que dizer que seguimos as diretrizes.

A bateria de medições desta página foi feita num build sem nenhuma variável de ambiente. As 26 rotas foram geradas, o servidor subiu e o site funciona — e o formulário de contato recusa o envio e diz que recusou, com o e-mail à vista para a pessoa não ficar sem saída. O que ele nunca faz é responder “mensagem recebida” para uma mensagem que não foi a lugar nenhum.

É o oposto do padrão. Validação de ambiente feita no carregamento do módulo é o motivo número um de build que passa na máquina de quem escreveu e explode na hospedagem. Aqui nada lança exceção ao ler ambiente: quem consome pergunta se está configurado e escolhe o adaptador real ou o que recusa a escrita.

Nota máxima nas duas categorias, com zero auditoria falhando, e o mesmo resultado em seis rodadas seguidas. Não é o teto de acessibilidade — ferramenta automática pega uma fração do que existe, e o resto é teclado, leitor de tela e revisão humana — mas é o piso, e o piso está limpo.

Práticas recomendadas: 96 nas seis. Desempenho ficou entre 93 e 96 em cinco delas e caiu para 86 na sexta, com a máquina de medição ocupada — as seis estão na tabela de docs/medicoes.md, inclusive a pior. Publicamos a faixa e o tropeço de propósito: número de laboratório oscila com a carga de quem mede, e escolher a rodada mais bonita é a forma mais comum de mentir com dado verdadeiro.

Esta página que você está lendo foi medida junto: 100 em acessibilidade, 100 em SEO, 96 em práticas recomendadas e desempenho entre 92 e 95. Ela carrega mais texto que a home e nem um arquivo de JavaScript a mais.

Deslocamento cumulativo de layout em 0, igual nas seis rodadas — nada pula na tela depois de aparecer, e é consequência direta de não haver imagem chegando atrasada. Primeira pintura de conteúdo em 0,8 s, também estável. O tempo total de bloqueio ficou entre 80 e 190 ms, e é o número mais barulhento da lista.

O que não temos: dado de campo, de gente real, do Relatório de Experiência do Usuário Chrome. Não temos porque não temos tráfego suficiente para gerar. Preferimos escrever isso a apresentar número de laboratório como se fosse medição de uso real.

Cada ADR diz o que foi decidido, o que foi recusado junto, o que a decisão custa e — nos casos em que é dívida — qual evento a faz expirar. O ADR 0005, o da política sem nonce, tem quatro gatilhos verificáveis num diff.

Ao lado: 15 migrations de banco versionadas, todas as 15 com o bloco de reversão escrito. Migration sem reversão escrita é decisão que só anda para frente.

Tipagem estrita, lint, contraste e testes, nessa ordem, num comando só. O build de produção falha com erro de tipo — publicar com erro conhecido só adia o problema para quando ele custar mais.

É a mesma regra que aplicamos em projeto de cliente: o critério de entrega é o comando que sobe o sistema e a tela que abre, não o arquivo escrito.