release checklist

Checklist de release público

Antes de publicar, valide:

• git status --short mostra apenas mudanças intencionais ou está limpo após commit.
• git ls-files não contém .vault_pass, ssh/, logs/, artifacts/clients/, inventories/*.local.yml, group_vars/*/zz-local.yml ou group_vars/*/vault.yml.
• make security-check, make syntax, make lint, make shellcheck, make docs e gitleaks detect --source . --redact --no-banner passam.
• roles/requirements.yml, pyproject.toml e uv.lock estão atualizados.
• O deploy real passou em make test e make deploy-prod.
• O teste de túnel real passou com scripts/e2e_wireguard_check.sh --config <perfil-local>.
• O AGENTS.md está alinhado com o comportamento atual do projeto.
• CI remota passou antes de promover o repositório como production-ready.