[DEBT] main sem branch protection: PRs mergeados com CI rodado contra base desatualizada #296

Qual é a dívida?

PRs podem ser mergeados com um CI verde que rodou contra uma versão antiga da main. A main não tem branch protection nenhuma (GET /branches/main/protection → 404), então o GitHub não exige que a branch esteja atualizada nem que os checks passem antes do merge.

Exemplo concreto (2026-10-08): o #286 (dependabot, production-deps) teve o CI rodado antes do merge do #277 (postcss). Os dois alteram platform/package-lock.json. O git fez o merge textual sem conflito, mas a combinação dos dois lockfiles nunca foi validada por CI antes de chegar na main — só pelo CI de push da própria main, depois do fato.

Por que é dívida?

• Mudanças que passam isoladamente podem quebrar juntas (lockfile, tipos, testes que dependem de código do outro PR) e só aparecem na main.
• Os stacks abertos (fix(engine): report which PR read steps degraded instead of hiding it #280→…→fix(engine): omit what a failed PR list feeds, per state #291 e feat(platform): flag repo runs whose PR data is incomplete #282→feat(platform): mark incomplete PR data on compare and dashboard #283→fix(platform): make the PR-data query opt-in and localize its steps #292) e os PRs do dependabot aumentam a chance: muitos PRs mexendo nos mesmos arquivos ao mesmo tempo.
• Sem checks obrigatórios, também é possível mergear com CI vermelho ou pendente por engano.

Como chegou aqui?

O repositório nunca teve branch protection configurada; o fluxo depende de quem mergeia conferir manualmente.

Plano de migração

• Ativar branch protection (ou ruleset) na main exigindo os checks CLI (Python) e Platform (Next.js)
• Ativar "Require branches to be up to date before merging" — ou, alternativamente, habilitar Merge Queue para não precisar rebasear cada PR manualmente
• Confirmar que o dependabot continua conseguindo rebasear e mergear seus PRs com a regra ativa
• Documentar a regra no CONTRIBUTING / CLAUDE.md, se aplicável

Deadline / gatilho pra pagar

Antes de mergear os stacks #280–#291 e #282–#292.