O trabalho fiscal de um escritório inteiro, dentro de um login só.

No Domicílio Tributário Eletrônico, abrir uma mensagem equivale a dar ciência e inicia prazo legal irreversível — foi medido ao vivo que o portal estampa “Ciência Expressa” mesmo numa mensagem classificada como informativa. A automação óbvia, abrir tudo e extrair, seria a mais fácil de escrever e a mais cara de errar.

O sistema separa o monitor, que só lê a lista paginando, do único módulo que abre. E esse módulo tem quatro travas: um protocolo por vez; clique só na lupa cujo postback carrega exatamente aquele protocolo; reconferência da regra com a situação fresca do portal por cima do que o banco sabia; e um modo de ensaio que percorre todo o caminho parando exatamente antes do clique irreversível.

O serviço web roda em nuvem e não alcança o ERP nem a pasta fiscal da rede interna. Em vez de furar a rede, o fluxo foi invertido: a tela insere um job numa tabela, runners locais consomem em dois modos — residente ou esvazia-e-sai — e devolvem o resultado por upsert com chave única por empresa, tipo e mês, de forma que rodar o mês de novo atualiza em vez de duplicar. Coletores locais empurram dados para endpoints de ingestão dedicados, autenticados por token comparado em tempo constante.

Um despachante residente corta a espera acordando a tarefa agendada do Windows em vez de rodar o robô ele mesmo: assim quem impede duas execuções simultâneas é o próprio agendador, o processo nunca envelhece por manter módulos em memória, e se ele cair o sistema volta ao comportamento anterior, só mais lento. O ganho foi medido em 67 pedidos — 131 s → 3,6 s de espera (mediana)

Todo o cálculo de Simples Nacional, Lucro Presumido, Lucro Real e da transição para IBS/CBS vive em módulos JavaScript sem React, sem requisição e sem data do sistema — a tela só coleta premissas e desenha. Isso permite executar a conta em Node e provar as regras contra as tabelas da lei: a partilha de cada faixa somando 100%, a trava do ISS reproduzindo os multiplicadores publicados, a relação entre a tabela de hoje e a de 2027, o crédito de estoque, a fronteira estrita de faixa.

São 319 asserções em 13 blocos — mais 16 de 16 campos conferidos contra a planilha de referência de um curso sobre a reforma. Uma divergência de imposto aparece no terminal, e não numa reunião com cliente.

Simuladores fiscais normalmente entregam um total. Aqui cada passo traz a fórmula com os operandos já substituídos e o dispositivo legal ao lado, no formato da análise que o escritório faz à mão, para o contador conferir contra a apuração dele.

A memória não recalcula nada: lê os valores que o motor devolveu, e a única multiplicação feita ali está declarada como exceção. Há registro no código de citações que apontavam para o parágrafo errado e foram corrigidas — inclusive uma que invertia o sentido da lei sobre crédito em compra de optante do Simples.

A consulta de pagamentos tem três caminhos: o portal oficial; um portal de histórico que exige navegador real, porque trava em requisição pura, e que gera um número de documento sintético e estável para o upsert continuar idempotente; e, por último, um sistema com captcha que consulta por estabelecimento, inclusive filial, com semáforo de um login por vez porque só roda quando os dois primeiros caem.

As três devolvem exatamente o mesmo formato — então quem grava não sabe, nem precisa saber, de onde o dado veio.

Esconder o botão não impede uma chamada direta à API. A permissão existe no navegador, para montar o menu; como dependência em cada endpoint; e num middleware que confere pelo prefixo da rota antes de qualquer handler rodar.

Sobre isso há uma segunda ideia: concessão e permissão efetiva são coisas diferentes. O que o administrador marcou fica gravado, mas o que não pertence ao setor da pessoa é podado ao montar a sessão — de modo que quem muda de setor não precisa ter permissões remarcadas uma a uma. A regra é coberta por um teste executável que roda o gate real contra fixtures reproduzindo as formas de perfil observadas no banco, inclusive um caso escrito para detectar se duas permissões vizinhas forem coladas por engano.

Senhas de robô e tokens de e-mail ficam cifrados em coluna do banco, com versão de chave para permitir rotação sem transformar linhas antigas em lixo silencioso. E o código declara o que a cifra não faz: ela não protege de quem tem a chave do servidor, protege de quem consegue uma cópia do banco.

O certificado A1 casa com a empresa pelo CNPJ lido de dentro do próprio certificado — extensão do padrão da ICP-Brasil —, aceitando matriz servindo filial pela raiz e travando quando a raiz difere; casar por nome de pasta trocaria certificado entre empresas em silêncio. Todo arquivo é re-serializado no formato moderno ao subir, porque o formato antigo não abre na biblioteca atual e a mensagem de erro parecia senha errada. A instalação na máquina do usuário passa por um token de tipo próprio, escopado a um CNPJ, válido por 180 s, uso único — e o agente local recusa host fora de uma lista confiável e confere que o CNPJ devolvido bate com o pedido.

A ferramenta de calendário fiscal é oferecida a todos, e sua descrição diz ao modelo que ele não sabe essas datas e nunca deve responder sem consultá-la. O retorno carrega uma instrução mandando declarar a procedência — calendário do escritório ou agenda oficial lida por automação, com a data da leitura —, explicar quando a data foi ajustada por feriado e admitir quando não achar.

As permissões são aplicadas dentro da ferramenta, não no prompt, e o resultado de empresa passa por um sanitizador que devolve lista fechada de campos e nunca senha. Num rodízio de modelos de dois fornecedores, ferramentas que devolvem dado de cliente sequer são declaradas ao provedor de terceiro — e assim que uma delas roda, a pergunta fica presa ao provedor original até o fim. Se não sobrar candidato, o assistente prefere responder “indisponível” a vazar histórico.

Reordenar por média de latência produz ping-pong quando os modelos estão separados por décimos de segundo; sondar periodicamente queima justamente a cota que o roteador existe para proteger. Em vez disso, o sistema usa o primeiro modelo cujo castigo já venceu.

Cada causa tem política própria: cota diária prende até a virada do dia no fuso do provedor; limite por minuto obedece ao tempo que o provedor pediu e não escala; instabilidade sobe uma escada com no máximo um degrau por ciclo; erro de requisição não gera castigo nenhum, porque o payload errado é nosso. O castigo é um timestamp absoluto que expira na leitura, para um reinício no minuto errado não deixar um modelo bloqueado o dia inteiro. E o limite de cota exibido no painel é aprendido do corpo do próprio erro do provedor — nunca chutado.

O padrão da indústria é preencher a coluna com o palpite mais provável. Aqui a regra é o contrário, escrita em vários pontos independentes: acertar na maioria e errar calado é pior, porque erra justamente quando alguém foi conferir.

O tomador do frete é lido do campo do documento e nunca deduzido do CFOP. O Fator R sem folha informada devolve “não apurado” e nunca zero, que jogaria a empresa no anexo errado com cara de resultado. Premissas vindas do cadastro carregam a procedência campo a campo, com etiqueta amarela quando o valor foi calculado e não sabido. E ao trocar de empresa num simulador, o que era do caso de exemplo é apagado mesmo sem substituto — número de outra empresa com cara de dado é o erro mais caro possível numa recomendação.

O problema mais caro de um sistema alimentado por robô não é a coleta falhar — é falhar em silêncio e o dado velho passar por atual.

Três telas tratam isso como funcionalidade de primeira classe: o painel do DT-e traz quantas empresas foram verificadas nas últimas 24 horas, quantas falharam o login, quantas nunca foram verificadas e quantas estão sem senha, tendo como universo o cadastro e não o que o robô conseguiu ler; a conferência de XML compara, por rodada, quanto a fonte dizia ter contra quanto foi paginado; e a planilha de honorários carrega no topo, sempre visível, a data de cada uma das três coletas que a alimentam. Nos três casos, quando não há dado a tela diz isso — zero seria mentira.

Os comentários não descrevem o que a linha faz: registram o defeito real, como foi diagnosticado, o que foi medido e por que a alternativa óbvia foi recusada. Um diagnóstico de redirecionamento infinito está no código com a data e o método — requisição real mais reprodução em navegador limpo. Um bug de fuso vem acompanhado da prova que o revelou: 77 de 133 jobs com data de atualização anterior à de criação.

Os commits seguem a mesma linha: 594 dos 778 têm corpo, somando mais de nove mil linhas de texto explicativo. E o changelog não é um arquivo no repositório — é uma tela aberta a todos, com o processo e a proibição de citar segurança interna escritos no topo.