release 1.3.2: update from Gitea, Linux-only CLI, desktop app for Linux and Windows

The updater reads latest.json from Gitea, built by scripts/make-latest-json.py
against the Gitea API (no gh CLI). Release workflow builds the Linux CLI and
the Linux+Windows desktop app, signs the updater artifacts and attaches
everything to the release.

Needs the repo secrets TAURI_SIGNING_PRIVATE_KEY and
TAURI_SIGNING_PRIVATE_KEY_PASSWORD, which I could not set (secret-store writes
are reserved for the user) - set them from ~/.tauri/guara-updater.key and
.pass before pushing a tag.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

CHANGELOG.pt-BR.md

@@ -4,6 +4,23 @@
 
 Formato baseado em [Keep a Changelog](https://keepachangelog.com/pt-BR/1.1.0/); versões seguem SemVer.
 
+## [1.3.2] - 2026-10-30
+
+O projeto saiu do GitHub para o Gitea, e a verificação de atualização foi junto.
+
+### Alterado
+- **As atualizações agora vêm do Gitea.** O cartão de atualização do app
+  desktop lê o `latest.json` em `git.lucasrguerra.dev.br`, e não mais as
+  Releases do GitHub. As versões até a 1.3.1 ainda olham o GitHub, que não
+  responde mais, e por isso não enxergam esta release: baixe a 1.3.2 uma vez, e
+  as próximas atualizações são automáticas.
+- O CLI é publicado só para Linux x86_64 e aarch64, compilado pelo CI do Gitea
+  quando uma tag `v*` é enviada, com um `.sha256` ao lado de cada pacote. **Não
+  há mais CLI para Windows.** O app desktop continua saindo para Linux
+  (AppImage, `.deb`) e Windows (`.exe` NSIS, compilado a partir do Linux). Não
+  há build para macOS: exige o SDK e a assinatura da Apple, que o CI deste
+  projeto (um único runner Linux) não tem.
+
 ## [1.3.1] - 2026-10-23
 
 ### Alterado