Atualização pelo próprio app (Tauri updater) com cartão de aviso

Ao abrir, o app consulta o latest.json da release no GitHub; havendo versão nova, um cartão
oferece Atualizar agora: baixa, confere a assinatura com a chave pública embutida, instala e
reabre (AppImage substituído no lugar; Windows e macOS pelo instalador). Instalação por .deb ou
.rpm só avisa. Configurações ganha a opção de desligar a consulta e o botão Verificar agora.

A release assina os pacotes com a chave guardada no ambiente 'release' do GitHub (só tags v*) e
o latest.json é montado de uma vez por scripts/make-latest-json.py, depois que todos os jobs
de empacotamento terminam.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

.github/workflows/release.yml

@@ -87,6 +87,8 @@ jobs:
     name: App desktop (${{ matrix.name }})
     needs: create-release
     runs-on: ${{ matrix.os }}
+    # Os segredos de assinatura do atualizador ficam no ambiente "release", que só aceita tags v*.
+    environment: release
     strategy:
       fail-fast: false
       matrix:
@@ -118,13 +120,19 @@ jobs:
         run: scripts/install-tauri-deps.sh
       - name: Gera os ícones
         run: npx --yes @tauri-apps/cli@2 icon apps/gui/src-tauri/icons/source.png -o apps/gui/src-tauri/icons
+      # A chave privada de atualização fica só nos segredos do repositório. Ela assina os pacotes
+      # que o app baixa sozinho; a chave pública correspondente está em tauri.conf.json.
       - uses: tauri-apps/tauri-action@v1
         env:
           GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY }}
+          TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
         with:
           projectPath: apps/gui/src-tauri
           releaseId: ${{ needs.create-release.outputs.release_id }}
           args: ${{ matrix.args }}
+          # o latest.json é montado no job de publicação, de uma vez só (scripts/make-latest-json.py)
+          uploadUpdaterJson: false
 
   publish:
     name: Publica a release
@@ -149,3 +157,11 @@ jobs:
               body: fs.readFileSync('notes.md', 'utf8'),
               draft: false,
             });
+      # Depois de publicada (rascunho não é visível por tag), monta e sobe o latest.json.
+      - name: latest.json do atualizador do app
+        env:
+          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          GH_REPO: ${{ github.repository }}
+        run: |
+          python3 scripts/make-latest-json.py "$GITHUB_REF_NAME" notes.md latest.json
+          gh release upload "$GITHUB_REF_NAME" latest.json --clobber