Atualização pelo próprio app (Tauri updater) com cartão de aviso

Ao abrir, o app consulta o latest.json da release no GitHub; havendo versão nova, um cartão
oferece Atualizar agora: baixa, confere a assinatura com a chave pública embutida, instala e
reabre (AppImage substituído no lugar; Windows e macOS pelo instalador). Instalação por .deb ou
.rpm só avisa. Configurações ganha a opção de desligar a consulta e o botão Verificar agora.

A release assina os pacotes com a chave guardada no ambiente 'release' do GitHub (só tags v*) e
o latest.json é montado de uma vez por scripts/make-latest-json.py, depois que todos os jobs
de empacotamento terminam.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/gui/ui/app.css

@@ -518,3 +518,12 @@ dialog.lightbox[open] { display: grid; }
 
 /* logo inline: segue o tema escolhido no app, não o do sistema */
 .logo .a { stroke: var(--accent); } .logo .b { stroke: var(--accent-2); } .logo .t { fill: var(--text); }
+
+/* atualização do app */
+.update-card { position: fixed; right: 18px; bottom: 18px; z-index: 60; width: min(400px, calc(100vw - 36px)); display: grid; gap: 10px; padding: 16px 18px; border-radius: 18px; background: var(--surface); box-shadow: var(--shadow); border: 1px solid color-mix(in srgb, var(--accent) 35%, transparent); }
+.update-card .upd-head { display: grid; gap: 2px; }
+.update-card .upd-ver { font-size: 12.5px; color: var(--text-2); }
+.update-card .upd-url { word-break: break-all; font-size: 12.5px; }
+.update-card .upd-actions { display: flex; gap: 8px; flex-wrap: wrap; }
+.update-card .sub { margin: 0; }
+pre.upd-notes { max-height: 50vh; overflow: auto; white-space: pre-wrap; font-size: 13px; }