Merge pull request #51 from lucasrguerra/release/1.3.1

release: 1.3.1
2026-10-23 12:20:02 -03:00 · 2026-10-23 12:16:11 -03:00 · 2026-10-23 12:09:54 -03:00 · 2026-10-23 12:05:58 -03:00 · 2026-10-23 11:58:39 -03:00 · 2026-10-23 11:56:36 -03:00
119 changed files with 2285 additions and 256 deletions
@@ -0,0 +1,3 @@
+#!/usr/bin/env bash
+# Antes de cada push: a verificação rápida. Ignore com `git push --no-verify` (use com parcimônia).
+exec "$(git rev-parse --show-toplevel)/scripts/verificar.sh"
@@ -1,9 +1,12 @@
 name: CI

 on:
+  # Mudança só de documentação não precisa de 6 jobs em 3 sistemas.
  push:
    branches: [main]
+    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**']
  pull_request:
+    paths-ignore: ['**.md', 'docs/**', 'LICENSE*', '.gitignore', '.githooks/**']

 concurrency:
  group: ci-${{ github.ref }}
@@ -28,6 +31,8 @@ jobs:
          node-version: 22
      - name: Cobertura da tradução da interface
        run: node scripts/check-ui-i18n.mjs
+      - name: Script do latest.json do atualizador
+        run: python3 scripts/test_make_latest_json.py
      - run: cargo fmt --all -- --check
      - run: cargo clippy --workspace --all-targets

@@ -42,12 +47,28 @@ jobs:
      - uses: actions/checkout@v7
      - uses: dtolnay/rust-toolchain@stable
      - uses: Swatinem/rust-cache@v2
+      - name: Cache dos pacotes das ferramentas de teste (.deb)
+        if: runner.os == 'Linux'
+        uses: actions/cache@v6
+        with:
+          path: ~/apt-cache-tools
+          key: apt-tools-${{ runner.os }}-${{ runner.arch }}-${{ env.ImageVersion }}-${{ hashFiles('scripts/apt-install.sh') }}
      - name: Ferramentas para imagens de teste (Linux)
        if: runner.os == 'Linux'
-        run: |
-          sudo apt-get update
-          sudo apt-get install -y mtools dosfstools exfatprogs ntfs-3g e2fsprogs imagemagick zip
-      - name: Testes (com imagens reais FAT32/NTFS/ext4 no Linux)
+        timeout-minutes: 25
+        run: scripts/apt-install.sh ~/apt-cache-tools mtools dosfstools exfatprogs ntfs-3g e2fsprogs xfsprogs imagemagick zip
+      - name: Cache das imagens de referência
+        uses: actions/cache@v6
+        with:
+          path: target/testdata
+          key: testdata-${{ runner.os }}-${{ hashFiles('scripts/fetch-testdata.sh') }}
+      - name: Imagens de referência (BitLocker, FileVault 2, dfvfs, AFF4)
+        shell: bash
+        run: scripts/fetch-testdata.sh
+      - name: Imagem XFS com exclusão feita pelo kernel (Linux)
+        if: runner.os == 'Linux'
+        run: sudo scripts/make-xfs-real-deletion.sh
+      - name: Testes (imagens de referência nos três sistemas; FAT32, NTFS e ext4 gerados no Linux)
        shell: bash
        run: |
          if [ "$RUNNER_OS" = "Linux" ]; then export GUARA_REQUIRE_FIXTURES=1; fi
@@ -74,10 +95,14 @@ jobs:
      - uses: actions/setup-node@v7
        with:
          node-version: 22
+      - name: Cache dos pacotes do Tauri (.deb)
+        uses: actions/cache@v6
+        with:
+          path: ~/apt-cache
+          key: apt-tauri-${{ runner.os }}-${{ runner.arch }}-${{ env.ImageVersion }}-${{ hashFiles('scripts/apt-install.sh') }}
      - name: Dependências do Tauri
-        run: |
-          sudo apt-get update
-          sudo apt-get install -y libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+        timeout-minutes: 25
+        run: scripts/apt-install.sh ~/apt-cache libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
      - name: Gera os ícones
        run: npx --yes @tauri-apps/cli@2 icon apps/gui/src-tauri/icons/source.png -o apps/gui/src-tauri/icons
      - run: cargo check --manifest-path apps/gui/src-tauri/Cargo.toml
@@ -87,6 +87,8 @@ jobs:
    name: App desktop (${{ matrix.name }})
    needs: create-release
    runs-on: ${{ matrix.os }}
+    # Os segredos de assinatura do atualizador ficam no ambiente "release", que só aceita tags v*.
+    environment: release
    strategy:
      fail-fast: false
      matrix:
@@ -106,20 +108,31 @@ jobs:
      - uses: actions/setup-node@v7
        with:
          node-version: 22
+      - name: Cache dos pacotes do Tauri (.deb)
+        if: runner.os == 'Linux'
+        uses: actions/cache@v6
+        with:
+          path: ~/apt-cache
+          key: apt-tauri-${{ runner.os }}-${{ runner.arch }}-${{ env.ImageVersion }}-${{ hashFiles('scripts/apt-install.sh') }}
      - name: Dependências do Tauri (Linux)
        if: runner.os == 'Linux'
-        run: |
-          sudo apt-get update
-          sudo apt-get install -y libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
+        timeout-minutes: 25
+        run: scripts/apt-install.sh ~/apt-cache libwebkit2gtk-4.1-dev libayatana-appindicator3-dev librsvg2-dev patchelf
      - name: Gera os ícones
        run: npx --yes @tauri-apps/cli@2 icon apps/gui/src-tauri/icons/source.png -o apps/gui/src-tauri/icons
+      # A chave privada de atualização fica só nos segredos do repositório. Ela assina os pacotes
+      # que o app baixa sozinho; a chave pública correspondente está em tauri.conf.json.
      - uses: tauri-apps/tauri-action@v1
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY }}
+          TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
        with:
          projectPath: apps/gui/src-tauri
          releaseId: ${{ needs.create-release.outputs.release_id }}
          args: ${{ matrix.args }}
+          # o latest.json é montado no job de publicação, de uma vez só (scripts/make-latest-json.py)
+          uploadUpdaterJson: false

  publish:
    name: Publica a release
@@ -144,3 +157,11 @@ jobs:
              body: fs.readFileSync('notes.md', 'utf8'),
              draft: false,
            });
+      # Depois de publicada (rascunho não é visível por tag), monta e sobe o latest.json.
+      - name: latest.json do atualizador do app
+        env:
+          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          GH_REPO: ${{ github.repository }}
+        run: |
+          python3 scripts/make-latest-json.py "$GITHUB_REF_NAME" notes.md latest.json
+          gh release upload "$GITHUB_REF_NAME" latest.json --clobber
@@ -4,6 +4,7 @@
 # Estado de ferramentas locais
 .wolf/
 .claude/
+.superset/
 CLAUDE.md

 # Variáveis de ambiente locais (o setup do Superset copia da raiz)
@@ -1,5 +0,0 @@
-{
-  "setup": ["./.superset/setup.sh"],
-  "teardown": ["./.superset/teardown.sh"],
-  "run": ["cargo run -p guara-cli -- ui --no-open"]
-}
@@ -1,16 +0,0 @@
-#!/usr/bin/env bash
-# Runs once when a Superset workspace (git worktree) is created. Safe to run again.
-set -euo pipefail
-
-# Local files that are not tracked by git but that a new worktree needs.
-# Nothing is overwritten if it already exists in the workspace.
-if [ -n "${SUPERSET_ROOT_PATH:-}" ] && [ -d "$SUPERSET_ROOT_PATH" ]; then
-  for f in "$SUPERSET_ROOT_PATH"/.env "$SUPERSET_ROOT_PATH"/.env.* "$SUPERSET_ROOT_PATH"/CLAUDE.md; do
-    [ -f "$f" ] || continue
-    dest="./$(basename "$f")"
-    [ -e "$dest" ] || cp "$f" "$dest"
-  done
-fi
-
-# Download the crates now so the first build and the first test run do not wait on the network.
-cargo fetch --locked
@@ -1,9 +0,0 @@
-#!/usr/bin/env bash
-# Runs when a Superset workspace is deleted.
-# Setup starts no background service. The only long-running process is the Run command
-# (`guara ui`), which this workspace builds into its own target/ directory, so stop any
-# copy that is still alive before the worktree is removed.
-set -uo pipefail
-
-pkill -f -- "$PWD/target/.*/guara ui" 2>/dev/null || true
-exit 0
@@ -4,6 +4,37 @@

 Format based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/); versions follow SemVer.

+## [1.3.1] - 2026-10-23
+
+### Changed
+- **New official logo:** the maned wolf (guará) inside the orange ring, drawn by the project's author, with a transparent background so the same art works in the light and dark themes. It replaces the old track-disc logo in the app (sidebar, top bar and home screen), the favicon, the desktop app icons and the README.
+- `guara ui` serves the new `guara.png` and `guara-s.png`; `scripts/gerar-logo.py` derives the small logo and the app icon from the official art.
+- Development: `scripts/verificar.sh` runs locally what the CI runs, with an optional pre-push hook (`scripts/instalar-hooks.sh`), and the CI no longer runs on documentation-only changes.
+
+### Notes
+- No change to scanning, recovery, signing or any other behavior. This is the first release after the in-app updater: an app on 1.3.0 should offer **Update now**.
+- The screenshots in `docs/img/` still show the old logo and will be redone.
+
+## [1.3.0] - 2026-10-23
+
+### Added
+- **Update from inside the desktop app.** On startup the app asks GitHub for the release's `latest.json`; if there is a newer version, a card offers **Update now**. It downloads the package, verifies its minisign signature against the public key built into the app, installs and reopens (the AppImage is replaced in place; Windows and macOS use the installer). Installs from `.deb` or `.rpm` only show the notice. **Settings** can turn the startup check off and has a **Check now** button. The check is one HTTP request and sends nothing of yours.
+- **Digital signatures (Ed25519):** `guara sign keygen | file | verify | recovery`. With a key configured, `recover` and `report` sign the manifest and the report by themselves. `guara sign recovery` checks the manifest signature and the hash of every recovered file (and refuses manifest paths that leave the folder). The signature is plain Ed25519 over a documented message, so `openssl` verifies it too. Comparing the key fingerprint (`--trust`) says whose key it is; the signed time is the local clock, not a third-party timestamp.
+- **Virtual disks:** QCOW2 with a backing file, VMDK snapshots (parent by name or, in VirtualBox, by UUID; the child is refused if the parent's CID changed) and DMG with LZFSE chunks.
+- **CI with real reference images** on Linux, macOS and Windows (they were skipped before), and an XFS image deleted by the real kernel generated with `sudo` on the Linux runner.
+- Release pipeline: update packages are signed with a key kept in the repository's `release` environment (tags `v*` only), and `latest.json` is built in one step by `scripts/make-latest-json.py`.
+
+### Changed
+- **XFS is now 🟡.** On a real XFS (v5, kernel deletion) the inode and extent list are wiped, so the metadata path finds nothing; the content of files with a recognizable structure comes back by carving, without name or folder. The earlier path only worked on simulated deletions. The name-and-folder test is kept `ignore`d until the journal is read.
+- CI `apt` steps use cached `.deb`s, a time limit per attempt and retries (they took up to 28 minutes on a slow mirror day).
+- Dependencies: `ctutils` 0.4.5 (RUSTSEC-2026-0385); new `ed25519-compact`, `lzfse_rust`, `tauri-plugin-updater`.
+- The README and ROADMAP now say the update check is the only network use by default.
+
+### Notes
+- Versions before 1.3.0 do not have the updater: from 1.2.0, replace the AppImage by hand one last time. The first update inside the app is 1.3.0 to the next release.
+- Still missing: password-protected DMG, an identity check for VHD, VHDX and QCOW2 parents, third-party timestamps (RFC 3161), XFS journal reading, and APFS validation with real deletion (needs an image from a real Mac).
+- CLI output remains in Portuguese.
+
 ## [1.2.0] - 2026-10-22

 ### Added
@@ -4,6 +4,37 @@

 Formato baseado em [Keep a Changelog](https://keepachangelog.com/pt-BR/1.1.0/); versões seguem SemVer.

+## [1.3.1] - 2026-10-23
+
+### Alterado
+- **Logo oficial nova:** o guará dentro do anel laranja, desenhado pelo autor do projeto, com fundo transparente para a mesma arte servir aos temas claro e escuro. Ela substitui a logo antiga das trilhas de disco no app (barra lateral, topo e tela inicial), no favicon, nos ícones do app desktop e no README.
+- O `guara ui` serve os novos `guara.png` e `guara-s.png`; o `scripts/gerar-logo.py` deriva a logo pequena e o ícone do app da arte oficial.
+- Desenvolvimento: o `scripts/verificar.sh` roda localmente o que o CI roda, com um hook opcional de pre-push (`scripts/instalar-hooks.sh`), e o CI deixa de rodar em mudanças só de documentação.
+
+### Notas
+- Nenhuma mudança na varredura, na recuperação, na assinatura ou em qualquer outro comportamento. É a primeira versão depois do atualizador do app: um app na 1.3.0 deve oferecer **Atualizar agora**.
+- Os screenshots em `docs/img/` ainda mostram a logo antiga e serão refeitos.
+
+## [1.3.0] - 2026-10-23
+
+### Adicionado
+- **Atualização dentro do app desktop.** Ao abrir, o app pede ao GitHub o `latest.json` da release; havendo versão nova, um cartão oferece **Atualizar agora**. Ele baixa o pacote, confere a assinatura minisign com a chave pública embutida no app, instala e reabre (o AppImage é substituído no lugar; Windows e macOS usam o instalador). Instalações por `.deb` ou `.rpm` só mostram o aviso. **Configurações** desliga a consulta ao abrir e tem o botão **Verificar agora**. A consulta é uma requisição HTTP e não envia nada seu.
+- **Assinatura digital (Ed25519):** `guara sign keygen | file | verify | recovery`. Com uma chave configurada, `recover` e `report` assinam sozinhos o manifesto e o relatório. `guara sign recovery` confere a assinatura do manifesto e o hash de cada arquivo recuperado (e recusa caminhos do manifesto que saem da pasta). É Ed25519 comum sobre uma mensagem documentada, então o `openssl` também confere. Comparar a impressão digital da chave (`--trust`) diz de quem ela é; a hora assinada é a do relógio local, não um carimbo de terceiros.
+- **Discos virtuais:** QCOW2 com arquivo de apoio, snapshots de VMDK (pai por nome ou, no VirtualBox, por UUID; o filho é recusado se o CID do pai mudou) e DMG com chunks LZFSE.
+- **CI com imagens de referência reais** em Linux, macOS e Windows (antes eram puladas) e uma imagem XFS apagada pelo kernel de verdade, gerada com `sudo` no runner Linux.
+- Pipeline de release: os pacotes de atualização são assinados com uma chave guardada no ambiente `release` do repositório (só tags `v*`), e o `latest.json` é montado de uma vez por `scripts/make-latest-json.py`.
+
+### Alterado
+- **O XFS passa a 🟡.** Num XFS real (v5, exclusão do kernel) o inode e a lista de extensões são zerados, então o caminho por metadados não acha nada; o conteúdo de arquivos com estrutura reconhecível volta por carving, sem nome nem pasta. O caminho anterior só funcionava na exclusão simulada. O teste de nome e pasta fica `ignore`d até o diário ser lido.
+- Os passos de `apt` do CI usam `.deb` em cache, tempo limite por tentativa e nova tentativa (levavam até 28 minutos num dia de espelho lento).
+- Dependências: `ctutils` 0.4.5 (RUSTSEC-2026-0385); novas `ed25519-compact`, `lzfse_rust` e `tauri-plugin-updater`.
+- O README e o ROADMAP passam a dizer que a verificação de atualização é o único uso da rede por padrão.
+
+### Notas
+- As versões anteriores à 1.3.0 não têm o atualizador: da 1.2.0, troque o AppImage à mão uma última vez. A primeira atualização dentro do app é da 1.3.0 para a próxima versão.
+- Ainda faltam: DMG com senha, conferência da identidade do pai em VHD, VHDX e QCOW2, carimbo de tempo de terceiros (RFC 3161), leitura do diário do XFS e validação de APFS com exclusão real (precisa de imagem de um Mac de verdade).
+- A saída da CLI continua em português.
+
 ## [1.2.0] - 2026-10-22

 ### Adicionado
@@ -11,15 +11,19 @@ Thanks for helping! Golden rules:
 ## Workflow

 ```bash
-cargo fmt --all
-cargo clippy --workspace --all-targets
-cargo test --workspace
+scripts/instalar-hooks.sh        # uma vez: roda a verificação rápida antes de cada push
+scripts/verificar.sh             # rápido (segundos): fmt, clippy como no CI, tradução, scripts, workflows
+scripts/verificar.sh --completo  # inclui cargo test --workspace e cargo audit
 ```

+The CI takes 5 to 30 minutes on three systems, so run the check before pushing: almost everything that makes the CI fail shows up locally in seconds. Documentation-only changes (`*.md`, `docs/`) skip the CI.
+
 On Linux the tests build images with `mtools`, `ntfs-3g`, `e2fsprogs`, `exfatprogs`, `imagemagick`, `zip` and `python3`. Without these tools the image tests are skipped (set `GUARA_REQUIRE_FIXTURES=1` to make them fail).

 For the external reference images (BitLocker, FileVault 2, dfvfs, AFF4), run `scripts/fetch-testdata.sh`; without them those tests are skipped. The BitLocker test takes about 75 s.

+The desktop app signs its update packages: `tauri.conf.json` has `createUpdaterArtifacts` on, so a local `tauri build` needs `TAURI_SIGNING_PRIVATE_KEY` (any key made with `tauri signer generate`; the release key lives only in the repository secrets). For a quick local bundle, pass `--config '{"bundle":{"createUpdaterArtifacts":false}}'`.
+
 ## Where to make changes

 A map of the modules is in [docs/architecture.md](docs/architecture.md). What is missing and what is welcome is in the [ROADMAP](ROADMAP.md).
@@ -11,15 +11,19 @@ Obrigado por ajudar! Regras de ouro:
 ## Fluxo

 ```bash
-cargo fmt --all
-cargo clippy --workspace --all-targets
-cargo test --workspace
+scripts/instalar-hooks.sh        # uma vez: roda a verificação rápida antes de cada push
+scripts/verificar.sh             # rápido (segundos): fmt, clippy como no CI, tradução, scripts, workflows
+scripts/verificar.sh --completo  # inclui cargo test --workspace e cargo audit
 ```

+O CI leva de 5 a 30 minutos em três sistemas, então rode a verificação antes do push: quase tudo que faz o CI falhar aparece aqui em segundos. Mudanças só de documentação (`*.md`, `docs/`) pulam o CI.
+
 No Linux os testes geram imagens com `mtools`, `ntfs-3g`, `e2fsprogs`, `exfatprogs`, `imagemagick`, `zip` e `python3`. Sem essas ferramentas os testes com imagem são ignorados (defina `GUARA_REQUIRE_FIXTURES=1` para falhar).

 Para as imagens de referência externas (BitLocker, FileVault 2, dfvfs, AFF4), rode `scripts/fetch-testdata.sh`; sem elas esses testes são pulados. O teste de BitLocker leva cerca de 75 s.

+O app desktop assina os pacotes de atualização: o `tauri.conf.json` tem `createUpdaterArtifacts` ligado, então um `tauri build` local precisa de `TAURI_SIGNING_PRIVATE_KEY` (qualquer chave feita com `tauri signer generate`; a chave da release fica só nos segredos do repositório). Para um pacote local rápido, passe `--config '{"bundle":{"createUpdaterArtifacts":false}}'`.
+
 ## Onde mexer

 Mapa dos módulos em [docs/pt-BR/arquitetura.md](docs/pt-BR/arquitetura.md). O que falta e o que é bem-vindo está no [ROADMAP](ROADMAP.pt-BR.md).
@@ -309,9 +309,9 @@ dependencies = [

 [[package]]
 name = "ctutils"
-version = "0.4.3"
+version = "0.4.5"
 source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "03bb0e1cc970d482d121d9a1744999169b69a07470b3d644a7894e53fcaf4574"
+checksum = "38d28fb6aa7dd680b3ffd1a3e64e115c177bdba63c0ae7f9cd48129ff05c4fa0"
 dependencies = [
 "cmov",
 ]
@@ -340,6 +340,15 @@ dependencies = [
 "objc2",
 ]

+[[package]]
+name = "ed25519-compact"
+version = "2.6.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "1454db4f2edb7f0e8fe0c5b375b0c978fc63244cc9f010d160e417eb10139aa8"
+dependencies = [
+ "getrandom",
+]
+
 [[package]]
 name = "equivalent"
 version = "1.0.3"
@@ -389,8 +398,10 @@ source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "300e883d756b2e4ec94e02791f39b04b522276138852cfc41d9fb7e904106099"
 dependencies = [
 "cfg-if",
+ "js-sys",
 "libc",
 "r-efi",
+ "wasm-bindgen",
 ]

 [[package]]
@@ -405,7 +416,7 @@ dependencies = [

 [[package]]
 name = "guara-cli"
-version = "1.2.0"
+version = "1.3.1"
 dependencies = [
 "clap",
 "ctrlc",
@@ -418,11 +429,12 @@ dependencies = [

 [[package]]
 name = "guara-core"
-version = "1.2.0"
+version = "1.3.1"
 dependencies = [
 "aes",
 "argon2",
 "bzip2",
+ "ed25519-compact",
 "flate2",
 "hmac",
 "image",
@@ -430,6 +442,7 @@ dependencies = [
 "jpeg-encoder",
 "libc",
 "lz4_flex",
+ "lzfse_rust",
 "md-5",
 "mp4",
 "pbkdf2",
@@ -552,6 +565,16 @@ version = "0.7.1"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "a0370574b86f7eca156b9f298392b5e69a23f8c86f3f865add60bbc2e79467a6"

+[[package]]
+name = "js-sys"
+version = "0.3.106"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "7883d941dae510fb2d978fc3fe018c71c9e2892fd38854de3e8b92c2e5ad9cc5"
+dependencies = [
+ "cfg-if",
+ "wasm-bindgen",
+]
+
 [[package]]
 name = "libbz2-rs-sys"
 version = "0.2.5"
@@ -582,6 +605,12 @@ version = "0.14.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "ecbdfe44b1bd960b68170b417450a628c43f7cf56bb3c5317e61cb230ee7f226"

+[[package]]
+name = "lzfse_rust"
+version = "0.2.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "5edeac3ec657925dececc672bdd58fa2212291886ddcb3e08aa46924c78340c6"
+
 [[package]]
 name = "md-5"
 version = "0.11.0"
@@ -844,6 +873,12 @@ dependencies = [
 "windows-sys",
 ]

+[[package]]
+name = "rustversion"
+version = "1.0.23"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "cf54715a573b99ac80df0bc206da022bcd442c974952c7b9720069370852e21f"
+
 [[package]]
 name = "ruzstd"
 version = "0.9.1"
@@ -1053,6 +1088,51 @@ version = "0.2.2"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "06abde3611657adf66d383f00b093d7faecc7fa57071cce2578660c9f1010821"

+[[package]]
+name = "wasm-bindgen"
+version = "0.2.129"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "9bb54f33acc68fd454578d9820b0bde1a1a3d17aa17bb7b6595806d02886d409"
+dependencies = [
+ "cfg-if",
+ "once_cell",
+ "rustversion",
+ "wasm-bindgen-macro",
+ "wasm-bindgen-shared",
+]
+
+[[package]]
+name = "wasm-bindgen-macro"
+version = "0.2.129"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "2e29d0c35b16e224a7eeb5cd2d25e3e1968fbd65604117b44d3b789d00ee8535"
+dependencies = [
+ "quote",
+ "wasm-bindgen-macro-support",
+]
+
+[[package]]
+name = "wasm-bindgen-macro-support"
+version = "0.2.129"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "6f501a8bc3719dba86ef8ae4728879c08001bea749eb1333ac5b91e040e2a6b7"
+dependencies = [
+ "bumpalo",
+ "proc-macro2",
+ "quote",
+ "syn 3.0.9",
+ "wasm-bindgen-shared",
+]
+
+[[package]]
+name = "wasm-bindgen-shared"
+version = "0.2.129"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "23f0c9c52aa7cd7d77769a4cfe2a9adb1b331f489a41d912ce14513d5ab995c6"
+dependencies = [
+ "unicode-ident",
+]
+
 [[package]]
 name = "weezl"
 version = "0.1.12"
@@ -3,7 +3,7 @@ resolver = "2"
 members = ["crates/guara-core", "crates/guara-cli"]

 [workspace.package]
-version = "1.2.0"
+version = "1.3.1"
 edition = "2021"
 license = "MIT OR Apache-2.0"
 repository = "https://github.com/lucasrguerra/guara"
@@ -1,4 +1,4 @@
-<p align="center"><img src="apps/gui/ui/guara-logo.svg" width="360" alt="Guará"></p>
+<p align="center"><img src="apps/gui/ui/guara.png" width="300" alt="Guará"></p>
 <h1 align="center">Guará</h1>
 <p align="center">Free file recovery for hard drives, SSDs and USB sticks.<br>Terminal and graphical interface · Windows, Linux and macOS · read-only on the source.</p>

@@ -12,7 +12,7 @@

 In a single scan, Guará does what tools like Recuva, PhotoRec, TestDisk and Disk Drill do separately:

- **File system metadata:** finds deleted files **with name, folder and date** on NTFS, FAT12/16/32, exFAT, ext2/3/4, HFS+, Btrfs, XFS and APFS.
+- **File system metadata:** finds deleted files **with name, folder and date** on NTFS, FAT12/16/32, exFAT, ext2/3/4, HFS+, Btrfs and APFS (on XFS only the content comes back, by carving, see below).
 - **Structure-aware carving** in free space, damaged partitions and unpartitioned space. The detectors read the real structure of dozens of formats to learn the **exact size** and a **confidence** level.
 - **Encrypted volumes:** opens BitLocker, LUKS and FileVault 2 with your password or key and scans inside.
 - **RAID and LVM:** reassembles arrays from loose disks (RAID 0, 1, 4, 5, 6, 10, LVM2), working out level, stripe size and order by itself when there is no metadata.
@@ -44,6 +44,8 @@ Download the package for your system from **[Releases](../../releases)**:

 Every file has a `.sha256` next to it. To build from source: `cargo build --release -p guara-cli` (Rust 1.80+).

+**Updates:** the desktop app (AppImage, Windows and macOS) checks GitHub for a newer version when it opens; if there is one, a card offers **Update now**: it downloads, verifies the package signature, installs and reopens, so you no longer swap the AppImage by hand. The check is a single request for the release's `latest.json` and nothing of yours is sent; turn it off in **Settings**. Installs from `.deb`/`.rpm` only show the notice, because the package manager owns those files.
+
 > The binaries are **not signed yet**: Windows SmartScreen and macOS Gatekeeper will warn you. Check the SHA-256.

 Reading raw disks requires privileges: **administrator** (Windows), `sudo` (Linux and macOS). Even as root, Guará writes sessions, reports and recovered files with the owner and permissions of the user who launched it.
@@ -91,14 +93,14 @@ A desktop app (Tauri) in the style of a file manager, designed for when Guará f
 - **Automatic sessions** and reconnection: Guará recognizes the same disk coming back under another name.
 - **Duplicate detection** by content signature.

-> **Warning:** Guará has **not been externally validated** yet (for example, in the NIST CFTT tests) and has no audit log or signed report. It is well suited to recovery and triage; for use in court, check the results by other means. The path to get there is in the [ROADMAP](ROADMAP.md).
+> **Warning:** Guará has **not been externally validated** yet (for example, in the NIST CFTT tests) and has no trusted timestamp (RFC 3161) on its signatures. It is well suited to recovery and triage; for use in court, check the results by other means. The path to get there is in the [ROADMAP](ROADMAP.md).

 ## Known limits

 - **Overwritten data does not come back.** On an SSD with TRIM the disk may zero deleted blocks; Guará warns you, but it cannot work miracles.
 - **Fragments:** only JPEG (up to three pieces) and MP4 without an index are reassembled. Other formats, if fragmented, come out truncated with low confidence.
 - **ReFS and Storage Spaces** are not supported (ReFS is only detected).
- **APFS:** no free-space map. **XFS and APFS:** deletion recovery tested only in simulation.
+- **XFS:** on a real XFS (v5, kernel deletion) the inode and its extent list are wiped, so Guará recovers the **content** of files with a recognizable structure by carving, but not their name or folder; reading names needs the file system journal, which is not implemented. The old inode-based path only works on simulated deletions. **APFS:** deletion recovery tested only in simulation.
 - **NTFS:** compressed files, EFS and heavily fragmented records are skipped or marked as incomplete.
 - **exFAT:** validated with a synthetic image; real media are still missing.
 - **Phones:** Guará works with storage media and does **not** unlock devices or bypass passwords.
@@ -111,8 +113,8 @@ Summary of the [ROADMAP](ROADMAP.md):

 | | |
 |---|---|
-| **Done** | Metadata from 8 file systems, BitLocker, LUKS, FileVault 2, RAID, LVM, E01, Ex01, AFF4, fragmented JPEG, MP4 without an index, SQLite reader, SMART, QCOW2/VMDK/VHD/VHDX/DMG, hash-chained audit trail, PDF report, APFS free map |
-| **Next** | Digitally signed report, tests on Windows and macOS |
+| **Done** | Metadata from 8 file systems, BitLocker, LUKS, FileVault 2, RAID, LVM, E01, Ex01, AFF4, fragmented JPEG, MP4 without an index, SQLite reader, SMART, QCOW2/VMDK/VHD/VHDX/DMG, hash-chained audit trail, PDF report, Ed25519 signatures, APFS free map |
+| **Next** | Trusted timestamps (RFC 3161), tests on Windows and macOS |
 | **Later** | NSRL and hash lists, content search, unified timeline, browser interpretation, Windows registry and messaging apps, dictionary and brute-force attacks on encrypted volumes |
 | **No reference image** | ReFS and Storage Spaces: they only land with validation |
 | **Long term** | iOS and Android backups (iTunes, ADB), OCR, NIST CFTT validation, physical phone access through bootloader/chip exploits |
@@ -1,4 +1,4 @@
-<p align="center"><img src="apps/gui/ui/guara-logo.svg" width="360" alt="Guará"></p>
+<p align="center"><img src="apps/gui/ui/guara.png" width="300" alt="Guará"></p>
 <h1 align="center">Guará</h1>
 <p align="center">Recuperação de arquivos livre e gratuita para HD, SSD e pendrive.<br>Terminal e interface gráfica · Windows, Linux e macOS · somente leitura na origem.</p>

@@ -44,6 +44,8 @@ Baixe o pacote do seu sistema em **[Releases](../../releases)**:

 Cada arquivo tem um `.sha256` ao lado. Compilar do código: `cargo build --release -p guara-cli` (Rust 1.80+).

+**Atualizações:** o app desktop (AppImage, Windows e macOS) consulta o GitHub ao abrir; havendo versão nova, um cartão oferece **Atualizar agora**: ele baixa, confere a assinatura do pacote, instala e reabre, e você deixa de trocar o AppImage na mão. A consulta é uma única requisição ao `latest.json` da release e nada seu é enviado; desligue em **Configurações**. Instalações por `.deb`/`.rpm` só mostram o aviso, porque quem manda nesses arquivos é o gerenciador de pacotes.
+
 > Os binários ainda **não são assinados**: o Windows SmartScreen e o Gatekeeper do macOS vão avisar. Confira o SHA-256.

 Ler discos brutos exige privilégios: **administrador** (Windows), `sudo` (Linux e macOS). Mesmo como root, o Guará grava sessões, relatórios e arquivos recuperados com o dono e as permissões do usuário que o abriu.
@@ -91,7 +93,7 @@ App desktop (Tauri) no estilo de um gerenciador de arquivos, pensado para quando
 - **Sessões automáticas** e reconexão: o Guará reconhece o mesmo disco que volta com outro nome.
 - **Detecção de duplicadas** por assinatura de conteúdo.

-> **Atenção:** o Guará ainda **não foi validado externamente** (por exemplo, nos testes do NIST CFTT) e não tem registro de auditoria nem relatório assinado. Serve bem para recuperação e triagem; para uso em juízo, confira os resultados por outro meio. O caminho para isso está no [ROADMAP](ROADMAP.pt-BR.md).
+> **Atenção:** o Guará ainda **não foi validado externamente** (por exemplo, nos testes do NIST CFTT) e suas assinaturas não têm carimbo de tempo de terceiros (RFC 3161). Serve bem para recuperação e triagem; para uso em juízo, confira os resultados por outro meio. O caminho para isso está no [ROADMAP](ROADMAP.pt-BR.md).

 ## Limites conhecidos

@@ -111,8 +113,8 @@ Resumo do [ROADMAP](ROADMAP.pt-BR.md):

 | | |
 |---|---|
-| **Feito** | Metadados de 8 sistemas de arquivos, BitLocker, LUKS, FileVault 2, RAID, LVM, E01, Ex01, AFF4, JPEG fragmentado, MP4 sem índice, leitor de SQLite, SMART, QCOW2/VMDK/VHD/VHDX/DMG, trilha de auditoria encadeada por hash, relatório em PDF, mapa livre do APFS |
-| **Próximo** | Relatório assinado digitalmente, testes em Windows e macOS |
+| **Feito** | Metadados de 8 sistemas de arquivos, BitLocker, LUKS, FileVault 2, RAID, LVM, E01, Ex01, AFF4, JPEG fragmentado, MP4 sem índice, leitor de SQLite, SMART, QCOW2/VMDK/VHD/VHDX/DMG, trilha de auditoria encadeada por hash, relatório em PDF, assinaturas Ed25519, mapa livre do APFS |
+| **Próximo** | Carimbo de tempo de terceiros (RFC 3161), testes em Windows e macOS |
 | **Depois** | NSRL e listas de hashes, busca em conteúdo, linha do tempo unificada, interpretação de navegadores, registro do Windows e apps de mensagem, ataque de dicionário e força bruta a volumes cifrados |
 | **Sem imagem de referência** | ReFS e Storage Spaces: só entram com validação |
 | **Longo prazo** | Backups de iOS e Android (iTunes, ADB), OCR, validação NIST CFTT, acesso físico a celulares por exploit de bootloader/chip |
@@ -11,7 +11,7 @@ Legend: ✅ done · 🟡 partial · 🔜 planned · 🔭 long-term idea · ⛔ o
 1. **The source is read-only.** Nothing in the core writes to the device being recovered.
 2. **Do not ship without validating.** A feature only lands with a test against a real or reference image. That is why ReFS and Storage Spaces do not exist yet: there is no reference image to check against.
 3. **Honest confidence.** If the content could not be checked, confidence is low or medium, never high.
-4. **Free and auditable.** Open source (MIT or Apache-2.0), no telemetry, and every result can be reproduced.
+4. **Free and auditable.** Open source (MIT or Apache-2.0), no telemetry (the only thing that touches the network by default is the update check, a single request you can turn off), and every result can be reproduced.

 ## History

@@ -27,10 +27,12 @@ Legend: ✅ done · 🟡 partial · 🔜 planned · 🔭 long-term idea · ⛔ o
 | 1.0.1 | 2026-10-20 | Documentation in English with Portuguese translations, complete English interface, screenshots, Docker image of the CLI |
 | 1.1.0 | 2026-10-20 | Core messages and dates in English, automated translation check, RustCrypto on digest 0.11, verified Docker device access and Superset workspaces |
 | 1.2.0 | 2026-10-22 | QCOW2, VMDK, VHD, VHDX and DMG virtual disks, hash-chained audit trail, PDF report, APFS free-space map |
+| 1.3.0 | 2026-10-23 | Update from inside the app, Ed25519 signatures, differencing QCOW2/VMDK and LZFSE DMG, reference images tested on Linux, macOS and Windows, XFS real-deletion test |
+| 1.3.1 | 2026-10-23 | New official logo |

 Details of each version in the [CHANGELOG](CHANGELOG.md).

-## Current status (1.2.0) against what is expected from a forensic suite
+## Current status (1.3.1) against what is expected from a forensic suite

 ### 1. File systems with metadata

@@ -40,12 +42,13 @@ Details of each version in the [CHANGELOG](CHANGELOG.md).
 | ext2/3/4 | ✅ | Deleted inodes and old copies in the journal |
 | HFS+ | ✅ | Tree node leftovers and journal |
 | Btrfs | ✅ | Old versions of the trees; zlib, zstd and lzo extents |
-| XFS | ✅ | Freed inodes and names of freed entries. Tested only with simulated deletion |
+| XFS | 🟡 | Freed inodes and names of freed entries work on simulated deletion only. With real kernel deletion (tested in CI) the metadata is wiped: content comes back by carving, names do not. **Journal reading is missing** |
 | APFS | 🟡 | Container, object map, free-space map (spaceman and bitmaps), snapshots and old nodes. Deletion tested only in simulation; containers with chunk-info address blocks (large ones) fall back to scanning the whole volume |
 | ReFS | 🔜 | Only detected today; recovery depends on carving. Reference image missing |
 | Storage Spaces | 🔜 | Not done. Reference image missing |
 | NTFS: compressed attributes, EFS, attribute list | 🔜 | Marked as incomplete today |
-| XFS and APFS validation with real deletion | 🔜 | Replace the simulation with images from real devices |
+| XFS: names and folders after real deletion (read the journal) | 🔜 | The CI test exists and is ignored until this lands |
+| APFS validation with real deletion | 🔜 | Needs an image from a real Mac |

 ### 2. Encrypted volumes

@@ -68,7 +71,8 @@ Today Guará opens volumes when you **already have** the password or key. Passwo
 | E01 and Ex01: read, write and `guara verify` | ✅ |
 | AFF4: read and write | ✅ |
 | Virtual disk containers: QCOW2, VMDK, VHD, VHDX and DMG (read) | ✅ |
-| QCOW2 with a backing file, VMDK snapshots, DMG with LZFSE or a password | 🔜 |
+| QCOW2 with a backing file, VMDK snapshots (by name or VirtualBox UUID), DMG with LZFSE | ✅ |
+| Password-protected DMG, parent identity check for VHD, VHDX and QCOW2 | 🔜 |
 | Mobile device image (see item 7) | 🔭 |

 ### 4. Assembling loose disks
@@ -129,7 +133,8 @@ Physical access is the differentiator of commercial tools like Cellebrite. It de
 | HTML report with case, examiner, source, partitions, summary and hashes | ✅ |
 | Verification of an E01/Ex01 image against the stored hash | ✅ |
 | **Audit trail** of every examiner action (who, when, what), chained by hash, with `guara audit --verify` | ✅ |
-| **Digitally signed reports** and a timestamped manifest | 🔜 |
+| **Digital signatures** (Ed25519) of manifests, reports and any file; `guara sign recovery` checks a whole recovery folder | ✅ |
+| Trusted timestamp (RFC 3161) on signatures | 🔜 |
 | **Reproducibility:** replay the recorded procedure and get the same result | 🔜 |
 | PDF report (A4, built in) | ✅ |
 | **External validation:** NIST CFTT (Computer Forensic Tool Testing) tests and publication of the results | 🔭 |
@@ -155,7 +160,8 @@ External validation is what makes a report accepted. Without it, Guará is good
 |---|---|
 | CLI and interface for Windows, Linux and macOS | ✅ |
 | CI on three systems, automatic release by tag | ✅ |
-| Tests with real images on Windows and macOS (Linux only today) | 🔜 |
+| Tests with real reference images on Linux, macOS and Windows | ✅ |
+| Update from inside the desktop app (signed packages, one click) | ✅ |
 | GUI: privileged helper process instead of restarting the whole app as administrator | 🔜 |
 | Signed and notarized binaries | 🔜 |
 | Packages in package managers (winget, Homebrew, Flatpak) | 🔭 |
@@ -164,17 +170,17 @@ External validation is what makes a report accepted. Without it, Guará is good

 No dates, in the order that makes the most sense.

-**1.1: trust and custody**
-Signed manifest, XFS and APFS validation with real deletions, tests with real images on Windows and macOS.
+**1.4: trust and custody**
+Trusted timestamps, XFS journal reading, APFS validation with real deletions.

-**1.2: analysis**
+**1.5: analysis**
 NSRL and hash lists, search in file content, unified timeline.

-**1.3: artifacts**
+**1.6: artifacts**
 Windows registry, browsers, EVTX and the most common messaging apps, built on the SQLite reader.

-**1.4: more structure**
-ReFS and Storage Spaces (once there is a reference image), other image containers (VMDK, VHD, QCOW2), expanded fragmented carving.
+**1.7: more structure**
+ReFS and Storage Spaces (once there is a reference image), password-protected DMG, identity check of VHD, VHDX and QCOW2 parents, expanded fragmented carving.

 **2.0: mobile devices and validation**
 iTunes backups, ADB and Android backups; submission to the NIST CFTT tests.
@@ -11,7 +11,7 @@ Legenda: ✅ feito · 🟡 parcial · 🔜 planejado · 🔭 ideia a longo prazo
 1. **A origem é somente leitura.** Nada no núcleo escreve no dispositivo recuperado.
 2. **Não entregar sem validar.** Um recurso só entra com teste contra imagem real ou de referência. Por isso ReFS e Storage Spaces ainda não existem: não há imagem de referência para conferir.
 3. **Confiança honesta.** Se o conteúdo não pôde ser conferido, a confiança é baixa ou média, nunca alta.
-4. **Livre e auditável.** Código aberto (MIT ou Apache-2.0), sem telemetria, e cada resultado pode ser reproduzido.
+4. **Livre e auditável.** Código aberto (MIT ou Apache-2.0), sem telemetria (a única coisa que usa a rede por padrão é a verificação de atualização, uma requisição só que você pode desligar), e cada resultado pode ser reproduzido.

 ## Histórico

@@ -27,10 +27,12 @@ Legenda: ✅ feito · 🟡 parcial · 🔜 planejado · 🔭 ideia a longo prazo
 | 1.0.1 | 2026-10-20 | Documentação em inglês com tradução em português, interface completa em inglês, telas, imagem Docker do terminal |
 | 1.1.0 | 2026-10-20 | Mensagens do núcleo e datas em inglês, verificação automática da tradução, RustCrypto em digest 0.11, acesso a dispositivo no Docker e workspaces do Superset verificados |
 | 1.2.0 | 2026-10-22 | Discos virtuais QCOW2, VMDK, VHD, VHDX e DMG, trilha de auditoria encadeada por hash, relatório em PDF, mapa de espaço livre do APFS |
+| 1.3.0 | 2026-10-23 | Atualização pelo próprio app, assinaturas Ed25519, QCOW2/VMDK diferenciais e DMG com LZFSE, imagens de referência testadas em Linux, macOS e Windows, teste de exclusão real do XFS |
+| 1.3.1 | 2026-10-23 | Nova logo oficial |

 Detalhes de cada versão no [CHANGELOG](CHANGELOG.pt-BR.md).

-## Situação atual (1.2.0) contra o que se espera de uma suíte forense
+## Situação atual (1.3.1) contra o que se espera de uma suíte forense

 ### 1. Sistemas de arquivos com metadados

@@ -40,12 +42,13 @@ Detalhes de cada versão no [CHANGELOG](CHANGELOG.pt-BR.md).
 | ext2/3/4 | ✅ | Inodes apagados e cópias antigas no diário |
 | HFS+ | ✅ | Sobras de nós da árvore e diário |
 | Btrfs | ✅ | Versões antigas das árvores; extensões zlib, zstd e lzo |
-| XFS | ✅ | Inodes liberados e nomes de entradas liberadas. Testado só com exclusão simulada |
+| XFS | 🟡 | Inodes liberados e nomes de entradas liberadas só funcionam na exclusão simulada. Com exclusão real do kernel (testada no CI) os metadados são zerados: o conteúdo volta por carving, o nome não. **Falta ler o diário** |
 | APFS | 🟡 | Contêiner, mapa de objetos, mapa de espaço livre (spaceman e bitmaps), instantâneos e nós antigos. Exclusão testada só em simulação; contêineres com blocos de endereço de chunk-info (grandes) voltam a varrer o volume inteiro |
 | ReFS | 🔜 | Hoje só é detectado; a recuperação depende do carving. Falta imagem de referência |
 | Storage Spaces | 🔜 | Não feito. Falta imagem de referência |
 | NTFS: atributos comprimidos, EFS, lista de atributos | 🔜 | Hoje marcados como incompletos |
-| Validação de XFS e APFS com exclusão real | 🔜 | Trocar a simulação por imagens de dispositivos reais |
+| XFS: nomes e pastas após exclusão real (ler o diário) | 🔜 | O teste no CI existe e fica ignorado até isso entrar |
+| Validação de APFS com exclusão real | 🔜 | Precisa de imagem de um Mac de verdade |

 ### 2. Volumes cifrados

@@ -68,7 +71,8 @@ Hoje o Guará abre volumes quando você **já tem** a senha ou a chave. Recupera
 | E01 e Ex01: leitura, gravação e `guara verify` | ✅ |
 | AFF4: leitura e gravação | ✅ |
 | Contêineres de disco virtual: QCOW2, VMDK, VHD, VHDX e DMG (leitura) | ✅ |
-| QCOW2 com arquivo de apoio, snapshots de VMDK, DMG com LZFSE ou com senha | 🔜 |
+| QCOW2 com arquivo de apoio, snapshots de VMDK (por nome ou UUID do VirtualBox), DMG com LZFSE | ✅ |
+| DMG com senha, conferência da identidade do pai em VHD, VHDX e QCOW2 | 🔜 |
 | Imagem de dispositivo móvel (ver item 7) | 🔭 |

 ### 4. Montagem de discos soltos
@@ -129,7 +133,8 @@ O acesso físico é o diferencial de ferramentas comerciais como a Cellebrite. D
 | Relatório HTML com caso, examinador, origem, partições, resumo e hashes | ✅ |
 | Verificação de imagem E01/Ex01 contra o hash gravado | ✅ |
 | **Trilha de auditoria** de cada ação do perito (quem, quando, o quê), encadeada por hash, com `guara audit --verify` | ✅ |
-| **Relatórios assinados** digitalmente e manifesto com carimbo de tempo | 🔜 |
+| **Assinatura digital** (Ed25519) de manifestos, relatórios e qualquer arquivo; `guara sign recovery` confere uma pasta de recuperação inteira | ✅ |
+| Carimbo de tempo de terceiros (RFC 3161) nas assinaturas | 🔜 |
 | **Reprodutibilidade:** repetir o procedimento gravado e obter o mesmo resultado | 🔜 |
 | Relatório em PDF (A4, próprio) | ✅ |
 | **Validação externa:** testes do NIST CFTT (Computer Forensic Tool Testing) e publicação dos resultados | 🔭 |
@@ -155,7 +160,8 @@ A validação externa é o que faz um laudo ser aceito. Sem ela, o Guará serve
 |---|---|
 | CLI e interface para Windows, Linux e macOS | ✅ |
 | CI em três sistemas, release automática por tag | ✅ |
-| Testes com imagens reais em Windows e macOS (hoje só Linux) | 🔜 |
+| Testes com imagens de referência reais em Linux, macOS e Windows | ✅ |
+| Atualização dentro do app desktop (pacotes assinados, um clique) | ✅ |
 | GUI: processo auxiliar privilegiado em vez de reiniciar o app inteiro como administrador | 🔜 |
 | Binários assinados e notarizados | 🔜 |
 | Pacotes em gerenciadores (winget, Homebrew, Flatpak) | 🔭 |
@@ -164,17 +170,17 @@ A validação externa é o que faz um laudo ser aceito. Sem ela, o Guará serve

 Sem datas, na ordem em que fazem mais sentido.

-**1.1: confiança e custódia**
-Manifesto assinado, validação de XFS e APFS com exclusões reais, testes com imagens reais no Windows e macOS.
+**1.4: confiança e custódia**
+Carimbo de tempo de terceiros, leitura do diário do XFS, validação de APFS com exclusões reais.

-**1.2: análise**
+**1.5: análise**
 NSRL e listas de hashes, busca em conteúdo de arquivos, linha do tempo unificada.

-**1.3: artefatos**
+**1.6: artefatos**
 Registro do Windows, navegadores, EVTX e os apps de mensagem mais comuns, apoiados no leitor de SQLite.

-**1.4: mais estrutura**
-ReFS e Storage Spaces (quando houver imagem de referência), outros contêineres de imagem (VMDK, VHD, QCOW2), carving fragmentado ampliado.
+**1.7: mais estrutura**
+ReFS e Storage Spaces (quando houver imagem de referência), DMG com senha, conferência da identidade do pai em VHD, VHDX e QCOW2, carving fragmentado ampliado.

 **2.0: dispositivos móveis e validação**
 Backups do iTunes, ADB e backups do Android; submissão aos testes do NIST CFTT.
@@ -3,7 +3,7 @@
 [package]
 name = "guara-gui"
 description = "Guará: interface gráfica de recuperação de arquivos"
-version = "1.2.0"
+version = "1.3.1"
 edition = "2021"
 license = "MIT OR Apache-2.0"
 repository = "https://github.com/lucasrguerra/guara"
@@ -17,6 +17,8 @@ tauri-build = { version = "2", features = [] }
 [dependencies]
 tauri = { version = "2", features = [] }
 tauri-plugin-dialog = "2"
+tauri-plugin-updater = "2"
+serde = { version = "1", features = ["derive"] }
 serde_json = "1"
 guara-core = { path = "../../../crates/guara-core" }

@@ -15,6 +15,73 @@ async fn rpc(state: tauri::State<'_, State>, method: String, params: serde_json:
        .map_err(|e| e.to_string())?
 }

+/// Versão nova encontrada na release do GitHub.
+#[derive(serde::Serialize)]
+struct UpdateInfo {
+    current: String,
+    version: String,
+    notes: String,
+    /// O app consegue se atualizar sozinho (AppImage, Windows e macOS). Instalação por pacote
+    /// (.deb/.rpm) só avisa e leva à página da release.
+    auto: bool,
+    url: String,
+}
+
+fn self_update_possible() -> bool {
+    !cfg!(target_os = "linux") || std::env::var_os("APPIMAGE").is_some()
+}
+
+/// Procura uma versão mais nova. `None` = já está na última.
+#[tauri::command]
+async fn update_check(app: tauri::AppHandle) -> Result<Option<UpdateInfo>, String> {
+    use tauri_plugin_updater::UpdaterExt;
+    let found = app.updater().map_err(|e| e.to_string())?.check().await.map_err(|e| e.to_string())?;
+    Ok(found.map(|u| UpdateInfo {
+        current: u.current_version.clone(),
+        notes: u.body.clone().unwrap_or_default(),
+        url: format!("https://github.com/lucasrguerra/guara/releases/tag/v{}", u.version),
+        version: u.version,
+        auto: self_update_possible(),
+    }))
+}
+
+/// Baixa, confere a assinatura (chave pública embutida no app), instala e reabre o app.
+/// O progresso sai no evento `update-progress`.
+#[tauri::command]
+async fn update_install(app: tauri::AppHandle) -> Result<(), String> {
+    use tauri::Emitter;
+    use tauri_plugin_updater::UpdaterExt;
+    if !self_update_possible() {
+        return Err("Esta instalação não se atualiza sozinha (pacote do sistema). Baixe a versão nova na página da release.".into());
+    }
+    let update = app
+        .updater()
+        .map_err(|e| e.to_string())?
+        .check()
+        .await
+        .map_err(|e| e.to_string())?
+        .ok_or("Já está na versão mais recente.")?;
+    let (a, b) = (app.clone(), app.clone());
+    let mut got = 0u64;
+    update
+        .download_and_install(
+            move |chunk, total| {
+                got += chunk as u64;
+                let _ = a.emit("update-progress", serde_json::json!({ "downloaded": got, "total": total }));
+            },
+            move || {
+                let _ = b.emit("update-progress", serde_json::json!({ "installing": true }));
+            },
+        )
+        .await
+        .map_err(|e| format!("Não foi possível atualizar: {e}"))?;
+    // Rodando como administrador, o arquivo novo nasce do root: devolve ao usuário que abriu o app.
+    if let Some(p) = std::env::var_os("APPIMAGE") {
+        guara_core::owner::give_to_user(std::path::Path::new(&p));
+    }
+    app.restart()
+}
+
 /// Reabre o app com privilégios de administrador (Linux/macOS). No Windows o
 /// manifesto já exige elevação. O app novo encerra este quando abre; se a
 /// autorização falhar, a janela continua aqui e a interface mostra o motivo.
@@ -155,6 +222,7 @@ fn main() {
    let for_protocol = engine.clone();
    tauri::Builder::default()
        .plugin(tauri_plugin_dialog::init())
+        .plugin(tauri_plugin_updater::Builder::new().build())
        .manage(State(engine))
        .register_asynchronous_uri_scheme_protocol("guara", move |_ctx, request, responder| {
            let eng = for_protocol.clone();
@@ -176,7 +244,7 @@ fn main() {
            }
            Ok(())
        })
-        .invoke_handler(tauri::generate_handler![rpc, relaunch_elevated])
+        .invoke_handler(tauri::generate_handler![rpc, relaunch_elevated, update_check, update_install])
        .run(tauri::generate_context!())
        .expect("erro ao iniciar o Guará");
 }
@@ -1,7 +1,7 @@
 {
  "$schema": "https://schema.tauri.app/config/2",
  "productName": "Guara",
-  "version": "1.2.0",
+  "version": "1.3.1",
  "identifier": "dev.guara.app",
  "build": {
    "frontendDist": "../ui"
@@ -34,6 +34,18 @@
      "icons/128x128@2x.png",
      "icons/icon.icns",
      "icons/icon.ico"
-    ]
+    ],
+    "createUpdaterArtifacts": true
+  },
+  "plugins": {
+    "updater": {
+      "pubkey": "dW50cnVzdGVkIGNvbW1lbnQ6IG1pbmlzaWduIHB1YmxpYyBrZXk6IDhENzRCRUU5NEI3QTAxQzgKUldUSUFYcEw2YjUwamFzMnpXM3ZKTEZPN1JIeXdLL3Q5SEF1M1FxQ284WFM0UWNsdlAyNUloWTEK",
+      "endpoints": [
+        "https://github.com/lucasrguerra/guara/releases/latest/download/latest.json"
+      ],
+      "windows": {
+        "installMode": "passive"
+      }
+    }
  }
 }
@@ -332,7 +332,7 @@ dialog.lightbox[open] { display: grid; }
 .lb-head .ttl { flex: 1; min-width: 0; } .lb-head .ttl b { display: block; white-space: nowrap; overflow: hidden; text-overflow: ellipsis; } .lb-head .ttl small { color: var(--text-2); }
 .lb-body { padding: 12px; min-height: 0; }

-.hero-logo { width: min(440px, 80%); height: auto; display: block; margin: 0 0 22px -4px; }
+.hero-logo { width: min(340px, 70%); height: auto; margin: 0 0 14px -6px; }
 .pill.accent { background: var(--accent-soft); color: var(--accent); }

 /* ------------------------------------------------------------ explorador de arquivos */
@@ -516,5 +516,14 @@ dialog.lightbox[open] { display: grid; }
 .h-dot { display: inline-block; width: 9px; height: 9px; border-radius: 50%; background: var(--ok); }
 .h-dot.warning { background: var(--warn); } .h-dot.failing { background: var(--bad); }

-/* logo inline: segue o tema escolhido no app, não o do sistema */
-.logo .a { stroke: var(--accent); } .logo .b { stroke: var(--accent-2); } .logo .t { fill: var(--text); }
+/* logo: uma arte só (laranja sobre transparente) serve aos temas claro e escuro */
+.logo-img { display: block; flex: none; }
+
+/* atualização do app */
+.update-card { position: fixed; right: 18px; bottom: 18px; z-index: 60; width: min(400px, calc(100vw - 36px)); display: grid; gap: 10px; padding: 16px 18px; border-radius: 18px; background: var(--surface); box-shadow: var(--shadow); border: 1px solid color-mix(in srgb, var(--accent) 35%, transparent); }
+.update-card .upd-head { display: grid; gap: 2px; }
+.update-card .upd-ver { font-size: 12.5px; color: var(--text-2); }
+.update-card .upd-url { word-break: break-all; font-size: 12.5px; }
+.update-card .upd-actions { display: flex; gap: 8px; flex-wrap: wrap; }
+.update-card .sub { margin: 0; }
+pre.upd-notes { max-height: 50vh; overflow: auto; white-space: pre-wrap; font-size: 13px; }
@@ -53,7 +53,7 @@ document.querySelectorAll('[data-theme-pick]').forEach((b) => (b.onclick = async

 // ------------------------------------------------------------------ configurações
 // (declarado antes do uso: `S` é definido mais abaixo, por isso o objeto fica aqui)
-const SETTINGS = { theme: 'auto', lang: 'auto', ui_lang: null, notify: true, maps: false };
+const SETTINGS = { theme: 'auto', lang: 'auto', ui_lang: null, notify: true, maps: false, updates: true };
 async function saveSettings(patch) {
  Object.assign(SETTINGS, patch);
  try { await rpc('settings_set', SETTINGS); } catch { /* segue só com o armazenamento local */ }
@@ -265,7 +265,7 @@ function renderHome() {
  S.device = null; S.job = null;
  renderSide();
  main.innerHTML = `<div class="page">
-    <section class="hero"><img class="hero-logo" src="guara-logo.svg" alt="Guará"><h1>Encontre o que você achou que tinha perdido.</h1>
+    <section class="hero"><img class="logo-img hero-logo" src="guara.png" alt="Guará"><h1>Encontre o que você achou que tinha perdido.</h1>
    <p>Escolha um disco, SSD ou pendrive ao lado. O Guará lê tudo: arquivos apagados, partições perdidas e espaço não particionado, sem escrever nada no disco de origem.</p></section>
    <div class="cards">
      <div class="card"><h3>Uma varredura, tudo junto</h3><p>Metadados do sistema de arquivos e busca por assinatura na mesma passada, sem duplicatas.</p></div>
@@ -745,11 +745,14 @@ $('#settingsBtn')?.addEventListener('click', () => {
    <label class="fld"><span>Idioma</span><select class="select" name="lang"><option value="auto">Auto</option><option value="pt">Português</option><option value="en">English</option></select></label>
    <label class="check"><input type="checkbox" name="notify" ${SETTINGS.notify ? 'checked' : ''}><span><b>Notificações</b><br><span class="sub">Avisar quando uma tarefa longa terminar</span></span></label>
    <label class="check"><input type="checkbox" name="maps" ${SETTINGS.maps ? 'checked' : ''}><span><b>Mapas online</b><br><span class="sub">Mostrar mapas das fotos com GPS (usa a internet: baixa blocos do OpenStreetMap)</span></span></label>
+    ${tauri?.core?.invoke ? `<label class="check"><input type="checkbox" name="updates" ${SETTINGS.updates ? 'checked' : ''}><span><b>Atualizações automáticas</b><br><span class="sub">Ao abrir, consulta o GitHub para ver se há versão nova (uma consulta, sem enviar dados seus)</span><br><button type="button" class="btn sm" id="updNow">Verificar agora</button></span></label>` : ''}
    <menu><button class="btn" value="cancel">Cancelar</button><button class="btn primary" value="ok">Salvar</button></menu></form>`;
  d.querySelector('[name=lang]').value = SETTINGS.lang;
+  d.querySelector('#updNow')?.addEventListener('click', (e) => { e.preventDefault(); checkUpdate(true); });
  d.onclose = () => {
    if (d.returnValue !== 'ok') return;
    const patch = { lang: d.querySelector('[name=lang]').value, notify: d.querySelector('[name=notify]').checked, maps: d.querySelector('[name=maps]').checked };
+    if (d.querySelector('[name=updates]')) patch.updates = d.querySelector('[name=updates]').checked;
    setLang(patch.lang);
    patch.ui_lang = currentLang();
    saveSettings(patch);
@@ -759,6 +762,64 @@ $('#settingsBtn')?.addEventListener('click', () => {
  d.showModal();
 });

+// ------------------------------------------------------------------ atualização do app
+// O núcleo do app (Tauri) consulta o `latest.json` da release no GitHub, confere a assinatura do
+// pacote com a chave pública embutida, instala e reabre. No navegador (`guara ui`) não há nada a fazer.
+let UPD = null;
+
+async function checkUpdate(manual) {
+  if (!tauri?.core?.invoke) return;
+  try {
+    UPD = await tauri.core.invoke('update_check');
+    renderUpdateCard();
+    if (manual) toast(UPD ? `Nova versão ${UPD.version} disponível` : 'Você já está na versão mais recente');
+  } catch (e) {
+    if (manual) toast(`Não foi possível verificar atualizações: ${e}`);
+  }
+}
+
+function renderUpdateCard(state) {
+  let el = $('#updateCard');
+  if (!UPD) { el?.remove(); return; }
+  if (!el) { el = document.createElement('div'); el.id = 'updateCard'; el.className = 'update-card'; el.setAttribute('role', 'status'); document.body.appendChild(el); }
+  if (state === 'busy') return;
+  el.innerHTML = `<div class="upd-head"><b>Nova versão do Guará disponível</b><span class="mono upd-ver">v${esc(UPD.current)} → v${esc(UPD.version)}</span></div>
+    ${UPD.auto ? '' : '<p class="sub">Esta instalação vem de um pacote do sistema e não se atualiza sozinha. Baixe a versão nova na página da release:</p><p class="mono upd-url">' + esc(UPD.url) + '</p>'}
+    <div class="upd-actions">
+      ${UPD.auto ? '<button class="btn primary sm" id="updGo">Atualizar agora</button>' : ''}
+      ${UPD.notes ? '<button class="btn sm" id="updNotes">Novidades</button>' : ''}
+      <button class="btn sm" id="updLater">Depois</button>
+    </div>`;
+  $('#updGo')?.addEventListener('click', installUpdate);
+  $('#updLater')?.addEventListener('click', () => { UPD = null; el.remove(); });
+  $('#updNotes')?.addEventListener('click', () => info({ title: `Guará ${UPD.version}`, html: `<pre class="upd-notes">${esc(UPD.notes)}</pre>` }));
+}
+
+async function installUpdate() {
+  const el = $('#updateCard');
+  el.innerHTML = `<div class="upd-head"><b>Atualizando o Guará…</b></div>
+    <div class="bar indet" id="updBar"><i style="width:0"></i></div><p class="sub" id="updMsg">Baixando a atualização…</p>`;
+  renderUpdateCard('busy');
+  try {
+    await tauri.core.invoke('update_install');
+  } catch (e) {
+    toast(String(e));
+    renderUpdateCard();
+  }
+}
+
+function updateProgress(p) {
+  const bar = $('#updBar'); const msg = $('#updMsg');
+  if (!bar || !msg) return;
+  if (p.installing) { bar.classList.add('indet'); msg.textContent = 'Instalando… o Guará vai reabrir sozinho.'; return; }
+  if (p.total) {
+    const pct = Math.min(100, Math.round((p.downloaded / p.total) * 100));
+    bar.classList.remove('indet');
+    bar.firstElementChild.style.width = `${pct}%`;
+    msg.textContent = `Baixando… ${pct}%`;
+  }
+}
+
 // ------------------------------------------------------------------ fechar com varredura em andamento
 function askClose() {
  return new Promise((resolve) => {
@@ -807,6 +868,8 @@ function watchClose() {
    setLang(SETTINGS.lang);
    if (SETTINGS.ui_lang !== currentLang()) saveSettings({ ui_lang: currentLang() });
    watchClose();
+    tauri?.event?.listen?.('update-progress', (e) => updateProgress(e.payload));
+    if (SETTINGS.updates !== false) checkUpdate(false);
    tauri?.event?.listen?.('elevate-failed', (e) => { toast(String(e.payload || 'Não foi possível reiniciar como administrador')); });
  } catch (e) {
    main.innerHTML = `<div class="page"><div class="notice bad">${warnSvg}<div>Não foi possível falar com o núcleo do Guará: ${esc(e.message)}. Se abriu esta página manualmente, use o endereço completo exibido pelo comando <code>guara ui</code> (ele inclui o token).</div></div></div>`;
@@ -1 +0,0 @@
-<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 100 100" role="img" aria-label="Guará"><style>.a{stroke:#0f766e}.b{stroke:#14b8a6}.t{fill:#1d1d1f}@media (prefers-color-scheme:dark){.a{stroke:#2dd4bf}.b{stroke:#5eead4}.t{fill:#f5f5f7}}</style><defs><clipPath id="g-head"><path d="M50 95 C46 88 43 80 40 74 C33 70 25 64 22 56 L14 6 L36 30 C40 28 45 27 50 27 C55 27 60 28 64 30 L86 6 L78 56 C75 64 67 70 60 74 C57 80 54 88 50 95 Z"/></clipPath></defs><g clip-path="url(#g-head)" fill="none" stroke-width="4.2"><path class="a" d="M50 93A7 7 0 0 1 50 107"/><path class="b" d="M50 93A7 7 0 0 0 50 107" stroke-dasharray="3 3" stroke-dashoffset="0"/><path class="a" d="M50 86A14 14 0 0 1 50 114"/><path class="b" d="M50 86A14 14 0 0 0 50 114" stroke-dasharray="6 4" stroke-dashoffset="3"/><path class="a" d="M50 79A21 21 0 0 1 50 121"/><path class="b" d="M50 79A21 21 0 0 0 50 121" stroke-dasharray="9 5" stroke-dashoffset="6"/><path class="a" d="M50 72A28 28 0 0 1 50 128"/><path class="b" d="M50 72A28 28 0 0 0 50 128" stroke-dasharray="3 6" stroke-dashoffset="9"/><path class="a" d="M50 65A35 35 0 0 1 50 135"/><path class="b" d="M50 65A35 35 0 0 0 50 135" stroke-dasharray="6 3" stroke-dashoffset="12"/><path class="a" d="M50 58A42 42 0 0 1 50 142"/><path class="b" d="M50 58A42 42 0 0 0 50 142" stroke-dasharray="9 4" stroke-dashoffset="15"/><path class="a" d="M50 51A49 49 0 0 1 50 149"/><path class="b" d="M50 51A49 49 0 0 0 50 149" stroke-dasharray="3 5" stroke-dashoffset="18"/><path class="a" d="M50 44A56 56 0 0 1 50 156"/><path class="b" d="M50 44A56 56 0 0 0 50 156" stroke-dasharray="6 6" stroke-dashoffset="21"/><path class="a" d="M50 37A63 63 0 0 1 50 163"/><path class="b" d="M50 37A63 63 0 0 0 50 163" stroke-dasharray="9 3" stroke-dashoffset="24"/><path class="a" d="M50 30A70 70 0 0 1 50 170"/><path class="b" d="M50 30A70 70 0 0 0 50 170" stroke-dasharray="3 4" stroke-dashoffset="27"/><path class="a" d="M50 23A77 77 0 0 1 50 177"/><path class="b" d="M50 23A77 77 0 0 0 50 177" stroke-dasharray="6 5" stroke-dashoffset="30"/><path class="a" d="M50 16A84 84 0 0 1 50 184"/><path class="b" d="M50 16A84 84 0 0 0 50 184" stroke-dasharray="9 6" stroke-dashoffset="33"/><path class="a" d="M50 9A91 91 0 0 1 50 191"/><path class="b" d="M50 9A91 91 0 0 0 50 191" stroke-dasharray="3 3" stroke-dashoffset="36"/><path class="a" d="M50 2A98 98 0 0 1 50 198"/><path class="b" d="M50 2A98 98 0 0 0 50 198" stroke-dasharray="6 4" stroke-dashoffset="39"/><rect class="t" stroke="none" x="0" y="74" width="100" height="30"/></g><path class="t" d="M37 50Q42 47 46 52Q41 53 37 50ZM63 50Q58 47 54 52Q59 53 63 50Z"/></svg>
@@ -1 +0,0 @@
-<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 100 100" role="img" aria-label="Guará"><style>.a{stroke:#0f766e}.b{stroke:#14b8a6}.t{fill:#1d1d1f}@media (prefers-color-scheme:dark){.a{stroke:#2dd4bf}.b{stroke:#5eead4}.t{fill:#f5f5f7}}</style><defs><clipPath id="g-head"><path d="M50 95 C46 88 43 80 40 74 C33 70 25 64 22 56 L14 6 L36 30 C40 28 45 27 50 27 C55 27 60 28 64 30 L86 6 L78 56 C75 64 67 70 60 74 C57 80 54 88 50 95 Z"/></clipPath></defs><g clip-path="url(#g-head)" fill="none" stroke-width="4.2"><path class="a" d="M50 93A7 7 0 0 1 50 107"/><path class="b" d="M50 93A7 7 0 0 0 50 107" stroke-dasharray="3 3" stroke-dashoffset="0"/><path class="a" d="M50 86A14 14 0 0 1 50 114"/><path class="b" d="M50 86A14 14 0 0 0 50 114" stroke-dasharray="6 4" stroke-dashoffset="3"/><path class="a" d="M50 79A21 21 0 0 1 50 121"/><path class="b" d="M50 79A21 21 0 0 0 50 121" stroke-dasharray="9 5" stroke-dashoffset="6"/><path class="a" d="M50 72A28 28 0 0 1 50 128"/><path class="b" d="M50 72A28 28 0 0 0 50 128" stroke-dasharray="3 6" stroke-dashoffset="9"/><path class="a" d="M50 65A35 35 0 0 1 50 135"/><path class="b" d="M50 65A35 35 0 0 0 50 135" stroke-dasharray="6 3" stroke-dashoffset="12"/><path class="a" d="M50 58A42 42 0 0 1 50 142"/><path class="b" d="M50 58A42 42 0 0 0 50 142" stroke-dasharray="9 4" stroke-dashoffset="15"/><path class="a" d="M50 51A49 49 0 0 1 50 149"/><path class="b" d="M50 51A49 49 0 0 0 50 149" stroke-dasharray="3 5" stroke-dashoffset="18"/><path class="a" d="M50 44A56 56 0 0 1 50 156"/><path class="b" d="M50 44A56 56 0 0 0 50 156" stroke-dasharray="6 6" stroke-dashoffset="21"/><path class="a" d="M50 37A63 63 0 0 1 50 163"/><path class="b" d="M50 37A63 63 0 0 0 50 163" stroke-dasharray="9 3" stroke-dashoffset="24"/><path class="a" d="M50 30A70 70 0 0 1 50 170"/><path class="b" d="M50 30A70 70 0 0 0 50 170" stroke-dasharray="3 4" stroke-dashoffset="27"/><path class="a" d="M50 23A77 77 0 0 1 50 177"/><path class="b" d="M50 23A77 77 0 0 0 50 177" stroke-dasharray="6 5" stroke-dashoffset="30"/><path class="a" d="M50 16A84 84 0 0 1 50 184"/><path class="b" d="M50 16A84 84 0 0 0 50 184" stroke-dasharray="9 6" stroke-dashoffset="33"/><path class="a" d="M50 9A91 91 0 0 1 50 191"/><path class="b" d="M50 9A91 91 0 0 0 50 191" stroke-dasharray="3 3" stroke-dashoffset="36"/><path class="a" d="M50 2A98 98 0 0 1 50 198"/><path class="b" d="M50 2A98 98 0 0 0 50 198" stroke-dasharray="6 4" stroke-dashoffset="39"/><rect class="t" stroke="none" x="0" y="74" width="100" height="30"/></g><path class="t" d="M37 50Q42 47 46 52Q41 53 37 50ZM63 50Q58 47 54 52Q59 53 63 50Z"/></svg>
@@ -575,4 +575,19 @@ export const EN = {
  '{n} · {n}{n} · confiança {n} · {n} de {n}': '{n} · {n}{n} · confidence {n} · {n} of {n}',
  'e mais {n}…': 'and {n} more…',
  'abre no seu player: o navegador embutido do Linux não traz os codecs e travaria a janela.': 'opens in your player: the embedded Linux browser does not include the codecs and would freeze the window.',
+  'Nova versão do Guará disponível': 'New Guará version available',
+  'Atualizar agora': 'Update now',
+  'Novidades': 'What\'s new',
+  'Depois': 'Later',
+  'Atualizando o Guará…': 'Updating Guará…',
+  'Baixando a atualização…': 'Downloading the update…',
+  'Baixando… {n}%': 'Downloading… {n}%',
+  'Instalando… o Guará vai reabrir sozinho.': 'Installing… Guará will reopen by itself.',
+  'Esta instalação vem de um pacote do sistema e não se atualiza sozinha. Baixe a versão nova na página da release:': 'This install comes from a system package and cannot update itself. Download the new version from the release page:',
+  'Atualizações automáticas': 'Automatic updates',
+  'Ao abrir, consulta o GitHub para ver se há versão nova (uma consulta, sem enviar dados seus)': 'On startup, checks GitHub for a new version (one request, nothing of yours is sent)',
+  'Verificar agora': 'Check now',
+  'Nova versão {n} disponível': 'New version {n} available',
+  'Você já está na versão mais recente': 'You are already on the latest version',
+  'Não foi possível verificar atualizações: {n}': 'Could not check for updates: {n}',
 };
@@ -5,7 +5,7 @@
  <meta name="viewport" content="width=device-width, initial-scale=1, viewport-fit=cover">
  <meta name="color-scheme" content="light dark">
  <title>Guará</title>
-  <link rel="icon" href="guara.svg" type="image/svg+xml">
+  <link rel="icon" href="guara-s.png" type="image/png">
  <link rel="stylesheet" href="app.css">
 </head>
 <body>
@@ -14,10 +14,10 @@
      <button class="icon-btn" id="menuBtn" aria-label="Abrir menu" aria-expanded="false">
        <svg viewBox="0 0 24 24" width="22" height="22"><path d="M4 7h16M4 12h16M4 17h16" stroke="currentColor" stroke-width="2" stroke-linecap="round" fill="none"/></svg>
      </button>
-      <svg class="logo" width="24" height="24" aria-hidden="true" xmlns="http://www.w3.org/2000/svg" viewBox="0 0 100 100"><defs><clipPath id="g-head-top"><path d="M50 95 C46 88 43 80 40 74 C33 70 25 64 22 56 L14 6 L36 30 C40 28 45 27 50 27 C55 27 60 28 64 30 L86 6 L78 56 C75 64 67 70 60 74 C57 80 54 88 50 95 Z"/></clipPath></defs><g clip-path="url(#g-head-top)" fill="none" stroke-width="4.2"><path class="a" d="M50 93A7 7 0 0 1 50 107"/><path class="b" d="M50 93A7 7 0 0 0 50 107" stroke-dasharray="3 3" stroke-dashoffset="0"/><path class="a" d="M50 86A14 14 0 0 1 50 114"/><path class="b" d="M50 86A14 14 0 0 0 50 114" stroke-dasharray="6 4" stroke-dashoffset="3"/><path class="a" d="M50 79A21 21 0 0 1 50 121"/><path class="b" d="M50 79A21 21 0 0 0 50 121" stroke-dasharray="9 5" stroke-dashoffset="6"/><path class="a" d="M50 72A28 28 0 0 1 50 128"/><path class="b" d="M50 72A28 28 0 0 0 50 128" stroke-dasharray="3 6" stroke-dashoffset="9"/><path class="a" d="M50 65A35 35 0 0 1 50 135"/><path class="b" d="M50 65A35 35 0 0 0 50 135" stroke-dasharray="6 3" stroke-dashoffset="12"/><path class="a" d="M50 58A42 42 0 0 1 50 142"/><path class="b" d="M50 58A42 42 0 0 0 50 142" stroke-dasharray="9 4" stroke-dashoffset="15"/><path class="a" d="M50 51A49 49 0 0 1 50 149"/><path class="b" d="M50 51A49 49 0 0 0 50 149" stroke-dasharray="3 5" stroke-dashoffset="18"/><path class="a" d="M50 44A56 56 0 0 1 50 156"/><path class="b" d="M50 44A56 56 0 0 0 50 156" stroke-dasharray="6 6" stroke-dashoffset="21"/><path class="a" d="M50 37A63 63 0 0 1 50 163"/><path class="b" d="M50 37A63 63 0 0 0 50 163" stroke-dasharray="9 3" stroke-dashoffset="24"/><path class="a" d="M50 30A70 70 0 0 1 50 170"/><path class="b" d="M50 30A70 70 0 0 0 50 170" stroke-dasharray="3 4" stroke-dashoffset="27"/><path class="a" d="M50 23A77 77 0 0 1 50 177"/><path class="b" d="M50 23A77 77 0 0 0 50 177" stroke-dasharray="6 5" stroke-dashoffset="30"/><path class="a" d="M50 16A84 84 0 0 1 50 184"/><path class="b" d="M50 16A84 84 0 0 0 50 184" stroke-dasharray="9 6" stroke-dashoffset="33"/><path class="a" d="M50 9A91 91 0 0 1 50 191"/><path class="b" d="M50 9A91 91 0 0 0 50 191" stroke-dasharray="3 3" stroke-dashoffset="36"/><path class="a" d="M50 2A98 98 0 0 1 50 198"/><path class="b" d="M50 2A98 98 0 0 0 50 198" stroke-dasharray="6 4" stroke-dashoffset="39"/><rect class="t" stroke="none" x="0" y="74" width="100" height="30"/></g><path class="t" d="M37 50Q42 47 46 52Q41 53 37 50ZM63 50Q58 47 54 52Q59 53 63 50Z"/></svg><strong>Guará</strong>
+      <img class="logo-img" src="guara-s.png" width="24" height="24" alt=""><strong>Guará</strong>
    </header>
    <aside class="sidebar" id="sidebar" aria-label="Dispositivos e sessões">
-      <div class="brand"><svg class="logo" width="30" height="30" aria-hidden="true" xmlns="http://www.w3.org/2000/svg" viewBox="0 0 100 100"><defs><clipPath id="g-head-side"><path d="M50 95 C46 88 43 80 40 74 C33 70 25 64 22 56 L14 6 L36 30 C40 28 45 27 50 27 C55 27 60 28 64 30 L86 6 L78 56 C75 64 67 70 60 74 C57 80 54 88 50 95 Z"/></clipPath></defs><g clip-path="url(#g-head-side)" fill="none" stroke-width="4.2"><path class="a" d="M50 93A7 7 0 0 1 50 107"/><path class="b" d="M50 93A7 7 0 0 0 50 107" stroke-dasharray="3 3" stroke-dashoffset="0"/><path class="a" d="M50 86A14 14 0 0 1 50 114"/><path class="b" d="M50 86A14 14 0 0 0 50 114" stroke-dasharray="6 4" stroke-dashoffset="3"/><path class="a" d="M50 79A21 21 0 0 1 50 121"/><path class="b" d="M50 79A21 21 0 0 0 50 121" stroke-dasharray="9 5" stroke-dashoffset="6"/><path class="a" d="M50 72A28 28 0 0 1 50 128"/><path class="b" d="M50 72A28 28 0 0 0 50 128" stroke-dasharray="3 6" stroke-dashoffset="9"/><path class="a" d="M50 65A35 35 0 0 1 50 135"/><path class="b" d="M50 65A35 35 0 0 0 50 135" stroke-dasharray="6 3" stroke-dashoffset="12"/><path class="a" d="M50 58A42 42 0 0 1 50 142"/><path class="b" d="M50 58A42 42 0 0 0 50 142" stroke-dasharray="9 4" stroke-dashoffset="15"/><path class="a" d="M50 51A49 49 0 0 1 50 149"/><path class="b" d="M50 51A49 49 0 0 0 50 149" stroke-dasharray="3 5" stroke-dashoffset="18"/><path class="a" d="M50 44A56 56 0 0 1 50 156"/><path class="b" d="M50 44A56 56 0 0 0 50 156" stroke-dasharray="6 6" stroke-dashoffset="21"/><path class="a" d="M50 37A63 63 0 0 1 50 163"/><path class="b" d="M50 37A63 63 0 0 0 50 163" stroke-dasharray="9 3" stroke-dashoffset="24"/><path class="a" d="M50 30A70 70 0 0 1 50 170"/><path class="b" d="M50 30A70 70 0 0 0 50 170" stroke-dasharray="3 4" stroke-dashoffset="27"/><path class="a" d="M50 23A77 77 0 0 1 50 177"/><path class="b" d="M50 23A77 77 0 0 0 50 177" stroke-dasharray="6 5" stroke-dashoffset="30"/><path class="a" d="M50 16A84 84 0 0 1 50 184"/><path class="b" d="M50 16A84 84 0 0 0 50 184" stroke-dasharray="9 6" stroke-dashoffset="33"/><path class="a" d="M50 9A91 91 0 0 1 50 191"/><path class="b" d="M50 9A91 91 0 0 0 50 191" stroke-dasharray="3 3" stroke-dashoffset="36"/><path class="a" d="M50 2A98 98 0 0 1 50 198"/><path class="b" d="M50 2A98 98 0 0 0 50 198" stroke-dasharray="6 4" stroke-dashoffset="39"/><rect class="t" stroke="none" x="0" y="74" width="100" height="30"/></g><path class="t" d="M37 50Q42 47 46 52Q41 53 37 50ZM63 50Q58 47 54 52Q59 53 63 50Z"/></svg><div><strong>Guará</strong><small>Recuperação de arquivos</small></div></div>
+      <div class="brand"><img class="logo-img" src="guara-s.png" width="30" height="30" alt=""><div><strong>Guará</strong><small>Recuperação de arquivos</small></div></div>
      <nav>
        <div class="side-title">Dispositivos <button class="icon-btn small" id="refreshBtn" title="Atualizar lista" aria-label="Atualizar lista"><svg viewBox="0 0 24 24" width="16" height="16"><path d="M20 12a8 8 0 1 1-2.5-5.8M20 4v5h-5" stroke="currentColor" stroke-width="2" fill="none" stroke-linecap="round" stroke-linejoin="round"/></svg></button></div>
        <ul id="deviceList" class="list"></ul>
@@ -18,6 +18,45 @@ struct Cli {
    cmd: Cmd,
 }

+#[derive(Subcommand)]
+enum SignCmd {
+    /// Cria o par de chaves de assinatura (recusa sobrescrever uma chave existente)
+    Keygen {
+        /// Onde gravar a chave privada (padrão: assinatura.key na pasta de configuração ou GUARA_SIGNING_KEY)
+        #[arg(long)]
+        key: Option<String>,
+    },
+    /// Assina um arquivo e grava <arquivo>.assinatura.json
+    File {
+        path: String,
+        #[arg(long)]
+        key: Option<String>,
+        /// Nome de quem assina (padrão: GUARA_EXAMINER)
+        #[arg(long)]
+        signer: Option<String>,
+    },
+    /// Confere a assinatura de um arquivo
+    Verify {
+        path: String,
+        /// Arquivo de assinatura (padrão: <arquivo>.assinatura.json)
+        #[arg(long)]
+        sig: Option<String>,
+        /// Impressão digital esperada da chave, publicada pelo perito
+        #[arg(long)]
+        trust: Option<String>,
+        #[arg(long)]
+        json: bool,
+    },
+    /// Confere uma pasta de recuperação: assinatura do manifesto e hash de cada arquivo
+    Recovery {
+        dir: String,
+        #[arg(long)]
+        trust: Option<String>,
+        #[arg(long)]
+        json: bool,
+    },
+}
+
 #[derive(Subcommand)]
 enum Cmd {
    /// Lista discos e pendrives detectados
@@ -88,6 +127,9 @@ enum Cmd {
    },
    /// Confere uma imagem E01/Ex01: recalcula o MD5 e compara com o gravado na própria imagem
    Verify { path: String },
+    /// Assina e confere arquivos (manifestos, relatórios) e pastas de recuperação com Ed25519
+    #[command(subcommand)]
+    Sign(SignCmd),
    /// Mostra a trilha de auditoria (quem fez o quê e quando) ou confere o encadeamento por hash
    Audit {
        /// Arquivo da trilha (padrão: auditoria.jsonl na pasta de configuração ou GUARA_AUDIT_LOG)
@@ -455,6 +497,7 @@ fn run(cli: Cli) -> Result<(), String> {
            tail,
            json,
        } => audit(log, verify, tail, json),
+        Cmd::Sign(c) => sign_cmd(c),
        Cmd::Image {
            path,
            dest,
@@ -881,6 +924,116 @@ fn audit(log: Option<String>, verify: bool, tail: Option<usize>, json: bool) ->
    Ok(())
 }

+/// `guara sign`: chaves, assinatura e conferência.
+fn sign_cmd(c: SignCmd) -> Result<(), String> {
+    use guara_core::sign;
+    use std::path::{Path, PathBuf};
+    let key_path = |k: Option<String>| k.map(PathBuf::from).unwrap_or_else(sign::default_key_path);
+    match c {
+        SignCmd::Keygen { key } => {
+            let p = key_path(key);
+            let k = sign::SigningKey::generate();
+            k.save(&p).map_err(s)?;
+            guara_core::audit::record("sign.keygen", json!({ "fingerprint": k.fingerprint() }));
+            println!(
+                "Chave privada: {} (guarde uma cópia segura; quem a tem assina em seu nome)",
+                p.display()
+            );
+            println!("Chave pública: {}", p.with_extension("pub").display());
+            println!("Impressão digital: {}", k.fingerprint());
+            println!("Publique a impressão digital fora desta máquina para que outros confiram as assinaturas.");
+            Ok(())
+        }
+        SignCmd::File { path, key, signer } => {
+            let p = key_path(key);
+            let k = sign::SigningKey::load(&p).map_err(s)?;
+            let who = signer.or_else(|| std::env::var("GUARA_EXAMINER").ok());
+            let out = sign::sign_file(&k, Path::new(&path), who.as_deref()).map_err(s)?;
+            guara_core::audit::record(
+                "sign",
+                json!({ "path": path, "signature": out.to_string_lossy() }),
+            );
+            println!("Assinatura gravada em {}", out.display());
+            println!("Impressão digital da chave: {}", k.fingerprint());
+            Ok(())
+        }
+        SignCmd::Verify {
+            path,
+            sig,
+            trust,
+            json,
+        } => {
+            let c = sign::verify_file(
+                Path::new(&path),
+                sig.as_deref().map(Path::new),
+                trust.as_deref(),
+            )
+            .map_err(s)?;
+            guara_core::audit::record("sign.verify", json!({ "path": path, "valid": c.valid }));
+            if json {
+                println!("{}", serde_json::to_string_pretty(&c).unwrap());
+            } else if c.valid {
+                println!("Assinatura válida: o arquivo não mudou desde que foi assinado.");
+                println!(
+                    "Chave: {}  ·  assinado em {}{}",
+                    c.fingerprint,
+                    c.signed_at,
+                    c.signer
+                        .as_ref()
+                        .map(|s| format!(" por {s}"))
+                        .unwrap_or_default()
+                );
+                if c.trusted.is_none() {
+                    println!(
+                        "Confira a impressão digital acima com a que o perito publicou (--trust)."
+                    );
+                }
+            }
+            if c.valid {
+                Ok(())
+            } else {
+                Err(c.problems.join("; "))
+            }
+        }
+        SignCmd::Recovery { dir, trust, json } => {
+            let c = sign::verify_recovery(Path::new(&dir), trust.as_deref()).map_err(s)?;
+            guara_core::audit::record(
+                "sign.verify_recovery",
+                json!({ "dir": dir, "valid": c.valid, "files": c.files }),
+            );
+            if json {
+                println!("{}", serde_json::to_string_pretty(&c).unwrap());
+            } else {
+                println!(
+                    "{} de {} arquivo(s) conferem com o manifesto.",
+                    c.ok, c.files
+                );
+                for f in &c.missing {
+                    println!("  ausente: {f}");
+                }
+                for f in &c.changed {
+                    println!("  alterado: {f}");
+                }
+                match &c.manifest_signature {
+                    Some(m) if m.valid => {
+                        println!("Manifesto assinado e íntegro. Chave: {}", m.fingerprint)
+                    }
+                    Some(m) => println!(
+                        "Assinatura do manifesto com problema: {}",
+                        m.problems.join("; ")
+                    ),
+                    None => println!("Manifesto sem assinatura (assine com guara sign file)."),
+                }
+            }
+            if c.valid {
+                Ok(())
+            } else {
+                Err("a recuperação não confere".into())
+            }
+        }
+    }
+}
+
 fn wait(eng: &Engine, job: &str, session: Option<&str>) -> Result<Value, String> {
    let interrupted = Arc::new(AtomicBool::new(false));
    let flag = interrupted.clone();
@@ -12,9 +12,9 @@ const JS: &str = include_str!("../../../apps/gui/ui/app.js");
 const PREVIEW_JS: &str = include_str!("../../../apps/gui/ui/preview.js");
 const I18N_JS: &str = include_str!("../../../apps/gui/ui/i18n.js");
 const I18N_EN_JS: &str = include_str!("../../../apps/gui/ui/i18n-en.js");
-const LOGO: &str = include_str!("../../../apps/gui/ui/guara-logo.svg");
 const EXPLORER_JS: &str = include_str!("../../../apps/gui/ui/explorer.js");
-const ICON: &str = include_str!("../../../apps/gui/ui/guara.svg");
+const LOGO: &[u8] = include_bytes!("../../../apps/gui/ui/guara.png");
+const LOGO_S: &[u8] = include_bytes!("../../../apps/gui/ui/guara-s.png");
 const PDF_JS: &str = include_str!("../../../apps/gui/ui/vendor/pdf.min.mjs");
 const PDF_WORKER: &str = include_str!("../../../apps/gui/ui/vendor/pdf.worker.min.mjs");

@@ -98,8 +98,11 @@ fn handle(req: Request, eng: &Engine, token: &str, hosts: &[String]) {
                Response::from_string(I18N_EN_JS).with_header(ct("text/javascript; charset=utf-8")),
            );
        }
-        (Method::Get, "/guara-logo.svg") => {
-            let _ = req.respond(Response::from_string(LOGO).with_header(ct("image/svg+xml")));
+        (Method::Get, "/guara.png") => {
+            let _ = req.respond(Response::from_data(LOGO).with_header(ct("image/png")));
+        }
+        (Method::Get, "/guara-s.png") => {
+            let _ = req.respond(Response::from_data(LOGO_S).with_header(ct("image/png")));
        }
        (Method::Get, "/explorer.js") => {
            let _ = req.respond(
@@ -107,9 +110,6 @@ fn handle(req: Request, eng: &Engine, token: &str, hosts: &[String]) {
                    .with_header(ct("text/javascript; charset=utf-8")),
            );
        }
-        (Method::Get, "/guara.svg") => {
-            let _ = req.respond(Response::from_string(ICON).with_header(ct("image/svg+xml")));
-        }
        (Method::Get, "/vendor/pdf.min.mjs") => {
            let _ = req.respond(
                Response::from_string(PDF_JS).with_header(ct("text/javascript; charset=utf-8")),
@@ -29,6 +29,8 @@ hmac = "0.13"
 pbkdf2 = { version = "0.13", default-features = false, features = ["hmac"] }
 ripemd = "0.2"
 argon2 = "0.6"
+ed25519-compact = { version = "2", default-features = false, features = ["random", "std"] }
+lzfse_rust = "0.2.1"

 [target.'cfg(unix)'.dependencies]
 libc = "0.2"
@@ -44,6 +44,7 @@ pub mod scan;
 pub mod search;
 pub mod service;
 pub mod settings;
+pub mod sign;
 pub mod signatures;
 pub mod source;
 pub mod sqlite;
@@ -286,10 +286,9 @@ pub fn recover_resumable(
        "algoritmos_hash": ["MD5", "SHA-1", "SHA-256"],
        "relatorio": &report,
    });
-    crate::owner::write_owned(
-        &dest.join("guara-manifesto.json"),
-        serde_json::to_vec_pretty(&manifest)?,
-    )?;
+    let manifest_path = dest.join("guara-manifesto.json");
+    crate::owner::write_owned(&manifest_path, serde_json::to_vec_pretty(&manifest)?)?;
+    crate::sign::sign_if_configured(&manifest_path);
    Ok(report)
 }

@@ -706,6 +706,7 @@ impl Engine {
            crate::report::html(&input).into_bytes()
        };
        crate::owner::write_owned(Path::new(path), bytes)?;
+        crate::sign::sign_if_configured(Path::new(path));
        crate::audit::record(
            "export.report",
            json!({ "job": id, "source": j.target, "path": path, "case": case.case_id, "examiner": case.examiner }),
@@ -23,6 +23,10 @@ pub struct Settings {
    /// Mostrar mapas das fotos com GPS (baixa blocos do OpenStreetMap pela internet).
    #[serde(default)]
    pub maps: bool,
+    /// Procurar versão nova no GitHub ao abrir o app (uma consulta ao `latest.json` da release,
+    /// sem enviar nada além do que qualquer navegador envia).
+    #[serde(default = "yes")]
+    pub updates: bool,
 }

 fn auto() -> String {
@@ -41,6 +45,7 @@ impl Default for Settings {
            ui_lang: None,
            notify: true,
            maps: false,
+            updates: true,
        }
    }
 }
@@ -0,0 +1,399 @@
+//! Assinatura digital (Ed25519) de manifestos, relatórios e qualquer outro arquivo, e conferência
+//! de uma recuperação inteira.
+//!
+//! A assinatura fica ao lado do arquivo, em `<arquivo>.assinatura.json`, e cobre o SHA-256 do
+//! conteúdo, o tamanho, o nome, a hora e o assinante. Quem confere recalcula o hash do arquivo,
+//! refaz a mensagem a partir dos campos do JSON e valida com a chave pública que vem nele. Isso
+//! prova que o arquivo não mudou desde que foi assinado **por quem tem a chave**; para saber de
+//! quem é a chave, compare a impressão digital (`fingerprint`) com a que o perito publicou ou
+//! registrou fora da máquina, passando-a em `trusted_fingerprint`.
+//!
+//! A hora é a do relógio da máquina de quem assinou: não é um carimbo de tempo de terceiros
+//! (RFC 3161) e, sozinha, não prova *quando* a assinatura foi feita.
+//!
+//! A chave privada fica em `assinatura.key` na pasta de configuração (ou onde
+//! `GUARA_SIGNING_KEY` apontar), em arquivo de texto com permissão 0600 nos sistemas Unix. Quem
+//! precisa de mais proteção deve guardá-la num pendrive ou volume cifrado e apontar para lá.
+
+use crate::error::{Error, Result};
+use ed25519_compact::{KeyPair, Noise, PublicKey, Seed, Signature};
+use serde::{Deserialize, Serialize};
+use sha2::{Digest, Sha256};
+use std::io::Read;
+use std::path::{Path, PathBuf};
+
+const FORMAT: &str = "guara-assinatura-v1";
+const KEY_HEADER: &str = "guara-ed25519-seed-v1";
+const PUB_HEADER: &str = "guara-ed25519-public-v1";
+
+fn hex(b: &[u8]) -> String {
+    b.iter().map(|x| format!("{x:02x}")).collect()
+}
+
+fn unhex(s: &str) -> Option<Vec<u8>> {
+    let s = s.trim();
+    if s.len() % 2 != 0 || !s.is_ascii() {
+        return None;
+    }
+    (0..s.len())
+        .step_by(2)
+        .map(|i| u8::from_str_radix(&s[i..i + 2], 16).ok())
+        .collect()
+}
+
+/// Impressão digital da chave pública: os 10 primeiros bytes do SHA-256, em grupos de 4 hex.
+pub fn fingerprint(public_key: &[u8]) -> String {
+    let h = Sha256::digest(public_key);
+    let h = hex(&h[..10]);
+    h.as_bytes()
+        .chunks(4)
+        .map(|c| std::str::from_utf8(c).unwrap())
+        .collect::<Vec<_>>()
+        .join(":")
+}
+
+/// Compara impressões digitais ignorando maiúsculas, `:` e espaços.
+fn same_fingerprint(a: &str, b: &str) -> bool {
+    let n = |s: &str| {
+        s.chars()
+            .filter(|c| c.is_ascii_hexdigit())
+            .map(|c| c.to_ascii_lowercase())
+            .collect::<String>()
+    };
+    let (a, b) = (n(a), n(b));
+    !a.is_empty() && a == b
+}
+
+/// Par de chaves de assinatura.
+pub struct SigningKey {
+    kp: KeyPair,
+}
+
+impl SigningKey {
+    pub fn generate() -> Self {
+        Self {
+            kp: KeyPair::from_seed(Seed::generate()),
+        }
+    }
+
+    pub fn public_bytes(&self) -> [u8; 32] {
+        *self.kp.pk
+    }
+
+    pub fn fingerprint(&self) -> String {
+        fingerprint(&self.public_bytes())
+    }
+
+    pub fn load(path: &Path) -> Result<Self> {
+        let text = std::fs::read_to_string(path).map_err(|e| {
+            Error::msg(format!(
+                "não foi possível ler a chave {}: {e}",
+                path.display()
+            ))
+        })?;
+        let mut lines = text.lines().map(str::trim).filter(|l| !l.is_empty());
+        if lines.next() != Some(KEY_HEADER) {
+            return Err(Error::msg(format!(
+                "{} não é uma chave de assinatura do Guará",
+                path.display()
+            )));
+        }
+        let seed = lines
+            .next()
+            .and_then(unhex)
+            .and_then(|b| <[u8; 32]>::try_from(b).ok())
+            .ok_or_else(|| Error::msg("chave de assinatura corrompida"))?;
+        Ok(Self {
+            kp: KeyPair::from_seed(Seed::new(seed)),
+        })
+    }
+
+    /// Grava a chave privada (0600 no Unix) e, ao lado, a pública (`.pub`). Recusa sobrescrever.
+    pub fn save(&self, path: &Path) -> Result<()> {
+        use std::io::Write;
+        if let Some(dir) = path.parent() {
+            crate::owner::create_dir_all_owned(dir)?;
+        }
+        let mut opts = std::fs::OpenOptions::new();
+        opts.write(true).create_new(true);
+        #[cfg(unix)]
+        std::os::unix::fs::OpenOptionsExt::mode(&mut opts, 0o600);
+        let mut f = opts.open(path).map_err(|e| {
+            if e.kind() == std::io::ErrorKind::AlreadyExists {
+                Error::msg(format!(
+                    "já existe uma chave em {}; apague-a de propósito se quiser trocar (as assinaturas antigas continuam válidas com a chave pública antiga)",
+                    path.display()
+                ))
+            } else {
+                e.into()
+            }
+        })?;
+        f.write_all(format!("{KEY_HEADER}\n{}\n", hex(self.kp.sk.seed().as_ref())).as_bytes())?;
+        drop(f);
+        crate::owner::give_to_user(path);
+        let pubp = pub_path(path);
+        crate::owner::write_owned(
+            &pubp,
+            format!(
+                "{PUB_HEADER}\n{}\n# impressão digital: {}\n",
+                hex(&self.public_bytes()),
+                self.fingerprint()
+            ),
+        )?;
+        Ok(())
+    }
+}
+
+fn pub_path(key: &Path) -> PathBuf {
+    key.with_extension("pub")
+}
+
+/// `GUARA_SIGNING_KEY` ou `assinatura.key` na pasta de configuração.
+pub fn default_key_path() -> PathBuf {
+    match std::env::var("GUARA_SIGNING_KEY") {
+        Ok(p) if !p.is_empty() => PathBuf::from(p),
+        _ => crate::settings::config_dir().join("assinatura.key"),
+    }
+}
+
+/// Arquivo que acompanha `path` com a assinatura.
+pub fn signature_path(path: &Path) -> PathBuf {
+    let mut n = path.as_os_str().to_os_string();
+    n.push(".assinatura.json");
+    PathBuf::from(n)
+}
+
+#[derive(Debug, Clone, Serialize, Deserialize)]
+pub struct SignatureFile {
+    pub formato: String,
+    pub arquivo: String,
+    pub tamanho: u64,
+    pub sha256: String,
+    pub assinado_em: String,
+    #[serde(default, skip_serializing_if = "Option::is_none")]
+    pub assinante: Option<String>,
+    pub chave_publica: String,
+    pub impressao_digital: String,
+    pub assinatura: String,
+}
+
+fn message(f: &SignatureFile) -> Vec<u8> {
+    format!(
+        "{}\narquivo={}\ntamanho={}\nsha256={}\nassinado_em={}\nassinante={}\n",
+        f.formato,
+        f.arquivo,
+        f.tamanho,
+        f.sha256,
+        f.assinado_em,
+        f.assinante.as_deref().unwrap_or("")
+    )
+    .into_bytes()
+}
+
+/// SHA-256 e tamanho de um arquivo, lido em blocos.
+pub fn hash_file(path: &Path) -> Result<(String, u64)> {
+    let mut f = std::fs::File::open(path)?;
+    let mut h = Sha256::new();
+    let mut buf = vec![0u8; 1 << 20];
+    let mut total = 0u64;
+    loop {
+        let n = f.read(&mut buf)?;
+        if n == 0 {
+            break;
+        }
+        h.update(&buf[..n]);
+        total += n as u64;
+    }
+    Ok((hex(&h.finalize()), total))
+}
+
+fn now_iso() -> String {
+    let secs = std::time::SystemTime::now()
+        .duration_since(std::time::UNIX_EPOCH)
+        .map(|d| d.as_secs() as i64)
+        .unwrap_or(0);
+    crate::audit::utc_iso(secs)
+}
+
+/// Assina `path` e grava `<path>.assinatura.json`. Devolve o caminho da assinatura.
+pub fn sign_file(key: &SigningKey, path: &Path, signer: Option<&str>) -> Result<PathBuf> {
+    let (sha256, size) = hash_file(path)?;
+    let mut sig = SignatureFile {
+        formato: FORMAT.into(),
+        arquivo: path
+            .file_name()
+            .map(|n| n.to_string_lossy().into_owned())
+            .unwrap_or_default(),
+        tamanho: size,
+        sha256,
+        assinado_em: now_iso(),
+        assinante: signer.filter(|s| !s.is_empty()).map(String::from),
+        chave_publica: hex(&key.public_bytes()),
+        impressao_digital: key.fingerprint(),
+        assinatura: String::new(),
+    };
+    sig.assinatura = hex(key
+        .kp
+        .sk
+        .sign(message(&sig), Some(Noise::generate()))
+        .as_ref());
+    let out = signature_path(path);
+    crate::owner::write_owned(&out, serde_json::to_vec_pretty(&sig)?)?;
+    Ok(out)
+}
+
+/// Resultado de conferir uma assinatura.
+#[derive(Debug, Clone, Serialize)]
+pub struct Check {
+    /// O arquivo é o mesmo e a assinatura vale para a chave que vem nela.
+    pub valid: bool,
+    pub file_matches: bool,
+    pub signature_valid: bool,
+    pub fingerprint: String,
+    pub signed_at: String,
+    pub signer: Option<String>,
+    /// `Some(true/false)` quando uma impressão digital de confiança foi informada.
+    pub trusted: Option<bool>,
+    pub problems: Vec<String>,
+}
+
+pub fn verify_file(
+    path: &Path,
+    sig_path: Option<&Path>,
+    trusted_fingerprint: Option<&str>,
+) -> Result<Check> {
+    let sp = sig_path
+        .map(Path::to_path_buf)
+        .unwrap_or_else(|| signature_path(path));
+    let raw = std::fs::read(&sp).map_err(|e| {
+        Error::msg(format!(
+            "não foi possível ler a assinatura {}: {e}",
+            sp.display()
+        ))
+    })?;
+    let sig: SignatureFile = serde_json::from_slice(&raw)
+        .map_err(|e| Error::msg(format!("assinatura ilegível: {e}")))?;
+    let mut problems = vec![];
+    if sig.formato != FORMAT {
+        problems.push(format!(
+            "formato de assinatura desconhecido ({})",
+            sig.formato
+        ));
+    }
+    let (sha, size) = hash_file(path)?;
+    let file_matches = sha == sig.sha256 && size == sig.tamanho;
+    if !file_matches {
+        problems.push("o arquivo mudou depois de assinado (hash ou tamanho diferem)".into());
+    }
+    let pk = unhex(&sig.chave_publica).and_then(|b| PublicKey::from_slice(&b).ok());
+    let sg = unhex(&sig.assinatura).and_then(|b| Signature::from_slice(&b).ok());
+    let signature_valid = match (&pk, &sg) {
+        (Some(pk), Some(sg)) => pk.verify(message(&sig), sg).is_ok(),
+        _ => false,
+    };
+    if !signature_valid {
+        problems.push("a assinatura não confere (campos alterados ou chave errada)".into());
+    }
+    let real_fp = pk
+        .as_ref()
+        .map(|p| fingerprint(p.as_ref()))
+        .unwrap_or_default();
+    if real_fp != sig.impressao_digital {
+        problems.push("a impressão digital declarada não é a da chave pública".into());
+    }
+    let trusted = trusted_fingerprint.map(|t| same_fingerprint(t, &real_fp));
+    if trusted == Some(false) {
+        problems.push(format!(
+            "a chave que assinou ({real_fp}) não é a esperada ({})",
+            trusted_fingerprint.unwrap_or_default()
+        ));
+    }
+    Ok(Check {
+        valid: problems.is_empty(),
+        file_matches,
+        signature_valid,
+        fingerprint: real_fp,
+        signed_at: sig.assinado_em,
+        signer: sig.assinante,
+        trusted,
+        problems,
+    })
+}
+
+/// Confere uma pasta de recuperação: a assinatura do manifesto (se houver) e o hash de cada
+/// arquivo contra o que o manifesto registrou.
+#[derive(Debug, Clone, Serialize)]
+pub struct RecoveryCheck {
+    pub manifest_signature: Option<Check>,
+    pub files: usize,
+    pub ok: usize,
+    pub missing: Vec<String>,
+    pub changed: Vec<String>,
+    /// `true` quando tudo confere (e, havendo assinatura, ela vale).
+    pub valid: bool,
+}
+
+pub fn verify_recovery(dir: &Path, trusted_fingerprint: Option<&str>) -> Result<RecoveryCheck> {
+    let manifest = dir.join("guara-manifesto.json");
+    let raw = std::fs::read(&manifest)
+        .map_err(|e| Error::msg(format!("não foi possível ler {}: {e}", manifest.display())))?;
+    let v: serde_json::Value = serde_json::from_slice(&raw)?;
+    let sigp = signature_path(&manifest);
+    let manifest_signature = if sigp.is_file() {
+        Some(verify_file(&manifest, None, trusted_fingerprint)?)
+    } else {
+        None
+    };
+    let list = v["relatorio"]["recovered"]
+        .as_array()
+        .cloned()
+        .unwrap_or_default();
+    let (mut ok, mut missing, mut changed) = (0, vec![], vec![]);
+    for f in &list {
+        let (Some(rel), Some(want)) = (f["path"].as_str(), f["sha256"].as_str()) else {
+            continue;
+        };
+        // o manifesto é dado de entrada: não deixa sair da pasta
+        if rel.split('/').any(|c| c == "..") || Path::new(rel).is_absolute() {
+            changed.push(format!("{rel} (caminho fora da pasta)"));
+            continue;
+        }
+        let p = dir.join(rel);
+        match hash_file(&p) {
+            Ok((h, _)) if h == want => ok += 1,
+            Ok(_) => changed.push(rel.to_string()),
+            Err(_) => missing.push(rel.to_string()),
+        }
+    }
+    let signature_ok = match &manifest_signature {
+        Some(c) => c.valid,
+        None => true,
+    };
+    let valid = missing.is_empty() && changed.is_empty() && signature_ok;
+    Ok(RecoveryCheck {
+        manifest_signature,
+        files: list.len(),
+        ok,
+        missing,
+        changed,
+        valid,
+    })
+}
+
+/// Assina `path` se existir uma chave configurada; nunca interrompe quem chamou. Registra na
+/// trilha de auditoria.
+pub fn sign_if_configured(path: &Path) {
+    let kp = default_key_path();
+    if !kp.is_file() {
+        return;
+    }
+    let result = SigningKey::load(&kp)
+        .and_then(|k| sign_file(&k, path, std::env::var("GUARA_EXAMINER").ok().as_deref()));
+    match result {
+        Ok(sig) => crate::audit::record(
+            "sign",
+            serde_json::json!({ "path": path.to_string_lossy(), "signature": sig.to_string_lossy() }),
+        ),
+        Err(e) => eprintln!("aviso: não foi possível assinar {}: {e}", path.display()),
+    }
+}
@@ -1,6 +1,6 @@
 //! DMG (Apple UDIF): rodapé `koly`, tabelas `mish` do plist e chunks zerados, brutos, ADC,
-//! zlib e bzip2. Imagens cifradas (`encrcdsa`) e chunks LZFSE (`ULFO`) são recusados com
-//! mensagem clara.
+//! zlib, bzip2 e LZFSE (`ULFO`). Imagens cifradas (`encrcdsa`) são recusadas com mensagem
+//! clara.

 use super::{bad, be32, be64, read_exact, read_vec, Backend};
 use crate::source::{FileSource, Source};
@@ -187,7 +187,8 @@ impl Dmg {
                bzip2::read::BzDecoder::new(&raw[..]).read_to_end(&mut out)?;
            }
            0x8000_0007 => {
-                return Err(bad("chunk LZFSE (formato ULFO) ainda não é suportado"));
+                lzfse_rust::decode_bytes(&raw, &mut out)
+                    .map_err(|e| bad(format!("chunk LZFSE inválido: {e}")))?;
            }
            t => return Err(bad(format!("tipo de chunk DMG 0x{t:08x} desconhecido"))),
        }
@@ -2,9 +2,9 @@
 //!
 //! Cada formato é aberto como o disco que contém, somente para leitura, e entra na cadeia
 //! normal (partições, sistemas de arquivos, cifras) por meio de [`Source`]. Discos
-//! diferenciais (VHD e VHDX com pai) seguem a cadeia até o disco base; QCOW2 e VMDK com
-//! arquivo de apoio são recusados com mensagem clara, porque ler só a camada filha
-//! devolveria dados errados.
+//! diferenciais (VHD e VHDX com pai, QCOW2 com arquivo de apoio, VMDK com pai) seguem a
+//! cadeia até o disco base. A identidade do pai (UUID, CID, data) não é conferida: se o pai foi
+//! alterado depois do filho, os dados lidos refletem o pai atual.

 mod dmg;
 mod qcow2;
@@ -130,8 +130,8 @@ pub(crate) fn open_depth(path: &Path, depth: u32) -> Result<Option<VDisk>> {
    };
    let name = format!("{format} {}", path.display());
    let inner: Box<dyn Backend> = match format {
-        "QCOW2" => Box::new(qcow2::Qcow2::open(file).map_err(|e| io_err(e, &name))?),
-        "VMDK" => Box::new(vmdk::Vmdk::open(file, path).map_err(|e| io_err(e, &name))?),
+        "QCOW2" => Box::new(qcow2::Qcow2::open(file, path, depth).map_err(|e| io_err(e, &name))?),
+        "VMDK" => Box::new(vmdk::Vmdk::open(file, path, depth).map_err(|e| io_err(e, &name))?),
        "VHD" => Box::new(vhd::Vhd::open(file, path, depth).map_err(|e| io_err(e, &name))?),
        "VHDX" => Box::new(vhdx::Vhdx::open(file, path, depth).map_err(|e| io_err(e, &name))?),
        _ => Box::new(dmg::Dmg::open(file).map_err(|e| io_err(e, &name))?),
@@ -139,17 +139,23 @@ pub(crate) fn open_depth(path: &Path, depth: u32) -> Result<Option<VDisk>> {
    Ok(Some(VDisk { inner, format }))
 }

-/// Abre o disco pai de um VHD/VHDX diferencial.
+/// Abre o disco pai (VHD/VHDX diferencial, QCOW2 com apoio, VMDK com pai). Com `raw`, o
+/// arquivo é tratado como disco bruto sem tentar reconhecer o formato.
 pub(crate) fn open_parent(
    candidates: &[std::path::PathBuf],
    depth: u32,
+    raw: bool,
 ) -> io::Result<Box<dyn Source>> {
    for p in candidates {
        if !p.is_file() {
            continue;
        }
-        if let Some(v) = open_depth(p, depth + 1).map_err(|e| bad(e.to_string()))? {
-            return Ok(Box::new(v));
+        if !raw {
+            if let Some(v) = open_depth(p, depth + 1).map_err(|e| bad(e.to_string()))? {
+                return Ok(Box::new(v));
+            }
+        } else if depth > MAX_DEPTH {
+            return Err(bad("cadeia de discos pai longa demais ou circular"));
        }
        let f = FileSource::open(p)?;
        return Ok(Box::new(f));
@@ -1,10 +1,15 @@
-//! QCOW2 (QEMU), versões 2 e 3: tabelas L1/L2, clusters comprimidos (deflate e zstd) e
-//! clusters zerados. Imagens cifradas, com arquivo de apoio, com arquivo de dados externo ou
-//! com L2 estendido são recusadas.
+//! QCOW2 (QEMU), versões 2 e 3: tabelas L1/L2, clusters comprimidos (deflate e zstd),
+//! clusters zerados e arquivo de apoio (backing file): o que o filho não alocou vem do pai.
+//! Imagens cifradas, com arquivo de dados externo, com L2 estendido ou com apoio que não é um
+//! arquivo local (`json:`, `nbd:`, URLs) são recusadas.

-use super::{bad, be32, be64, check_table, read_exact, read_vec, Backend};
+use super::{
+    bad, be32, be64, candidate_paths, check_table, open_parent, read_exact, read_parent, read_vec,
+    Backend,
+};
 use crate::source::{FileSource, Source};
 use std::io::{self, Read};
+use std::path::Path;
 use std::sync::Mutex;

 const OFFSET_MASK: u64 = 0x00ff_ffff_ffff_fe00;
@@ -16,12 +21,13 @@ pub(super) struct Qcow2 {
    cluster_bits: u32,
    l1: Vec<u64>,
    zstd: bool,
+    parent: Option<Box<dyn Source>>,
    /// Último cluster comprimido decodificado: (deslocamento do cluster virtual, dados).
    cache: Mutex<Option<(u64, Vec<u8>)>>,
 }

 impl Qcow2 {
-    pub(super) fn open(file: FileSource) -> io::Result<Self> {
+    pub(super) fn open(file: FileSource, path: &Path, depth: u32) -> io::Result<Self> {
        let h = read_vec(&file, 0, 112.min(file.size() as usize))?;
        if h.len() < 72 {
            return Err(bad("cabeçalho QCOW2 truncado"));
@@ -30,11 +36,6 @@ impl Qcow2 {
        if version != 2 && version != 3 {
            return Err(bad(format!("versão QCOW {version} não suportada")));
        }
-        if be64(&h, 8) != 0 {
-            return Err(bad(
-                "a imagem QCOW2 usa arquivo de apoio (backing file); abrir só a camada filha daria dados errados",
-            ));
-        }
        let cluster_bits = be32(&h, 20);
        if !(9..=21).contains(&cluster_bits) {
            return Err(bad(format!(
@@ -63,6 +64,11 @@ impl Qcow2 {
                }
            }
        }
+        let parent = if be64(&h, 8) != 0 {
+            Some(Self::open_backing(&file, &h, version, path, depth)?)
+        } else {
+            None
+        };
        let l1_size = be32(&h, 36) as u64;
        let l1_off = be64(&h, 40);
        let n = check_table(l1_size, 8, "tabela L1")?;
@@ -74,10 +80,65 @@ impl Qcow2 {
            cluster_bits,
            l1,
            zstd,
+            parent,
            cache: Mutex::new(None),
        })
    }

+    /// Abre o arquivo de apoio. O formato vem da extensão de cabeçalho `0xE2792ACA`; `raw`
+    /// (ou ausente em v2) é lido sem reconhecer formato, como o QEMU faz.
+    fn open_backing(
+        file: &FileSource,
+        h: &[u8],
+        version: u32,
+        path: &Path,
+        depth: u32,
+    ) -> io::Result<Box<dyn Source>> {
+        let (off, len) = (be64(h, 8), be32(h, 16) as usize);
+        if len == 0 || len > 1023 {
+            return Err(bad("nome do arquivo de apoio QCOW2 inválido"));
+        }
+        let name = String::from_utf8_lossy(&read_vec(file, off, len)?).into_owned();
+        if name.starts_with("json:")
+            || name.contains("://")
+            || name.split(':').next().is_some_and(|p| {
+                matches!(p, "nbd" | "ssh" | "rbd" | "sheepdog" | "gluster" | "iscsi")
+            })
+        {
+            return Err(bad(format!(
+                "o arquivo de apoio {name} não é um arquivo local; só caminhos de arquivo são suportados"
+            )));
+        }
+        // extensões de cabeçalho: depois do cabeçalho, alinhadas a 8 bytes
+        let hlen = if version == 3 && h.len() >= 104 {
+            be32(h, 100) as u64
+        } else {
+            72
+        };
+        let mut raw = false;
+        let mut pos = hlen.div_ceil(8) * 8;
+        for _ in 0..64 {
+            let mut eh = [0u8; 8];
+            if read_exact(file, pos, &mut eh).is_err() {
+                break;
+            }
+            let (kind, elen) = (be32(&eh, 0), be32(&eh, 4) as u64);
+            if kind == 0 || elen > 1 << 20 {
+                break;
+            }
+            if kind == 0xE279_2ACA {
+                let fmt = read_vec(file, pos + 8, elen as usize)?;
+                raw = fmt == b"raw";
+            }
+            pos += 8 + elen.div_ceil(8) * 8;
+        }
+        if version == 2 {
+            raw = false;
+        }
+        let dir = path.parent().unwrap_or(Path::new("."));
+        open_parent(&candidate_paths(dir, &[name]), depth, raw)
+    }
+
    fn cluster_size(&self) -> u64 {
        1 << self.cluster_bits
    }
@@ -139,8 +200,10 @@ impl Backend for Qcow2 {
            return Ok(n);
        }
        let off = entry & OFFSET_MASK;
-        if off == 0 || entry & 1 != 0 {
-            buf[..n].fill(0);
+        if entry & 1 != 0 {
+            buf[..n].fill(0); // zerado de propósito: não consulta o pai
+        } else if off == 0 {
+            read_parent(&self.parent, voff, &mut buf[..n])?;
        } else {
            read_exact(&self.file, off + within, &mut buf[..n])?;
        }
@@ -112,7 +112,7 @@ impl Vhd {
                }
            }
            names.push(utf16(&dh[64..64 + 512], true));
-            Some(open_parent(&candidate_paths(dir, &names), depth)?)
+            Some(open_parent(&candidate_paths(dir, &names), depth, false)?)
        } else {
            None
        };
@@ -130,7 +130,7 @@ impl Vhdx {
                }
            }
            let dir = path.parent().unwrap_or(Path::new("."));
-            Some(open_parent(&candidate_paths(dir, &names), depth)?)
+            Some(open_parent(&candidate_paths(dir, &names), depth, false)?)
        } else {
            None
        };
@@ -1,9 +1,12 @@
 //! VMDK (VMware, VirtualBox): extensões esparsas (inclusive `streamOptimized` com grãos
 //! comprimidos) e descritores de texto com extensões `FLAT`, `SPARSE` e `ZERO`, como
-//! `monolithicFlat` e `twoGbMaxExtentSparse`. Discos com pai (snapshots) e o formato SEsparse
-//! são recusados.
+//! `monolithicFlat` e `twoGbMaxExtentSparse`. Discos com pai (snapshots) leem o pai nos grãos
+//! que o filho não alocou; o formato SEsparse é recusado.

-use super::{bad, check_table, le16, le32, le64, read_exact, read_vec, Backend};
+use super::{
+    bad, candidate_paths, check_table, le16, le32, le64, open_parent, read_exact, read_parent,
+    read_vec, Backend,
+};
 use crate::source::{FileSource, Source};
 use std::io::{self, Read};
 use std::path::Path;
@@ -36,20 +39,73 @@ struct Extent {
 pub(super) struct Vmdk {
    extents: Vec<Extent>,
    size: u64,
+    parent: Option<Box<dyn Source>>,
 }

-fn parent_in(descriptor: &str) -> bool {
-    descriptor.lines().any(|l| {
-        let l = l.trim();
-        l.strip_prefix("parentCID")
+/// Valor de uma chave `chave=valor` do descritor, sem aspas.
+fn desc_value(descriptor: &str, key: &str) -> Option<String> {
+    descriptor.lines().find_map(|l| {
+        l.trim()
+            .strip_prefix(key)
            .and_then(|r| r.trim_start().strip_prefix('='))
-            .is_some_and(|v| {
-                let v = v.trim().trim_matches('"');
-                !v.is_empty() && !v.eq_ignore_ascii_case("ffffffff")
-            })
+            .map(|v| v.trim().trim_matches('"').to_string())
    })
 }

+/// Descritor (texto) de um arquivo VMDK: o próprio arquivo, se for descritor, ou o embutido
+/// logo depois do cabeçalho de uma extensão esparsa.
+fn descriptor_of(path: &Path) -> Option<String> {
+    let f = FileSource::open(path).ok()?;
+    let head = read_vec(&f, 0, (f.size() as usize).min(24 * 512)).ok()?;
+    if head.starts_with(b"KDMV") {
+        let off = (le64(&head, 28) * SECTOR) as usize;
+        let len = (le64(&head, 36) * SECTOR) as usize;
+        let d = head.get(off..(off + len).min(head.len()))?;
+        let end = d.iter().position(|&b| b == 0).unwrap_or(d.len());
+        return Some(String::from_utf8_lossy(&d[..end]).into_owned());
+    }
+    head.starts_with(b"# Disk Desc")
+        .then(|| String::from_utf8_lossy(&head).into_owned())
+}
+
+/// Como o descritor identifica o pai: pelo nome (`parentFileNameHint`) e/ou, no VirtualBox, só
+/// pelo UUID (`ddb.uuid.parent`); `cid` é o `parentCID` que o pai precisa ter.
+struct ParentRef {
+    name: Option<String>,
+    uuid: Option<String>,
+    cid: Option<String>,
+}
+
+fn parent_ref(descriptor: &str) -> Option<ParentRef> {
+    let cid = desc_value(descriptor, "parentCID")
+        .filter(|c| !c.is_empty() && !c.eq_ignore_ascii_case("ffffffff"));
+    let uuid = desc_value(descriptor, "ddb.uuid.parent")
+        .filter(|u| !u.is_empty() && u.chars().any(|c| c != '0' && c != '-'));
+    let name = desc_value(descriptor, "parentFileNameHint").filter(|n| !n.is_empty());
+    (cid.is_some() || uuid.is_some()).then_some(ParentRef { name, uuid, cid })
+}
+
+/// Procura, na pasta do filho e nas duas acima, um VMDK cujo `ddb.uuid.image` seja `uuid`.
+fn find_by_uuid(dir: &Path, uuid: &str) -> Option<std::path::PathBuf> {
+    let mut d = Some(dir);
+    for _ in 0..3 {
+        let cur = d?;
+        for e in std::fs::read_dir(cur).ok()?.flatten() {
+            let p = e.path();
+            if p.extension()
+                .is_some_and(|x| x.eq_ignore_ascii_case("vmdk"))
+                && descriptor_of(&p)
+                    .and_then(|ds| desc_value(&ds, "ddb.uuid.image"))
+                    .is_some_and(|u| u.eq_ignore_ascii_case(uuid))
+            {
+                return Some(p);
+            }
+        }
+        d = cur.parent();
+    }
+    None
+}
+
 impl Sparse {
    fn open(file: FileSource) -> io::Result<(Self, u64, Option<String>)> {
        let mut h = read_vec(&file, 0, SECTOR as usize)?;
@@ -95,11 +151,6 @@ impl Sparse {
        } else {
            None
        };
-        if descriptor.as_deref().is_some_and(parent_in) {
-            return Err(bad(
-                "VMDK com disco pai (snapshot); abrir só a camada filha daria dados errados",
-            ));
-        }
        let gde = capacity.div_ceil(gtes * grain);
        let n = check_table(gde, 4, "diretório de grãos")?;
        let raw = read_vec(&file, gd_off * SECTOR, n * 4)?;
@@ -118,7 +169,9 @@ impl Sparse {
        ))
    }

-    fn read(&self, off: u64, buf: &mut [u8]) -> io::Result<usize> {
+    /// Lê dentro de um grão. O `bool` é `false` quando o grão não está alocado neste arquivo
+    /// (o chamador completa com o pai); grão zerado de propósito devolve zeros.
+    fn read(&self, off: u64, buf: &mut [u8]) -> io::Result<(usize, bool)> {
        let g = off / self.grain;
        let within = off % self.grain;
        let n = buf.len().min((self.grain - within) as usize);
@@ -129,13 +182,16 @@ impl Sparse {
            read_exact(&self.file, gt_sector * SECTOR + (g % self.gtes) * 4, &mut b)?;
            sector = u32::from_le_bytes(b) as u64;
        }
-        if sector <= 1 {
+        if sector == 0 {
+            return Ok((n, false));
+        }
+        if sector == 1 {
            buf[..n].fill(0);
-            return Ok(n);
+            return Ok((n, true));
        }
        if !self.compressed {
            read_exact(&self.file, sector * SECTOR + within, &mut buf[..n])?;
-            return Ok(n);
+            return Ok((n, true));
        }
        let mut cache = self.cache.lock().unwrap();
        if cache.as_ref().map(|c| c.0) != Some(g) {
@@ -153,17 +209,12 @@ impl Sparse {
        }
        let data = &cache.as_ref().unwrap().1;
        buf[..n].copy_from_slice(&data[within as usize..within as usize + n]);
-        Ok(n)
+        Ok((n, true))
    }
 }

 /// Extensões de um descritor de texto: `RW 2048 FLAT "disco-f001.vmdk" 0`.
 fn parse_descriptor(text: &str, dir: &Path) -> io::Result<Vec<Extent>> {
-    if parent_in(text) {
-        return Err(bad(
-            "VMDK com disco pai (snapshot); abrir só a camada filha daria dados errados",
-        ));
-    }
    let mut out = vec![];
    let mut start = 0u64;
    for line in text.lines() {
@@ -216,27 +267,79 @@ fn parse_descriptor(text: &str, dir: &Path) -> io::Result<Vec<Extent>> {
 }

 impl Vmdk {
-    pub(super) fn open(file: FileSource, path: &Path) -> io::Result<Self> {
+    fn open_parent_of(r: &ParentRef, dir: &Path, depth: u32) -> io::Result<Box<dyn Source>> {
+        let mut found = r
+            .name
+            .as_ref()
+            .map(|n| candidate_paths(dir, std::slice::from_ref(n)))
+            .unwrap_or_default();
+        let by_name = found.iter().any(|p| p.is_file());
+        if !by_name {
+            if let Some(p) = r.uuid.as_deref().and_then(|u| find_by_uuid(dir, u)) {
+                found = vec![p];
+            }
+        }
+        if r.name.is_none() && r.uuid.is_none() {
+            return Err(bad(
+                "VMDK com pai, mas o descritor não diz qual (sem parentFileNameHint nem ddb.uuid.parent)",
+            ));
+        }
+        if r.name.is_none() && found.is_empty() {
+            return Err(bad(
+                "VMDK com pai identificado só por UUID (VirtualBox) e o pai não está na pasta do filho nem nas duas acima",
+            ));
+        }
+        if let Some(cid) = &r.cid {
+            // o pai precisa ser o mesmo de quando o filho foi criado
+            if let Some(p) = found.iter().find(|p| p.is_file()) {
+                let have = descriptor_of(p).and_then(|d| desc_value(&d, "CID"));
+                if have
+                    .as_deref()
+                    .is_some_and(|h| !h.eq_ignore_ascii_case(cid))
+                {
+                    return Err(bad(format!(
+                        "o pai {} foi alterado depois do filho (CID {} em vez de {cid}); os dados do filho não valem mais",
+                        p.display(),
+                        have.unwrap_or_default()
+                    )));
+                }
+            }
+        }
+        open_parent(&found, depth, false)
+    }
+
+    pub(super) fn open(file: FileSource, path: &Path, depth: u32) -> io::Result<Self> {
        let mut head = [0u8; 4];
        let _ = file.read_at(0, &mut head);
-        let extents = if &head == b"KDMV" {
-            let (sp, size, _) = Sparse::open(file)?;
-            vec![Extent {
-                start: 0,
-                len: size,
-                kind: Kind::Sparse(sp),
-            }]
+        let dir = path.parent().unwrap_or(Path::new("."));
+        let (extents, descriptor) = if &head == b"KDMV" {
+            let (sp, size, descriptor) = Sparse::open(file)?;
+            (
+                vec![Extent {
+                    start: 0,
+                    len: size,
+                    kind: Kind::Sparse(sp),
+                }],
+                descriptor,
+            )
        } else {
            if file.size() > 1 << 20 {
                return Err(bad("descritor VMDK grande demais"));
            }
            let raw = read_vec(&file, 0, file.size() as usize)?;
-            let text = String::from_utf8_lossy(&raw);
-            let dir = path.parent().unwrap_or(Path::new("."));
-            parse_descriptor(&text, dir)?
+            let text = String::from_utf8_lossy(&raw).into_owned();
+            (parse_descriptor(&text, dir)?, Some(text))
+        };
+        let parent = match descriptor.as_deref().and_then(parent_ref) {
+            Some(r) => Some(Self::open_parent_of(&r, dir, depth)?),
+            None => None,
        };
        let size = extents.iter().map(|e| e.len).sum();
-        Ok(Self { extents, size })
+        Ok(Self {
+            extents,
+            size,
+            parent,
+        })
    }
 }

@@ -261,7 +364,13 @@ impl Backend for Vmdk {
                read_exact(file, offset + rel, &mut buf[..n])?;
                Ok(n)
            }
-            Kind::Sparse(s) => s.read(rel, &mut buf[..n]),
+            Kind::Sparse(s) => {
+                let (got, allocated) = s.read(rel, &mut buf[..n])?;
+                if !allocated {
+                    read_parent(&self.parent, voff, &mut buf[..got])?;
+                }
+                Ok(got)
+            }
        }
    }
 }
@@ -298,6 +298,18 @@ fn configuracoes_de_tema_persistem() {
    init();
    let _ = std::fs::remove_file(settings::config_dir().join("settings.json"));
    assert_eq!(settings::load().theme, "auto");
+    assert!(
+        settings::load().updates,
+        "a verificação de atualização vem ligada"
+    );
+    // arquivo de uma versão anterior, sem o campo novo
+    std::fs::write(
+        settings::config_dir().join("settings.json"),
+        r#"{"theme":"dark"}"#,
+    )
+    .unwrap();
+    assert!(settings::load().updates);
+    let _ = std::fs::remove_file(settings::config_dir().join("settings.json"));
    settings::save(&settings::Settings {
        theme: "dark".into(),
        ..Default::default()
@@ -142,12 +142,19 @@ fn configuracoes_antigas_ganham_os_valores_padrao_novos() {
        ui_lang: Some("en".into()),
        notify: false,
        maps: true,
+        updates: false,
    })
    .unwrap();
    let s = settings::load();
    assert_eq!(
-        (s.theme.as_str(), s.lang.as_str(), s.notify, s.maps),
-        ("light", "en", false, true)
+        (
+            s.theme.as_str(),
+            s.lang.as_str(),
+            s.notify,
+            s.maps,
+            s.updates
+        ),
+        ("light", "en", false, true, false)
    );
 }
Author	SHA1	Message	Date
Lucas Rayan Guerra	9c5df497a5	Merge pull request #51 from lucasrguerra/release/1.3.1 Release / Cria a release (push) Canceled after 0s Details Release / CLI (linux-aarch64) (push) Canceled after 0s Details Release / CLI (linux-x86_64) (push) Canceled after 0s Details Release / CLI (macos-aarch64) (push) Canceled after 0s Details Release / CLI (macos-x86_64) (push) Canceled after 0s Details Release / CLI (windows-x86_64) (push) Canceled after 0s Details Release / App desktop (linux-x86_64) (push) Canceled after 0s Details Release / App desktop (macos-aarch64) (push) Canceled after 0s Details Release / App desktop (macos-x86_64) (push) Canceled after 0s Details Release / App desktop (windows-x86_64) (push) Canceled after 0s Details Release / Publica a release (push) Canceled after 0s Details release: 1.3.1	2026-10-23 12:20:02 -03:00
Lucas RayanandClaude Sonnet 5.5	3946adda09	release: 1.3.1 Só a logo nova: o guará com o anel laranja, uma arte transparente para os dois temas, no app, no favicon, nos ícones e no README. Sem mudança de comportamento. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 12:16:11 -03:00
Lucas Rayan Guerra	f0a5f43c77	Merge pull request #50 from lucasrguerra/feat/nova-logo Logo oficial: o guará com o anel laranja (arte final do autor)	2026-10-23 12:09:54 -03:00
Lucas RayanandClaude Sonnet 5.5	05340bd8d2	Logo oficial: a versão final do autor (guara.png), sem recorte nosso O autor gerou a logo já sem fundo; ela passa a ser a arte oficial, usada em qualquer tema, e não é mais alterada. scripts/processar-logo.py (que tirava o fundo) e a arte original com fundo saem; scripts/gerar-logo.py só deriva guara-s.png (barra lateral e favicon) e o ícone do app, e os ícones do Tauri são regenerados. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 12:05:58 -03:00
Lucas RayanandClaude Sonnet 5.5	0a9622fb96	Logo única: guara.png e guara-s.png A variante clara tinha artefatos; a arte escura recortada serve aos dois temas. Saem a troca de variante por tema, os arquivos -light e a fonte clara; os arquivos escuros viram guara.png e guara-s.png e o script, o app, o servidor do guara ui e o README usam só eles. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 11:58:39 -03:00
Lucas RayanandClaude Sonnet 5.5	9c09f5dd8a	Nova logo oficial: o guará com o anel laranja A arte do usuário (assets/logo/*-fonte.png) passa a ser a logo do projeto. scripts/processar-logo.py tira o fundo (só o que toca a borda e os bolsões internos, com a faixa da borda refeita pela cor real do desenho, sem halo) e gera as variantes clara e escura (768 e 128 px) e o ícone do app. O app escolhe a variante pelo tema (barra lateral, topo e tela inicial), o favicon e o servidor do guara ui passam a PNG, os ícones do Tauri são regenerados e o README usa <picture> para claro e escuro. A logo SVG antiga e o gerador dela saem. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 11:56:36 -03:00
Lucas Rayan Guerra	82c1fb6c8f	Merge pull request #49 from lucasrguerra/dev/verificacao-local Verificação local (scripts/verificar.sh), pre-push e CI que pula só documentação	2026-10-23 11:38:19 -03:00
Lucas Rayan Guerra	13bf00030d	Merge pull request #48 from lucasrguerra/ci/apt-cache-ownership CI: devolve a posse do cache do apt ao usuário (o cache não estava sendo gravado)	2026-10-23 11:37:54 -03:00
Lucas RayanandClaude Sonnet 5.5	9d67890b68	Verificação local (scripts/verificar.sh), hook de pre-push e CI que pula só documentação scripts/verificar.sh roda em segundos o mesmo que o CI roda (fmt, clippy -D warnings no workspace inteiro, tradução, scripts, workflows) e, com --completo, os testes e o cargo audit. O hook de pre-push (scripts/instalar-hooks.sh) a roda antes de cada push. O CI deixa de rodar em mudanças só de documentação. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 11:22:23 -03:00
Lucas RayanandClaude Sonnet 5.5	f8fa5f79d5	CI: devolve a posse do cache do apt ao usuário (o cache não estava sendo gravado) O apt roda como root e deixa arquivos ilegíveis para o usuário do runner; o actions/cache falhava com 'tar failed with exit code 2' e nunca salvava, então o cache dos .deb não valia. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 11:18:54 -03:00
Lucas Rayan Guerra	165f6a24f2	Merge pull request #47 from lucasrguerra/release/1.3.0 Release / Cria a release (push) Canceled after 0s Details Release / CLI (linux-aarch64) (push) Canceled after 0s Details Release / CLI (linux-x86_64) (push) Canceled after 0s Details Release / CLI (macos-aarch64) (push) Canceled after 0s Details Release / CLI (macos-x86_64) (push) Canceled after 0s Details Release / CLI (windows-x86_64) (push) Canceled after 0s Details Release / App desktop (linux-x86_64) (push) Canceled after 0s Details Release / App desktop (macos-aarch64) (push) Canceled after 0s Details Release / App desktop (macos-x86_64) (push) Canceled after 0s Details Release / App desktop (windows-x86_64) (push) Canceled after 0s Details Release / Publica a release (push) Canceled after 0s Details release: 1.3.0	2026-10-23 11:15:52 -03:00
Lucas RayanandClaude Sonnet 5.5	b431f01874	release: 1.3.0 Versões, changelog e roadmap: atualização pelo próprio app, assinaturas Ed25519, QCOW2 e VMDK diferenciais, DMG com LZFSE, imagens de referência no CI dos três sistemas e o teste de exclusão real do XFS (que rebaixa o XFS para 🟡). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 11:12:24 -03:00
Lucas Rayan Guerra	afcb0e9bf1	Merge pull request #45 from lucasrguerra/feat/updater Atualização pelo próprio app (cartão Atualizar agora)	2026-10-23 11:11:08 -03:00
Lucas Rayan Guerra	6451bf9aee	Merge pull request #46 from lucasrguerra/ci/apt-cache-all-installs CI: cache, tempo limite e nova tentativa em todos os passos de apt	2026-10-23 11:10:36 -03:00
Lucas RayanandClaude Sonnet 5.5	5b6346d575	CI: cache, tempo limite e nova tentativa em todos os passos de apt O passo de ferramentas das imagens de teste levou 13 minutos num dia de espelho lento (803 s no último run da main), como o do Tauri. scripts/apt-install.sh vira genérico (pasta de cache e pacotes por argumento) e passa a servir aos dois. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 10:54:00 -03:00
Lucas RayanandClaude Sonnet 5.5	9d1a8c727f	Teste de configurações conhece o campo updates Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 10:53:22 -03:00
Lucas RayanandClaude Sonnet 5.5	daa12ba117	Atualização pelo próprio app (Tauri updater) com cartão de aviso Ao abrir, o app consulta o latest.json da release no GitHub; havendo versão nova, um cartão oferece Atualizar agora: baixa, confere a assinatura com a chave pública embutida, instala e reabre (AppImage substituído no lugar; Windows e macOS pelo instalador). Instalação por .deb ou .rpm só avisa. Configurações ganha a opção de desligar a consulta e o botão Verificar agora. A release assina os pacotes com a chave guardada no ambiente 'release' do GitHub (só tags v*) e o latest.json é montado de uma vez por scripts/make-latest-json.py, depois que todos os jobs de empacotamento terminam. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 10:51:30 -03:00
Lucas Rayan Guerra	17b0e89e03	Merge pull request #43 from lucasrguerra/chore/untrack-superset Tira o .superset do repositório (configuração local)	2026-10-23 10:50:27 -03:00
Lucas Rayan	fdd7bf900b	Mescla a main (CI do Tauri com cache e nova tentativa)	2026-10-23 09:51:16 -03:00
Lucas Rayan Guerra	472ad1107b	Merge pull request #44 from lucasrguerra/ci/tauri-deps-cache-and-retry CI: dependências do Tauri com cache de .deb, tempo limite e nova tentativa	2026-10-23 09:51:01 -03:00
Lucas RayanandClaude Sonnet 5.5	e755f440ae	CI: dependências do Tauri com cache de .deb, tempo limite e nova tentativa O passo do apt levou 22 e 28 minutos em duas execuções de um dia de espelho lento (o normal é uns 35 s). O script usa os .deb em cache sem nem atualizar o índice e, sem cache, tenta até 3 vezes com tempo limite por tentativa. Vale para o CI e para o job do app desktop da release. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 09:40:11 -03:00
Lucas RayanandClaude Sonnet 5.5	06478dfd75	Tira o .superset do repositório (é configuração local) Os arquivos continuam na máquina, agora ignorados pelo git. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 09:25:27 -03:00
Lucas Rayan Guerra	26099eaacf	Merge pull request #42 from lucasrguerra/test/xfs-real-deletion XFS: teste com exclusão real do kernel mostra o que funciona (carving sim, nomes não)	2026-10-23 09:25:09 -03:00
Lucas RayanandClaude Sonnet 5.5	ccbaa2d7e6	Mescla a main (CI com imagens de referência e o passo do XFS) Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:55:36 -03:00
Lucas Rayan Guerra	a6ce38a173	Merge pull request #41 from lucasrguerra/ci/real-reference-images CI: testes com imagens reais de referência em Linux, macOS e Windows	2026-10-23 08:54:58 -03:00
Lucas Rayan Guerra	26469de29e	Merge pull request #40 from lucasrguerra/feat/signatures Assinatura digital Ed25519 (guara sign)	2026-10-23 08:54:33 -03:00
Lucas RayanandClaude Sonnet 5.5	27d4cab2e6	Mescla a main (lzfse_rust e ed25519-compact lado a lado) Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:51:40 -03:00
Lucas Rayan Guerra	f45ded139e	Merge pull request #39 from lucasrguerra/feat/vdisk-chains Discos virtuais: apoio do QCOW2, snapshots de VMDK e DMG com LZFSE	2026-10-23 08:50:46 -03:00
Lucas Rayan Guerra	9c9b7879be	Merge pull request #38 from lucasrguerra/deps/ctutils-0.4.4 Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385)	2026-10-23 08:50:24 -03:00
Lucas RayanandClaude Sonnet 5.5	bbb251aacb	Roadmap: XFS 🟡 depois do teste com exclusão real Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:36:06 -03:00
Lucas RayanandClaude Sonnet 5.5	4d93d9d512	XFS: o teste com exclusão real mostra o que funciona de verdade No CI, com um XFS apagado pelo kernel, a recuperação por metadados não acha nada (o kernel zera o inode e as extensões); o carving recupera o conteúdo de arquivos com estrutura reconhecível. O teste de nome e pasta fica ignorado até o Guará ler o diário, e o roadmap e a documentação passam a dizer isso em vez de marcar o XFS como validado. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:35:55 -03:00
Lucas RayanandClaude Sonnet 5.5	e5ae3ea570	XFS real: imagem de 320 MiB (o mkfs.xfs recente recusa menos de 300 MiB) Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:31:42 -03:00
Lucas RayanandClaude Sonnet 5.5	418d0b9b90	Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385) Comparação em tempo constante corrigida na 0.4.4; o job de auditoria falhava. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:31:42 -03:00
Lucas RayanandClaude Sonnet 5.5	21d5fc4c7f	CI: nome do passo de testes reflete as imagens de referência nos três sistemas Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:08:10 -03:00
Lucas RayanandClaude Sonnet 5.5	239f96263d	Teste de XFS com exclusão feita pelo kernel scripts/make-xfs-real-deletion.sh (precisa de root) monta uma imagem XFS por loop, grava arquivos, apaga alguns e desmonta, deixando o hash de cada um em expected.tsv. O teste confere que cada arquivo apagado volta pelo nome, na pasta certa e com o conteúdo original, e que os que ficaram não aparecem como apagados. O CI do Linux gera a imagem com sudo e exige o teste. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:07:33 -03:00
Lucas RayanandClaude Sonnet 5.5	4b18acc792	CI: baixa as imagens de referência em Linux, macOS e Windows Os testes com imagens reais (BitLocker, FileVault 2, dfvfs, AFF4, discos virtuais) só rodavam na máquina de quem baixava as imagens; no CI eram pulados em silêncio. Agora o script de download roda nos três sistemas, com cache pela versão do script. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:00:24 -03:00
Lucas RayanandClaude Sonnet 5.5	6ae4dbe9b0	Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385) Comparação em tempo constante corrigida na 0.4.4; o job de auditoria falhava. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:00:16 -03:00
Lucas RayanandClaude Sonnet 5.5	34fb72bf24	Assinatura digital Ed25519 de manifestos, relatórios e recuperações guara sign keygen, file, verify e recovery. Com chave configurada, recover e report assinam sozinhos o manifesto e o relatório. A assinatura cobre hash, tamanho, nome, hora e assinante e é Ed25519 comum (conferida com o openssl). A conferência de uma pasta de recuperação refaz o hash de cada arquivo contra o manifesto e não deixa o manifesto apontar para fora da pasta. A hora é a do relógio local, sem carimbo de terceiros (RFC 3161). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 08:00:02 -03:00
Lucas RayanandClaude Sonnet 5.5	447e57bc1b	Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385) Comparação em tempo constante corrigida na 0.4.4; o job de auditoria falhava. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 07:56:12 -03:00
Lucas RayanandClaude Sonnet 5.5	4bec3e971a	Discos virtuais: arquivo de apoio do QCOW2, snapshots de VMDK e DMG com LZFSE QCOW2 e VMDK filhos leem o pai no que não alocaram (o QCOW2 respeita o formato do apoio; o VMDK acha o pai por nome ou, no VirtualBox, por UUID, e recusa o filho se o CID do pai mudou). Chunks LZFSE do DMG usam lzfse_rust, conferidos com dados do compressor de referência da Apple. Snapshot real do VirtualBox entra como fixture. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 07:55:58 -03:00
Lucas RayanandClaude Sonnet 5.5	3a6b0c7b74	Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385) Comparação em tempo constante corrigida na 0.4.4; o job de auditoria falhava. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 07:55:27 -03:00
Lucas RayanandClaude Sonnet 5.5	1c8cf30761	Dependências: ctutils 0.4.5 (RUSTSEC-2026-0385) Comparação em tempo constante corrigida na 0.4.4; o job de auditoria falhava. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-23 07:55:18 -03:00
Lucas Rayan Guerra	2d210fa240	Merge pull request #37 from lucasrguerra/docs/roadmap-next-milestones Roadmap: renumera os próximos marcos depois do 1.2.0	2026-10-22 22:23:47 -03:00
Lucas RayanandClaude Sonnet 5.5	32785df672	Roadmap: renumera os próximos marcos depois do 1.2.0 Os marcos 1.1 e 1.2 já foram lançados com outro conteúdo, e os contêineres de disco virtual deixaram de ser pendência (restam só os casos recusados). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-22 22:04:12 -03:00
				`@@ -1 +0,0 @@`
				<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 100 100" role="img" aria-label="Guará"><style>.a{stroke:#0f766e}.b{stroke:#14b8a6}.t{fill:#1d1d1f}@media (prefers-color-scheme:dark){.a{stroke:#2dd4bf}.b{stroke:#5eead4}.t{fill:#f5f5f7}}</style><defs><clipPath id="g-head"><path d="M50 95 C46 88 43 80 40 74 C33 70 25 64 22 56 L14 6 L36 30 C40 28 45 27 50 27 C55 27 60 28 64 30 L86 6 L78 56 C75 64 67 70 60 74 C57 80 54 88 50 95 Z"/></clipPath></defs><g clip-path="url(#g-head)" fill="none" stroke-width="4.2"><path class="a" d="M50 93A7 7 0 0 1 50 107"/><path class="b" d="M50 93A7 7 0 0 0 50 107" stroke-dasharray="3 3" stroke-dashoffset="0"/><path class="a" d="M50 86A14 14 0 0 1 50 114"/><path class="b" d="M50 86A14 14 0 0 0 50 114" stroke-dasharray="6 4" stroke-dashoffset="3"/><path class="a" d="M50 79A21 21 0 0 1 50 121"/><path class="b" d="M50 79A21 21 0 0 0 50 121" stroke-dasharray="9 5" stroke-dashoffset="6"/><path class="a" d="M50 72A28 28 0 0 1 50 128"/><path class="b" d="M50 72A28 28 0 0 0 50 128" stroke-dasharray="3 6" stroke-dashoffset="9"/><path class="a" d="M50 65A35 35 0 0 1 50 135"/><path class="b" d="M50 65A35 35 0 0 0 50 135" stroke-dasharray="6 3" stroke-dashoffset="12"/><path class="a" d="M50 58A42 42 0 0 1 50 142"/><path class="b" d="M50 58A42 42 0 0 0 50 142" stroke-dasharray="9 4" stroke-dashoffset="15"/><path class="a" d="M50 51A49 49 0 0 1 50 149"/><path class="b" d="M50 51A49 49 0 0 0 50 149" stroke-dasharray="3 5" stroke-dashoffset="18"/><path class="a" d="M50 44A56 56 0 0 1 50 156"/><path class="b" d="M50 44A56 56 0 0 0 50 156" stroke-dasharray="6 6" stroke-dashoffset="21"/><path class="a" d="M50 37A63 63 0 0 1 50 163"/><path class="b" d="M50 37A63 63 0 0 0 50 163" stroke-dasharray="9 3" stroke-dashoffset="24"/><path class="a" d="M50 30A70 70 0 0 1 50 170"/><path class="b" d="M50 30A70 70 0 0 0 50 170" stroke-dasharray="3 4" stroke-dashoffset="27"/><path class="a" d="M50 23A77 77 0 0 1 50 177"/><path class="b" d="M50 23A77 77 0 0 0 50 177" stroke-dasharray="6 5" stroke-dashoffset="30"/><path class="a" d="M50 16A84 84 0 0 1 50 184"/><path class="b" d="M50 16A84 84 0 0 0 50 184" stroke-dasharray="9 6" stroke-dashoffset="33"/><path class="a" d="M50 9A91 91 0 0 1 50 191"/><path class="b" d="M50 9A91 91 0 0 0 50 191" stroke-dasharray="3 3" stroke-dashoffset="36"/><path class="a" d="M50 2A98 98 0 0 1 50 198"/><path class="b" d="M50 2A98 98 0 0 0 50 198" stroke-dasharray="6 4" stroke-dashoffset="39"/><rect class="t" stroke="none" x="0" y="74" width="100" height="30"/></g><path class="t" d="M37 50Q42 47 46 52Q41 53 37 50ZM63 50Q58 47 54 52Q59 53 63 50Z"/></svg>