Quatro fluxos navegáveis, feitos com as telas já desenhadas no protótipo v4 e ligados ao contrato do quero-apoiar-api no estado de hoje (MVP RBAC). O que o protótipo já tinha e o backend ainda não sustenta continua no pacote, escondido atrás de feature flag.
Cada tela abre de verdade. Com FLAGS.MOCK = true (padrão), o pacote responde sozinho, no mesmo contrato do §3 do handoff; com false, fala com a API em —.
Nada do protótipo foi jogado fora. Estas telas e blocos continuam no código, desligados em assets/js/config.js. Para ver onde cada um aparece, abra qualquer página com ?flags=1: o que está OFF fica visível, apagado e etiquetado.
| TELA OU BLOCO DO PROTÓTIPO | FLAG | ENTRA EM | POR QUÊ AINDA NÃO |
|---|---|---|---|
| Código de 6 números no WhatsApp (T04, T05, T06) | WHATSAPP_OTP | Onda 1 · F1/F2 | O MVP entrou com senha; o passwordless voltou para a Onda 1 (D01 revertida). |
| Selo de número não verificado em T07 | VERIFICACAO_NUMERO | Onda 1 · F2 | Depende do fluxo de confirmação por WhatsApp. |
| Escape de 3 minutos | ESCAPE_3MIN | Onda 1 · F1 | Sem verificação de número não existe o que escapar. |
| Retomar rascunho de 48 horas | RASCUNHO_48H | Onda 1 · M1 | O register atual é uma chamada só, sem rascunho no servidor. |
| Quem eu trouxe (lista de indicados) | QUEM_EU_TROUXE | Onda 1 · M5 | /me devolve só o directCount, não a lista. |
| Árvore da rede | ARVORE_REDE | Onda 1 · M3 | Sem endpoint de rede. |
| Materiais da campanha | MATERIAIS | Onda 1 · M4 | Sem endpoint de materiais nem engagement_events. |
| Meta, conquista e recomeço | METAS_CONQUISTAS | Onda 2 | Sem metas por apoiador na API. |
| Eventos e presença | EVENTOS_PRESENCA | Onda 2 | Sem módulo de eventos. |
| Mandar recado pra rede (disparos) | DISPAROS_WHATSAPP | Onda 2 | Sem módulo de disparo, orçamento ou aprovação. |
| Meus dados, sair da rede, apagar cadastro | LGPD_AUTOATENDIMENTO | Onda 1 · M10 | Sem endpoints de consentimento e exclusão. |
| Aplicativo de códigos (TOTP) e códigos de recuperação | ADMIN_TOTP | Onda 1 · M9 | admin/login só checa e-mail e senha no MVP. |
| Apoiadores e rede (busca, ficha, telefone) | ADMIN_BUSCA_APOIADORES | Onda 1 · M9 | Sem endpoint de busca de apoiadores. |
| Exportação auditada com motivo | ADMIN_EXPORTACAO | Onda 1 · M9 | Sem endpoint de exportação nem audit_log exposto. |
| Relatórios R1..R4 em PDF | ADMIN_RELATORIOS | Onda 1 · M9 | Sem endpoints de relatório. |
| Cadastro repetido: comparar e fundir | ADMIN_FUSAO_CADASTROS | Onda 1 · M9 | Sem endpoint de fusão. |
app.enableCors(). Sem isso, o navegador bloqueia toda chamada a partir do Hosting. Liberar só o domínio custom de produção e localhost.admin_users com hash argon2 e totp_secret placeholder antes de testar o Fluxo D.true: é assim que o 403 de /me aparece e o Fluxo B fecha.firebase.json.# demonstração, sem backend
npx serve . # ou: python3 -m http.server 5000
# contra a API de verdade
# 1) assets/js/config.js → FLAGS.MOCK = false
# 2) backend: npm run start:dev (porta 3000, CORS liberado para http://localhost:5000)
# publicar
firebase deploy --only hostingRede de Apoiadores · v0.1.0 · telas do protótipo telas-rede-apoiadores_4.html · contrato de HANDOFF_FRONTEND.md (20/08/2026).