docs+chore: alinha docs e config operacional com o hosting atual (Azure)

[johnlaff]

O quê e por quê

Vários docs vivos e comentários operacionais ainda descreviam a Netlify como produção e premissas que deixaram de valer após a migração para Azure App Service (Brazil South, container B1 com Always On), servida em archtime.app. Documento que mente sobre produção é armadilha para o próximo leitor. Este PR alinha todas as referências vivas com a realidade atual, verificada no banco e na Azure.

Contexto → mudança

Verificação read-only: banco de produção com migrations 0000–0008 aplicadas, audit_log.ip_address removida, RLS write-lockdown completo; App Service B1 com alwaysOn=true, co-locado com o Supabase (sa-east-1, São Paulo).

Status e docs vivos

Arquivo	Correção
plans/README.md	0007/0008 marcadas "aplicação pendente" → aplicadas e verificadas em produção
AGENTS.md	hash = HMAC-SHA256 versionado por keyId em produção (fallback legado sem keyring); latência app↔banco caiu com a co-location; com Always On não há cold start de ociosidade (só em deploy/restart)
.env.local.example / ci.yml	NEXT_PUBLIC_APP_URL dummy apontava para domínio Netlify; ci.yml não referencia mais netlify.toml como fonte da versão do Node

Config, comentários e código

Arquivo	Correção
build-image.yml / Dockerfile / next.config.ts	descreviam Netlify como produção atual → Azure é o hosting; build-image dispara o deploy via webhook
src/lib/server/security.ts	saneamento de Host é do App Service (roteia por hostname), não do edge da Netlify (comentário de lógica ativa; ADR 0004)
src/app/layout.tsx	fallback de metadataBase → archtime.app
README.md	HMAC qualificado como keyed em produção; gatilho do build-image qualificado (ignora mudanças só de docs)

Deixado intacto (de propósito)

Registros point-in-time: ADRs (0004 já tem seção "Atualização"; 0003 cita Netlify só no contexto histórico), plans/001–024, docs/plans/*, docs/superpowers/*. Também: fixtures de teste com netlify.app, o matcher dormente isSameNetlifySitePreview (ADR 0004) e o resíduo netlify.toml + @netlify/plugin-nextjs (decisão de remoção à parte).

Como verificar

• Gates locais: tsc limpo, 295 testes verdes, Biome limpo (183 arquivos), react-doctor zerado.
• CI (verify) roda tsc + testes + lint + react-doctor + build.
• Sem mudança de comportamento em produção: layout.tsx só troca um fallback inerte quando NEXT_PUBLIC_APP_URL está setado (produção); security.ts é comentário.