Control plane único
Todo write passa pelo mesmo funil.
Kill switch, modo, aprovação, limites, credencial e idempotência — em um funil.
Automação sem governança vira risco: uma regra solta muda orçamento real sem ninguém ver.
Nove portões antes de qualquer escrita.
Nada sobe sem decisão humana.
Trilha auditável, idempotência por ação.
Todo write passa pelo mesmo funil.
Provider writes off por padrão.
Fila humana com contexto completo.
Primeiro write real: só PAUSAR, reversível.
PROVIDER_WRITES_ENABLED=false. Nenhuma mutação real acontece no modo sombra.
Comece em modo sombra: tudo é simulado, nada é publicado. Você promove a execução real quando decidir.