feat(today): adicionar bloco de seguranca (P2-10, SPEC-Hardening-Seguranca.md)

Fase 2 passo 7b invoca today-security-block.py (71.Seguranca, Hub) -- le
relatorios/*.md ja gerados (sem correr scans novos), score+delta+alertas
por dominio. Secao '## Seguranca' nova no formato do dashboard. v12.0.0 -> v12.1.0.

gestao/skills/today/SKILL.md

@@ -4,7 +4,7 @@ description: Checkup diário - dashboard agregador que lê resultados dos agente
 context: fork
 ---
 
-# /today v12.0 - Checkup Diario (Agregador)
+# /today v12.1 - Checkup Diario (Agregador)
 
 Lê resultados dos agentes systemd locais (user timers, desktop/hp) + invoca skills interactivas. Não duplica trabalho automatizado.
 
@@ -113,6 +113,12 @@ estado antes de assumir que correm.
 
 7. SE >10 ficheiros em ~/Transferencias:
    -> Invocar /cleanup-downloads
+
+7b. Bloco de segurança (P2-10, 10-08-2026):
+    python3 /media/ealmeida/Dados/Hub/04-Stack/02.04-Sistemas/71.Seguranca/tools/today-security-block.py
+    -> Lê relatorios/*.md já gerados (não corre scans novos — demoram minutos, usam APIs externas)
+    -> Score actual + delta vs leitura anterior por domínio, alerta se abaixo do SLA (90) ou mínimo (75)
+    -> Output: bloco markdown "## 🔒 Segurança" pronto a incluir no dashboard
 ```
 
 ### Fase 2b: Sprint/Spec Activos (silencioso)
@@ -210,6 +216,11 @@ Nota: Promovidos automaticamente após 3 despesas. Confiança "baixa" = fallback
 
 ---
 
+## 🔒 Segurança
+[Output de today-security-block.py — score+delta por domínio, alertas abaixo do SLA/mínimo]
+
+---
+
 ## Agentes Systemd (desktop/hp local)
 
 | Timer | Ultima execucao | Status | Resumo |
@@ -272,6 +283,7 @@ Filename: `DD-MM-YYYY-checkup.md` (Regra #45: formato DD-MM-YYYY)
 | `/daily-digest` | Skill (interactivo) | Timer, tickets, facturas, leads, agenda (requer desk-crm-v3) |
 | `/tasks-overview` | Skill (interactivo) | Tarefas pendentes/overdue + workflows (desk-project-minimal) |
 | `/cleanup-downloads` | Skill (interactivo) | Limpeza pasta Transferencias |
+| `today-security-block.py` | Script (leitura) | Score+delta de segurança por domínio, lê `71.Seguranca/relatorios/*.md` (não corre scans novos) |
 | `/spec` + `/sprint` | Scan local | Specs e sprints activos |
 
 Repo agentes: `git.descomplicar.pt/ealmeida/stack-observer` (código) — agendamento em `~/.config/systemd/user/*.timer`, não em crontab.
@@ -290,7 +302,7 @@ Se encontrares um padrão relevante ao contexto actual, aplica o fix preventivam
 
 ---
 
-*Skill v12.0.0 | 06-07-2026 | Descomplicar® — arquitectura actualizada de crontab/claude_automations_dev (extinto) para systemd user timers `stack-observer`; memory-supabase substituído por mem0; alerta de lockout SSH ao host `server`*
+*Skill v12.1.0 | 10-08-2026 | Descomplicar® — arquitectura actualizada de crontab/claude_automations_dev (extinto) para systemd user timers `stack-observer`; memory-supabase substituído por mem0; alerta de lockout SSH ao host `server`; bloco de segurança adicionado (P2-10, SPEC-Hardening-Seguranca.md)*
 
 ## Healing Log
 <!-- Registo automático de erros e correcções nesta skill -->
@@ -298,4 +310,5 @@ Se encontrares um padrão relevante ao contexto actual, aplica o fix preventivam
 ```jsonl
 {"date":"2026-07-06","issue":"Fase 1 apontava para claude_automations_dev/{imap-triage,auto-expense,ticket-triage,aiktop-tasks,infra-check,wp-update} — todos arquivados em z_arquivo/ desde a migração para Hermes cronjobs (05-05) e depois systemd stack-observer (~11-06). Logs nunca existiam, secção 'Agentes Cron' sempre vazia.","fix":"Ler estado via systemctl --user list-timers/list-units --failed + journalctl, não tail de logs em paths fixos que mudam a cada migração de arquitectura.","source":"user"}
 {"date":"2026-07-06","issue":"skill referenciava mcp__mem0 (desactivado) para Fase 0/3.","fix":"Usar mem0 (mcp__mem0__search_memories / save_memory), store canónico actual por CLAUDE.md regra 28.","source":"user"}
+{"date":"2026-08-10","issue":"nao havia visibilidade de seguranca no checkup diario -- score so era visto ao correr /seguranca-check manualmente.","fix":"Adicionada Fase 2 passo 7b: today-security-block.py le relatorios/*.md ja gerados (sem correr scans novos) e mostra score+delta+alertas por dominio. Secao '## Segurança' no dashboard.","source":"agent"}
 ```