StackBrief: infraestrutura de dependências com lockfile
Produto de dependências em produção: resumos diários alinhados ao lockfile, em vez de mais um feed de CVE ou de notícias.
Caminho rejeitado: Lançar mais um resumo de notícias e competir com newsletters grátis
Visão geral
Queria notas de release alinhadas às versões que eu rodo, sem viver em feeds. A primeira ideia era um compilado de novidades filtrado por nomes de tecnologias. Isso parecia fraco diante de newsletters grátis, então mantive o pipeline e mudei a pergunta do produto: este release afeta o lockfile? Construí um app Next.js na Vercel e um pipeline noturno no Windmill em um VPS; Stripe, Telegram, idiomas e critérios de continuar ou parar vieram depois do lançamento de fim de semana. Mesmo pipeline, trabalho de infraestrutura, não mais um resumo de notícias.
Problema
Ferramentas de CVE respondem “isso é vulnerável?”. Resumos de notícias respondem “o que está em alta?”. Nenhuma responde “este release afeta as versões que eu rodo?”. O Dependabot gera muito ruído. Quem mantém um produto pequeno ainda é surpreendido por breaking changes.
Restrições
- O GitHub App pode pedir permissão de leitura de conteúdo; o produto só busca package.json e lockfile na raiz.
- Uma stack por conta na v1.
- Custo de LLM tem que caber em R$29/mês ou US$9/mês: filtrar e compartilhar cache antes do Gemini.
- Secrets ficam fora do git; a automação roda em workspace isolado.
- Sem scanner CVE, WhatsApp ou plano Team na v1.
- Locale e moeda do Stripe precisam combinar (BRL para pt-BR, USD para en/es).
Arquitetura
Next.js 16 na Vercel para autenticação, primeiro acesso, interface de resumo e cobrança. Supabase com RLS. Pipeline Bun no Windmill à noite: ingestão, filtro, correspondência de versão, geração e entrega. O primeiro acesso pode disparar um resumo sob demanda para o primeiro resumo não depender só do cron noturno. O checkout escolhe os preços do Stripe de acordo com o idioma/moeda.
Decisões principais
Transformar o compilado de novidades em resumos alinhados às versões, em vez de recomeçar
Mais um resumo de notícias parecia difícil de defender contra newsletters grátis. O caminho de ingestão, filtro e entrega já existia; só o trabalho mudou.
- Lançar mais um resumo de notícias e competir com newsletters grátis
- Descartar o build de fim de semana e recomeçar do zero
Cruzar versões do lockfile, não só nomes de tech
Cruzar só por nome inventa ferramentas parecidas e quebra confiança. Um dia sem novidades só vale se as versões forem reais.
- Tags manuais só (mantido como fallback)
- Varrer o repositório inteiro (rejeitado)
Cachear saída do Gemini por tech@version
Sem cache compartilhado, o custo escala com usuários. Com ele, o mesmo texto de release é reutilizado.
- Gerar por usuário toda noite
Manter preço de lista R$29; deixar desconto de lançamento de fora
Sem tráfego, desconto permanente é sobretudo aparência. O preço ficou como hipótese até haver uso real.
Adicionar EN/ES e USD no dia depois do lançamento
Cobrar só em reais limita o alcance cedo demais para uma ferramenta feita para desenvolvedores. Mesmo trabalho do produto, segunda moeda.
Escrever critérios de continuar ou parar antes de existirem usuários pagos
Mantém o escopo honesto. Força um olhar curto em ativação e conversão do período de teste, em vez de lançar funcionalidades indefinidamente.
Corrigir redirects de sessão e autenticação depois da auditoria de produção
Login e primeiro resumo falham mais por cookies, OAuth e WAF do que pelo texto da página inicial.
Stack
- Next.js 16 (App Router) + [locale] routing
- React / TypeScript
- Tailwind CSS 4 + shadcn/Radix
- next-intl (PT-BR, EN, ES)
- Supabase (Auth, PostgreSQL, RLS)
- Windmill (self-hosted, Bun/TS)
- Google Gemini Flash-Lite
- GitHub App (manifests only)
- Telegram Bot API
- Stripe Checkout / Portal / Webhooks (BRL + USD)
- Vercel
- PostHog
- Resend (optional weekly email)
Impacto
O enquadramento de resumo de notícias caiu antes do lançamento. O mesmo pipeline de ingestão agora responde a uma pergunta de infraestrutura: este release afeta as versões que você roda? O fluxo completo (primeiro acesso → primeiro resumo → período de teste no Stripe) está em produção, sem CVE, WhatsApp ou planos de agência. Critérios de continuar ou parar decidem o próximo corte com base em ativação, não em vontade de adicionar funcionalidade.
Aprendizados
- Pesquisa deve desafiar a ideia, não ditar preço de fachada. Prefira um teto claro em USD a um desconto permanente sem tráfego.
- O primeiro resumo alinhado ao lockfile importa mais do que polimento ou idiomas extras.
- WAF, configuração do Stripe e redirects OAuth ficam no caminho até a primeira tela útil.
- Critérios de continuar ou parar escritos cedo são mais fáceis de manter do que os inventados depois de se apaixonar pelo build.
- Deixe claro o que a permissão do GitHub App permite e o que o produto de fato consulta.
- Internacionalização sem moeda correspondente fica incompleta.
Capturas do produto
Em produção em stackbrief.erbsu.com. Telas do app logado (PT-BR).
Resumo do dia
Stack
Canais
Cobrança
Arquitetura
Painel na Vercel (Next.js). Motor noturno no Windmill (VPS). Supabase compartilhado com RLS. No primeiro acesso dá para gerar um resumo na hora, sem esperar o cron da noite.
O que cortei
Scanner de CVE. WhatsApp. Planos Team e Agency. Preço baixo permanente sem tráfego. Promessas infladas de ROI na landing. Cortei o que saía da pergunta do produto: este release da dependência afeta uma versão que o seu projeto já usa?