feat: migrar para Apple Silicon (arm64) e modernizar stack (Electron 33 / Node 22 / electron-vite)

[Rick0785]

Objetivo

Tornar o Assinador MPES compatível com Apple Silicon (arm64) e modernizar o
stack, resolvendo o aviso da Apple de descontinuação de apps Intel (ver
docs/diagnostico-apple-silicon.md). Também prepara a v5 para distribuição de
teste no macOS.

Migração de stack

	Antes	Depois
Bundler	electron-webpack	electron-vite 3
Electron	9	33
Node	14	22 (.nvmrc, engines, CI)
React / UI	16 / Chakra 0.8	18 / Chakra 2
Renderer	nodeIntegration: true	contextIsolation + preload/contextBridge

Build para Apple Silicon

• electron-builder.yml: mac.target gera dmg + zip para arch: [x64, arm64]
  (dois DMGs nativos: Intel e Apple Silicon). Fim do --x64 hardcoded.
• CI (main.yml): matrix windows-latest + macos-latest (runner Apple Silicon
  compila o arm64 nativo). Em tag v* publica release; em push/dispatch sobe os
  instaladores como artifacts.
• postinstall: electron-builder install-app-deps recompila o módulo nativo
  pkcs11js para a arquitetura do runner.

Correções aplicadas nesta branch (além da migração inicial)

Ao revisar a migração, três regressões foram encontradas comparando com as
releases históricas (v4.3.0) e corrigidas:

1. 🔴 Ícone do macOS — mac.icon apontava para icon.png (300×300), que
   quebra o build mac (electron-builder exige ≥512 para o .icns). Voltou
   para icon.512.png.
2. Auto-update do macOS — o mac.target tinha só dmg; o electron-updater
   no macOS atualiza a partir do zip (que existia até a v4.3.0). Zip
   readicionado.
3. Windows ia32 — o win.target tinha só x64; o ia32 era publicado até
   a v4.3.0. Restaurado.

Documentação

• Readme.md: instruções para o testador baixar o arquivo correto por SO e
  arquitetura (Apple Silicon vs Intel) e abrir no macOS.
• docs/build-e-distribuicao.md: fluxo de build/release; corrige a afirmação
  sobre assinatura Windows (não há certificado no CI) e registra que o RPM Linux
  nunca foi publicado em release.
• CLAUDE.md / prompt de migração atualizados.

Notas / pendências (não bloqueiam este PR)

• Sem code signing (Windows e macOS) — o app nunca foi assinado; a abertura
  manual no macOS é o fluxo de sempre. Developer ID fica como trabalho futuro
  (secrets já deixados comentados em main.yml).
• Token no macOS arm64 depende do middleware arm64 do fabricante — fora
  do controle do MPES; só o teste com token real confirma.
• libs/ ausente — bibliotecas PKCS#11 dos fabricantes não são embarcadas
  (warning tolerado; comportamento pré-existente).

Validação

• pullRequest.yml (lint + build no Ubuntu) roda neste PR.
• Instalador Windows já gerado e testado manualmente (abre e sobe o serviço).
• Build macOS arm64: validar pelo job macos-latest (este é o primeiro build
  mac real no stack novo).

🤖 Generated with Claude Code