This page is also available in English.
Read in EnglishEsta página también está disponible en español.
Leer en españolZones
A maior parte de um repositório é segura para um agente mudar. Poucas partes não são — o schema, os contracts, o que o seu histórico de incidentes disser. Uma zone é como você diz qual é qual, num arquivo que você revisa como código — e, no modo governance, os únicos paths que o CommitCycle bloqueia. O padrão, o modo memory, não tem zones e impõe uma coisa só: editar exige uma task ativa.
✓ gate: four fields answered, no high-risk zone to approve
REQ-7 · schema · write · CC-42
Reason: the board query needs an index
Instead: hand the DDL to the owner
1 hour4 hoursUntil the task closes
✓ Approved — schema is open to CC-42 for 4 hours
No console uma task passa pelo gate para In Progress, e o owner de uma zone responde a um access request — por uma hora, quatro, ou até a task fechar.
> add an index on tasks.updated_at — the board query is slow
● Write(apps/api/migrations/0042_tasks_updated_at.sql)
⎿ PreToolUse:Write — ✗ Denied by CC
zone schema · risk high
owner ana@acme.dev
task CC-42 declared no protected zones
reason path is in a zone the task never asked for
● The schema zone is closed to CC-42. Asking its owner rather than looking for another way in.
● Bash(cycle request-access --zone schema --mode write --reason "the board query needs an index" --alternative "hand the DDL to the owner")
⎿ REQ-7 is with the zone owner
approve or deny: https://dash.commitcycle.com/requests
O hook recusa a escrita antes que ela aconteça, nomeia a zone e o owner, e o agente pede acesso em vez de procurar outro caminho. O Claude Code é onde esse bloqueio já foi visto funcionando.
Os path patterns dizem onde. Um risk level diz quanto cuidado. Uma default policy diz quem pode lê-la quando nada foi concedido — escrever sempre exige um grant. E um owner diz a quem perguntar — que é o atributo que transforma um muro numa porta.
# O mapa do próprio CommitCycle, recortado. Quatro zones no arquivo real, não trinta,
# todas legíveis desde 2026-10-10 — escrever em qualquer uma ainda exige um grant.
zones:
- id: schema
risk: high
owner: paulo@commitcycle.com
paths:
- "apps/api/migrations/**"
- "apps/api/src/db/schema/**"
default_policy: open
- id: enforcement
risk: high
owner: paulo@commitcycle.com
paths:
- "packages/hook/**"
- "packages/action/**"
default_policy: open
- id: brand
risk: medium
default_policy: open
# Tudo que não está aqui fica sem proteção, de propósito.Mover uma task para In Progress é o que emite isso. Além desse gate, só um owner respondendo a um access request abre uma zone, e cycle renew só reemite o mesmo escopo — não existe comando open-zone, e ninguém precisa lembrar de fechar nada.
Preso a uma task
Abre as zones que aquela task declarou, e nada adjacente. A mudança vizinha tentadora é justamente a que os non-goals existem para nomear.
Preso a um branch
A garantia é por checkout: dois agentes num mesmo diretório compartilham um branch, e com ele uma task e um grant. Essa é a falha que este produto sofreu primeiro nele mesmo (D-43, ainda proposta); a resposta por enquanto é um worktree por agente.
Expira em oito horas, no máximo
O gate o emite por oito horas, no máximo. Um owner que aprovou uma zone de alto risco por uma hora ou quatro antecipa a expiração do grant inteiro para coincidir (CC-1327).
Write apps/api/migrations/0007_add_org_index.sql
O agente é avisado do motivo na mesma resposta que nega, então ele pede acesso em vez de tentar outro caminho. Um bloqueio que só diz não acaba sendo contornado.
CC-42 quer schema
apps/api/migrations/**Just-in-time: o grant expira sozinho. Ninguém precisa lembrar de fechá-lo, que é justo o passo em que todo processo de acesso falha.
Melhor dizer antes que você descubra sozinho: negar uma tool call na hora já existe no Claude Code, Codex, Cursor, Augment, Factory e Devin CLI, e é grátis em qualquer um deles que você já use. Se isso fosse o produto, você não precisaria desta página.
O que nenhum deles tem é o modelo que essa negação consulta. As regras deles são por máquina e permanentes. Não há um owner para perguntar, nem um momento de aprovação, nem expiração, nem noção de uma task à qual a permissão possa estar presa.
As regras de todo mundo
Uma lista de paths. Definida uma vez, verdadeira para sempre, igual para qualquer trabalho, sem ninguém associado.
Uma zone mais um grant
Path × owner × risk × esta task × este branch × oito horas, no máximo, e um registro de quem abriu e por quê.
Contra CODEOWNERS e os rulesets de branch a diferença é o quando: mesmo vocabulário, perguntado depois que a mudança já existe, imposto no host. Uma zone é checada na escrita, no seu notebook, offline — e o check de CI que recalcula o diff depois roda só no próprio repositório do CommitCycle.
Cada número aqui carrega seu limite na mesma frase.
cmd & dentro de outro — escapa dela até o fechamento checar o diff contra as zones (CC-1379). Medido em 2026-08-03 (CC-3). Paths ignorados pelo git não são vistos, então um .env dentro de uma zone não tem contenção. O corpus foi escolhido pelo próprio autor. O eval de falsos positivos ao vivo não rodou.cycle export --audits imprime o histórico do board, registros incluídos, em Markdown.Declare esses paths como uma zone com um owner e um risk level. O agente só ganha acesso às zones que a task dele declarou, no branch ao qual essa task está presa, e o acesso expira sozinho. Tudo que você não declarar fica sem proteção, que é o certo para a maior parte de um repositório.
O CODEOWNERS é o mesmo vocabulário aplicado depois do fato, no host: pede uma revisão quando a mudança já existe. Uma zone é checada no momento da escrita, na sua máquina, e carrega uma expiração e um escopo de task que o CODEOWNERS não tem.