From 3892c2e0a44684f5fa1fd15556cedc4da2646ea5 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Francisco=20Ign=C3=A1cio=20Fontoura=20Solla?= <fsolla@pm.me>
Date: Mon, 27 Jul 2026 08:57:26 -0300
Subject: [PATCH] Add remembered campaign sessions

Keep campaign JWT and cookie lifetimes aligned while revoking the active server session on logout.
---
 .cursor/rules/projects/nucleos-eleitorais.mdc |   1 +
 ...p-campaign-campanha-login-loginform-tsx.md |  60 +++++++++++
 AGENTS.md                                     |   6 +-
 docs/plans/lembrar-de-mim-sessao-campanha.md  |  33 +++---
 docs/roadmap.md                               |   4 +-
 src/app/(campaign)/campanha/actions/auth.ts   |  33 ++++--
 .../(campaign)/campanha/login/LoginForm.tsx   |  26 ++++-
 src/collections/CampaignUser.ts               |   2 +
 src/lib/campaignAuthCopy.ts                   |   3 +
 src/lib/campaignSessionTtl.ts                 |   5 +
 src/lib/schemas/campaign-login.ts             |   1 +
 src/utilities/campaignAuth.ts                 | 102 +++++++++++++++---
 tests/e2e/campaignAuth.e2e.spec.ts            |  39 +++++++
 tests/int/campaignAuth.int.spec.ts            |  30 +++++-
 tests/unit/campaignAuthCookie.unit.spec.ts    |  81 ++++++++++++++
 .../campaignCompositionCleanup.unit.spec.ts   |  17 +++
 tests/unit/campaignLoginAction.unit.spec.ts   |  86 ++++++++++++---
 17 files changed, 472 insertions(+), 57 deletions(-)
 create mode 100644 .impeccable/critique/2026-07-27T03-38-47Z__src-app-campaign-campanha-login-loginform-tsx.md
 create mode 100644 src/lib/campaignSessionTtl.ts
 create mode 100644 tests/e2e/campaignAuth.e2e.spec.ts
 create mode 100644 tests/unit/campaignAuthCookie.unit.spec.ts

diff --git a/.cursor/rules/projects/nucleos-eleitorais.mdc b/.cursor/rules/projects/nucleos-eleitorais.mdc
index 8f2b5d2c..54d29e1f 100644
--- a/.cursor/rules/projects/nucleos-eleitorais.mdc
+++ b/.cursor/rules/projects/nucleos-eleitorais.mdc
@@ -11,6 +11,7 @@ alwaysApply: false
 - **B8+ entregue em código (2026-07-27):** os quatro débitos do `/simplify` do B8 F2, e o achado central mudou de dono. **F1 — a alavanca não era a que o plano dizia.** O plano tratava "escala de chão" como algo implementado via dígitos de quantização; medindo o re-snap do artefato commitado para grades mais grossas, quantização sozinha quase não corta: ~12 m → 8.990 pontos (99% do original), ~25 m → 8.164, ~50 m → 6.219, e **mesmo na grade da malha estadual (~103 m) → 3.849 pontos, ainda 203/feature** — ~9× o irmão. Quem manda é o **limiar absoluto de Visvalingam**, que o plano citava entre parênteses. Então a política nasceu invertida: o peso absoluto **em m² de chão** é a política, os dígitos são derivados do bbox de cada topologia. `scripts/lib/topology.mjs` (**primeiro módulo de `scripts/lib/` — o B5 F2 pousa nele, não abre um segundo**) expõe `SIMPLIFY_TOLERANCE_M2` por malha, `GROUND_GRID_METRES = 102.82`, `simplifyToGroundScale`, `quantizeToGroundGrid` e `describeGroundScale`; `SIMPLIFY_QUANTILE`/`QUANTIZE_DIGITS` morreram nos dois scripts. Resultado medido: as zonas caíram de **9.120 → 574 pontos de arco (480 → 30,2/feature) e 72.310 → 7.687 bytes**; `bahia-municipalities` saiu **byte-idêntico** (a política foi semeada no valor histórico dele); territórios mudou **1 byte** (a grade passou de 102,730 para 102,822 m ao ser derivada do bbox em vez de um `1e4` fixo). **Três fatos para ninguém re-derivar:** (1) tolerância é **por malha de propósito** — a municipal (1,78 km²) chega a 17,9 pontos/feature nas zonas, mas come **5% da área de terra de Salvador (306 → 291 km²)**, que é justamente a grandeza com que o int prova que nenhum bairro foi descartado nem duplicado; as zonas ficaram em 0,06 km² e os territórios em 13,6 km² (dissolve da malha municipal, já vêm generalizados); (2) **a ordem importa** — quantizar antes de simplificar colapsa vértices em duplicatas e o `merge` posterior produz anéis quebrados (medido: Salvador dissolvendo para 24 km² em vez de 307); (3) a área das zonas pós-corte é **306,3 km²** (era ~324), dentro da janela de 280–360 km² que o int já tinha. `MAX_TOPO_BYTES` ficou e ganhou ao lado **`MAX_POINTS_PER_FEATURE = 60`** — bytes só pegam malha que ninguém simplificou (as zonas viviam a 10% do teto de bytes com 22× a densidade do irmão — 26× é a razão do passo de grade, não da densidade). `zoneNumber` saiu do artefato e do tipo. **F2:** `featureMapKey` passou a rodar sobre features **reais** das três malhas, cada uma no laço que já a varre inteira — 417 `codarea`, 27 `code`, 19 `slug` (a zona responde slug mesmo carregando o `ibgeCode` da cidade); a primeira escrita asseria a cidade dentro do laço das zonas, e o `/simplify` mostrou que isso era **uma** feature municipal asserida 19 vezes (as 19 ZE compartilham o código de Salvador) enquanto 416 municípios e 27 TIs nunca passavam por `featureMapKey`; o caso de precedência do unit usava `{ municipalitySlug, codarea }`, forma que **nenhuma malha produz** — caiu, e o comentário passou a declarar o invariante real: as três propriedades de chave são **mutuamente exclusivas**, e `ibgeCode` na malha de zonas deliberadamente não é chave. **F3:** `.catch()` na metade das zonas — e a precisão que o plano deixava otimista: como o bundle é keyed por slug, **Salvador não volta a pintar agregada**, volta como polígono sem dado e sem interação (não está em `scopedKeys`); a memoização da rejeição fica (é o estado de falha acionável do B14) e `status === 'error'` segue reservado à malha municipal. A ressalva de aproximação saiu do gate `!comparisonActive` e virou `<p>` condicionado a `bundle.hasZoneMunicipalities` — campo novo do contrato, derivado de `kind === 'zona'` no loader. O `/simplify` rejeitou as duas alternativas: um `isZoneMapKey` no cliente (segunda codificação da regra de `mapKeyForMunicipality`, em espaço negativo) e `zoneBreakdown.length > 0` (recria o acoplamento que o fill-in da lista de zonas vai deletar); com o campo próprio, o fill-in só apaga o `<ul>` + `zoneBreakdown`. **F4:** `getTerritoryFeature`/`getMunicipalityZoneFeature` deletados; `MunicipalityMapNavigation` colapsado em `string | undefined` e `MunicipalitiesByMapKey` em `Record<string, string>` (com o tipo morreram o helper, o `useMemo` que só existia porque ele alocava por chamada, o `| null` do `MapFeatureReadout` e **435 strings no payload RSC de toda visita ao Início**); `polygonRingsOf` exportado; helpers de geometria retipados em `PolygonalFeature` (o requisito real, em vez de `BahiaGeometryFeature` que arrasta `GeoJsonProperties`, ou seja `any`), mais `BahiaFeature<P>` e `BahiaMeshFeature`. **Um item do plano foi rejeitado por medição:** `city`/`zoneNumber` de `MunicipalityZoneNeighborhoodEntry` **ficam** — nenhum runtime os lê, mas os dois entram nas linhas hasheadas por `canonicalEvidenceRows` e são colunas do fixture de proveniência da RA 02/2017 (transcrição **independente** da resolução), então deletar enfraqueceria a verificação por ganho zero; só o `zoneNumber` do **artefato** saiu. Sem migration, collection, action ou `Consent`; e2e segue 436 paths / 435 interativos. Gate completo rodado bare contra o banco local (as falhas de e2e encontradas foram reproduzidas em árvore limpa — flakiness pré-existente já no ledger); Aikido **0 findings** nos arquivos editados (desta vez o scanner rodou; o exit code 2 do B8 F2 não se repetiu para o SAST). Plano as-built: [`escala-dry-pos-b8f2.md`](../../../docs/plans/escala-dry-pos-b8f2.md).
 - **`users.roles` entregue em código (2026-07-27):** campo `roles` (`admin` | `editor`) em `users` — migration `20260727_032523_add_users_roles` (enum + tabela `users_roles` + backfill `admin` nas rows existentes). `isPayloadAdmin` exige papel `admin` (falha fechado se ausente/vazio); `hasPayloadPanelAccess` / `canManagePublishedContent` liberam editor em `/admin` + `post`/`tag`/`media`; `petition`/PII/campanha seguem admin-only; `canReadMunicipality` nega ator `users` sem admin (antes devolvia `Where` vazio e o editor via Municípios no sidebar). Unificação `users`+`campaignUser` **rejeitada** nesta sessão (25 FKs, isolamento estrutural→dado, janela de congelamento) — gatilho: Fase 2 white-label ou dor real de duas contas. Plano: [`roles-admin-payload.md`](../../../docs/plans/roles-admin-payload.md).
 - **Build resiliente ao global `metadata` ausente entregue em código (2026-07-27):** site público. `resolveSiteMetadata` + `SITE_METADATA_DEFAULTS` em `src/utilities/seo.ts` — cadeia `global.URL` → `NEXT_PUBLIC_SITE_URL` → `siteUrl: null` (chamador omite canonical / OG url / JSON-LD url); defaults textuais (`siteName`/`title`/`description`/`twitterCreator`) reusam o que o layout já hardcodava. Consumidores: `layout.tsx`, `/abaixo-assinado/[id]`, `/[type]`, `/[type]/[category]`, `/[type]/[category]/[slug]`. Cópias locais de `stripTrailingSlash`/`truncate`/`toAbsoluteUrl` na página de abaixo-assinado removidas. Pins: unit `siteMetadata`, int `siteMetadataFallback` (mock `getCachedGlobal` → `{}`), guard em `codebaseConventions` contra `globalMetadata.openGraph.` / `.twitter.` / `.keywords.` / `stripTrailingSlash(globalMetadata.URL)` fora de `seo.ts`. Escopo ampliado na auditoria (roadmap citava só a rota de petição e só `URL`). Sem migration/collection/action. Gate: tsc/lint/format/cycles/unit 548/build verde; knip P3 pré-existente; Aikido sem achados novos (`dangerouslySetInnerHTML` Lexical/JSON-LD pré-existente). Plano: [`build-resiliente-metadata-ausente.md`](../../../docs/plans/build-resiliente-metadata-ausente.md).
+- **B39 entregue em código (2026-07-27):** login de `/campanha` ganhou “Lembrar de mim neste dispositivo”, default desmarcado. Contrato: **8 h** padrão / **14 dias** opt-in, definidos em `campaignSessionTtl.ts`; `CampaignUser.auth.tokenExpiration` usa o teto longo porque Payload não aceita TTL por login e `useSessions` poda pelo `expiresAt` armazenado; `setCampaignAuthCookie` re-assina por `jwtSign` os claims do token para 8 h quando necessário e mantém JWT/`maxAge` em lockstep. Convite e reset continuam no default curto. “Sair” autentica o token e delega a revogação da sessão corrente à operação transacional pública `logoutOperation` do Payload antes de apagar cookie/PWA; falha de DB nunca impede a limpeza local. Sem migration (`migrate:create __probe`: “No schema changes detected”). Impeccable critique/polish: copy outcome-first, descrição ligada por `aria-describedby`, alvo medido **44×44 px**, sem overflow em 390/768/1440; detector 0. E2E mede `campaign-token.expires` em ~14 dias.
 - **B8 F2 entregue em código (2026-07-26):** as 19 ZE de Salvador ganharam polígono próprio e o coroplético deixou de ser keyed por `codarea`. Antes, Salvador era **um** polígono carregando os votos da cidade inteira, então o mapa não respondia "qual pedaço de Salvador está fraco / é meu" — a única visão por zona era a lista textual do `zoneBreakdown`. **Fase 0 (prep S1+S3):** `municipalityZoneNeighborhoods` passou a autorar só `{ municipalitySlug, source, neighborhoods }` e hidrata `city`/`zoneNumber` de `getMunicipalityCatalogEntry` no `entry()` (slug desconhecido ou não-`zona` falha no import); int novo de ordem de slugs vs catálogo. S2 (gerar TS do JSON) segue cortado — a curadoria ficou no script, não no catálogo. **Fase 1–2 (artefato):** `scripts/build-municipality-zone-geometries.mjs` (`pnpm build:municipality-zone-geometries`, `--report` só reconcilia) baixa/cacheia `BA_bairros_CD2022.zip` do geoftp do IBGE, parseia com **`shpjs`** (devDependency nova — reprojeta o SIRGAS 2000, o IBGE não publica GeoJSON de bairro), filtra `CD_MUN === '2927408'` (**170 polígonos**) e dissolve por zona pela RA 02/2017 do TRE-BA → `src/lib/geometries/bahia-municipality-zones.topo.json` (**72.310 bytes**, ~20 KB gzip, 19 features keyed por `municipalitySlug`), com submódulo `bahiaMunicipalityZoneGeometries.ts` + `loadMunicipalityZoneGeometryModule()` no padrão memoizado de B5 F1. **Reconciliação = 3 tabelas curadas no cabeçalho do script, não regex mais esperta:** `IBGE_TO_TRE_NEIGHBORHOOD` (7 aliases — compostos "Beiru/Tancredo Neves", CAB, ilhas), `TRE_NEIGHBORHOODS_MERGED_INTO` (Jardim Cruzeiro dentro de Vila Ruy Barbosa; o build **recusa** um merge que atravesse zonas) e `SPLIT_NEIGHBORHOOD_ZONES` (Periperi, que a resolução corta na Rua das Pedrinhas, vai **inteiro** para a ZE 17 — o bairro é o átomo geométrico). Atribuição em dois passes: nome da resolução, depois **maior fronteira compartilhada** para os 5 bairros que a RA nunca nomeia (Ilha Amarela, Dois de Julho, Chame-Chame, Horto Florestal, Mirantes de Periperi) — a regra foi **validada** contra os 4 que a resolução nomeia sob outro rótulo e reproduz a zona oficial nos 4. O build morre se sobrar polígono órfão ou bairro TRE sem polígono (hoje 170/170 → 19/19). **Fase 3 (re-keying):** map key = `kind === 'zona' ? slug : ibgeCode` (`mapKeyForMunicipality` + `buildMunicipalitiesByMapKey` em `municipalityMapNavigation.ts`); o bundle inteiro re-keyed (`territorialClassByMapKey`, `projectedValidVotesByMapKey`, `municipalitiesByMapKey`, `valuesByYear`, `values2026ByScenario`, `validVotesByYear`, `diffByYear`); os rollups pararam de acumular com `+=` porque cada map key agora é 1:1; `computeAggregateTerritorialClass` deu lugar a `computeMunicipalityTerritorialClass` (um slug por chave); `resolveMunicipalityMapNavigation` virou 1:1 e o ramo `kind: 'zones'` morreu junto com o scroll-anchor e a copy "toque de novo" do readout. **`competitiveRank` continua por cidade** (o artefato TSE só tem `federalRankByIbgeCode`): as 19 zonas dividem a posição da cidade, o que a legenda já afirmava — int novo pina que as 19 têm **uma** posição só. Per-ZE segue fora (gatilho: produto pedir posição dentro da zona). `buildMunicipalitiesByIbgeCode` sobrevive intacto — o href de lista do B14 ✓ é por cidade. **Fase 4 (mapa):** `BahiaMap` monta a camada de município a partir de **duas** malhas via `loadLayerFeatures`, e o polígono municipal de Salvador fica desenhado **por baixo** como base sem dado e sem pointer (`baseKeys`), para que um sliver de desacordo entre duas malhas simplificadas independentemente não abra buraco no contorno do estado; `keyPropertyForMode`/`featureKeyFromProperties` deram lugar a `featureMapKey` (`municipalitySlug ?? codarea ?? code` — as três nunca coexistem, então o argumento de modo sumiu); `fitMapToHighlights` passou a medir os **paths desenhados** (`pathByKeyRef`) em vez do módulo de geometria, que já não sabe sozinho de qual malha veio a chave, e `geometryModuleRef` foi apagado. Copy do painel: a linha morta "Zonas não têm polígono oficial — Salvador e **Camaçari** aparecem agregadas" (Camaçari saiu do modelo de zona na M1) virou o disclaimer de aproximação. **Dois fatos medidos, para ninguém re-derivar:** o polígono municipal de Salvador tem **~690 km²** e a soma das 19 zonas **~324 km²** — a diferença é a água da baía que os limites municipais encerram e a malha de bairros não desenha, então o int de área compara contra a área de **terra** (280–360 km²) e não contra o município; e centróide-dentro-de-outra-zona **não** é teste de sobreposição válido aqui, porque a ZE 16 é concava e envolve a ZE 14 (o centróide da 16 cai na 14) — a garantia de não-sobreposição é estrutural (cada bairro é atribuído a exatamente uma zona) mais a soma de áreas. Testes: int de contrato (19 features, slugs == catálogo, budget 600 KB, centróide de cada zona dentro do polígono municipal), unit de `featureMapKey`, e2e `campaignZoneMap.e2e.spec.ts` (436 paths / 435 interativos — o único não-interativo é a base de Salvador — readout "Salvador — ZE N" e clique abrindo `/campanha/municipios/salvador-ze-N`). **`/simplify`:** comentário de `NearbyMunicipalityResolution.zoneCity` que dizia "sem polígonos de zona (B8 F2)" corrigido (os polígonos passaram a existir nesta entrega; o card **deliberadamente** continua na lista filtrada — débito aberto, não efeito colateral); duas asserções do int de bairros que viraram tautologia com a hidratação da Fase 0 (comparavam `city`/`zoneNumber` com o catálogo de onde foram copiados) removidas, apontando para o teste de fixture que checa contra a transcrição independente; e o script parou de re-indexar geometrias simplificadas por **nome** de bairro (o irmão `build-bahia-geometries.mjs` usa `codarea`, único por construção) — hoje são 170 nomes distintos em 170 polígonos, mas um nome repetido em malha futura colapsaria dois polígonos silenciosamente num artefato commitado; passou a haver `id` próprio, e o rebuild saiu **byte-idêntico** (sha256 `1dd0d629…`). Sem migration, sem collection, sem action, sem Consent. **Gate:** tsc/lint/format/knip/`check:cycles`/unit+int/e2e/build rodados; **Aikido não fechou** — o scanner MCP responde Opengrep exit code 2 em **qualquer** entrada (inclusive um arquivo-probe trivial de uma linha), então os "4 findings" que ele reportou são artefato da execução quebrada e não achados atribuíveis; o feed do Aikido não tem nada deste repo. SCA do `shpjs` também pendente. **Relatórios do `/simplify` chegaram depois do merge** e o que sobrou virou o fill-in **B8+** ([`escala-dry-pos-b8f2.md`](../../../docs/plans/escala-dry-pos-b8f2.md)), aberto por uma medição que contradiz a intuição de "malha pequena, artefato pequeno": as 19 zonas têm **9.120** pontos de arco contra **9.139** da malha de **todos** os 417 municípios da Bahia (480 vs 22 pontos/feature; Salvador é um `Polygon` de **35** pontos na malha municipal). A causa não é a malha de bairros ser detalhada — é que `QUANTIZE_DIGITS = 1e4` e `SIMPLIFY_QUANTILE = 0.35` foram copiados verbatim do script irmão e **os dois são relativos à própria topologia**: a quantização é uma grade sobre o bbox do arquivo, e o de Salvador é ~26× mais estreito, o que dá **~3,9 m** de resolução contra ~103 m no estado, num mapa que para em `maxZoom: 10`. Consequência para quem for consertar: o que deve ficar compartilhado entre os dois scripts é a **escala de chão**, não a contagem de dígitos — extrair as constantes como estão (o que o revisor de reuse pediu, sem essa medição) cimentaria o defeito e lhe daria autoridade de política. Os outros três: nada roda `featureMapKey` sobre um feature **real** fora do e2e, então as três escritas da map key podem divergir e pintar cinza sem erro em lugar nenhum; o `Promise.all` das duas malhas somado à memoização da rejeição fez de um chunk de 19 polígonos um ponto único de falha do mapa inteiro (antes a malha municipal sozinha bastava); e a ressalva "é aproximado, não é o limite oficial do TSE" está pendurada na condição de render da **lista** (`!comparisonActive`), então desaparece no modo comparação enquanto a malha aproximada continua pintada. Plano: [`poligonos-pracas-zona.md`](../../../docs/plans/poligonos-pracas-zona.md).
 - **B39–B42 registrados (2026-07-26, lote roadmap-items):** sessão "Lembrar de mim" (**B39**, ~0,5d, não cortável — default hoje 2 h); login biométrico WebAuthn (**B40**, soft B39, cortável); scroll horizontal + sticky coluna Município (**B41**, espelha TerritoryList/B21); polimento mobile lista municípios (**B42** — Drawer Tendência/Assessores no padrão B26 + card compacto). Planos: `lembrar-de-mim-sessao-campanha.md`, `login-biometrico-campanha.md`, `scroll-horizontal-lista-municipios.md`, `polimento-mobile-lista-municipios.md`. Dedup do lote: drawers + card mobile mesclados em B42; auth fatiado B39/B40.
 - **E12 entregue em código (2026-07-26):** camada TI — rollups MAUP + benchmark intra-TI. Estende `territoryOverview.ts` (`computeTerritoryE12Rollup`: cobertura agregada E8 cenário `central`, captura regional como razão dos agregados, mediana/amplitude, município crítico e farol) e `loadTerritoryOverview.ts` (passa `user`, `loadMunicipalityGoalCoverageBundle`, `computeAggregateTerritorialClass` por TI e sub-linhas do Metropolitano). `/campanha/territorios`: colunas Cobertura/Captura/Classe, sorts e descrições B22 em `territoryListUrl.ts` / `territoryListLabels.ts` / `TerritoryListColumns.tsx`. Detalhe: `territoryIntraCaptureBenchmark.ts` + linha T4 no `MunicipalityGoalAccountCard`. Conceitos E18 `captura-regional` e `benchmark-intra-ti`. Cortes v1: sem agrupamento na lista de municípios, sem mapa TI. `sanityCheckSuggestedGoalsByTerritory` segue sem UI. Gate: tsc/lint/format/check:cycles/533 unit/406 int/build (com `PAYLOAD_SECRET` local); knip P3 pré-existente em `payload.config.ts`; Aikido 0 findings. Plano: [`camada-territorios-identidade.md`](../../../docs/plans/camada-territorios-identidade.md).
diff --git a/.impeccable/critique/2026-07-27T03-38-47Z__src-app-campaign-campanha-login-loginform-tsx.md b/.impeccable/critique/2026-07-27T03-38-47Z__src-app-campaign-campanha-login-loginform-tsx.md
new file mode 100644
index 00000000..d03cef7c
--- /dev/null
+++ b/.impeccable/critique/2026-07-27T03-38-47Z__src-app-campaign-campanha-login-loginform-tsx.md
@@ -0,0 +1,60 @@
+---
+target: src/app/(campaign)/campanha/login/LoginForm.tsx
+total_score: 30
+p0_count: 0
+p1_count: 2
+timestamp: 2026-07-27T03-38-47Z
+slug: src-app-campaign-campanha-login-loginform-tsx
+---
+
+Method: dual-agent (A: 40f4d719-1f16-4263-b89d-6aeacd953292 · B: a1f29395-5031-4607-8fe4-d2519097813b; parent completed detector/browser evidence after B's browser restriction)
+
+## Design Health Score
+
+| #         | Heuristic                       |     Score | Key issue                                              |
+| --------- | ------------------------------- | --------: | ------------------------------------------------------ |
+| 1         | Visibility of system status     |         3 | Pending and errors are announced clearly               |
+| 2         | Match system / real world       |         4 | Plain pt-BR copy                                       |
+| 3         | User control and freedom        |         3 | Recovery remains limited for phone-only accounts       |
+| 4         | Consistency and standards       |         4 | House Field and Checkbox patterns                      |
+| 5         | Error prevention                |         2 | Combined phone/e-mail input has pre-existing ambiguity |
+| 6         | Recognition rather than recall  |         3 | First-access help assumes the assessor is known        |
+| 7         | Flexibility and efficiency      |         3 | Native autocomplete and enter hints                    |
+| 8         | Aesthetic and minimalist design |         3 | Focused; initial TTL copy was dense                    |
+| 9         | Error recovery                  |         3 | Both credential fields are marked invalid together     |
+| 10        | Help and documentation          |         2 | Recovery help is not actionable for every role         |
+| **Total** |                                 | **30/40** | **Good**                                               |
+
+## Anti-Patterns Verdict
+
+The restrained campaign auth card does not read as AI-generated: no gradients, ornamental cards, or campaign kitsch. It is intentionally familiar product UI. The deterministic detector returned zero findings. Browser review at 390×844, 768×1024, and 1440×900 found no overflow.
+
+## What's Working
+
+- Clear logo → title → credentials → submit hierarchy.
+- Native labels, focus treatment, pending feedback, and error announcement are strong.
+- The new checkbox uses the shared control and keeps the real 8-hour / 14-day contract visible.
+
+## Priority Issues
+
+- **P1 — Checkbox target was 40×32 px.** The shared default pseudo-target was short of the field-use 44 px bar. **Resolved in polish:** this instance now has a measured 44×44 px target.
+- **P2 — Session copy was policy-first and four lines on mobile.** **Resolved in polish:** outcome-first copy is shorter while retaining both exact durations and the personal-device warning.
+- **P1 — Phone-first recovery ambiguity.** Pre-existing and outside B39: phone-only users cannot use e-mail reset.
+- **P2 — Secondary recovery targets are compact.** Pre-existing and outside B39.
+
+## Persona Red Flags
+
+- **Jordan:** first-access recovery assumes they know an assessor.
+- **Sam:** the B39 checkbox is labeled, described with `aria-describedby`, focus-visible, and now has a 44×44 px target.
+- **Casey:** the new option is one tap and defaults safely off; the pre-existing identifier placeholder remains long on narrow phones.
+
+## Minor Observations
+
+- The remembered option remains visually subordinate to the primary login action.
+- The final description takes two lines at desktop/tablet and wraps without overflow on mobile.
+- The identifier placeholder clipping is unrelated to B39.
+
+## Questions to Consider
+
+- Should a future auth pass make recovery adapt to the identifier type?
+- Should compact secondary auth links receive the same 44 px target policy?
diff --git a/AGENTS.md b/AGENTS.md
index 246c36e8..e98dbb43 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -145,10 +145,10 @@ curl -X POST "https://<prod-domain>/api/revalidate?tag=global_privacy-policy" \
 
 The internal `/campanha` area is gated by its own authentication, deliberately kept **isolated from the Payload admin (`/admin`)** so a campaign session and an admin session can coexist in the same browser.
 
-- **`campaignUser` collection** (`src/collections/CampaignUser.ts`) — a separate Payload auth collection with `name`, optional contact `phone`, and required `role`: `coordinator` ("Coordenador Geral"), `advisor` ("Assessor"), `candidate` ("Candidato"), or `leader` ("Liderança" — default and least privilege). Staff may sign in by email; leadership accounts use the normalized 11-digit phone as `username`. It is not `users`: `admin.user` remains `users`, so campaign users cannot log into `/admin`.
-- **Isolated session cookie `campaign-token`.** The flow sets its own httpOnly cookie named `campaign-token` (constant `CAMPAIGN_TOKEN_COOKIE` in `src/utilities/campaignAuth.ts`), scoped to `path: '/campanha'`, `sameSite: 'lax'`, and `secure` only in production. It is deliberately NOT the default `payload-token` cookie — using a distinct name + path is what lets a campaign session and a Payload admin session live side by side without clobbering each other.
+- **`campaignUser` collection** (`src/collections/CampaignUser.ts`) — a separate Payload auth collection with `name`, optional contact `phone`, and required `role`: `coordinator` ("Coordenador Geral"), `advisor` ("Assessor"), `candidate` ("Candidato"), or `leader` ("Liderança" — default and least privilege). Staff may sign in by email; leadership accounts use the normalized 11-digit phone as `username`. It is not `users`: `admin.user` remains `users`, so campaign users cannot log into `/admin`. Its static `auth.tokenExpiration` is the 14-day ceiling because Payload's Local API does not accept a per-login TTL and `useSessions` (enabled) stores/prunes sessions using that configured expiry.
+- **Isolated session cookie `campaign-token`.** The flow sets its own httpOnly cookie named `campaign-token` (constant `CAMPAIGN_TOKEN_COOKIE` in `src/utilities/campaignAuth.ts`), scoped to `path: '/campanha'`, `sameSite: 'lax'`, and `secure` only in production. It is deliberately NOT the default `payload-token` cookie — using a distinct name + path is what lets a campaign session and a Payload admin session live side by side without clobbering each other. Login defaults to **8 hours**; checking "Lembrar de mim neste dispositivo" opts into **14 days**. `setCampaignAuthCookie` owns the invariant JWT `exp` = cookie `maxAge`: it re-signs the Payload token to 8 hours with `jwtSign` or keeps the original 14-day token. Password-reset and invite login paths omit the opt-in and therefore stay at 8 hours.
 - **Session verification — `getCampaignUser()`** (`src/utilities/campaignAuth.ts`). Reads the `campaign-token` cookie, calls `payload.auth({ headers })`, accepts only `user.collection === 'campaignUser'`, then reloads that document by ID. The fresh read makes role downgrades effective immediately instead of trusting a stale JWT role.
-- **Login/logout server actions** (`src/app/(campaign)/campanha/actions/auth.ts`). `loginCampaign` validates input with `campaignLoginSchema` (`src/lib/schemas/campaign-login.ts`), calls `payload.login({ collection: 'campaignUser' })`, and — because the Local API returns a token WITHOUT setting a cookie — sets the `campaign-token` cookie itself (using the collection's `auth.tokenExpiration` as `maxAge`) before redirecting to `/campanha`. `logoutCampaign` clears the cookie (`maxAge: 0`) and redirects to `/campanha/login`.
+- **Login/logout server actions** (`src/app/(campaign)/campanha/actions/auth.ts`). `loginCampaign` validates input with `campaignLoginSchema` (`src/lib/schemas/campaign-login.ts`), calls `payload.login({ collection: 'campaignUser' })`, chooses the 8-hour / 14-day TTL, and — because the Local API returns a token WITHOUT setting a cookie — calls `setCampaignAuthCookie` before redirecting to `/campanha`. `logoutCampaign` authenticates the current token and delegates revocation of its `_sid` to Payload's public transactional `logoutOperation`, then clears the cookie (`maxAge: 0`) and redirects to `/campanha/login`; malformed tokens or database failures never prevent local cookie/PWA cleanup.
 - **Route layout.** The route group's root layout `src/app/(campaign)/layout.tsx` renders the `<html>`/`<body>` with `data-theme="campaign"`. The public login lives at `src/app/(campaign)/campanha/login/` (`page.tsx` + client `LoginForm.tsx`). Everything gated sits in the `(app)` group, whose layout (`src/app/(campaign)/campanha/(app)/layout.tsx`) calls `getCampaignUser()` and `redirect('/campanha/login')` when there is no session — that layout is the barrier.
 - **Migrations.** `20260716_010420_add_campaign_user` created the auth collection; the unpublished 2026-07-17 campaign chain was consolidated into `20260718_010733_consolidate_campaign_schema`, which adds role/username auth, contact phone, and the remaining final campaign schema.
 
diff --git a/docs/plans/lembrar-de-mim-sessao-campanha.md b/docs/plans/lembrar-de-mim-sessao-campanha.md
index 2d8827c0..89de72d0 100644
--- a/docs/plans/lembrar-de-mim-sessao-campanha.md
+++ b/docs/plans/lembrar-de-mim-sessao-campanha.md
@@ -1,7 +1,7 @@
 # Lembrar de mim / sessão longa em `/campanha`
 
-Status: rascunho
-Atualizado em: 2026-07-26
+Status: entregue em código (2026-07-27)
+Atualizado em: 2026-07-27
 Item do roadmap: [docs/roadmap.md](../roadmap.md) (Trilha B, item B39)
 Impeccable: B — encaixe no `LoginForm` + cookie `campaign-token`; sem rota nova
 Appetite: ~0,5 dia eng; checkbox + duas durações de JWT/cookie + testes; sem migration
@@ -27,18 +27,26 @@ Dados: N/A — auth/sessão; nenhum KPI/série/mapa.
 
 ## Contexto
 
-A sessão de `/campanha` é o cookie httpOnly `campaign-token` (`path: '/campanha'`, `sameSite: 'lax'`, `secure` em produção), setado por [`setCampaignAuthCookie`](../../src/utilities/campaignAuth.ts) após `payload.login` em [`loginCampaign`](<../../src/app/(campaign)/campanha/actions/auth.ts>). O `maxAge` do cookie espelha `campaignUser.config.auth.tokenExpiration`, com fallback **`DEFAULT_TOKEN_EXPIRATION = 7200`** (2 horas). A collection [`CampaignUser`](../../src/collections/CampaignUser.ts) **não declara** `tokenExpiration` hoje — Payload + o fallback deixam a sessão curta demais para mesa/campo. Não há checkbox "Lembrar de mim"; o `LoginForm` só pede identificador + senha.
+A sessão de `/campanha` era o cookie httpOnly `campaign-token` (`path: '/campanha'`, `sameSite: 'lax'`, `secure` em produção), setado por [`setCampaignAuthCookie`](../../src/utilities/campaignAuth.ts) após `payload.login` em [`loginCampaign`](<../../src/app/(campaign)/campanha/actions/auth.ts>). Antes desta entrega, Payload aplicava seu default de **7.200 s** (2 horas) ao JWT e o helper repetia esse valor no `maxAge`. Não havia checkbox "Lembrar de mim"; o `LoginForm` só pedia identificador + senha.
 
 Pedido de produto (2026-07-26): o usuário é deslogado com frequência; oferecer "Lembrar de mim neste dispositivo" e manter a sessão por mais tempo.
 
 PWA (D1 ✓): o SW envia o cookie automaticamente nos `fetch`; logout já limpa caches (`clearCampaignPwaCaches`). Sessão mais longa beneficia o PWA instalado sem mudar o modelo de auth.
 
+## Revisão na entrega
+
+- **`payload.login` não aceita TTL por chamada.** `CampaignUser.auth.tokenExpiration` passou ao teto de 14 dias e `setCampaignAuthCookie` re-assina o mesmo conjunto de claims com 8 horas no caminho padrão.
+- **`useSessions` é `true` por default no Payload.** A sessão armazenada precisa nascer com o teto longo; deixá-la em 8 horas e só alongar o JWT lembrado faria outro login podar a sessão longa como expirada.
+- **Logout só apagava o cookie.** Com TTL de 14 dias, isso deixaria um token reutilizável no aparelho. `logoutCampaign` agora autentica o token e delega a remoção da sessão corrente à operação transacional pública `logoutOperation` do Payload antes de apagar o cookie; falha de revogação nunca impede a limpeza local.
+- **Custo aceito:** `POST /api/campaignUser/login` direto emite o `payload-token` de 14 dias. A aplicação `/campanha` não lê esse cookie: usa apenas `campaign-token`, path `/campanha`, re-assinado para 8 horas salvo opt-in.
+- **Medições:** `pnpm migrate:create __probe` informou “No schema changes detected”; o smoke E2E confirmou `campaign-token.expires` em ~14 dias com o checkbox marcado.
+
 ## Objetivos
 
 - No login, checkbox **"Lembrar de mim neste dispositivo"** (default **desmarcado**).
 - Sessão **sem** lembrar: duração de **dia de trabalho** (recomendação: **8 h**), não 2 h.
 - Sessão **com** lembrar: duração **longa** (recomendação: **14 dias**), JWT + cookie alinhados.
-- Logout explícito continua invalidando o cookie (`maxAge: 0`) e os caches PWA.
+- Logout explícito revoga a sessão no servidor, invalida o cookie (`maxAge: 0`) e mantém a limpeza de caches PWA.
 - Guardrails: sem migration, sem collection, sem Consent novo; cookie permanece httpOnly / path `/campanha` / isolado de `payload-token`; `leader` e staff no mesmo contrato.
 
 ## Decisões travadas
@@ -48,17 +56,17 @@ PWA (D1 ✓): o SW envia o cookie automaticamente nos `fetch`; logout já limpa
 - **Sem persistir a senha no cliente.** "Lembrar" = duração do token, não Credential Manager nem `localStorage` de senha. Biometria / WebAuthn fica em **B40**. **Rejeitado:** autofill como "feature" de produto (já é do browser); guardar credenciais em plain storage.
 - **i18n e naming** (AGENTS.md): identificadores `rememberMe`, `CAMPAIGN_SESSION_TTL_SHORT` / `_LONG` (ou nomes equivalentes); copy pt-BR "Lembrar de mim neste dispositivo".
 
-## Questões em aberto
+## Questões resolvidas
 
-- **Durações exatas (8 h / 14 d)?** **Opções:** A) 8 h + 14 d _(recomendado)_ | B) 12 h + 30 d | C) 4 h + 7 d. **Recomendação:** A — dia de trabalho tipico + quinzena cobrindo giro sem re-login diário; 30 d é agressivo com PII de apoiadores ainda sob hold jurídico. _(assumido — validar com produto / assessoria se o lote jurídico quiser teto menor.)_
+- **Durações:** 8 horas sem opt-in e 14 dias com “Lembrar de mim”, decididas pelo produto nesta entrega.
 
 ## Abordagem proposta
 
 ```mermaid
 flowchart LR
   form["LoginForm + checkbox rememberMe"] --> action["loginCampaign"]
-  action --> login["payload.login<br/>tokenExpiration short|long"]
-  login --> cookie["setCampaignAuthCookie<br/>maxAge = tokenExpiration"]
+  action --> login["payload.login<br/>JWT + session 14 d"]
+  login --> cookie["setCampaignAuthCookie<br/>re-sign 8 h ou mantém 14 d"]
   cookie --> gate["getCampaignUser<br/>(layout app)"]
 ```
 
@@ -67,8 +75,9 @@ Componentes:
 - **`src/lib/schemas/campaign-login.ts`**: campo opcional `rememberMe` (boolean / "on").
 - **`LoginForm.tsx`**: `Checkbox` + label; `name="rememberMe"`; `autoComplete` inalterado.
 - **`loginCampaign` / `setCampaignAuthCookie`**: aceitar TTL explícito; alinhar JWT + cookie; constantes numéricas num módulo pequeno (`campaignSessionTtl.ts` em `lib/` se puro).
-- **`CampaignUser` auth config**: se Payload exigir `tokenExpiration` estático na collection, usar o **máximo** (longo) na config e emitir tokens com `exp` menor no caminho curto — ou o mecanismo que o Payload 3 expuser sem segundo cookie. Confirmar na implementação lendo a API de `payload.login` / collection auth (depth check: não inventar refresh token).
-- **Testes:** unit do schema; int do login com/sem remember (cookie `maxAge` / claim `exp` se observável); e2e smoke do checkbox opcional.
+- **`CampaignUser` auth config**: `tokenExpiration = CAMPAIGN_SESSION_TTL_LONG`; o caminho curto re-assina por API pública `jwtSign`, com `payload.secret`.
+- **Logout:** autentica o token, revoga só a sessão corrente via `logoutOperation` do Payload e sempre apaga o cookie.
+- **Testes:** unit de claims/`exp`/`maxAge` e action/FormData; int de autenticação após revogação; e2e do checkbox e expiração longa.
 - **Migration:** nenhuma.
 
 Depth check: reusa `setCampaignAuthCookie`, `CAMPAIGN_TOKEN_COOKIE`, form action existente. Não cria sessão paralela nem collection de refresh.
@@ -87,7 +96,7 @@ Depth check: reusa `setCampaignAuthCookie`, `CAMPAIGN_TOKEN_COOKIE`, form action
 ## Rabbit holes
 
 - **Refresh-token / dual-cookie.** Se alguém “só completar” com refresh: segundo segredo, rotação, invalidação no logout, testes de race. **Mitigação:** uma JWT + um cookie, duas durações no emit.
-- **`tokenExpiration` estático na collection vs por login.** Payload pode não aceitar TTL por request. **Mitigação:** medir na Fase 1 da implementação; se só houver TTL estático, config = longo e o caminho curto usa cookie `maxAge` menor **somente se** o JWT curto for emitível — senão documentar e cair para default único alongado + checkbox como no-op visual (falha de produto: não mentir). Preferir falhar o gate a mentir a duração.
+- **`tokenExpiration` estático na collection vs por login.** Resolvido: Payload não aceita TTL por request, mas exporta `jwtSign`; config = longo e o helper re-assina para o curto preservando `id`/`collection`/`role`/`email`/`sid`.
 
 ## Adiado com gatilho
 
@@ -97,7 +106,7 @@ Depth check: reusa `setCampaignAuthCookie`, `CAMPAIGN_TOKEN_COOKIE`, form action
 ## Referências
 
 - `docs/roadmap.md` (Trilha B · B39)
-- `src/utilities/campaignAuth.ts` — cookie + `DEFAULT_TOKEN_EXPIRATION`
+- `src/utilities/campaignAuth.ts` — re-assinatura, cookie e revogação de sessão
 - `src/app/(campaign)/campanha/actions/auth.ts` — `loginCampaign` / logout
 - `src/app/(campaign)/campanha/login/LoginForm.tsx`
 - `src/collections/CampaignUser.ts` — auth
diff --git a/docs/roadmap.md b/docs/roadmap.md
index 0885f65a..90fb920d 100644
--- a/docs/roadmap.md
+++ b/docs/roadmap.md
@@ -119,7 +119,7 @@ O discovery literatura→persona→entrevista ([relatório aprovado](research/re
 - **B17** seletor de colunas (mostrar/ocultar) na lista de municípios — Popover “Colunas” + `localStorage`; desktop only; `name` obrigatória; **Pass 2 W1 deixou trivial:** colunas já são dado (`CampaignTableColumn.id`/`mandatory`/`defaultVisible`); soft: B15 ✓ (ids) / B16 ✓ (barra slim); prepara viewport para **E9** · ~0,5–1d · Janela 1–2 · cortável · [plano](plans/seletor-colunas-lista-municipios.md)
 - **B18** filtros salvos na lista de municípios — nomear o estado URL atual (`localStorage`); **Pass 2 W1 deixou trivial:** serialização canônica pronta e congelada em `municipalityListUrl.ts`; acesso rápido de 2º nível sob Municípios no sidebar (hover desktop / expand mobile; sticky só no filtro salvo ativo) · ~1–1,5d · Janela 1–2 · soft: B16/B17 (barra) · cortável · [plano](plans/filtros-salvos-municipios.md)
 - ~~**B19** gerenciar assessores — `/campanha/assessores` (lista + novo + detalhe): criar/editar contas `advisor`, ver/atribuir municípios, reenviar link de senha; **só Coordenador Geral e Candidato** (`isCampaignUnrestricted`); alinha access de update/phone do `candidate`~~ — **entregue 2026-07-24** (também alinha atribuição `municipality.advisors` a unrestricted; e-mail na lista via leitura privilegiada; auto-save da carteira) · [plano](plans/gerenciar-assessores.md)
-- **B39** lembrar de mim / sessão longa em `/campanha` — pedido de produto (2026-07-26): logout frequente; hoje `DEFAULT_TOKEN_EXPIRATION = 7200` (2 h) no cookie `campaign-token`. Checkbox "Lembrar de mim neste dispositivo" (default off); sem lembrar ≈ **8 h**, com lembrar ≈ **14 d**; JWT + `maxAge` alinhados; sem migration/Consent · ~0,5d · Janela 1 · Impeccable B · soft: B40 (mesmo `LoginForm`) · **não cortável** nesta leva (atrito diário de adoção) · [plano](plans/lembrar-de-mim-sessao-campanha.md)
+- ~~**B39** lembrar de mim / sessão longa em `/campanha`~~ — **entregue 2026-07-27** (checkbox default off; 8 h padrão / 14 d opt-in; `CampaignUser` configura o teto longo e `setCampaignAuthCookie` re-assina JWT + cookie para o TTL escolhido; `logoutCampaign` revoga o `sid` no servidor antes de limpar cookie/PWA; smoke E2E mede a expiração longa; sem migration/Consent) · [plano](plans/lembrar-de-mim-sessao-campanha.md)
 - **B40** login com biometria (WebAuthn) em `/campanha` — após o 1º login com senha, enrollment opt-in no dispositivo; na próxima visita, platform authenticator (digital/Face ID) emite o mesmo `campaign-token` (TTL longo). Collection/credenciais server-side; senha permanece; migration leve · ~1,5–2d · Janela 1–2 · Impeccable C · soft: **B39** (TTL/copy no login) · cortável · [plano](plans/login-biometrico-campanha.md)
 - **B41** scroll horizontal + coluna Município fixa na lista de municípios — em `md+`, a tabela deixa de estourar a viewport (`overflow-x-auto` + `sticky left-0` na coluna nome), espelhando **B21 ✓** `TerritoryList`; revisita o trade-off do **B16 ✓** (`overflow-x-visible` para sticky header) · ~0,5–0,75d · Janela 1 · Impeccable B · soft: B17/B38 ✓ · cortável (depois de B42 na lista de cortes) · [plano](plans/scroll-horizontal-lista-municipios.md)
 - **B42** polimento mobile da lista de municípios — Tendência e Assessores abrem **Drawer** no mobile (Popover no desktop), no padrão do **B26 ✓** sinal; card mais baixo (Classe sem prosa, Cobertura `compact`, sem botão "Abrir município", tap no card abre o detalhe) · ~1d · Janela 1 · Impeccable B · soft: B24 ✓/B27 ✓/B26 ✓; paralelo a B41 · cortável · [plano](plans/polimento-mobile-lista-municipios.md)
@@ -170,7 +170,7 @@ flowchart TD
     B8F2["B8 F2 ✓ Polígonos<br/>zonas de Salvador"]
     B14n["B14 ✓ Município mais próximo"]
     B38n["B38 ✓ Sidebar recolhido<br/>em tablet"]
-    B39n["B39 Lembrar de mim<br/>/ sessão longa"]
+    B39n["B39 ✓ Lembrar de mim<br/>/ sessão longa"]
     B40n["B40 Login biométrico<br/>WebAuthn"]
     B41n["B41 Scroll horizontal<br/>+ sticky Município"]
     B42n["B42 Polimento mobile<br/>lista municípios"]
diff --git a/src/app/(campaign)/campanha/actions/auth.ts b/src/app/(campaign)/campanha/actions/auth.ts
index 8b6865d2..fa5ebea8 100644
--- a/src/app/(campaign)/campanha/actions/auth.ts
+++ b/src/app/(campaign)/campanha/actions/auth.ts
@@ -9,11 +9,13 @@ import {
   CAMPAIGN_ACCOUNT_LOCKED_MESSAGE,
   CAMPAIGN_LOGIN_INVALID_CREDENTIALS_MESSAGE,
 } from '@/lib/campaignAuthCopy'
-import { requiredFormSecret, requiredFormText } from '@/lib/formData'
+import { CAMPAIGN_SESSION_TTL_LONG, CAMPAIGN_SESSION_TTL_SHORT } from '@/lib/campaignSessionTtl'
+import { checkboxFormValue, requiredFormSecret, requiredFormText } from '@/lib/formData'
 import { campaignLoginSchema, type CampaignLoginInput } from '@/lib/schemas/campaign-login'
 import {
-  CAMPAIGN_COOKIE_PATH,
   CAMPAIGN_TOKEN_COOKIE,
+  clearCampaignAuthCookie,
+  revokeCampaignSession,
   setCampaignAuthCookie,
 } from '@/utilities/campaignAuth'
 
@@ -33,11 +35,11 @@ export const loginCampaign = async (input: CampaignLoginInput): Promise<LoginRes
   }
 
   const payload = await getPayload({ config })
+  const { identifier, password, rememberMe } = parsed.data
 
   let token: string | undefined
 
   try {
-    const { identifier, password } = parsed.data
     const credentials = identifier.includes('@')
       ? { email: identifier, password }
       : { username: identifier, password }
@@ -59,7 +61,11 @@ export const loginCampaign = async (input: CampaignLoginInput): Promise<LoginRes
     return { error: CAMPAIGN_LOGIN_INVALID_CREDENTIALS_MESSAGE }
   }
 
-  await setCampaignAuthCookie(token, payload)
+  await setCampaignAuthCookie(
+    token,
+    payload,
+    rememberMe ? CAMPAIGN_SESSION_TTL_LONG : CAMPAIGN_SESSION_TTL_SHORT,
+  )
 
   redirect('/campanha')
 }
@@ -72,6 +78,7 @@ export const loginCampaignFormAction = async (
     return loginCampaign({
       identifier: requiredFormText(formData, 'identifier'),
       password: requiredFormSecret(formData, 'password'),
+      rememberMe: checkboxFormValue(formData, 'rememberMe'),
     })
   } catch {
     return { error: 'Dados inválidos.' }
@@ -80,14 +87,18 @@ export const loginCampaignFormAction = async (
 
 export const logoutCampaign = async (): Promise<void> => {
   const cookieStore = await cookies()
+  const token = cookieStore.get(CAMPAIGN_TOKEN_COOKIE)?.value
 
-  cookieStore.set(CAMPAIGN_TOKEN_COOKIE, '', {
-    httpOnly: true,
-    secure: process.env.NODE_ENV === 'production',
-    sameSite: 'lax',
-    path: CAMPAIGN_COOKIE_PATH,
-    maxAge: 0,
-  })
+  if (token) {
+    try {
+      const payload = await getPayload({ config })
+      await revokeCampaignSession(token, payload)
+    } catch {
+      // Cookie deletion must still succeed if the token is malformed or revocation is unavailable.
+    }
+  }
+
+  await clearCampaignAuthCookie()
 
   redirect('/campanha/login')
 }
diff --git a/src/app/(campaign)/campanha/login/LoginForm.tsx b/src/app/(campaign)/campanha/login/LoginForm.tsx
index 12026a41..dcb72177 100644
--- a/src/app/(campaign)/campanha/login/LoginForm.tsx
+++ b/src/app/(campaign)/campanha/login/LoginForm.tsx
@@ -7,13 +7,22 @@ import { loginCampaignFormAction, type LoginResult } from '@/app/(campaign)/camp
 import { CampaignAuthCardHeader } from '@/components/campaign/auth/CampaignAuthCardHeader'
 import { Button } from '@/components/ui/button'
 import { Card, CardContent } from '@/components/ui/card'
-import { Field, FieldError, FieldGroup, FieldLabel } from '@/components/ui/field'
+import { Checkbox } from '@/components/ui/Checkbox'
+import {
+  Field,
+  FieldContent,
+  FieldDescription,
+  FieldError,
+  FieldGroup,
+  FieldLabel,
+} from '@/components/ui/field'
 import { Input } from '@/components/ui/input'
 import { Spinner } from '@/components/ui/Spinner'
 import {
   CAMPAIGN_FIRST_ACCESS_HINT,
   CAMPAIGN_LEADERSHIP_LOGIN_RECOVERY_HINT,
   CAMPAIGN_LOGIN_SUBTITLE,
+  CAMPAIGN_REMEMBER_ME_DESCRIPTION,
   campaignAuthMutedTextClassName,
   campaignAuthTextLinkClassName,
 } from '@/lib/campaignAuthCopy'
@@ -76,6 +85,21 @@ export const LoginForm = () => {
                 aria-describedby={hasAuthError ? LOGIN_ERROR_ID : undefined}
               />
             </Field>
+            <Field orientation="horizontal">
+              <Checkbox
+                id="remember-me"
+                name="rememberMe"
+                value="true"
+                aria-describedby="remember-me-description"
+                className="after:-inset-x-3.5 after:-inset-y-3.5"
+              />
+              <FieldContent>
+                <FieldLabel htmlFor="remember-me">Lembrar de mim neste dispositivo</FieldLabel>
+                <FieldDescription id="remember-me-description">
+                  {CAMPAIGN_REMEMBER_ME_DESCRIPTION}
+                </FieldDescription>
+              </FieldContent>
+            </Field>
             <div className="flex flex-col gap-2 text-sm">
               <Link href="/campanha/esqueci-senha" className={campaignAuthTextLinkClassName}>
                 Esqueceu a senha?
diff --git a/src/collections/CampaignUser.ts b/src/collections/CampaignUser.ts
index c766ac6d..436e3584 100644
--- a/src/collections/CampaignUser.ts
+++ b/src/collections/CampaignUser.ts
@@ -1,3 +1,4 @@
+import { CAMPAIGN_SESSION_TTL_LONG } from '@/lib/campaignSessionTtl'
 import { normalizeBrazilianPhone } from '@/lib/phone'
 import type { CampaignUser as CampaignUserDocument } from '@/payload-types'
 import {
@@ -105,6 +106,7 @@ export const CampaignUser: CollectionConfig = {
     useAsTitle: 'name',
   },
   auth: {
+    tokenExpiration: CAMPAIGN_SESSION_TTL_LONG,
     loginWithUsername: {
       allowEmailLogin: true,
       requireEmail: false,
diff --git a/src/lib/campaignAuthCopy.ts b/src/lib/campaignAuthCopy.ts
index e6e36381..a2f9b034 100644
--- a/src/lib/campaignAuthCopy.ts
+++ b/src/lib/campaignAuthCopy.ts
@@ -11,6 +11,9 @@ export const CAMPAIGN_FIRST_ACCESS_HINT =
 
 export const CAMPAIGN_LOGIN_SUBTITLE = 'Use o e-mail ou o celular cadastrado na sua conta.'
 
+export const CAMPAIGN_REMEMBER_ME_DESCRIPTION =
+  'Em aparelho pessoal, fique conectado por 14 dias. Desmarcado, o acesso dura 8 horas.'
+
 /** Shown when Payload locks the account after maxLoginAttempts (default: 5 / 10 min). */
 export const CAMPAIGN_ACCOUNT_LOCKED_MESSAGE =
   'Conta temporariamente bloqueada após várias tentativas. Aguarde alguns minutos e tente de novo.'
diff --git a/src/lib/campaignSessionTtl.ts b/src/lib/campaignSessionTtl.ts
new file mode 100644
index 00000000..5605cfdc
--- /dev/null
+++ b/src/lib/campaignSessionTtl.ts
@@ -0,0 +1,5 @@
+/** Default session: one field workday without persisting login across days. */
+export const CAMPAIGN_SESSION_TTL_SHORT = 8 * 60 * 60
+
+/** Explicit "remember me" session: a fortnight on the user's own device. */
+export const CAMPAIGN_SESSION_TTL_LONG = 14 * 24 * 60 * 60
diff --git a/src/lib/schemas/campaign-login.ts b/src/lib/schemas/campaign-login.ts
index d5fee335..ccb1c75d 100644
--- a/src/lib/schemas/campaign-login.ts
+++ b/src/lib/schemas/campaign-login.ts
@@ -22,6 +22,7 @@ const campaignIdentifierSchema = z
 export const campaignLoginSchema = z.object({
   identifier: campaignIdentifierSchema,
   password: z.string().min(1, 'Informe a senha'),
+  rememberMe: z.boolean().optional(),
 })
 
 export type CampaignLoginInput = z.infer<typeof campaignLoginSchema>
diff --git a/src/utilities/campaignAuth.ts b/src/utilities/campaignAuth.ts
index 625fa60c..ebc406dd 100644
--- a/src/utilities/campaignAuth.ts
+++ b/src/utilities/campaignAuth.ts
@@ -4,17 +4,86 @@ import type { CampaignUser } from '@/payload-types'
 
 import configPromise from '@payload-config'
 import { cookies } from 'next/headers'
-import { getPayload, type Payload } from 'payload'
+import { createLocalReq, getPayload, jwtSign, logoutOperation, type Payload } from 'payload'
 import { cache } from 'react'
 
+import { CAMPAIGN_SESSION_TTL_LONG, CAMPAIGN_SESSION_TTL_SHORT } from '@/lib/campaignSessionTtl'
+
 export const CAMPAIGN_TOKEN_COOKIE = 'campaign-token'
-export const CAMPAIGN_COOKIE_PATH = '/campanha'
-const DEFAULT_TOKEN_EXPIRATION = 7200
+const CAMPAIGN_COOKIE_PATH = '/campanha'
 
 type CampaignAuthPayload = Pick<Payload, 'auth' | 'findByID'>
-type CampaignCookiePayload = Pick<Payload, 'collections'>
+type CampaignCookiePayload = Pick<Payload, 'secret'>
 export type AuthenticatedCampaignUser = CampaignUser & { email: string }
 
+type CampaignTokenClaims = Record<string, unknown> & {
+  collection: 'campaignUser'
+  id: number | string
+  sid: string
+}
+
+const campaignTokenClaims = (token: string): CampaignTokenClaims => {
+  try {
+    const segments = token.split('.')
+    if (segments.length !== 3 || !segments[1]) throw new Error('Malformed JWT')
+
+    const base64 = segments[1].replace(/-/g, '+').replace(/_/g, '/')
+    const paddedBase64 = base64.padEnd(Math.ceil(base64.length / 4) * 4, '=')
+    const decoded = JSON.parse(atob(paddedBase64)) as unknown
+    if (typeof decoded !== 'object' || decoded === null || Array.isArray(decoded)) {
+      throw new Error('Invalid campaign claims')
+    }
+    const claims = decoded as CampaignTokenClaims
+    if (
+      (typeof claims.id !== 'number' && typeof claims.id !== 'string') ||
+      claims.collection !== 'campaignUser' ||
+      typeof claims.sid !== 'string'
+    ) {
+      throw new Error('Invalid campaign claims')
+    }
+
+    const { exp: _exp, iat: _iat, ...fieldsToSign } = claims
+    return fieldsToSign
+  } catch {
+    throw new Error('Token de campanha inválido.')
+  }
+}
+
+const campaignSessionToken = async (
+  token: string,
+  payload: CampaignCookiePayload,
+  tokenExpiration: number,
+): Promise<string> => {
+  if (tokenExpiration === CAMPAIGN_SESSION_TTL_LONG) return token
+
+  const { token: resignedToken } = await jwtSign({
+    fieldsToSign: campaignTokenClaims(token),
+    secret: payload.secret,
+    tokenExpiration,
+  })
+  return resignedToken
+}
+
+export const revokeCampaignSession = async (token: string, payload: Payload): Promise<void> => {
+  const headers = new Headers({ Authorization: `JWT ${token}` })
+  const { user: authenticatedUser } = await payload.auth({ headers })
+  if (authenticatedUser?.collection !== 'campaignUser') {
+    throw new Error('Token de campanha inválido.')
+  }
+
+  const req = await createLocalReq(
+    {
+      req: { headers },
+      user: authenticatedUser,
+    },
+    payload,
+  )
+  await logoutOperation({
+    collection: payload.collections.campaignUser,
+    req,
+  })
+}
+
 export const authenticateCampaignToken = async (
   token: string,
   payload: CampaignAuthPayload,
@@ -53,21 +122,28 @@ export const getCampaignUserRaw = async (): Promise<AuthenticatedCampaignUser |
 
 export const getCampaignUser = cache(getCampaignUserRaw)
 
+const campaignCookieOptions = (maxAge: number) => ({
+  httpOnly: true,
+  maxAge,
+  path: CAMPAIGN_COOKIE_PATH,
+  sameSite: 'lax' as const,
+  secure: process.env.NODE_ENV === 'production',
+})
+
 export const setCampaignAuthCookie = async (
   token: string,
   payload: CampaignCookiePayload,
+  tokenExpiration: number = CAMPAIGN_SESSION_TTL_SHORT,
 ): Promise<void> => {
-  const tokenExpiration =
-    payload.collections.campaignUser?.config.auth?.tokenExpiration ?? DEFAULT_TOKEN_EXPIRATION
+  const sessionToken = await campaignSessionToken(token, payload, tokenExpiration)
   const cookieStore = await cookies()
 
-  cookieStore.set(CAMPAIGN_TOKEN_COOKIE, token, {
-    httpOnly: true,
-    secure: process.env.NODE_ENV === 'production',
-    sameSite: 'lax',
-    path: CAMPAIGN_COOKIE_PATH,
-    maxAge: tokenExpiration,
-  })
+  cookieStore.set(CAMPAIGN_TOKEN_COOKIE, sessionToken, campaignCookieOptions(tokenExpiration))
+}
+
+export const clearCampaignAuthCookie = async (): Promise<void> => {
+  const cookieStore = await cookies()
+  cookieStore.set(CAMPAIGN_TOKEN_COOKIE, '', campaignCookieOptions(0))
 }
 
 export const campaignLoginCredentials = (
diff --git a/tests/e2e/campaignAuth.e2e.spec.ts b/tests/e2e/campaignAuth.e2e.spec.ts
new file mode 100644
index 00000000..b9576213
--- /dev/null
+++ b/tests/e2e/campaignAuth.e2e.spec.ts
@@ -0,0 +1,39 @@
+import { CAMPAIGN_SESSION_TTL_LONG } from '../../src/lib/campaignSessionTtl.js'
+import { expect, test } from './fixtures/campaignE2EFixtures.js'
+
+test('logs in with a remembered fourteen-day campaign session', async ({
+  campaign,
+  context,
+  page,
+}) => {
+  test.slow()
+  const { fixtures } = campaign
+  const email = `${fixtures.value('remembered-user')}@example.com`
+  const password = fixtures.value('password')
+  await campaign.payload.create({
+    collection: 'campaignUser',
+    data: {
+      name: fixtures.value('Usuária lembrada'),
+      email,
+      password,
+      role: 'advisor',
+    },
+    depth: 0,
+  })
+
+  await page.goto('/campanha/login')
+  const rememberMe = page.getByRole('checkbox', {
+    name: 'Lembrar de mim neste dispositivo',
+  })
+  await expect(rememberMe).toBeVisible()
+  await expect(rememberMe).not.toBeChecked()
+  await page.getByLabel('E-mail ou celular').fill(email)
+  await page.getByLabel('Senha').fill(password)
+  await rememberMe.check()
+  const loggedInAt = Math.floor(Date.now() / 1000)
+  await page.getByRole('button', { name: 'Entrar' }).click()
+  await page.waitForURL(/\/campanha$/)
+
+  const tokenCookie = (await context.cookies()).find((cookie) => cookie.name === 'campaign-token')
+  expect(tokenCookie?.expires).toBeGreaterThan(loggedInAt + CAMPAIGN_SESSION_TTL_LONG - 60)
+})
diff --git a/tests/int/campaignAuth.int.spec.ts b/tests/int/campaignAuth.int.spec.ts
index 66360f81..368e624d 100644
--- a/tests/int/campaignAuth.int.spec.ts
+++ b/tests/int/campaignAuth.int.spec.ts
@@ -3,16 +3,17 @@
 import { readFileSync } from 'node:fs'
 
 import type { Payload, PayloadRequest, RequiredDataFromCollectionSlug } from 'payload'
-import { beforeAll, beforeEach, describe, expect, it, vi } from 'vitest'
+import { assert, beforeAll, beforeEach, describe, expect, it, vi } from 'vitest'
 
 import { assignMunicipalityAdvisorsRecord } from '@/app/(campaign)/campanha/actions/municipality'
 import { CampaignUser as CampaignUserCollection } from '@/collections/CampaignUser'
+import { CAMPAIGN_SESSION_TTL_LONG } from '@/lib/campaignSessionTtl'
 import { buildWhatsAppUrl, normalizeBrazilianPhone, sanitizeBrazilianPhoneInput } from '@/lib/phone'
 import { campaignLoginSchema } from '@/lib/schemas/campaign-login'
 import type { CampaignUser } from '@/payload-types'
 import config from '@/payload.config'
 import { getAccessibleMunicipalityIds, isCampaignCoordinator } from '@/utilities/campaignAccess'
-import { authenticateCampaignToken } from '@/utilities/campaignAuth'
+import { authenticateCampaignToken, revokeCampaignSession } from '@/utilities/campaignAuth'
 import { getPayload } from 'payload'
 
 import { installCampaignFixtures } from '../helpers/campaignFixtures'
@@ -40,6 +41,7 @@ describe('campaign authentication foundation', () => {
 
   it('configures optional username and email login', () => {
     expect(CampaignUserCollection.auth).toMatchObject({
+      tokenExpiration: CAMPAIGN_SESSION_TTL_LONG,
       loginWithUsername: {
         allowEmailLogin: true,
         requireEmail: false,
@@ -99,6 +101,30 @@ describe('campaign authentication foundation', () => {
     expect(leadershipLogin.user?.username).toBe(phone)
   })
 
+  it('stops authenticating a token after its server session is revoked', async () => {
+    const email = `${campaignFixtures().value('logout')}@example.com`
+    const password = campaignFixtures().value('password')
+    await payload.create({
+      collection: 'campaignUser',
+      data: {
+        name: 'Sessão encerrada',
+        email,
+        password,
+        role: 'advisor',
+      },
+    })
+    const login = await payload.login({
+      collection: 'campaignUser',
+      data: { email, password },
+    })
+    assert(login.token)
+    const token = login.token
+
+    await expect(authenticateCampaignToken(token, payload)).resolves.not.toBeNull()
+    await revokeCampaignSession(token, payload)
+    await expect(authenticateCampaignToken(token, payload)).resolves.toBeNull()
+  })
+
   it('preserves leading and trailing password spaces through validation and Payload login', async () => {
     const password = `  ${campaignFixtures().value('exact-password')}  `
     const trimmedPassword = password.trim()
diff --git a/tests/unit/campaignAuthCookie.unit.spec.ts b/tests/unit/campaignAuthCookie.unit.spec.ts
new file mode 100644
index 00000000..49a46720
--- /dev/null
+++ b/tests/unit/campaignAuthCookie.unit.spec.ts
@@ -0,0 +1,81 @@
+// @vitest-environment node
+
+import { jwtSign } from 'payload'
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+
+import { CAMPAIGN_SESSION_TTL_LONG, CAMPAIGN_SESSION_TTL_SHORT } from '@/lib/campaignSessionTtl'
+
+const mocks = vi.hoisted(() => ({
+  cookieSet: vi.fn(),
+}))
+
+vi.mock('next/headers', () => ({
+  cookies: vi.fn(async () => ({ set: mocks.cookieSet })),
+}))
+
+import { CAMPAIGN_TOKEN_COOKIE, setCampaignAuthCookie } from '@/utilities/campaignAuth'
+
+const secret = 'campaign-auth-test-secret'
+const claims = {
+  id: 42,
+  collection: 'campaignUser',
+  role: 'advisor',
+  email: 'advisor@example.com',
+  sid: 'session-id',
+}
+const payload = {
+  secret,
+}
+
+const decodePayload = (token: string): Record<string, unknown> =>
+  JSON.parse(Buffer.from(token.split('.')[1] ?? '', 'base64url').toString('utf8')) as Record<
+    string,
+    unknown
+  >
+
+describe('setCampaignAuthCookie', () => {
+  beforeEach(() => {
+    vi.clearAllMocks()
+  })
+
+  it('re-signs the token and cookie to the short default while preserving auth claims', async () => {
+    const { token } = await jwtSign({
+      fieldsToSign: claims,
+      secret,
+      tokenExpiration: CAMPAIGN_SESSION_TTL_LONG,
+    })
+
+    await setCampaignAuthCookie(token, payload)
+
+    const [name, shortToken, options] = mocks.cookieSet.mock.calls[0] ?? []
+    const decoded = decodePayload(shortToken)
+    expect(name).toBe(CAMPAIGN_TOKEN_COOKIE)
+    expect(shortToken).not.toBe(token)
+    expect(decoded).toMatchObject(claims)
+    expect(Number(decoded.exp) - Number(decoded.iat)).toBe(CAMPAIGN_SESSION_TTL_SHORT)
+    expect(options).toMatchObject({ maxAge: CAMPAIGN_SESSION_TTL_SHORT })
+  })
+
+  it('keeps a long Payload token unchanged when remember me is selected', async () => {
+    const { token } = await jwtSign({
+      fieldsToSign: claims,
+      secret,
+      tokenExpiration: CAMPAIGN_SESSION_TTL_LONG,
+    })
+
+    await setCampaignAuthCookie(token, payload, CAMPAIGN_SESSION_TTL_LONG)
+
+    expect(mocks.cookieSet).toHaveBeenCalledWith(
+      CAMPAIGN_TOKEN_COOKIE,
+      token,
+      expect.objectContaining({ maxAge: CAMPAIGN_SESSION_TTL_LONG }),
+    )
+  })
+
+  it('fails closed without setting a cookie when the token is malformed', async () => {
+    await expect(setCampaignAuthCookie('not-a-jwt', payload)).rejects.toThrow(
+      'Token de campanha inválido.',
+    )
+    expect(mocks.cookieSet).not.toHaveBeenCalled()
+  })
+})
diff --git a/tests/unit/campaignCompositionCleanup.unit.spec.ts b/tests/unit/campaignCompositionCleanup.unit.spec.ts
index 614596e4..04b309cc 100644
--- a/tests/unit/campaignCompositionCleanup.unit.spec.ts
+++ b/tests/unit/campaignCompositionCleanup.unit.spec.ts
@@ -67,10 +67,19 @@ const reactActEnvironment = globalThis as typeof globalThis & {
 
 beforeAll(() => {
   reactActEnvironment.IS_REACT_ACT_ENVIRONMENT = true
+  vi.stubGlobal(
+    'ResizeObserver',
+    class {
+      observe() {}
+      unobserve() {}
+      disconnect() {}
+    },
+  )
 })
 
 afterAll(() => {
   delete reactActEnvironment.IS_REACT_ACT_ENVIRONMENT
+  vi.unstubAllGlobals()
 })
 
 afterEach(() => {
@@ -95,6 +104,7 @@ describe('campaign login composition', () => {
 
     const identifier = screen.getByLabelText('E-mail ou celular')
     const password = screen.getByLabelText('Senha')
+    const rememberMe = screen.getByLabelText('Lembrar de mim neste dispositivo')
     const submit = screen.getByRole('button', { name: 'Entrar' })
 
     expect(screen.getByRole('heading', { level: 1, name: 'Entrar na campanha' })).toBeTruthy()
@@ -105,6 +115,13 @@ describe('campaign login composition', () => {
     expect(password.getAttribute('name')).toBe('password')
     expect(password.hasAttribute('required')).toBe(true)
     expect(password.getAttribute('autocomplete')).toBe('current-password')
+    expect(rememberMe.getAttribute('aria-checked')).toBe('false')
+    expect(rememberMe.getAttribute('aria-describedby')).toBe('remember-me-description')
+    expect(
+      screen.getByText(
+        'Em aparelho pessoal, fique conectado por 14 dias. Desmarcado, o acesso dura 8 horas.',
+      ),
+    ).toBeTruthy()
     expect(submit.getAttribute('type')).toBe('submit')
     expect(submit.className).toContain('w-full')
   })
diff --git a/tests/unit/campaignLoginAction.unit.spec.ts b/tests/unit/campaignLoginAction.unit.spec.ts
index a0b742e3..6790f6ee 100644
--- a/tests/unit/campaignLoginAction.unit.spec.ts
+++ b/tests/unit/campaignLoginAction.unit.spec.ts
@@ -3,39 +3,47 @@
 import { beforeEach, describe, expect, it, vi } from 'vitest'
 
 const mocks = vi.hoisted(() => ({
-  cookieSet: vi.fn(),
+  clearAuthCookie: vi.fn(),
+  cookieGet: vi.fn(),
   login: vi.fn(),
   redirect: vi.fn(),
+  revokeSession: vi.fn(),
+  setAuthCookie: vi.fn(),
 }))
 
 vi.mock('@payload-config', () => ({ default: {} }))
 vi.mock('next/headers', () => ({
-  cookies: vi.fn(async () => ({ set: mocks.cookieSet })),
+  cookies: vi.fn(async () => ({ get: mocks.cookieGet })),
 }))
 vi.mock('next/navigation', () => ({
   redirect: mocks.redirect,
 }))
 vi.mock('payload', () => ({
   getPayload: vi.fn(async () => ({
-    collections: {
-      campaignUser: {
-        config: {
-          auth: {
-            tokenExpiration: 7200,
-          },
-        },
-      },
-    },
     login: mocks.login,
   })),
 }))
+vi.mock('@/utilities/campaignAuth', () => ({
+  CAMPAIGN_TOKEN_COOKIE: 'campaign-token',
+  clearCampaignAuthCookie: mocks.clearAuthCookie,
+  revokeCampaignSession: mocks.revokeSession,
+  setCampaignAuthCookie: mocks.setAuthCookie,
+}))
 
-import { loginCampaign, loginCampaignFormAction } from '@/app/(campaign)/campanha/actions/auth'
+import {
+  loginCampaign,
+  loginCampaignFormAction,
+  logoutCampaign,
+} from '@/app/(campaign)/campanha/actions/auth'
+import { CAMPAIGN_SESSION_TTL_LONG, CAMPAIGN_SESSION_TTL_SHORT } from '@/lib/campaignSessionTtl'
+
+const longToken =
+  'header.eyJpZCI6MSwiY29sbGVjdGlvbiI6ImNhbXBhaWduVXNlciIsInNpZCI6InNlc3Npb24taWQiLCJpYXQiOjEsImV4cCI6Mn0.signature'
 
 describe('loginCampaign credential mapping', () => {
   beforeEach(() => {
     vi.clearAllMocks()
-    mocks.login.mockResolvedValue({ token: 'campaign-token' })
+    mocks.login.mockResolvedValue({ token: longToken })
   })
 
   it('maps an email identifier to email credentials', async () => {
@@ -84,6 +92,34 @@ describe('loginCampaign credential mapping', () => {
     })
   })
 
+  it('uses an eight-hour session when remember me is not selected', async () => {
+    await loginCampaign({
+      identifier: 'staff@example.com',
+      password: 'secret',
+    })
+
+    expect(mocks.setAuthCookie).toHaveBeenCalledWith(
+      longToken,
+      expect.objectContaining({ login: mocks.login }),
+      CAMPAIGN_SESSION_TTL_SHORT,
+    )
+  })
+
+  it('uses a fourteen-day session when remember me is selected in FormData', async () => {
+    const formData = new FormData()
+    formData.set('identifier', 'staff@example.com')
+    formData.set('password', 'secret')
+    formData.set('rememberMe', 'true')
+
+    await loginCampaignFormAction({}, formData)
+
+    expect(mocks.setAuthCookie).toHaveBeenCalledWith(
+      longToken,
+      expect.objectContaining({ login: mocks.login }),
+      CAMPAIGN_SESSION_TTL_LONG,
+    )
+  })
+
   it('preserves password whitespace at the FormData boundary', async () => {
     const formData = new FormData()
     formData.set('identifier', ' staff@example.com ')
@@ -139,4 +175,28 @@ describe('loginCampaign credential mapping', () => {
         'Conta temporariamente bloqueada após várias tentativas. Aguarde alguns minutos e tente de novo.',
     })
   })
+
+  describe('logoutCampaign', () => {
+    beforeEach(() => {
+      mocks.cookieGet.mockReturnValue({ value: longToken })
+    })
+
+    it('revokes the current server session before clearing the logout cookie', async () => {
+      await logoutCampaign()
+
+      expect(mocks.revokeSession).toHaveBeenCalledWith(
+        longToken,
+        expect.objectContaining({ login: mocks.login }),
+      )
+      expect(mocks.clearAuthCookie).toHaveBeenCalledOnce()
+    })
+
+    it('still clears the logout cookie when server revocation rejects the token', async () => {
+      mocks.revokeSession.mockRejectedValueOnce(new Error('revocation unavailable'))
+
+      await logoutCampaign()
+
+      expect(mocks.clearAuthCookie).toHaveBeenCalledOnce()
+    })
+  })
 })