From ac2390587ed84392579a8d11700f8e66f0bdfe68 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Francisco=20Ign=C3=A1cio=20Fontoura=20Solla?= <fsolla@pm.me>
Date: Tue, 28 Jul 2026 19:23:07 -0300
Subject: [PATCH] B18: saved municipality list filters in localStorage and
 sidebar submenu.

Bookmarks the canonical list recorte beside Limpar, syncs via useSyncExternalStore, and matches active URLs with a pure href comparator so the app layout never imports the heavy URL serializer.
---
 .cursor/rules/codebase-map.mdc                |   1 +
 .cursor/rules/projects/nucleos-eleitorais.mdc |   3 +-
 AGENTS.md                                     |   2 +
 docs/plans/filtros-salvos-municipios.md       | 168 +++++------------
 docs/roadmap.md                               |  12 +-
 .../municipality/MunicipalityFilters.tsx      |   2 +
 .../SaveMunicipalityFilterControl.tsx         | 136 ++++++++++++++
 .../shared/useMunicipalitySavedFilters.ts     |  28 +++
 .../campaign/shell/CampaignSidebar.tsx        |  18 +-
 .../shell/MunicipalityNavSavedFilters.tsx     | 151 +++++++++++++++
 src/components/campaign/shell/nav.ts          |   9 +-
 src/components/ui/Sidebar.tsx                 |  93 ++++++++-
 src/lib/listQueryMatch.ts                     |  46 +++++
 src/utilities/municipalityListFilters.ts      |   8 +
 src/utilities/municipalitySavedFilters.ts     | 177 ++++++++++++++++++
 tests/e2e/campaignSavedFilters.e2e.spec.ts    | 142 ++++++++++++++
 tests/unit/listQueryMatch.unit.spec.ts        |  65 +++++++
 .../municipalitySavedFilters.unit.spec.ts     | 134 +++++++++++++
 18 files changed, 1066 insertions(+), 129 deletions(-)
 create mode 100644 src/components/campaign/municipality/SaveMunicipalityFilterControl.tsx
 create mode 100644 src/components/campaign/shared/useMunicipalitySavedFilters.ts
 create mode 100644 src/components/campaign/shell/MunicipalityNavSavedFilters.tsx
 create mode 100644 src/lib/listQueryMatch.ts
 create mode 100644 src/utilities/municipalitySavedFilters.ts
 create mode 100644 tests/e2e/campaignSavedFilters.e2e.spec.ts
 create mode 100644 tests/unit/listQueryMatch.unit.spec.ts
 create mode 100644 tests/unit/municipalitySavedFilters.unit.spec.ts

diff --git a/.cursor/rules/codebase-map.mdc b/.cursor/rules/codebase-map.mdc
index f67c88d8..324910ce 100644
--- a/.cursor/rules/codebase-map.mdc
+++ b/.cursor/rules/codebase-map.mdc
@@ -29,6 +29,7 @@ Conceitos e decisões: `docs/ARCHITECTURE.md`. Operação (setup/seeds/deploy/se
 - URL: `utilities/campaignListUrl.ts` (parse/canonicalize/`resolveListUrl`) + módulo por domínio (`municipalityListUrl.ts`, `supporterUi.ts`, `activityUi.ts`, parsers nos `*Data.ts`). Contrato de URL congelado (B18).
 - Tabela: `shared/CampaignTable.tsx` — colunas como dado (`id`, `label` **obrigatório**, `head` opcional (default = `<CampaignTableHead>{label}</CampaignTableHead>`; declare só para alinhamento, `description` do B22 ou ilha de head), `cell`, `mandatory`); heads ricos = ilhas de domínio sobre `shared/CampaignSortableHead` + `shared/CampaignHeaderFilterPopover` (multi-seleção: opções marcadas sobem ao topo via `lib/listFilterOptions.ts` — snapshot na abertura; gate = `row.checkbox`; single-select intocado). Seletor de colunas (B17): passe `columnVisibility` — **um** valor, devolvido por `readCampaignColumnVisibility(listId)` (`utilities/campaignColumnVisibilityCookie.ts`, `server-only`) em quem renderiza a tabela — e ela monta o `CampaignColumnPicker` e filtra por `resolveVisibleColumns`; regra pura em `lib/campaignColumnVisibility.ts`. Só o conjunto de **ocultas** é guardado (`defaultVisible` não existe): coluna nova nasce visível.
 - Shells: `CampaignSearchForm`, `CampaignFilterChips`, `CampaignListFooter`, `CampaignListEmptyState`, `CampaignListPagination`, pending compartilhado em `CampaignListPending.tsx` (dima o resultado, não o controle).
+- Filtros salvos (B18) — só municípios: `utilities/municipalitySavedFilters.ts` (`localStorage`, identidade = href canônico, ordem alfabética) + hook `shared/useMunicipalitySavedFilters` + `municipality/SaveMunicipalityFilterControl` (barra) + `shell/MunicipalityNavSavedFilters` (submenu). O casamento URL↔salvo é `lib/listQueryMatch.ts` e **tem de continuar puro**: a sidebar está no layout de `(app)`, então importar o serializador de URL do domínio ali custa ~21 kB em toda rota `/campanha`.
 - Relação por chips numa célula: `shared/MunicipalityPortfolioCell` (B34) — sempre montada em `pointer-fine`, Drawer em `pointer-coarse`; costuras `minItems`/`maxItems`/`addableIds`/`draft`/`commitAction`. Serve lideranças e assessores; não escrever uma terceira. Lógica pura em `lib/municipalityPortfolio.ts`, índice em `utilities/municipalityPortfolioIndex.ts`.
 - Exceções documentadas: atividades = cards; `TerritoryOverviewTable` = sort no cliente; comparação de candidatos, LeaderContacts e preview de import ficam fora.
 - Detalhe por tabs: `utilities/detailTabUi.ts` (factory) + sections RSC colocadas na rota (`municipios/[slug]/MunicipalityDetailTabs.tsx`, `atividades/[slug]/ActivityOverviewTab.tsx`).
diff --git a/.cursor/rules/projects/nucleos-eleitorais.mdc b/.cursor/rules/projects/nucleos-eleitorais.mdc
index ce099b07..74c5c77d 100644
--- a/.cursor/rules/projects/nucleos-eleitorais.mdc
+++ b/.cursor/rules/projects/nucleos-eleitorais.mdc
@@ -7,11 +7,11 @@ alwaysApply: false
 
 ## Status
 
+- **B18 entregue em código (2026-07-28):** filtros salvos na lista de Municípios — o recorte ativo vira um bookmark nomeado no `localStorage` (`teqo:campaign:municipality-saved-filters`, `MAX_ENTRIES = 12`) e reaparece como submenu recolhível sob "Municípios" no sidebar. **Duas premissas do plano de 24/07 morreram na auditoria.** (1) `SidebarMenuSub`/`SidebarMenuSubItem`/`SidebarMenuSubButton`/`SidebarMenuAction` **não existiam** — o plano afirmava que estavam no kit sem uso, mas o Pass 2 W4b pôs knip `exports` em ERROR e o kit foi podado; os quatro primitivos voltaram do upstream, e **o re-add expôs um bug pré-existente no `SidebarMenuButton`**: `data-active={false}` renderiza como `data-active="false"` e o variante `data-active:` do Tailwind casa por **presença** do atributo, então todo item **não** ativo estava recebendo o realce do ativo (`isActive || undefined` nos dois botões). (2) `municipalityUi.ts` não existe mais (Pass 2 W1 o dividiu) e o estado da URL cresceu para 14 params — absorvido serializando o estado inteiro menos `page`/`compare` em `buildMunicipalitySavedFilterHref` (`compare` é a lente do mapa do Início, não recorte desta lista). Também corrigido no plano: **B17 persiste em cookie**, não `localStorage`. **A restrição que manda no desenho é o layout:** a sidebar está no layout de `(app)`, então o casamento "URL atual == filtro salvo" **não pode** usar o serializador do domínio (a lição dos 21 kB do B14 ✓) — virou `src/lib/listQueryMatch.ts`, comparador puro de `URLSearchParams` insensível à ordem e ignorando `page`, o que de passagem resolve estar na página 3 de um filtro salvo (caso que o plano não previa). Medido contra árvore limpa: `/campanha` **byte-idêntico**, `/campanha/municipios` +2 kB. **Identidade é o href canônico, não um id:** salvar o mesmo recorte duas vezes é upsert — o Popover pré-preenche o nome atual e o botão lê "Renomear"/"Atualizar nome". O nome padrão e o gate "tem filtro salvável?" saem os dois de `formatMunicipalityActiveFiltersSummary`, que o `Limpar` já usava, então o `municipalityListHasSavableFilters` que o plano pedia não precisou existir. Sincronização das duas ilhas (barra grava, sidebar lê) por `useSyncExternalStore` com cache de snapshot invalidado na escrita e no evento de outra aba — a armadilha conhecida do loop de render. **Três defeitos de comportamento achados na verificação, e os dois primeiros são a mesma família de bug que este repo já pagou várias vezes** (estado lido do render que agendou o trabalho / hidratação confundida com ação): (1) abrir o grupo quando `activeHref` **aparece** reabria o submenu em **todo reload**, porque o store responde vazio até o cliente ler o `localStorage` e o match surgia da hidratação — o gatilho passou a ser a **URL mudar**, guardada num `useRef`, e só então a preferência recolhida sobrevive a um F5 para quem mais usa a feature; (2) apagar o último filtro derrubava o foco para `<body>`, porque o botão que o detinha desmontava — o sucessor é resolvido **antes** da remoção, e o fallback tem de ser o link de nav, já que esvaziar o grupo desmonta o próprio disclosure; (3) SC 2.5.3 — o `aria-label` "Salvar este filtro" **não continha** o rótulo visível "Salvar filtro", então "clique em Salvar filtro" por voz não casava nada; removido (o caso de renomear pode manter porque a palavra visível vem primeiro). Mais acessibilidade: `aria-describedby` ligando a recusa ao input, `aria-label` no `<ul>` do submenu, `aria-current="page"` nos links ativos. Apagar é **desfazível** (toast com "Desfazer" restaurando nome e posição alfabética), que é por que nunca pede confirmação; o logout limpa o storage ao lado de `clearRecentVisits()`. Sem migration, collection, action ou `Consent`; nada de rota `/vistas/[id]`, sync multi-device ou saved views genéricas nas outras listas. **Cuidado operacional novo:** `pnpm build` limpa o `.next`, e com ele o `.next/e2e` que o dev server do Playwright usa — rodar e2e logo depois de um build estoura o timeout do `setup` enquanto a rota recompila (o e2e ganhou orçamento de 20 s nas navegações, mesmo motivo do `campaignColumnPicker`). Plano as-built: [`filtros-salvos-municipios.md`](../../../docs/plans/filtros-salvos-municipios.md).
 - **Fill-in ✓ dimir resultado no compositor de giro (2026-07-28):** em `/campanha/atividades/giros`, `CampaignListPendingBoundary` + `CampaignListResults` dimam a proposta ao trocar TI; `TourRegionPicker` usa `useCampaignListTransition` (spinner do select permanece); `CalendarPhaseNote` dentro de Results; unit `tourRegionPending.unit.spec.ts`. Sem migration/action/`Consent`. Critique sem P0/P1. Plano: [`feedback-pendente-compositor-giro.md`](../../../docs/plans/feedback-pendente-compositor-giro.md).
 - **Fill-in ícone de prioridade na lista entregue em código (2026-07-28):** em `/campanha/municipios`, o Badge destrutivo "Prioritária" na coluna do nome (tabela) e no cabeçalho do card mobile (`priority === 'alta'`, staff) virou `MunicipalityPriorityIndicator` — `FlagIcon` `text-primary`, `aria-label` e `CampaignHoverTooltip` (B23 ✓) com copy fixa **"Município prioritário"** (filtro/forms/StrategyCard/Dossier continuam no rótulo curto "Prioritária"). No card, `className="relative size-11"` no trigger para ficar acima do link esticado B42. Ilha client mínima; `MunicipalityList` segue RSC. Pin unit: staff vê `aria-label="Município prioritário"`; liderança não. Sem migration/action/Consent. Gate: tsc/lint/format/cycles; unit 770; knip P3 pré-existente; Aikido 0 findings no indicador. Impeccable B; harden/optimize out. Plano: [`icone-prioridade-lista-municipios.md`](../../../docs/plans/icone-prioridade-lista-municipios.md).
 - **Fill-in remover lista de zonas do Início entregue em código (2026-07-28):** sumiu o bloco "Municípios por zona eleitoral" sob o mapa de `/campanha`; `zoneBreakdown` / `MunicipalityZoneBreakdownRow` / `zoneVotes*BySlug` saíram do contrato (`municipalityMapContract`) e do loader (`municipalityMapData`); a ressalva de aproximação do **B8+ F3 ✓** permanece gated por `hasZoneMunicipalities`. Int `municipalityMapData` e `TESTING.md` atualizados. Sem migration/action/Consent. Plano: [`remover-lista-zonas-mapa-inicio.md`](../../../docs/plans/remover-lista-zonas-mapa-inicio.md).
 - **Fill-in "Selecionados no topo nos filtros do header" entregue em código (2026-07-28):** opções já marcadas sobem ao topo nos Popovers multi-seleção do sistema de listas (municípios, lideranças, territórios, dobradinhas) e nos `CampaignMobileMultiFilterField`. Helper puro `orderFilterOptionsSelectedFirst` em `src/lib/listFilterOptions.ts`; snapshot da seleção na abertura do Popover (ordem congelada enquanto aberto; checkbox continua live); hairline entre grupos, oculto durante a busca (polish do critique). Gate multi = `optionRows.every(checkbox)` — single-select intocado. A premissa "não extrair head genérico" do plano caducou: B21/B29 já tinham pago `CampaignHeaderFilterPopover` compartilhado, então o item pousou em 2 arquivos e 4 listas. Specs unit do helper + do Popover (freeze). Sem migration/action/Consent. Plano: [`selecionados-no-topo-filtros-header.md`](../../../docs/plans/selecionados-no-topo-filtros-header.md).
-
 - **E11 entregue em código (2026-07-28):** motor de sugestões v1 — os 8 padrões de maior confiança do relatório §6.1 (P1/P2/P3/P5/P6/P7/K-A/K-B) viram uma fila de decisão com humano no loop: painel "Sugestões" no Início staff (top-5 por triagem + pauta do silêncio) e card na visão geral do município, aceitar/adiar/descartar gravando `allocationDecision`. **Arquitetura em três camadas:** `src/lib/suggestionCatalog.ts` (client-safe — predicados puros sobre `MunicipalityTriggerInput`, um tipo só de números/flags já derivados, + a copy exata dos cards: leitura provável, "descartes" que viram quick-picks do formulário de descarte, menu ordenado barato-antes-de-caro, contraindicação, estatuto; âncoras ilustrativas num objeto interno `SUGGESTION_ANCHORS`, calibração = E15); `src/utilities/municipalityTriggers.ts` (`server-only`, molde do `visitPlannerData.ts` do E13: leitura própria de `municipality` porque o select do scope compartilhado não tem `engagementLevel`/`lastUpdateAt`, + 6 leituras em `Promise.all` — pledges, `countLeadershipsByMunicipality` exportado do planner, metas `cache()`, sinais `kind: 'sinal'` ≤28d, atividades ≥now−42d, últimas decisões ≤90d — e LQ por ano com a fórmula EXATA do classificador E10, sem uma terceira escrita); `resolveSuggestionRecord` (action) que **reavalia o padrão no servidor** antes de gravar — o snapshot registra os fatores do momento da decisão, nunca os do render, e padrão fora da fila recusa com `SUGGESTION_STALE_MESSAGE` (safe message) em vez de registrar decisão sobre fila que andou; lock `municipality-suggestion:{id}:{patternId}` **antes** de reler a última decisão (dois staff no mesmo card serializam). **A auditoria matou o "sem migration" do plano:** o enum real de `outcome` era `aceita|descarta|movimento` — os valores `descartada|adiada` que o plano citava nunca existiram — então "Adiar" custou a migration `20260728_041547_add_allocation_decision_adiada_outcome` (precedente exato do `movimento` do E14); adiamento registra `postponeDays` derivado do nível recomputado (7d; 14d nos níveis 4–5) e `suppressUntil` no snapshot, sem coluna nova. **Supressão é pura e unit-testada** (`isSuggestionSuppressedByDecision`, no catálogo): aceita 14d, descarta 30d, adiada até o snooze (snapshot malformado cai no adiamento mínimo, nunca "para sempre") — com a regra "nível 1 fura a fila": gatilho que volta como risco confirmado atravessa supressão registrada em urgência menor. **Diferencial estrutural codificado (§6.3):** P2 cede a P3 (correligionário segura o campo) e a K-B (série diz perdida); P7 cede a K-A quando há atividade realizada no ciclo — nunca dois veredictos sobre o mesmo dado. **P3 dispara só pelo artefato** (campo ≥ 35% dos válidos + fatia intracampo < 0,5× o padrão estadual próprio + gate de volume na mediana): `runningAgain2026` existe mas está 100% `desconhecido` e sem read path, então "concorre de novo?" é o 1º item do menu (inteligência), não gatilho. **Pauta do silêncio** = alta/N2+ sem gatilho **disparado** (supressão não é silêncio — decisão registrada é resposta) e sem sinal ≥30d; inclui `priority: alta` porque E14 nasceu sem backfill. UI: submit explícito nos três desfechos (exceção prevista em `campanha-edit-where-you-see` para flows com nota/confirmação — aceite carrega a ação do menu escolhida + nota, descarte exige leitura alternativa com quick-picks; adiamento é um toque com a duração no rótulo), radios nativos (`accent-primary` — primeiro radio precedente no repo), foco gerenciado na troca trigger↔form (abrir foca o primeiro campo, cancelar devolve ao trigger — verificado no browser), só nível 1 usa `destructive`, estatuto no rodapé do painel. **Um leak de base CSS achado no craft:** o `ul { my-6 ml-6 list-disc }` do artigo público vaza para superfícies campaign — a lista de fatores precisou do reset `m-0 list-none p-0 [&>li]:mt-0` (mesmo remédio do B20). **Testes com taxa medida:** os padrões ancorados no artefato não são encenáveis por linhas do banco, então os int tests que precisam de propriedade de artefato (quartil superior do P6, município quieto do silêncio) alocam municípios pelo alocador das fixtures até um qualificar — slug explícito colidiria com o alocador (sequence com wrap, ~23% de colisão por run); taxas medidas com script sobre o artefato: 109/435 quartil superior, 205/435 quietos, e **reduto+coreBlock são só 13/435**, o que tirou P1 do alcance de int (predicado fica pinado nos 45 casos unit; a costura sinais→P1 foi verificada no browser com dados reais do dev, que têm sinais de adversário). Verbetes E18 `triagem-de-sugestoes` e `pauta-do-silencio`. First Load JS `/campanha` 268 → 277 kB (catálogo + ilha do card, medido pós-simplify). Suíte 453 (45 unit novos + 9 int novos) em ~84s; **as falhas rotativas de timeout na suíte cheia eram contenção de ambiente** (outra worktree Cursor subiu dev server no meio das runs — árvore limpa 70s e a minha 84s, ambas verdes com a máquina calma). Aikido 0 findings em todos os arquivos com lógica nova. **Adjacentes registrados no plano:** ligar o override do "não vá" do compositor de giros (E13) ao `resolveSuggestion`; fase 2 do catálogo (T/I/J, P4/P8–P12, K-C) com gatilho de 2 semanas de uso + 20 decisões; rota dedicada se >15 sugestões ativas recorrentes. **Pós-`/simplify` (mesma sessão):** o achado que manda era de perf — o dashboard varria `votePledge` **duas vezes** por request (o avaliador re-agregava o que `loadMunicipalityScope`, React `cache()` já pago pelo `getCampaignDashboardData`, segurava em `pledgeAggregates`); o caminho sem filtro agora reusa o scope e o caminho de 1 município mantém a agregação própria. Também: a janela de decisões caiu de 90d chutados para 30d **derivados** das constantes de supressão; o catálogo importava `ELECTION_YEAR_*` de `electionResults`, cujo 1º import é `bahiaTerritories` — três números arrastavam a tabela de territórios para o chunk do card (a lição do B14, de novo; anos locais com comentário); `triggerSummary` era copy morta (8 parágrafos que nada renderizava — deletado); `silence.totalCount` era derivado (bundle virou array); o filtro de tipo de sinal desceu para o `where` e matou o único cast do delivery; LQ 2022 reusa `classification.lq` memoizado; copy dos fatores alinhada ao canônico "do candidato" (a docstring do E10 já proibia variação do possessivo); card adotou `FieldSet`/`FieldLegend`/`FieldLabel` de `ui/field`; `DAY_MS` e `SUGGESTION_TEXT_MAX_LENGTH` unificados no catálogo; `formatSilenceAgeLabel` mudou para `municipalitySignal.ts`. **Correção de registro:** suítes são 685 unit / 453 int (o "453" acima era só a fase int). **Ficou com gatilho:** consolidar as leituras repetidas de pledges/lideranças da `OverviewTab` (3 loaders não coordenados, pré-existente); `formatDominanceAgainstOwnStandard` → `lib/` quando outro módulo lib precisar. **Rodada 2 do `/simplify` (pós-rebase):** o rebase trouxe B17/B29/B32+/B37/B40 sem matar premissa nenhuma (o card corretamente não adota a máquina de célula do B32+; o cache hit do scope sobreviveu) — mas entregou o 3º call site da extração adiada: `firstFormActionMessage` nasceu em `campaignFormFields.ts` e o card, o `RelationChipCell` (B37) e o `toMessageOnlyState` de apoiadores o consomem. **Um P2 real:** a `rationale` composta (rótulo do menu + nota) estourava o cap de 2000 da collection com nota máxima — create rejeitado com erro genérico e sem retry possível; clamp + caso int pinando. Também: falha anuncia num canal só (a linha `role="alert"` — o toast dizia duas vezes), `metrics` (~209 B/card) não serializa mais ao cliente (pick campo a campo no painel), `SUGGESTION_OUTCOMES` exportado do schema, janelas de adiamento derivadas por `Math.min/max` dos níveis, `metrics` 100% de `input`. Plano as-built: [`motor-de-sugestoes.md`](../../../docs/plans/motor-de-sugestoes.md).
 - **B40 entregue em código (2026-07-28):** login com biometria (WebAuthn) em `/campanha` — enrollment opt-in depois do login com senha (toast dismissível no shell, no molde do `InstallPwaToast`, + seção permanente "Acesso por biometria" em `/campanha/perfil`), botão de platform authenticator na tela de login e revogação por dispositivo. Vale para **todos os papéis, liderança inclusive** (é quem tem mais atrito: celular + senha), e **não abre chave de `Consent`** — o SO nunca libera a digital, guardamos só uma chave pública, então o art. 11 não entra e o lote da Onda 0 não reabre. Collection `campaignWebAuthnCredential` (migration `20260728_041958_add_campaign_webauthn_credentials`), 4 rotas JSON em `campanha/webauthn/` **fora de `(app)`** (duas são anônimas; o path `/campanha` do cookie já as cobre), `@simplewebauthn/server@13` no servidor e `browser@13` no cliente. **A lacuna que a auditoria abriu e que era o coração da entrega:** o Payload 3.82.0 **não tem caminho password-less** (`loginOperation` exige `password`), então `issueCampaignWebAuthnSession` forja a sessão só com exports públicos — `payload.db.findOne` → `checkLoginPermission` → `addSessionToUser` (`payload/shared`) → `getFieldsToSign` + `jwtSign` → o `setCampaignAuthCookie` do **B39 ✓**, com TTL longo porque cadastrar o aparelho _é_ o opt-in de confiança. **A mina, confirmada em código:** `addSessionToUser` faz read-modify-write do documento **inteiro** do usuário, e carregar com `payload.findByID` passaria pelo `afterRead` `removePrivateAuthFields` — gravar isso de volta apagaria `sessions`/`email` (derrubando **todas as outras sessões**) e expandiria `avatar` em objeto; daí `db.findOne` cru com o comentário nomeando o perigo, `user.updatedAt = null` como o próprio login do Payload faz, lock `campaign-webauthn-session:{id}` numa transação (reescrever o array inteiro faz dois logins simultâneos perderem sessão) e int spec provando que a sessão pré-existente sobrevive ao mint. **Duas armadilhas que a auditoria não previu, e as duas se escondem atrás de um caminho que "funciona":** (1) `getCampaignWebAuthnRelyingParty` derivava o RP da origem canônica e **tinha sucesso** num preview da Vercel — o botão aparecia e o browser estourava `SecurityError`, porque quem serve a página é outro host; agora a função compara o host do request (`origin`, ou `x-forwarded-host`/`host`) com o host derivado e devolve `null` quando divergem, que é o "a UI se esconde" que o plano prometia; (2) o challenge do cookie HMAC precisa ser **os mesmos bytes** que o `@simplewebauthn/server` gerou — a primeira versão gerava o seu ao lado do dele e **todo `register` respondia 400**, achado só pelo e2e. Também: deletar um `campaignUser` quebrava, porque a FK que o Payload emite para a relação obrigatória é `ON DELETE SET NULL` sobre coluna `NOT NULL` → `beforeDelete` em `CampaignUser` apagando as credenciais na mesma transação (cascade explícito, sem editar a migration à mão); `checkLoginPermission` lança o erro genérico do Payload, capturado e relançado em pt-BR para que a conta trancada saiba que é bloqueio e não falha de biometria; e o erro do botão vivia no `FieldError` **e** na região `aria-live`, anunciado duas vezes pelo leitor de tela (o `sr-only` ficou só com o estado pendente). **Medido:** `@simplewebauthn/browser` custa **3,0 kB** gzip contra o orçamento de 10 kB do plano, e o `/simplify` o tirou do First Load JS de vez — a metade sempre carregada (probe de capacidade + tipo de erro) virou `src/lib/campaignWebAuthnSupport.ts`, que não importa nada, e as três ilhas chegam à cerimônia por `import()` dentro do handler: `/campanha/login` caiu de 130 para **126 kB** e `/campanha`, onde o toast de enrollment monta em toda navegação autenticada, ficou **byte-idêntico** aos 268 kB de antes do item. e2e com **autenticador virtual por CDP** (`WebAuthn.addVirtualAuthenticator`, `transport: 'internal'`, que também faz `isUserVerifyingPlatformAuthenticatorAvailable()` responder `true`) cobrindo cadastrar → sair → entrar com biometria → revogar; para o caso da credencial revogada o fixture ganhou `expectedRequestFailurePaths`, porque o teste provoca um 4xx de propósito e o guard global tratava o `console.error` do fetch como erro não tratado. Aikido 0 findings. Plano as-built: [`login-biometrico-campanha.md`](../../../docs/plans/login-biometrico-campanha.md). **O `/simplify` cobrou uma simplificação minha de volta, e essa é a lição transferível:** tirar a anotação `Promise<CampaignFormActionState>` da action pareceu redundância removida e o `tsc` provou o contrário — `runCampaignFormAction` tipa o ramo de falha **sem a chave `status`**, então só o tipo anotado (onde ela é opcional) permite ao chamador estreitar por `status === "success"`; voltou com o motivo escrito ao lado. O resto do passe: `canWriteWebAuthnCredentials` virou `payloadAdminOnly` em vez de reescrever o predicado; a sonda de disponibilidade (duas cópias com o mesmo guard de cancelamento) virou `useCampaignBiometricsAvailable`; o card passou a usar `FieldError` como o botão — e por isso perdeu a mensagem de erro da região `sr-only`, pelo mesmo motivo de anúncio duplo já corrigido no botão; as três frases declaradas dos dois lados foram para `campaignAuthCopy.ts`, e a que importava era "Este aparelho já está cadastrado.", que o servidor trata como entrada do allowlist `safeMessages` por **string exata** enquanto o cliente a reproduzia à mão; `expectedRequestFailurePaths` virou opção do Playwright (`test.use` no topo em vez de `push` no meio do teste); e o int que dizia "a senha ainda funciona" passou a **logar com a senha**, em vez de reafirmar o e-mail que a asserção acima já cobria. Dois débitos ficaram de fora com motivo: o núcleo HMAC é ~35 linhas iguais às de `supporterImportToken.ts` (2 call sites, e extrair mexeria no caminho do token de import) e `postJson` era a 6ª cópia do mesmo fetch. **Essa segunda o `main` resolveu enquanto o item estava aberto** (B32+ ✓), então o rebase não foi só um merge: as 4 rotas nasceram de novo sobre `campaignJsonMutationRoute` e o transporte passou a ser `postCampaignJson` — não por gosto, porque o B32+ trouxe um **guard de convenção** que reprova um `route.ts` exportando `POST` fora da casca, e as quatro estavam nomeadas nele. Duas coisas a saber de quem adotar a casca num caminho não-célula: ela **sempre** parseia um corpo, e as duas rotas `*-options` não têm nenhum — daí `campaignWebAuthnNoBodySchema`, com o cliente postando `{}`, que é o preço honesto de ter a verificação de origem por construção em vez de por disciplina; e `postJson` sobrevive como casca de **uma linha** sobre `postCampaignJson` que só descarta o `ok`, porque o discriminante do envelope é que decide. **A tradução de `SyntaxError` que a primeira versão dessa casca tinha caiu no `/simplify` do fechamento, e o motivo generaliza para qualquer ilha destas três telas:** ela escrevia "Resposta inválida do servidor." num `Error` cru, e as três ilhas leem `message` **só** de um `CampaignWebAuthnError` — a frase era redigida para a pessoa e jogada no canal que descarta mensagens. Deletar em vez de re-tipar, porque o fallback de cada ilha ("…Use sua senha.") é a copy melhor para quem está em campo; nada muda na tela, e o comentário agora registra por que o ramo está ausente. Verificado no servidor de produção local, sem browser: cross-origin 403, sem sessão 401, corpo não-JSON no 400 compartilhado, e o corpo `{}` chegando ao handler.
 - **B17 entregue em código (2026-07-28):** seletor de colunas, e **nas sete superfícies** do sistema de listas (municípios, lideranças, dobradinhas, organizações, demandas, apoiadores, territórios), não só em municípios — o picker nasceu como capacidade do `CampaignTable` (uma prop `columnVisibility`, devolvida inteira por `readCampaignColumnVisibility(listId)`, liga o controle e filtra), então o custo marginal por lista foi `label` nas colunas e uma prop. Fora: `/campanha/assessores`, cujo `AdvisorsTable` ainda é `ui/Table` cru com `table-fixed`. **Duas premissas do plano de 24/07 morreram.** (1) `localStorage` — e o motivo é de tipo, não de gosto: `CampaignTableColumn.cell` é **função**, o array de colunas não atravessa a fronteira server/client, e esconder no cliente exigiria `data-column` + `<style>` por lista. Virou o cookie `campaign_columns` (path `/campanha`, `SameSite=Lax`, 1 ano, legível pelo cliente porque é ele quem escreve) com um mapa `listId → ids ocultos` em formato compacto (`municipios:kind~trend|demandas:requester`), **sem `JSON` e sem percent-encoding** — `document.cookie` e o `cookies()` do Next discordam sobre decodificação, e todo caractere usado é legal num cookie-value pela RFC 6265; o servidor filtra, então a coluna oculta **não viaja no payload RSC**. O preço é um `router.refresh()` por sessão de edição — **fechar o menu é o commit**, com timer de 3 s como rede, e o `/simplify` separou o que essa rede faz: ela grava **só o cookie, sem refresh** — um timer que também repintasse recriaria o custo por marcação num ritmo mais lento, que é exatamente a falha pela qual os 400 ms do primeiro corte foram recusados (rajada não é ritmo de leitura, e cada perda re-paga os ~229 ms / 371 statements de `/campanha/liderancas`). Durabilidade e repintura são perguntas diferentes, então têm gatilhos diferentes; sessão que termina onde começou não dá refresh, e menu aberto na hora que a rota desmonta grava pelo cleanup (o Radix não emite fechamento numa navegação de sidebar, e a escolha sumia calada) — dentro da transição compartilhada, com o resultado dimando como em qualquer filtro dessas telas. (2) O seam `defaultVisible` **morreu**: era `true` em 10 colunas de `TerritoryListColumns` e `false` em nenhuma, e guardar só o conjunto de **ocultas** é o que faz coluna nova nascer visível — contrato que E9 ✓ e E14 ✓ já assumiam. Em troca, `label: string` virou **obrigatório** em `CampaignTableColumn` (o picker precisa de rótulo serializável), preenchido em ~55 definições — e como em 24 colunas o `head` passou a só repetir esse `label`, o `/simplify` tornou `head` **opcional**, com default `<CampaignTableHead>{label}</CampaignTableHead>`; quatro arquivos deixaram de importar `CampaignTableHead`. `mandatory` é **refiltrado no servidor** (`resolveVisibleColumns`), para um cookie velho não deixar a linha sem a única célula linkada; no menu a coluna aparece desabilitada com o motivo. **O bug real que a revisão pegou** é o de sempre nesta base em roupa nova: o payload RSC do toggle A chega dentro da janela de debounce de B, e adotar o servidor ali desfazia B **e commitava o conjunto sem ele** — a reconciliação passou a rodar só sem escrita pendente, pinada em `campaignColumnPicker.unit.spec.ts` (verificado vermelho contra o código anterior). **Lição de operação, não de código:** duas rodadas de e2e sugeriram que "`router.refresh()` não aplica o cookie"; era a máquina em **load 40** com outro worktree compilando, e o `expect` padrão de 5 s não cobre um round-trip RSC de rota pesada em dev com dois workers — as asserções de refresh ganharam orçamento próprio, e a suíte passa a 1 e a 2 workers. Sem migration, collection, action ou `Consent`. Plano as-built: [`seletor-colunas-lista-municipios.md`](../../../docs/plans/seletor-colunas-lista-municipios.md).
@@ -242,3 +242,4 @@ alwaysApply: false
 - **B8 registrado (2026-07-21); F1 entregue (2026-07-21); F2 entregue (2026-07-26):** polígonos das Praças-zona Salvador/Camaçari (Camaçari saiu do escopo na M1). F1: catálogo `municipalityZoneNeighborhoods` + card na Praça. F2: dissolve malha IBGE → TopoJSON no mapa. Plano: [`docs/plans/poligonos-pracas-zona.md`](../../../docs/plans/poligonos-pracas-zona.md).
 - **B34 entregue (2026-07-27):** a coluna "Municípios" de `/campanha/liderancas` virou chips editáveis — link para o município, chip de território com contagem quando a liderança cobre o TI inteiro, "×" no canto do chip (hover/foco, sem mexer no tamanho) e busca no fim da linha. **Decisão de produto que vale para toda a vertical:** o que decide inline vs. Drawer é a mídia `pointer:`, não a largura do viewport — `pointer-fine` recebe o editor sempre montado, `pointer-coarse` abre um Drawer com alvos de 44 px, porque um polegar rolando a tabela não pode ser convidado a distinguir "abrir" de "apagar". O anti-goal "input sempre montado em toda linha" (`PRODUCT.md` princípio 3 + `campanha-edit-where-you-see.mdc`) foi **emendado** para relações por chips em ponteiro fino, e não reabre B28/B31/B32: nada aqui é modo de tabela (o toggle de `AdvisorsTable` virou "Editar nome e contato"). Engenharia: `AdvisorMunicipalityCell` foi promovido a `shared/MunicipalityPortfolioCell` (o `ResizeObserver`/"Ver mais…" que o plano chamava de peso morto virou requisito quando a célula passou a estar sempre visível) e Assessores migrou no mesmo PR; uma única action de lote sobrevive (a gêmea de assessor foi deletada, int tests migrados); `LeadershipRowViewModel.municipalityNames` → `municipalityIDs`. Corrigiu de passagem um bug latente do seam `description` de `CampaignTableHead` (**B22**): os helpers do tooltip moravam num módulo `'use client'`, então qualquer chamador RSC quebrava. Débitos: `LeadershipStateDeputyRelationCell` (B31) seguiu com Popover próprio até o **B37 ✓** generalizar os dois num motor comum. Plano: [`docs/plans/chips-municipios-lista-liderancas.md`](../../../docs/plans/chips-municipios-lista-liderancas.md).
 - **B37 entregue (2026-07-28):** a coluna "Municípios" de `/campanha/dobradinhas` ganhou a mesma peça do B34 (`shared/MunicipalityPortfolioCell`, sem cópia, sem provider novo), escrevendo do lado invertido (`municipality.stateDeputies`) por uma única action de lote transacional (`setStateDeputyMunicipalitiesBatch`, lock por município, **tudo-ou-nada** — um município fora do escopo do assessor derruba o lote inteiro em vez de aplicar parcialmente em silêncio), sem piso mínimo e sem `assertMunicipalitiesWithinScope` (`canUpdateMunicipality` já escopa). Cap de `stateDeputiesArraySchema` subiu 20 → 435 para caber um lote de território inteiro do lado do município. **O critique pós-implementação achou dois P1 e a resposta foi generalizar na hora, em vez de adiar um "3º call site" hipotético:** este item **era** o 3º call site — `MunicipalityPortfolioCell` e `LeadershipStateDeputyRelationCell` (B31/B36) duplicavam a mesma máquina de interação (delta otimista, undo, combobox ARIA, piso/teto, split pointer-fine/coarse) com contratos incompatíveis — então `src/components/campaign/shared/RelationChipCell.tsx` nasceu como motor único e as duas células viraram wrappers finos (chips/busca/`FormData`/copy por domínio). O segundo P1 — um assessor via e tentava remover chips de município fora do escopo, falhando em silêncio no documento — fechou **escondendo** o chip: `MunicipalityPortfolioCell` agora filtra por `addableIds` os municípios que renderiza, não só os que oferece adicionar. `LeadershipStateDeputyRelationCell` ganhou `ownerName` e sua primeira suíte de testes própria (zero cobertura antes). **O `/simplify` do fechamento achou um bug latente, e ele é a razão de uma convenção daqui ser carga estrutural: `mapCampaignFormActionError` casa a mensagem lançada contra `safeMessages` por string exata**, então uma mensagem de teto escrita como literal cru no `throw` **e** em dois allowlists independentes são três chances de reescrever uma e colapsar em silêncio uma recusa real em "tente novamente". O que as expôs: o helper de delta deste item era a **terceira** cópia byte-a-byte do mesmo cálculo de um id, diferindo só no cap que lê — virou `nextIdsAfterMembership` (cap como dado, três wrappers de uma linha) e os três specs clonados viraram um `describe.each` **com mais cobertura que antes**; as mensagens viraram constantes ao lado dos seus caps (`LEADERSHIP_STATE_DEPUTIES_CAP_MESSAGE`, `MUNICIPALITY_ADVISORS_CAP_MESSAGE`, `STATE_DEPUTY_STAFF_MESSAGE`). A forma "conjunto com piso e teto" ficou fora de propósito: o B34+ já havia invertido essa recomendação numa segunda leitura, e o código colapsado confirmou (genérico das duas formas pede quatro callbacks para poupar ~20 linhas; o helper novo tem 12 sem parâmetro opcional). Duas lacunas de memoização fechadas, ambas restaurando invariante que a base já tinha: `scopedPortfolioIndex` (o `.filter()` do escopo do assessor devolvia array novo por linha, derrotando o WeakMap que existe para compartilhar derivações entre linhas — fecha o F9 do B34+) e a busca da célula de dobradinhas, que renormalizava o catálogo a cada tecla. `maxItems` "por paridade" foi **rejeitado** (dobradinha não tem teto de produto; um "30 generoso" recusaria dobradinha estadual legítima). Dois débitos **absorvidos no B34+ como F10**, sem abrir ID: o laço município-a-município das duas actions de lote e a gemelaridade delas (2 call sites) — gatilho: "selecionar tudo"/multi-TI ou um terceiro lote desse lado. Sem migration/collection/Consent. Plano: [`docs/plans/chips-municipios-lista-dobradinhas.md`](../../../docs/plans/chips-municipios-lista-dobradinhas.md).
+- **B18 entregue (2026-07-28):** "Salvar filtro" ao lado de "Limpar" em `/campanha/municipios` nomeia o recorte atual da URL, e o atalho vira **submenu de 2º nível sob Municípios** no sidebar — chevron, estado persistido, item ativo, apagar com desfazer. Três camadas: `utilities/municipalitySavedFilters.ts` (`localStorage`, cache de snapshot para `useSyncExternalStore`, cap 12, ordem **alfabética** de propósito — um atalho nomeado que se reordena sozinho sob o cursor é bug de navegação; recência é o trabalho de Visitados), `lib/listQueryMatch.ts` (comparador puro) e as duas ilhas sincronizadas por `useMunicipalitySavedFilters`. **A identidade é o href, não um UUID:** sobrou `{ href, name }`, porque um UUID só existiria para permitir dois atalhos que navegam ao mesmo lugar — exatamente o que o upsert impede — e é o que faz "renomear", adiado no plano, custar uma string em vez de uma fase. **Cinco premissas do plano de 2026-07-24 morreram na auditoria**, e a primeira custou trabalho fora do appetite: `SidebarMenuSub*`/`SidebarMenuAction` **não existiam** (Pass 2 W4b pôs knip `exports` em ERROR e o kit foi podado), e re-adicioná-los expôs um bug latente do kit — React manda `data-active={false}` ao DOM como `data-active="false"` e o seletor `data-active:` do Tailwind casa com `[data-active]`, então **todo item não-ativo estava recebendo o estilo de ativo**; as outras: `municipalityUi.ts` não existe mais (W1 dividiu), a URL cresceu para 14 params (absorvidos serializando o estado inteiro menos `page`/`compare`, sem lista escrita à mão), **B17 persiste em cookie e não `localStorage`**, e o disclosure por hover morreu com B38 ✓ (`collapsible="offcanvas"` tira a sidebar inteira da tela; não sobra rail). **O risco central era bundle e foi medido contra árvore limpa:** a sidebar está no layout de `(app)`, então importar `buildMunicipalityListHref` ali custaria os 21 kB já registrados × **toda** rota `/campanha` — com o comparador puro no lugar, `/campanha` ficou **inalterado em 277 kB** e só `/campanha/municipios` subiu (328 → 330 kB); de quebra, ignorar `page` resolveu um caso que o plano não previa (estar na página 3 de um filtro salvo ainda é estar nele). **Dois bugs reais só o e2e pegou:** o auto-open reabria o grupo em toda montagem, tornando a preferência persistida inobservável justamente para quem mais usa filtros salvos — e a causa não é óbvia, o gatilho era `activeHref` aparecer, mas **o store responde vazio até o cliente ler o `localStorage`**, então um match vindo da hidratação parecia navegação (o gatilho passou a ser a URL mudar); e apagar uma linha derrubava o foco para `<body>`, porque esvaziar o grupo desmonta o componente inteiro, chevron incluído — o sucessor é resolvido **antes** da remoção. No critique, uma falha de **SC 2.5.3 (Label in Name)**: rótulo visível "Salvar filtro" com `aria-label` "Salvar este filtro", que por voz não casa com nada. **Nota de operação:** `pnpm build` limpa `.next` e o dev server do e2e usa `NEXT_DIST_DIR=.next/e2e` — rodar o build entre duas rodadas de e2e derruba o cache e faz o projeto `setup` estourar os 90 s; não é flake do teste. Sem migration, collection, server action ou `Consent`. Plano: [`docs/plans/filtros-salvos-municipios.md`](../../../docs/plans/filtros-salvos-municipios.md).
diff --git a/AGENTS.md b/AGENTS.md
index d7caa9da..9eac7943 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -92,6 +92,8 @@ Backlog consolidado (bloqueadores, site, campanha, white-label): [`docs/roadmap.
 
 **Recently resolved (2026-07-28):** **B37** Chips editáveis de municípios na lista de dobradinhas — the "Municípios" column of `/campanha/dobradinhas` was `row.municipalityCount`, a dead number; it now uses the same `MunicipalityPortfolioCell` (B34 ✓) unchanged, writing the inverted side of the relation (`municipality.stateDeputies`) through a single batch action (`setStateDeputyMunicipalitiesBatch`, transactional, per-município advisory lock, **all-or-nothing** on a partial-scope batch), with no floor (a dobradinha can hold zero municípios) and no `assertMunicipalitiesWithinScope` (`canUpdateMunicipality` already scopes the advisor). `stateDeputiesArraySchema`'s cap moved 20 → 435 to fit a whole território batch from the município side. **The post-implementation critique found two P1s, and the answer was to generalize immediately instead of registering a fourth "deferred with trigger":** `MunicipalityPortfolioCell` and `LeadershipStateDeputyRelationCell` (B31 ✓/B36 ✓) had grown the same interaction machine (optimistic delta, undo, ARIA 1.2 combobox, floor/ceiling, pointer-fine/coarse split) twice, with incompatible interfaces — this item **was** the 3rd call site B34+ was waiting for, so `src/components/campaign/shared/RelationChipCell.tsx` (813 lines) became the single engine and both cells shrank to thin, domain-specific wrappers (chip/search building, `FormData`, copy — nothing interaction-specific left in either). This closes B34+'s `useChipRowOverflow` extraction trigger ahead of schedule: the ~105 duplicated lines it named are gone, not just deduplicated into a helper. `LeadershipStateDeputyRelationCell` also gained an `ownerName` prop (for the Drawer description and `aria-label`s, matching the município cell) and its first dedicated test suite — it shipped with zero coverage of its own before this. **The second P1** — an advisor could see, and attempt to remove, a município chip outside the portfolio they administer, and the removal silently no-oped at the document level with no way for the cell to explain why — was closed by **hiding** the chip instead of only explaining the failure: `MunicipalityPortfolioCell` now filters `municipalityIds` by `addableIds` when present (`visibleIds`), so an advisor sees and can only touch municípios they administer; staff without `addableIds` still sees and can remove every link. Accepted trade-off: in a rare portfolio-reassignment race, the client-side floor could refuse a removal the server would actually accept — acceptable because the server remains the source of truth and the explicit ask was to hide, not merely explain. Gate: `tsc`/`lint`/`format:check`/`check:cycles` clean, unit 715/715, int 452/452 (full suites, not just touched files), Aikido 0 findings on edited first-party files; `knip` blocked by the pre-existing, already-ledgered `payload.config.ts` load failure (P3 in `TECH-DEBT.md`), not a regression of this delivery. **The closing `/simplify` found a latent bug rather than a deduction, and it is the reason one convention here is now load-bearing: `mapCampaignFormActionError` matches a thrown message against `safeMessages` by exact string, so a cap message spelled as a bare literal in the throw _and_ in two independent allowlists is three chances to reword one of them and silently collapse a real refusal into "tente novamente".** Those messages are constants next to their caps now (`LEADERSHIP_STATE_DEPUTIES_CAP_MESSAGE`, `MUNICIPALITY_ADVISORS_CAP_MESSAGE`, plus `STATE_DEPUTY_STAFF_MESSAGE` — renamed, since it guards create/update too, and `actions/stateDeputy.ts` was importing the constant while restating it as a literal one line below). What surfaced them: B37's delta helper was the **third** byte-for-byte copy of the same single-id calculation, differing only in which cap it reads, so the algorithm lives once in `src/lib/relationMembershipDelta.ts` (`nextIdsAfterMembership`, cap as data) with the three domain names as one-line wrappers, and the three cloned specs became one `describe.each` **with more coverage than before** (every relation now gets the "can go to zero" and no-mutation cases only B37's clone had). The set-with-floor form (`nextMunicipalityIdsAfterLeadershipMembership`) stayed out on purpose: B34+ had already inverted that recommendation on a second reading, and seeing the collapsed code confirmed it — a generic covering both forms needs four callbacks to save ~20 lines, while the new helper is 12 lines with no optional parameter. Two memoization gaps closed, both restoring invariants the codebase had elsewhere: the advisor's scoped `.filter()` returned a fresh array per row, defeating the very `WeakMap` that exists to share derivations across rows (now `scopedPortfolioIndex`, memoized on `(index, addableIds)` in the lib — this closes B34+ F9), and the leadership cell's search called `matchesAtWordStart` per candidate, paying an NFD pass plus three Unicode regexes on both sides per keystroke, the cost `wordStartFilter`'s own doc comment warns about. Also: the batch action stopped resolving the dobradinha slug before its loop (the slug exists only to target the revalidate, which the caller already skips on a no-op — the guard its leadership twin already had), its redundant second dedup is gone, and the bare `435` shared with the advisor batch is `MAX_MUNICIPALITIES_PER_BATCH`. **Rejected with reason:** `maxItems` on the dobradinhas cell "for parity" — a dobradinha has no product ceiling on municípios (which is why the bound is the catalog), so a "generous 30" would invent a rule that refuses a legitimate statewide dobradinha. **Two debts absorbed into B34+ as F10 rather than opening an ID:** both município-side batch actions write one município at a time (`findByID` + `update` each — ~870 round trips at the 435 ceiling this delivery raised, but ~52 at the largest real TI, and no test above a batch of 2), and they are **twins** at 2 call sites; the common trigger is a "select all"/multi-TI affordance or a third batch on that side. No migration, collection, or `Consent`. Plano: [`docs/plans/chips-municipios-lista-dobradinhas.md`](docs/plans/chips-municipios-lista-dobradinhas.md).
 
+**Recently resolved (2026-07-28):** **B18** Filtros salvos na lista de Municípios — a "Salvar filtro" button beside "Limpar" names the current URL recorte, and the shortcut becomes a **second-level submenu under Municípios** in the sidebar (chevron, persisted disclosure, active item, delete with undo). Three layers: `src/utilities/municipalitySavedFilters.ts` (`localStorage`, snapshot cache for `useSyncExternalStore`, cap 12, **alphabetical** order on purpose — a named shortcut that reorders itself under the cursor every time it is re-saved is a navigation bug; recency is Visitados' job), the pure `src/lib/listQueryMatch.ts`, and two islands synchronized by `useMunicipalitySavedFilters`. **The identity is the href, not a UUID:** the entry is `{ href, name }` — a UUID would exist only to allow two shortcuts navigating to the same place, which is exactly what the upsert prevents, and that is what makes "renomear" (deferred in the plan) cost a string instead of a phase, since the button just reads **"Renomear"** when the current recorte is already saved. **Five premises of the 2026-07-24 plan died in the audit, and the first cost work outside the appetite:** `SidebarMenuSub`/`SidebarMenuSubItem`/`SidebarMenuSubButton`/`SidebarMenuAction` **did not exist** (Pass 2 W4b put knip `exports` in ERROR and the kit was pruned), so they were re-added from upstream — and doing so exposed a latent kit bug worth knowing before touching that file: React renders `data-active={false}` as `data-active="false"` and Tailwind's `data-active:` selector matches `[data-active]`, so **every non-active item was getting the active style**; the attribute is now emitted only when true (`data-active={isActive || undefined}`) on both `SidebarMenuButton` and `SidebarMenuSubButton`. The others: `municipalityUi.ts` no longer exists (W1 split it, so `buildMunicipalitySavedFilterHref` lives in `municipalityListFilters.ts`); the URL state grew to 14 params, absorbed by serializing the whole state minus `page`/`compare` rather than by a hand-written param list; **B17 persists in a cookie, not `localStorage`**; and hover disclosure died with **B38 ✓** — `collapsible="offcanvas"` takes the whole sidebar off screen when collapsed, so there is no rail to hover. One seam came free: `formatMunicipalityActiveFiltersSummary` was already the "has a filter?" gate the `Limpar` button uses **and** already produced a readable label of every filter, so it is simultaneously the mount condition and the **suggested default name**. **The central risk was bundle, and it was measured against a stashed clean tree:** the sidebar lives in the `(app)` layout, so importing `buildMunicipalityListHref` there would cost the 21 kB AGENTS.md already records (it drags `bahiaTerritories` + `municipalityCatalog`) across **every** `/campanha` route — with the pure comparator instead, `/campanha` stayed **unchanged at 277 kB** and only `/campanha/municipios` moved (328 → 330 kB); ignoring `page` also settled a case the plan never considered, that being on page 3 of a saved filter is still being in it. **Two real bugs only the e2e caught.** The auto-open re-opened the group on every mount, which made the persisted preference unhonorable for exactly the person who uses saved filters most (collapse it, reload, it is back) — and the cause is not obvious: the trigger was `activeHref` appearing, but **the store answers empty until the client has read `localStorage`**, so a match surfacing out of hydration read as a navigation; the trigger is now the URL changing. And deleting a row dropped focus to `<body>`, because emptying the group unmounts the whole component, chevron included — the successor is resolved **before** the removal. The critique also found an **SC 2.5.3 (Label in Name)** failure: visible label "Salvar filtro" with `aria-label` "Salvar este filtro", which voice control cannot match, so the accessible name has to contain the visible one. Gate: importmap unchanged, `tsc`/`lint`/`format:check`/`check:cycles` clean, unit 787/787, int 478/478, e2e 3/3, local `pnpm build` green, Aikido 0 findings; `knip` blocked by the pre-existing ledgered `payload.config.ts` load failure (P3), so every new export was verified by hand. **Worth knowing operationally:** `pnpm build` cleans `.next` and the e2e dev server uses `NEXT_DIST_DIR=.next/e2e`, so running a build between two e2e rounds destroys the dev compile cache and makes the `setup` project blow its 90 s budget — that is not a test flake. No migration, collection, server action or `Consent`. Plano: [`docs/plans/filtros-salvos-municipios.md`](docs/plans/filtros-salvos-municipios.md).
+
 **Recently resolved (2026-07-26):** **E12** Camada TI — extends the E17/B21 rollup (`territoryOverview.ts` + `loadTerritoryOverview.ts`) with E8 goal coverage (`central`), MAUP-safe regional capture (aggregate ratio Σ own votes ÷ Σ field ceiling — never the mean of municipal ratios; median, min–max, named critical municipality and beacon), and aggregated territorial class via `computeAggregateTerritorialClass` (same rule as B13 for TI groups). Staff surface: three new columns on `/campanha/territorios` (Cobertura, Captura, Classe) with B22 header descriptions and sorts `cobertura`/`captura`/`classe`; municipality detail gets intra-TI benchmark T4 on `MunicipalityGoalAccountCard` (`territoryIntraCaptureBenchmark.ts` — Salvador zone slugs compare among the 19 zones, other Metropolitano peers among RMS municipalities). Two E18 concepts (`captura-regional`, `benchmark-intra-ti`). v1 cuts kept: no `?group=territorio` on the municipality list, no TI map mode. No migration. Plano: [`docs/plans/camada-territorios-identidade.md`](docs/plans/camada-territorios-identidade.md).
 
 **Recently resolved (2026-07-26):** **B24** Auto-save + justificativa no popover de Tendência — `MunicipalityListTrendControl` grava sozinho via `POST /campanha/municipios/political-trend` (status ~150 ms, nota 600 ms, flush blur/fechamento), `Textarea` de justificativa no Popover, sem `revalidatePath` da lista; `/editar` mantém submit explícito. Plano: [`docs/plans/autosave-tendencia-lista-municipios.md`](docs/plans/autosave-tendencia-lista-municipios.md).
diff --git a/docs/plans/filtros-salvos-municipios.md b/docs/plans/filtros-salvos-municipios.md
index f1068c31..0d3e11fb 100644
--- a/docs/plans/filtros-salvos-municipios.md
+++ b/docs/plans/filtros-salvos-municipios.md
@@ -1,142 +1,76 @@
 # B18 — Filtros salvos na lista de Municípios (+ acesso rápido no sidebar)
 
-Status: rascunho — **costuras prontas desde o Pass 2 W1 (2026-07-25):** o estado de URL é canônico e serializável (`municipalityListUrl.ts`, contrato congelado); salvar filtro = nomear a serialização atual
-Atualizado em: 2026-07-24
-Item do roadmap: [docs/roadmap.md](../roadmap.md) (Demais itens abertos, B18; superfície de coordenação)
-Impeccable: B — encaixe em `MunicipalityFilters` / barra slim + `CampaignSidebar` (2º nível sob Municípios); sem rota nova
-Appetite: ~1–1,5 dia eng; persistência local + Salvar com nome + submenu hover/sticky no sidebar; sem migration, sem collection, sem Consent
+Status: ✓ entregue (2026-07-28) — sem migration, sem collection, sem server action, sem `Consent`
+Atualizado em: 2026-07-28
+Item do roadmap: [docs/roadmap.md](../roadmap.md) (B18; superfície de coordenação)
+Impeccable: B — craft + critique + polish em `MunicipalityFilters` e `CampaignSidebar`; sem rota nova
+Appetite: ~1–1,5 dia eng (gasto: dentro)
 Responsável: —
 
-## Design (Impeccable)
+## O que ficou de pé
 
-Âncoras: `PRODUCT.md` (princípios 2 — clareza sob pressão — e 8 — Feel the action; exceção justificada ao “Auto-save, no Save button” porque nomear é confirmatório) / `DESIGN.md` (register `product`; Field Desk) · tema `data-theme='campaign'` · shells `CampaignSidebar`, `MunicipalityFilters`, primitivos `SidebarMenuSub*` já em `src/components/ui/Sidebar.tsx`.
+Em `/campanha/municipios`, um botão **Salvar filtro** ao lado de **Limpar** nomeia o recorte atual da URL, e o atalho passa a viver como **submenu de 2º nível sob Municípios** no sidebar — com chevron, estado persistido, item ativo, apagar com desfazer.
 
-Na implementação (`implement-roadmap-item`): craft compacto → critique → polish (só salvar + submenu; sem redesign da nav completa nem sync multi-device).
+Três camadas:
 
-Brief compacto:
+- **`src/utilities/municipalitySavedFilters.ts`** — `localStorage` com cache de snapshot para `useSyncExternalStore`, `MAX_ENTRIES = 12`, `MAX_NAME_LENGTH = 60`, ordem alfabética, limpeza no logout.
+- **`src/lib/listQueryMatch.ts`** — `isSameListHref(a, b, ignoredParams)`, puro e sem imports pesados.
+- **`MunicipalityNavSavedFilters`** + **`SaveMunicipalityFilterControl`**, sincronizados pelo hook compartilhado `useMunicipalitySavedFilters`.
 
-- **Persona / contexto:** Alex (CG / Assessor / Candidato) monta o mesmo recorte várias vezes na semana (ex. “Prioritárias sem assessor · TI X · sort votos”) e precisa voltar a ele em um toque a partir da nav — sem refazer selects.
-- **Job principal:** nomear o estado atual da URL da lista e reabri-lo como atalho de 2º nível sob **Municípios** no sidebar.
-- **Estratégia de cor:** Restrained — submenu indentado com `border-l` do `SidebarMenuSub`; active sóbrio (`data-active`); sem chips coloridos de “views”.
-- **Edit where you see:** não — bookmark de navegação URL; mutações B9 nas células seguem iguais.
-- **Anti-goals:** collection/`campaignUser` prefs; saved views genéricas em todas as listas; segundo nível sempre visível (polui nav); sticky em qualquer `/campanha/municipios` (só no filtro salvo ativo); auto-gravar sem nome (vira “Visitados”).
+## Premissas do plano de 2026-07-24 que morreram na auditoria
 
-## Dados → decisão → apresentação
+Registradas porque cada uma custou trabalho que o appetite original não previa, e porque voltar a acreditar nelas custaria de novo:
 
-- **Vou apresentar dados?** Não — **Dados: N/A**. Este item não inventa métrica; só persiste e reabre o **mesmo** recorte URL que a lista já resolve.
-- **Decisões desbloqueadas:** Staff: “voltar ao recorte mental desta sessão (ex. prioritárias / TI / sem assessor) sem remontar filtros.”
-- **Forma escolhida:** **lista/tabela existente** + links nomeados no sidebar — **por quê:** o dado já está na lista; o problema é atrito de remontagem. **Rejeitado:** dashboard de “minhas views”; chart de uso de filtros; segunda página de gestão de views.
-- **Profile:** N/A.
-- **Anti-goals de dado:** sem KPI de “quantos filtros salvos”; sem % estadual.
+1. **`SidebarMenuSub` / `SidebarMenuSubItem` / `SidebarMenuSubButton` / `SidebarMenuAction` NÃO existiam.** O plano dizia "existem no shadcn local e não são usados" — o Pass 2 W4b pôs knip `exports` em ERROR e o kit foi podado. Foi preciso **re-adicioná-los** do upstream. Ao fazê-lo apareceu um bug latente do kit: React renderiza `data-active={false}` como `data-active="false"`, e o seletor Tailwind `data-active:` casa com `[data-active]` — ou seja, **todo item não-ativo estava recebendo o estilo de ativo**. Agora o atributo só é emitido quando verdadeiro (`data-active={isActive || undefined}`), em `SidebarMenuButton` e `SidebarMenuSubButton`.
+2. **`src/utilities/municipalityUi.ts` não existe** — o Pass 2 W1 o dividiu em `municipalityListUrl.ts`, `municipalityListFilters.ts`, `municipalityLabels.ts` e `municipalitySignal.ts`. `buildMunicipalitySavedFilterHref` nasceu em `municipalityListFilters.ts`.
+3. **O estado da URL cresceu** muito além do que o plano listava (`q`, `regions[]`, `slugs[]`, `advisors[]`, `kind`, `coverage`, `priority`, `trends[]`, `classes[]`, `levels[]`, `compare`, `sort`, `dir`, `page`). Serializar o estado inteiro menos `page`/`compare` absorveu isso sozinho — nenhuma lista de params foi escrita à mão.
+4. **B17 persiste em cookie, não `localStorage`.** A linha de contexto do plano estava errada. Não muda a decisão (o bookmark não precisa chegar ao render do servidor).
+5. **"Ao lado de Limpar / Colunas" como uma fileira só é impossível:** `Limpar` está em `MunicipalityFilters` e `Colunas` está dentro de `CampaignTable`, numa fileira compartilhada pelas sete listas. Decidido na sessão: **barra de filtros, ao lado de Limpar**.
+6. **`municipalityListHasSavableFilters` não precisou existir.** `formatMunicipalityActiveFiltersSummary` já é o gate "tem filtro?" (é o que o `Limpar` usa) **e** já produz o rótulo legível de todos os filtros — então ele é ao mesmo tempo a condição de montagem do botão e o **nome padrão** sugerido no Popover.
+7. **Disclosure por hover morreu com B38 ✓.** Com `collapsible="offcanvas"`, recolhido no desktop a sidebar sai inteira da tela e não sobra rail para hover. Virou **collapsible com chevron e estado persistido**, decidido com o usuário.
+8. **Renomear entrou no v1**, ao contrário do "adiado" do plano: como a identidade é o href e re-salvar é upsert, o botão simplesmente lê **"Renomear"** quando o recorte atual já está salvo, e o Popover abre pré-preenchido. Custou uma string, não uma fase.
 
-Self-check dados: N/A (sem superfície de métrica nova).
+## Decisões de engenharia que valem guardar
 
-## Contexto
+- **O casamento "URL atual == filtro salvo" não pode usar o serializador de URL do domínio.** A sidebar está no layout de `(app)`, então tudo que ela importa entra no First Load JS de **toda** rota `/campanha`, e o AGENTS.md já registra que importar `buildMunicipalityListHref` num island custou **21 kB** (arrasta `bahiaTerritories` + `municipalityCatalog`). Daí `src/lib/listQueryMatch.ts`: comparação de `URLSearchParams` insensível à ordem, que de quebra resolve um caso que o plano não previu — **estar na página 3 de um filtro salvo ainda é estar nele** (`page` é posição dentro do recorte, não parte dele).
+- **Medido contra árvore limpa (`git stash`), que é a única forma de afirmar isso:** `/campanha` ficou **inalterado em 277 kB**; `/campanha/municipios` foi de **328 → 330 kB**. A fase `optimize` não disparou.
+- **A identidade é o href, não um UUID.** O plano previa `id` + `name` + `href` + `savedAt`; sobrou `{ href, name }`. Um UUID só existiria para permitir dois atalhos que navegam para o mesmo lugar, que é exatamente o que o upsert existe para impedir — e `savedAt` não é lido por nada, porque a ordem é **alfabética** de propósito: um atalho nomeado que se reordena sozinho sob o cursor cada vez que é re-salvo é um bug de navegação. Recência é o trabalho de Visitados.
+- **O teto é checado contra as OUTRAS entradas** (`others.length >= MAX_ENTRIES`), não contra o tamanho armazenado — senão renomear no limite passaria a ser recusado.
+- **O `useSyncExternalStore` tem o server snapshot como constante congelada.** Devolver `[]` fresco ali é o loop de render clássico; o snapshot do cliente é cacheado e invalidado por escrita e por `storage` de outra aba (o evento nativo não dispara na aba que escreveu — daí o evento custom que cobre a outra metade).
 
-Em `/campanha/municipios`, o estado canônico de recorte/ordem vive na URL via `MunicipalityListState` (`src/utilities/municipalityUi.ts`: `q`, `region`, `kind`, `coverage`, `priority`, `trend`, `sort`/`dir`, `page`, `compare`). Helpers já canonicalizam href (`resolveMunicipalityListUrl` / `buildMunicipalityListHref` / `buildMunicipalityListVisitHref`). **B15** ✓ sort; **B16** relocaciona filtros ao header e deixa barra slim; **B17** preferência de colunas em `localStorage`.
+## Dois bugs reais que só o e2e pegou
 
-O sidebar (`CampaignSidebar.tsx` + `nav.ts`) é **flat** — um `SidebarMenuButton` por item; primitivos `SidebarMenuSub` / `SidebarMenuSubButton` existem no shadcn local e **não são usados**. “Visitados recentemente” (`recentVisits.ts`) já prova o padrão client-only + limpeza no logout, mas é histórico automático — não nomeado.
+1. **O auto-open reabria o grupo em toda montagem, tornando a preferência persistida inobservável exatamente para quem mais usa filtros salvos:** o usuário recolhe o grupo, recarrega, e ele volta. A causa não é óbvia — o gatilho era `activeHref` aparecer, mas **o store responde vazio até o cliente ler o `localStorage`**, então um match surgindo da hidratação se parecia com uma navegação. O gatilho passou a ser a **URL mudar**; a preferência guardada vence na montagem e o "revelar onde você está" fica reservado à navegação que de fato muda o atalho corrente.
+2. **Apagar uma linha derrubava o foco para `<body>`.** O sucessor é resolvido **antes** da remoção, porque esvaziar o grupo desmonta o componente inteiro — chevron incluído — e nesse caso o alvo tem de ser o link de nav.
 
-Pedido de produto (2026-07-24): **salvar** o filtro atual com um **nome**, e expor os salvos como **acesso rápido de 2º nível** sob Municípios: aparecem no **hover** (desktop) ou **clique/expansão** (mobile no drawer do sidebar); **permanecem visíveis** quando a URL atual é a de um filtro salvo; **somem** fora de Municípios e sem hover/expansão.
+## Achados de acessibilidade corrigidos no critique
 
-FD2 ([field-desk-ux-pos-critique.md](field-desk-ux-pos-critique.md)) adiava “saved views genéricas”; este item é a fatia **concreta e única** (só lista de municípios), não um framework de views.
+- **SC 2.5.3 (Label in Name):** o botão mostrava "Salvar filtro" e tinha `aria-label="Salvar este filtro"`. O nome acessível precisa **conter** o rótulo visível, ou "clique em Salvar filtro" por voz não casa com nada. O `aria-label` saiu do caso de salvar; o de renomear fica, porque mantém a palavra visível na frente.
+- A mensagem de recusa ganhou `aria-describedby` do input além do `role="alert"` que o `Alert` já traz: o alerta anuncia uma vez, o `describedby` é o que conta a quem volta ao campo **por que** ele ainda está inválido.
+- O `<ul>` do submenu ganhou nome (`aria-label="Filtros salvos de Municípios"`), e os links ativos ganharam `aria-current="page"` — inclusive os de 1º nível, que não tinham.
+- Apagar é revelado no hover/foco no desktop com `opacity-0` (que continua focável e no a11y tree, ao contrário de `hidden`) e é **permanentemente visível no toque**.
 
-## Objetivos
+## Não escopo (mantido)
 
-- Staff em `/campanha/municipios`: affordance **Salvar filtro** (nome obrigatório) que grava o estado canônico atual da URL (sem `page`, sem `compare`).
-- Lista de filtros salvos no **sidebar**, indentada sob **Municípios**, cada um linkando ao href canônico; item ativo quando a URL atual casa com o href salvo.
-- Visibilidade do submenu:
-  - **mostrar** no hover do item Municípios (desktop);
-  - **mostrar** ao expandir Municípios no drawer mobile (clique);
-  - **mostrar (sticky)** quando a página atual é um filtro salvo (match de href);
-  - **esconder** em rotas que não são de municípios **e** sem hover/expansão.
-- CRUD mínimo: criar + abrir + apagar (renomear = questão em aberto).
-- Guardrails: sem migration, sem collection, sem Consent, sem server action de escrita; `leader` sem a página; access/loader inalterados; Feel the action no Salvar (pending no controle) e na navegação do atalho (`CampaignListPending` já cobre a lista).
-
-## Decisões travadas
-
-- **Item de trilha B18 (não fill-in; não fase de B16/B17; não absorver em Visitados).** Job distinto: bookmark **nomeado e intencional** vs histórico automático (Visitados) vs viewport de colunas (B17) vs relocação de selects (B16). Appetite ~1–1,5d; cortável. (2026-07-24, roadmap-item.) **Rejeitado:** fill-in só (subestima o contrato de submenu sticky/hover); estender `recentVisits` com “pin” (mistura dwell automático com nomeação); saved views genéricas multi-lista (FD2 já vetou; explode escopo).
-- **Persistência = `localStorage` (não servidor).** Preferência/atalho por dispositivo; mesmo racional de Visitados e B17. Key estável namespaced (ex. `teqo:campaign:municipality-saved-filters`). **Rejeitado:** collection `savedFilter` / campo em `campaignUser` (migration + access + sync sem evidência de multi-device); `sessionStorage` (perde no ritual diário); cookie server-side.
-- **Estado salvo = subset da URL da lista**, canonicalizado via `municipalityUi` (reusar `parseMunicipalityListParams` + href page=1): `q`, `region`, `kind`, `coverage`, `priority`, `trend`, `sort`, `dir`. **Excluir** `page` (sempre reabre na 1) e `compare` (lente do mapa no Início, não da lista). **Excluir** cenário A10 (fora da URL; lente local — alinhado ao fill-in Cenário / decisão A10). **Rejeitado:** gravar `page`/`compare`/cenário; gravar snapshot de IDs de municípios (vira lista morta).
-- **Identidade:** `id` client-side (UUID) + `name` (pt-BR, trim, length cap) + `href` canônico (+ opcional `savedAt`). Active = comparação de href canônico com a URL atual (pathname `/campanha/municipios` + search normalizado). **Rejeitado:** rota dedicada `/campanha/municipios/vistas/[id]` (URL nova cara; share pior); dedup só por nome (dois nomes iguais OK se href diferente).
-- **UI de salvar = submit explícito com nome** (Dialog/Popover + input + confirmar). Exceção justa ao princípio “Auto-save, no Save button”: nomear é confirmatório. **Rejeitado:** auto-save silencioso a cada mudança de filtro (vira Visitados); prompt nativo `window.prompt`.
-- **Sidebar = 2º nível sob Municípios** com `SidebarMenuSub*` existente; hover (desktop) / expand (mobile); sticky só no match de filtro salvo — **não** sticky em `/campanha/municipios` genérico nem em `/campanha/municipios/[slug]`. Bottom nav mobile permanece flat (atalhos vivem no drawer do sidebar). **Rejeitado:** sempre listar salvos sob Municípios (polui); grupo separado no rodapé do sidebar; chips no dashboard.
-- **Limite + logout:** `MAX_ENTRIES` curto (recomendação 12); `clearMunicipalitySavedFilters()` no logout junto com `clearRecentVisits()` (dispositivo compartilhado). **Rejeitado:** ilimitado; sync cross-device.
-- **i18n e naming:** `MunicipalitySavedFilter`, `municipalitySavedFilters.ts`, `SaveMunicipalityFilterControl`, `MunicipalityNavSavedFilters`; strings “Salvar filtro”, “Filtros salvos”, “Apagar”; identificadores em inglês.
-
-## Questões em aberto
-
-- **Permitir salvar a lista “nua” (sem filtros, só sort default)?** **Opções:** A) só com ao menos um param de recorte (`q`/`region`/…) | B) qualquer estado, inclusive nua | C) nua só se `sort`/`dir` ≠ default. **Recomendação:** **A** — alinhado a Visitados (`buildMunicipalityListVisitLabel` retorna null sem filtro); atalho “Municípios” já cobre a lista nua. _(assumido — validar com produto)_
-- **Renomear no v1?** **Opções:** A) só criar/apagar | B) renomear no submenu (inline/Dialog). **Recomendação:** **A** — apagar+recriar basta no appetite; renomear = Adiado. _(assumido)_
-- **Onde mora o botão Salvar?** **Opções:** A) barra slim de `MunicipalityFilters` (ao lado de Limpar / Colunas) | B) menu “…” da lista | C) só no overview. **Recomendação:** **A** — mesmo lugar mental dos filtros; soft com B16/B17. _(assumido)_
-- **Dois salvos com o mesmo href: atualizar o existente ou criar duplicata?** **Opções:** A) upsert (pede confirmação se nome diferente) | B) sempre criar | C) bloquear com mensagem. **Recomendação:** **A** — um atalho por href; evita submenu duplicado. _(assumido)_
-
-## Abordagem proposta
-
-```mermaid
-flowchart LR
-  List["/campanha/municipios?…\nMunicipalityListState"]
-  Save["SaveMunicipalityFilterControl\nnome + confirmar"]
-  Store["municipalitySavedFilters.ts\nlocalStorage"]
-  Nav["CampaignSidebar\nMunicípios + SidebarMenuSub"]
-  Match["href canônico == URL atual\n→ sticky open + active"]
-
-  List --> Save
-  Save --> Store
-  Store --> Nav
-  List --> Match
-  Match --> Nav
-  Nav -->|Link| List
-```
-
-Componentes:
-
-- **`src/utilities/municipalitySavedFilters.ts`** (client-safe, guarda `typeof window`): `STORAGE_KEY`, `MAX_ENTRIES`, tipos, `list` / `upsert` / `remove` / `clear`; validação de shape; no-op fora do browser. Depth: espelhar `recentVisits.ts`, não inventar service genérico de “prefs”.
-- **Helpers em `municipalityUi.ts`:** `buildMunicipalitySavedFilterHref(state)` (= visit href / page=1 sem compare) + `municipalityListHasSavableFilters(state)` (gate do botão). Reusar parse/canonical já existentes.
-- **`SaveMunicipalityFilterControl`** (client, em `src/components/campaign/`): Popover/Dialog com nome; desabilitado se não há filtro salvável ou se já é o ativo sem mudanças; pending imediato no confirmar; toast/inline “Salvo” curto; montar na barra slim (`MunicipalityFilters` pós-B16, ou fileira atual se B16 ainda não aterrissou).
-- **`MunicipalityNavSavedFilters`** (client island no `CampaignSidebar`): lê storage pós-mount (sem mismatch de hidratação); renderiza `SidebarMenuSub` sob o item Municípios; hover/focus-within (desktop) + estado expandido (mobile); `forceOpen` quando `usePathname`+`useSearchParams` casam com algum `href` salvo; cada linha = `SidebarMenuSubButton asChild` + `Link` + ação apagar (`SidebarMenuAction` ou botão sr-only no hover); fechar drawer mobile ao navegar (mesmo padrão atual).
-- **`CampaignSidebar` / item Municípios:** especializar só o item `href === '/campanha/municipios'` (não mudar `nav.ts` para árvore genérica — YAGNI &lt;3 call sites). `isCampaignNavActive` do pai continua por pathname; sub-item ativo por match de search.
-- **Logout:** chamar `clearMunicipalitySavedFilters()` ao lado de `clearRecentVisits()`.
-- **Sem migration, sem collection, sem server action, sem Consent.**
-
-## Dependências
-
-- Soft: **B16** (barra slim = destino natural do Salvar) e **B17** (vizinho na mesma barra) — não bloqueiam; sem eles, Salvar pousa ao lado de Limpar na fileira atual.
-- Soft: precedente Visitados ([visitados-recentemente.md](visitados-recentemente.md)) — padrão storage/logout.
-- Soft: **B38** ([sidebar-recolhido-tablet.md](sidebar-recolhido-tablet.md)) — com `collapsible="offcanvas"`, o submenu hover/expand sob Municípios só é usável com o rail expandido (ou no Sheet mobile); se B38 landar antes, o craft do B18 trata collapsed como “abrir rail”.
-- Nenhuma dependência dura de outro plano. Reusa `municipalityUi.ts`, `CampaignSidebar`, `SidebarMenuSub*`, `CampaignListPendingBoundary`.
-
-## Não escopo
-
-- Sync multi-device / preferências em `campaignUser` — exigiria migration + access.
-- Saved views em Planos / Apoiadores / Demandas — FD2 “genéricas”; só Municípios aqui.
-- Sticky do submenu em qualquer rota `/campanha/municipios*` — só match de filtro salvo.
-- Incluir Cenário A10 ou `compare` do mapa no bookmark.
-- Substituir Visitados recentemente / B14 município mais próximo.
-- Reorder DnD de colunas — [fora de escopo](reordenar-colunas-lista-municipios.md).
-
-## Rabbit holes
-
-- **Framework de “nav tree” / collapsible genérico no `nav.ts`.** Se alguém “só preparar” para outros itens: explode o shell. **Mitigação:** especializar só Municípios neste item; 3º call site = gatilho de abstrair.
-- **Rota `/vistas/[id]` + loader server.** Se alguém “só para deep-link nomeado”: migration mental + share frágil. **Mitigação:** href = query canônica da lista.
-- **Optimistic list sem refresh ao abrir atalho.** Anti-goal Feel the action. **Mitigação:** `Link` + pending da região de resultados existente.
-- **Spreadsheet / painel de gestão de views.** **Mitigação:** criar/apagar no fluxo; sem página admin de views.
+Sync multi-device / preferências em `campaignUser`; saved views em outras listas (FD2 já vetou o genérico); rota `/vistas/[id]`; incluir Cenário A10 ou `compare` do mapa no bookmark; salvar junto o viewport de colunas do B17.
 
 ## Adiado com gatilho
 
-- **Renomear filtro salvo.** Revisitar quando: ≥2 atores pedirem em R6/sessão **ou** apagar+recriar gerar atrito medido.
-- **Sync servidor / share de view entre assessores.** Revisitar quando: evidência de multi-device **e** pedido explícito de “mandar este recorte” (aí sim collection + access; não neste appetite).
-- **Salvar também o viewport B17 (colunas visíveis) junto do filtro.** Revisitar quando: B17 estável **e** usuários pedirem “a view completa” (hoje misturaria bookmark de decisão com preferência de densidade).
+- **Árvore de navegação genérica em `nav.ts`.** Este item especializa **só** Municípios, via a constante exportada `MUNICIPALITY_NAV_HREF`. **Gatilho:** o 3º call site de submenu no sidebar.
+- **Sync servidor / compartilhar recorte entre assessores.** **Gatilho:** evidência de multi-device **e** pedido explícito de "mandar este recorte" — aí sim collection + access, fora deste appetite.
+
+## Testes
+
+- `tests/unit/listQueryMatch.unit.spec.ts` — ordem trocada casa, `page` diferente casa, filtro a mais não casa, percent-encoding normaliza.
+- `tests/unit/municipalitySavedFilters.unit.spec.ts` — upsert por href, cap, shape inválido, dedup, cache de snapshot.
+- `tests/e2e/campaignSavedFilters.e2e.spec.ts` — filtrar → salvar → submenu → ativo na página 2 → restaurar → renomear → apagar → desfazer, e o disclosure persistido através de reload.
+
+**Nota operacional:** `pnpm build` limpa `.next`, e o servidor de dev do e2e usa `NEXT_DIST_DIR=.next/e2e` — rodar o build entre duas rodadas de e2e derruba o cache de compilação e faz o projeto `setup` estourar os 90 s. Não é flake do teste.
 
 ## Referências
 
-- `docs/roadmap.md` (Demais itens abertos · grafo · Janela 1–2 · cortes)
-- `docs/plans/visitados-recentemente.md` — precedente localStorage + logout
-- `docs/plans/filtros-no-header-lista-municipios.md` (B16) · `docs/plans/seletor-colunas-lista-municipios.md` (B17)
-- `docs/plans/field-desk-ux-pos-critique.md` — “saved views genéricas” adiadas; este item é a fatia concreta
-- `src/utilities/municipalityUi.ts` — estado URL / href canônico / visit label
+- `docs/plans/visitados-recentemente.md` — precedente de localStorage + logout
+- `docs/plans/seletor-colunas-lista-municipios.md` (B17) — vizinho que persiste em **cookie**, porque o servidor precisa ler
+- `src/utilities/municipalityListUrl.ts` / `municipalityListFilters.ts` — contrato de URL congelado
 - `src/utilities/recentVisits.ts` — espelho de storage
-- `src/components/campaign/CampaignSidebar.tsx`, `nav.ts`, `MunicipalityFilters.tsx`
-- `src/components/ui/Sidebar.tsx` — `SidebarMenuSub*`
-- AGENTS.md — naming EN / copy pt-BR; campaign auth; sem Consent para preferência local do próprio usuário
-- `PRODUCT.md` / `DESIGN.md` — Field Desk; Feel the action; Auto-save (exceção nomear)
+- `src/components/ui/Sidebar.tsx` — `SidebarMenuSub*` / `SidebarMenuAction` re-adicionados
diff --git a/docs/roadmap.md b/docs/roadmap.md
index 24d17394..f8998561 100644
--- a/docs/roadmap.md
+++ b/docs/roadmap.md
@@ -1,6 +1,6 @@
 # Roadmap — Teqo
 
-Atualizado em: 2026-07-28 (**fill-in ✓** dimir resultado no compositor de giro — `CampaignListPendingBoundary`/`CampaignListResults` em `/campanha/atividades/giros`, `TourRegionPicker` → `useCampaignListTransition`, unit pin · [plano](plans/feedback-pendente-compositor-giro.md); **fill-in ✓** selecionados no topo nos filtros do header — `orderFilterOptionsSelectedFirst` + `CampaignHeaderFilterPopover`/`CampaignMobileMultiFilterField` (4 listas); snapshot congelado; hairline oculto na busca · [plano](plans/selecionados-no-topo-filtros-header.md); **fill-in ✓** ícone de prioridade na lista de municípios — Flag + tooltip "Município prioritário" na tabela e no card mobile, Impeccable B · [plano](plans/icone-prioridade-lista-municipios.md); ~~**fill-in** remover lista de zonas do Início~~ ✓ (entregue 2026-07-28 — UI + `zoneBreakdown` removidos; ressalva via `hasZoneMunicipalities`) · [plano](plans/remover-lista-zonas-mapa-inicio.md); **E11 ✓** motor de sugestões v1 — os 8 padrões de maior confiança do §6.1 (P1/P2/P3/P5/P6/P7/K-A/K-B) como catálogo curado em código (`suggestionCatalog.ts`, client-safe: predicados puros sobre números derivados + a copy exata dos cards, revisados no mesmo diff — contrato do E18), avaliador stateless em leitura (`municipalityTriggers.ts`, molde do planner E13: leitura própria + 6 queries em `Promise.all`; nada de cron nem tabela de sugestões) e decisão humana gravando `allocationDecision` com o snapshot **recomputado no servidor** no momento da decisão — padrão fora da fila recusa como stale, lock `municipality-suggestion:{id}:{patternId}` antes de reler a última decisão; **a auditoria matou o "sem migration" do plano:** o enum real era `aceita|descarta|movimento` (os valores `descartada|adiada` do plano nunca existiram), então "Adiar" custou a migration `20260728_041547` adicionando `adiada` (precedente do `movimento` do E14) com `suppressUntil` no snapshot em vez de coluna; supressão por janelas (aceita 14d / descarta 30d / adiada até o snooze) com a regra "nível 1 fura a fila" pura e unit-testada; diferencial estrutural codificado (P2 cede a P3/K-B, P7 cede a K-A); P3 dispara só pelo artefato porque `runningAgain2026` está 100% `desconhecido` sem read path — "concorre de novo?" virou o 1º item do menu; pauta do silêncio = alta/N2+ sem gatilho e sem sinal ≥30d (inclui `priority: alta` porque E14 nasceu sem backfill); UI: painel Suspense no Início (top-5 + silêncio) e card na visão geral do município, aceite com radios do menu (1º pré-selecionado — a checagem barata) + adiamento de um toque (7d/14d pelo nível) + descarte com quick-picks dos "descartes" do padrão e leitura alternativa obrigatória, submit explícito (exceção prevista, mesmo precedente do E14), foco gerenciado na troca trigger↔form, só o nível 1 usa vermelho; int tests alocam municípios pelo alocador até um qualificar (taxas medidas 109/435 quartil superior, 205/435 quietos — slug explícito colide com a sequence com wrap); First Load JS de `/campanha` 268 → 277 kB; adjacente registrado no plano: ligar o override do "não vá" do compositor de giros ao `resolveSuggestion` · [plano](plans/motor-de-sugestoes.md); **B40 ✓** login biométrico WebAuthn em `/campanha` — enrollment opt-in (toast no shell + seção no perfil), botão de digital/Face ID na tela de login emitindo o mesmo `campaign-token` de 14 dias, revogação por dispositivo, para **todos os papéis** e **sem `Consent`** (só a chave pública sai do aparelho, nunca a biometria). O Payload não tem login password-less: a sessão é forjada com `db.findOne` cru + `checkLoginPermission` + `addSessionToUser` + `jwtSign` sob lock e transação, porque carregar o usuário pelo caminho normal apagaria `sessions` e derrubaria as outras sessões — int spec pinando o fato. Duas armadilhas fora do plano: o RP resolvia com sucesso num preview da Vercel e o browser estourava `SecurityError` (agora o host do request tem de bater com o host derivado, senão o botão não aparece), e o challenge do cookie tem de ser o mesmo que o `@simplewebauthn/server` gerou (a primeira versão gerava o seu e todo `register` dava 400); `campaignUser` ganhou `beforeDelete` em cascata porque a FK do Payload é `ON DELETE SET NULL` sobre coluna `NOT NULL`. `@simplewebauthn/browser` entra por `import()` dinâmico dentro do handler (a metade sempre carregada — probe + tipo de erro — vive em `campaignWebAuthnSupport.ts`), então `/campanha/login` fica em **126 kB** e `/campanha`, onde o toast monta em toda navegação, segue nos 268 kB de antes do item · [plano](plans/login-biometrico-campanha.md); **B37 ✓** chips editáveis de municípios na lista de dobradinhas — a coluna "Municípios" de `/campanha/dobradinhas` troca o número morto (`row.municipalityCount`) pela mesma peça do **B34 ✓** (`shared/MunicipalityPortfolioCell`, sem cópia, sem provider novo), escrevendo do lado invertido (`municipality.stateDeputies`) por uma única action de lote (`setStateDeputyMunicipalitiesBatch`, transacional, lock por município, **tudo-ou-nada** — sem "aplica o que pode"), sem piso mínimo e sem `assertMunicipalitiesWithinScope` (`canUpdateMunicipality` já escopa o assessor); o cap de `stateDeputiesArraySchema` subiu de 20 para 435 para caber um lote de território inteiro do lado do município. **O critique pós-implementação achou dois P1 e a resposta foi generalizar na hora, não adiar:** `MunicipalityPortfolioCell` e `LeadershipStateDeputyRelationCell` (B31 ✓/B36 ✓) tinham a mesma máquina de interação (delta otimista, undo, combobox ARIA, piso/teto, split pointer-fine/coarse) implementada duas vezes com contratos incompatíveis — em vez de esperar um "3º call site" hipotético, este item **era** o 3º call site, então `src/components/campaign/shared/RelationChipCell.tsx` nasceu como o motor único e as duas células viraram wrappers finos (chips/busca/`FormData`/copy por domínio); isso fecha adiantado o gatilho `useChipRowOverflow` que o **B34+** havia registrado. O segundo P1 — um assessor via e tentava remover chips de município fora do escopo, falhando em silêncio no nível do documento — fechou escondendo o chip em vez de só explicar: `MunicipalityPortfolioCell` agora filtra por `addableIds` os municípios que renderiza, não só os que oferece para adicionar. `LeadershipStateDeputyRelationCell` ganhou `ownerName` e sua primeira suíte de testes própria (zero cobertura antes); gate completo (tsc/lint/format/cycles limpos, int 452/452, Aikido 0 findings). **O `/simplify` do fechamento achou um bug latente, não uma dedução:** o helper de delta que este item criou era a **terceira** cópia byte-a-byte do mesmo cálculo de um id, e o pareamento importa porque duas das mensagens de teto eram literais crus repetidos em três lugares de `src` cada — `mapCampaignFormActionError` casa a mensagem lançada contra `safeMessages` por **string exata**, então reescrever uma delas colapsaria silenciosamente uma recusa real em "tente novamente"; o algoritmo virou `nextIdsAfterMembership` (os três nomes de domínio são wrappers de uma linha), as mensagens viraram constantes ao lado dos seus caps, e os três specs clonados viraram um `describe.each` com **mais** cobertura que antes (unit 651 → 715). Também: `scopedPortfolioIndex` fecha o **F9** do B34+ (o `.filter()` do escopo do assessor devolvia um array novo por linha, derrotando o WeakMap que existe para compartilhar derivações entre linhas) e a busca da célula de dobradinhas parou de renormalizar o catálogo a cada tecla; `maxItems` "por paridade" foi **rejeitado** (dobradinha não tem teto de produto, e um "30 generoso" recusaria uma dobradinha estadual legítima); os dois débitos que sobraram — o laço município-a-município das duas actions de lote e a gemelaridade delas (2 call sites) — foram **absorvidos no B34+ como F10**, sem abrir ID novo · [plano](plans/chips-municipios-lista-dobradinhas.md); **B17+** novo fill-in de engenharia registrado no fechamento do B17 — esconder uma coluna não desliga a query que existe só para ela, e o botão "Colunas" some com a tabela no estado vazio de três rotas; **B17 ✓** seletor de colunas — entregue como capacidade do `CampaignTable`, nas **sete** superfícies do sistema de listas em vez de só em municípios; persistência em **cookie** (`campaign_columns`) com filtragem no servidor, porque `CampaignTableColumn.cell` é função e o array de colunas não atravessa a fronteira server/client — a coluna oculta some também do payload RSC; `label: string` virou obrigatório e o seam `defaultVisible` **morreu** (era `true` em 10 colunas e `false` em nenhuma: guardar só o conjunto de ocultas é o que faz coluna nova nascer visível, contrato que E9 ✓/E14 ✓ assumiram); uma coluna `mandatory` por superfície, refiltrada no servidor; o bug real pego na revisão foi o payload de um toggle chegando dentro da janela de debounce do seguinte e commitando o conjunto sem ele; a **segunda rodada** de revisão mudou a cadência por medição (**fechar o menu é o commit**, timer de 3 s como rede que grava **só o cookie, sem refresh** — os 400 ms agrupavam rajada, não ritmo de leitura, e qualquer timer que repintasse recriaria o mesmo custo mais devagar, re-pagando os ~229 ms / 371 statements de `/campanha/liderancas`, P1 no `TECH-DEBT`; sessão que termina onde começou não repinta, e desmontar com o menu aberto grava pelo cleanup) e apagou duplicação com dono: `contentKey` virou o 4º chamador de `sameIdSet` (generalizado p/ `string | number`), e os `label` de municípios/dobradinhas passaram a citar os módulos de rótulo que o header já usa, o que fez o `id` das colunas de municípios ser **tipado** contra `MunicipalityListColumnId` (id, descrição do B22 ✓ e rótulo do picker viraram a mesma chave; membro `nivel` → `level`, alinhado ao id e ao `?level=`) · [plano](plans/seletor-colunas-lista-municipios.md)); **B32+ ✓** escala e DRY pós-B32 — a máquina de auto-save dos controles de célula virou `useCampaignCellAutosave` (um valor só: a auditoria mostrou que `display`/`draft` eram o mesmo valor com dois nomes) e as cinco rotas JSON de `/campanha` passaram a nascer de `campaignJsonMutationRoute`, com guard de convenção — a verificação de mesma origem deixou de depender de disciplina de cópia; a região `aria-live` saiu de dentro do overlay (fechar é o que dispara a gravação, então ela desmontava junto) e o `variant="sheet"` da casca ganhou slot `footer`, o que fez o controle de Sinal (B26 ✓) largar o Popover/Drawer próprios · [plano](plans/escala-dry-pos-b32.md); 2026-07-27 (**E14 ✓** níveis de envolvimento N0–N4 — `municipality.engagementLevel` staff-only (sem default: nulo é "sem nível", e filtrar por ele é a fila de triagem), motivo e sinais de reversão obrigatórios, e o **primeiro escritor de produção do `allocationDecision`** (C12 ✓), gravado na mesma transação sob lock porque o "nível anterior" do snapshot precisa ser verdade; enum de `outcome` estendido com `movimento`; histerese do §6.8 (salto duplo só com choque triangulado, 3 semanas de proteção, um movimento por mês) num módulo puro que roda no cliente **e** no servidor, com a rota respondendo `blocked` (409) com as violações tipadas e o override registrado com as regras que contrariou; submit explícito em vez de auto-save (exceção prevista pela regra, e o controle não vira o 4º call site do B32+); coluna + filtro nativo (`?level=`) e sort em memória na lista (o Postgres põe NULL primeiro no DESC, e sem backfill isso entregaria "N4 primeiro" cheio de "Sem nível") + verbete no E18 · [plano](plans/niveis-de-envolvimento.md); a triage do fechamento **não abriu ID novo** — os três débitos caíram no **B32+**: o 5º controle/rota JSON tirou **F2/F3** da condicionalidade (a política de mesma origem que `isSameOriginRequest` diz possuir está copiada em cinco rotas, e a que esquecer a linha falha **aberta**) e o slot `footer` que o **B42 ✓** havia adiado virou **F5**, porque na folha "Fechar" está pinado e "Registrar movimento" fica abaixo da dobra; ~~**fill-in** dimir o resultado no compositor de giro~~ ✓ (entregue 2026-07-28) · [plano](plans/feedback-pendente-compositor-giro.md); **E13 ✓** planejador de presença/giros — elegibilidade de visita em **5 condições ✓/—** (volume, headroom, rede, janela, encaixe) no detalhe do município, fase do calendário (`construcao|consolidacao|ativacao`, âncoras ilustrativas em `src/lib/visitPlannerAnchors.ts`) e compositor em `/campanha/atividades/giros` gerando `activity` em rascunho com `deputyPresent` numa transação; **duas premissas do plano caíram na auditoria** — `kind: 'visita'` nunca entrou na migration do C12 (e não entra: `deputyPresent` já É o marcador de presença) e `allocationDecision` não tem write path em `src/` (o "não vá" é aviso textual; gravar o override vira gatilho do **E11**); "encaixe em giro" = **mesmo TI**, porque não existe grafo de contiguidade em runtime; o teto-do-campo-não-capturado e as medianas do catálogo saíram do classificador do E10 para `municipalityPotential.ts` para que card e coluna "Classe" não pudessem divergir; a action relê os ids das paradas com `overrideAccess: false` **dentro** da transação (o `create` de `activity` é booleano de staff — sem isso um assessor semeava o estado inteiro), buraco achado por int test; sem migration, sem collection, sem `Consent`, sem entidade `tour` · [plano](plans/planejador-de-giros.md); **B42 ✓** polimento mobile da lista de municípios — Drawer em Tendência/Assessores/Votos estimados pela casca `CampaignCellEditOverlay`, card compacto e clicável por link esticado; a triage do fechamento não abriu ID novo: **F4** entrou no **B32+** (região `aria-live` que desmonta com o overlay) e o débito de bundle do catálogo no **B33+** deixou de ser condicional (gatilho disparado por B41 ✓ e B42 ✓) · [plano](plans/polimento-mobile-lista-municipios.md); **B34+** fill-in de engenharia pós-B34 registrado — a entrega custou **+58 kB** de First Load JS em `/campanha/liderancas` e **+42 kB** em `/campanha/assessores` (medido contra `main` limpo; a maior parte é a célula, não o catálogo), o gatilho de extração do `useChipRowOverflow` **disparou** (~105 linhas idênticas entre as duas células de chips da mesma tabela) e os três módulos de delta de membership colapsam num só; o passe localizado que fechou o B34 já derrubou o custo de CPU medido (chips 4,2 → 0,043 ms quente; busca 4,59 → 0,077 ms por tecla), e a **segunda rodada** somou três fases que mudaram o maior lever — `revalidatePath` por toggle (374 statements / 229 ms por clique), índice de municípios sem cache no degrau 2 da escada, e o `filter` por linha que derrota o próprio WeakMap — mais o N+1 de access pré-existente promovido a **P1** no `TECH-DEBT` (367 dos 371 statements da rota), que é quem precisa cair primeiro · [plano](plans/escala-dry-pos-b34.md); **B34 ✓** chips editáveis de municípios na lista de lideranças — célula sempre editável em `pointer-fine` + Drawer em `pointer-coarse`, `AdvisorMunicipalityCell` promovido a `shared/MunicipalityPortfolioCell` com Assessores migrado no mesmo PR, action única de lote (a de um id só, inclusive a de assessor, foi deletada), anti-goal de input sempre montado **emendado** para relações por chips; corrigiu de passagem o seam `description` de `CampaignTableHead` (B22 ✓), que quebrava qualquer chamador RSC · [plano](plans/chips-municipios-lista-liderancas.md); **B41 ✓** scroll horizontal + sticky Município · [plano](plans/scroll-horizontal-lista-municipios.md); **B32+** novo fill-in de engenharia registrado no fechamento do B32 — `MunicipalityListExpectedVotesControl`/`MunicipalityListTrendControl`/`LeadershipListSupportStatusControl` são o 3º call site da mesma máquina de auto-save por debounce (estado/refs/save/schedule/flush quase idênticos), gatilho que os três planos B24/B27/B32 já haviam registrado; auditoria primeiro, extração condicional (precedente B33+) — [plano](plans/escala-dry-pos-b32.md); **B32 ✓** editar Status de apoio na célula da lista de lideranças — `LeadershipListSupportStatusControl` (Popover + `NativeSelect`, sempre montado, sem toggle "Editar" de tabela inteira) grava por `POST /campanha/liderancas/support-status` (auto-save ~150 ms, sem `revalidatePath`), reusando `isSameOriginRequest`/`campaignJsonMutationRoute.ts` já extraídos pelo B24 ✓/B27 ✓; fecha o "Adiado com gatilho" do B29 — [plano](plans/autosave-status-lista-liderancas.md); **B33+ ✓** `useCampaignListFilterNavigation` — o scaffold de navegação/debounce sai dos três filtros de lista para um hook em `shared/` (281 linhas removidas contra 75 em `src`); a auditoria derrubou a premissa do plano de que os três domínios teriam assinaturas de canonicalização diferentes — `buildStateDeputyListHref`/`buildTerritoryListHref`/`buildMunicipalityListHref` **já canonicalizam internamente**, então o `parse(...)` explícito de dobradinhas/territórios era trabalho redundante e um único callback `toHref` cobre os três; a entrega achou **dois** bugs de comportamento, não de estrutura: tocar um filtro no meio da digitação **descartava** a busca pendente em dobradinhas e territórios (unificado na semântica de munícipios por `navigateWithSearch`), e o `setTimeout` do debounce capturava o `state` do render que o agendou, então um sort clicado dentro da janela de 1s era **revertido** um segundo depois — munícipios escapava por acidente, pelo `key=` da página que remonta e mata o timer (corrigido com `stateRef`, com caso de spec verificado vermelho nas três listas sem o fix); o `/simplify` ainda achou o fallback `useCampaignListPending() ?? useTransition()` copiado em 5 lugares, com o hook novo como 6º → `useCampaignListTransition`, e um `aria-live` que fazia o resumo de filtros de munícipios ser a **terceira** região viva da mesma página; `shouldUpdateMunicipalitySearchUrl` orfanou e foi deletado; `tests/unit/campaignListFilterNavigation.unit.spec.ts` (jsdom + router mockado + fake timers, 8 casos × 3 listas) é a primeira cobertura desses componentes — [plano](plans/escala-dry-pos-b33.md); **C8 F4b ✓** guard de `formActions` ampliado para irmãos `*FormActions.ts` + `taskActions.ts`; 6 ladders migradas; `taskActions.ts` allowlisted · [plano](plans/escala-dry-pos-c6.md); **Build resiliente ao global `metadata` ausente ✓** — `resolveSiteMetadata` em `src/utilities/seo.ts`; fallback `NEXT_PUBLIC_SITE_URL` e omit canonical/OG quando não há URL; 4 rotas + layout; [plano](plans/build-resiliente-metadata-ausente.md); **B8+ ✓** escala e DRY pós-B8 F2 — a política de escala de chão das malhas commitadas virou código nomeado (`scripts/lib/topology.mjs`, tolerância de Visvalingam em m² e dígitos de quantização derivados do bbox de cada topologia), e com ela a malha das ZE caiu de 480 para **30,2 pontos/feature** (72.310 → 7.687 bytes) sem que `bahia-municipalities` mudasse um byte; a auditoria corrigiu a alavanca do plano (quantização sozinha quase não corta — o peso absoluto manda) e **rejeitou** um item do F4 por medição (`city`/`zoneNumber` de `MunicipalityZoneNeighborhoodEntry` são evidência de proveniência hasheada, não código morto); `MAX_POINTS_PER_FEATURE = 60` é o novo tripwire, `featureMapKey` passou a ser exercido sobre features reais das três malhas (417 `codarea`, 27 `code`, 19 `slug`), o mapa **degrada** em vez de morrer quando o chunk das zonas falha, e a ressalva de aproximação saiu do gate de comparação · [plano](plans/escala-dry-pos-b8f2.md); **`users.roles` ✓** — `admin`\|`editor` em `users`, migration `20260727_032523_add_users_roles`, editor publica `post`/`tag`/`media`; unificação com `campaignUser` rejeitada · [plano](plans/roles-admin-payload.md); 2026-07-26 (**fill-in** ~~remover lista "Municípios por zona eleitoral" do Início~~ ✓ entregue 2026-07-28 — pós-B8 F2 ✓ os polígonos tornaram a lista textual redundante; UI + `zoneBreakdown` removidos; ressalva via `hasZoneMunicipalities` · [plano](plans/remover-lista-zonas-mapa-inicio.md); **B8 F2 ✓** polígonos das 19 ZE de Salvador — artefato `bahia-municipality-zones.topo.json` (72 KB) por dissolve bairro→zona do `BA_bairros_CD2022` do IBGE contra a RA 02/2017 do TRE-BA, com curadoria explícita e um passe de maior fronteira compartilhada validado; o coroplético passou a ser keyed por **map key** (`slug` na zona, `ibgeCode` no resto) e o polígono municipal de Salvador ficou como base sem interação por baixo, porque duas malhas simplificadas independentemente não fecham na mesma costa; `competitiveRank` segue por cidade (o artefato TSE só tem `federalRankByIbgeCode`) com int pinando o fato; desambiguar a ZE no card "Onde estou" do B14 ✓ virou débito com gatilho, não dependência — [plano](plans/poligonos-pracas-zona.md); **B8+** novo fill-in de engenharia com os quatro débitos do `/simplify` do B8 F2, cujos relatórios chegaram depois do merge — a malha de 19 zonas ficou com a mesma contagem de vértices da malha dos 417 municípios (as duas constantes de simplificação são relativas ao bbox e foram copiadas verbatim, o que vale ~3,9 m de grade em Salvador contra ~103 m no estado), a regra da map key está em três formas sem nenhum teste ligando artefato → `featureMapKey` → catálogo, uma falha de chunk nas zonas passou a derrubar o mapa inteiro, a ressalva de aproximação desaparece no modo comparação, e `getTerritoryFeature` perdeu o último consumidor de produção neste commit · [plano](plans/escala-dry-pos-b8f2.md); **B39–B42** registrados: sessão "Lembrar de mim" + login biométrico WebAuthn + scroll horizontal/sticky na lista de municípios + polimento mobile da mesma lista — [B39](plans/lembrar-de-mim-sessao-campanha.md), [B40](plans/login-biometrico-campanha.md), [B41](plans/scroll-horizontal-lista-municipios.md), [B42](plans/polimento-mobile-lista-municipios.md); **E12 ✓** camada TI — rollups MAUP, colunas Cobertura/Captura/Classe em `/campanha/territorios`, benchmark intra-TI no `MunicipalityGoalAccountCard`; [plano](plans/camada-territorios-identidade.md); **B36 ✓** coluna "Lideranças" em `/campanha/dobradinhas` — chips + Popover+Command + delta reuse da mutação B31; `LeadershipStateDeputyRelationCell` compartilhada (`direction`/`measureOverflow`); columns factory (não Context); casca `dobradinhas/formActions.ts`; `loadLeadershipOptions` + `leaderships[]` no row; [plano](plans/chips-liderancas-lista-dobradinhas.md); **B30 ✓** convite de completar cadastro por WhatsApp na lista de lideranças — `LeadershipInviteRowAction` (`UserPlusIcon`) na coluna `actions` ao lado do contato do B28 ✓; Popover two-step reusa `createCampaignInvite`/`autopreenchimento`; disable por `normalizeBrazilianPhone`; [plano](plans/convite-whatsapp-lista-liderancas.md); **B31 ✓** coluna de dobradinhas na lista de lideranças entregue — chips clicáveis → `/campanha/dobradinhas/<slug>` em `/campanha/liderancas`, edição por Popover+`Command` (mecânica do **B27 ✓**) com escrita por **server action direta do cliente** (`useTransition`, padrão do B19 ✓) em vez do endpoint JSON do B27, porque aqui há derivados a revalidar (`leadershipCount`, a ficha do deputado); `setLeadershipStateDeputyMembership(Record)` em transação + lock `leadership-state-deputies:{id}` + `revalidatePath`; helper puro `nextStateDeputyIdsAfterMembership` espelha `nextAdvisorIdsAfterMembership`; catálogo entregue uma vez por tabela via `leadershipColumns(stateDeputyOptions)` (columns factory, mesmo precedente de `municipalityListColumns`) em vez de Context; é o **2º call site** do padrão Popover+Command+chips — extração para `shared/` continua esperando o 3º (B34/B36/B37, que agora consomem a mutação/lock em vez de correr para desenhá-los); [plano](plans/dobradinhas-lista-liderancas.md); **fill-in ✓** limitar pan/zoom do mapa à Bahia — `BahiaMap` com `maxBounds`/`maxBoundsViscosity: 1` sobre `BAHIA_BOUNDS.pad(0.1)` e `minZoom` via `getBoundsZoom` com o mesmo padding 16px do `fitBounds`, recalculado no `ResizeObserver` existente; único arquivo; [plano](plans/limitar-mapa-a-bahia.md); (**B14 ✓** município mais próximo entregue — card cliente "Onde estou" no Início staff resolvendo **point-in-polygon** sobre o chunk de geometria que o mapa do dashboard já carrega (a premissa "polígonos explodem o bundle" do plano de 24/07 caiu na medição: 41 KB gzip já estão no browser, então o artefato de centroides e seu script saíram de escopo), com fallback nomeando onde o assessor está e o município mais próximo **da carteira** dentro de 150 km; a posição nunca sai do aparelho (sem action, sem `Consent`); First Load JS de `/campanha` 265 → 268 kB depois de mover o href das zonas de Salvador para o servidor (`zoneCityHrefs`) — importar `buildMunicipalityListHref` no cliente custava **21 kB** por um link, porque arrasta `bahiaTerritories` + `municipalityCatalog`; [plano](plans/municipio-mais-proximo.md); ~~**B38**~~ ✓ sidebar recolhido em tablet entregue — offcanvas + trigger md+ + cookie/matchMedia; [plano](plans/sidebar-recolhido-tablet.md); **B33+** novo fill-in de engenharia registrado no fechamento do B33 — `StateDeputyFilters` é o 3º call site do scaffold de navegação/debounce que `TerritoryFilters`/`MunicipalityFilters` já tinham, achado do `/simplify` rodada 2, [plano](plans/escala-dry-pos-b33.md); **B28 ✓** e-mail + celular na lista de lideranças entregue — colunas E-mail/Celular com copy-on-click + coluna de Ações com WhatsApp, no padrão de `/campanha/assessores` (B19 ✓); `shared/CampaignCopyableCell` nasce compartilhado já no 2º call site (`AdvisorsTable` migrado no mesmo PR), `whatsAppHrefForPhone` promovido a `lib/phone.ts`, `loadLeadershipDetail` deduplicado; [plano](plans/email-celular-lista-liderancas.md); **B24 ✓** auto-save + justificativa no popover de Tendência de `/campanha/municipios` — sem botão "Salvar", `POST /campanha/municipios/political-trend`, [plano](plans/autosave-tendencia-lista-municipios.md); **B13 ✓** escala relativa no mapa do Início entregue — quantis como novo default, padrão próprio/LQ nas âncoras do E10 e posição no município a partir do **artefato TSE v3** (`federalRankByIbgeCode`), mais bolhas opcionais por válidos projetados coloridas pela classe; `computeAggregateTerritorialClass` nasce aqui e o **E12** deve herdá-lo em vez de escrever um rollup próprio; `TERRITORIAL_CLASS_ANCHORS` mudou de casa para `src/lib/territorialClassAnchors.ts`; [plano](plans/escala-relativa-mapa.md); **B13+** novo fill-in de engenharia com os quatro débitos do `/simplify` do B13 — teste de concordância entre as duas escritas do LQ (mapa cliente × classificador server-only, a rede de segurança do **E15**), escopo geográfico declarado no readout (posição é da cidade inteira, classe é do escopo do usuário), uma varredura da fatia TSE por ano no script de agregados em vez de três, e a tupla no `competitiveRankByYear` que corta ~metade dos ~63,6 KB somados ao payload RSC · [plano](plans/escala-dry-pos-b13.md); **débito de teste** afinado no ledger ([TECH-DEBT.md](TECH-DEBT.md), P3 → P2): `campaignMunicipalities`/`campaign-pwa` são flaky com 2 workers **em `main`** também — clique no checkbox de consentimento antes da hidratação e regex de fixture em que "Conde" casa com "Condeúba"; **B27 ✓** combobox + chips + auto-save no popover de Assessores de `/campanha/municipios` entregue — a checkbox list + botão "Salvar assessores" virou chips removíveis + `Command` com gravação por delta, `nextAdvisorIdsAfterMembership` movido para `src/lib/`, endpoint `POST /campanha/municipios/advisors` espelho do `expected-votes/`, [plano](plans/combobox-assessores-lista-municipios.md); **B23 ✓** tooltip de conteúdo nas células das listas entregue — a mecânica genérica (`cellTooltip`, `CampaignCellTooltip`, `CampaignHoverTooltip` em `shared/`) já tinha saído de graça no E10 ✓; este item fechou `openOnTouch`/`disabled` no primitivo (mais um terceiro comportamento do `/simplify`: `content` falsy renderiza o trigger sem wrapper) e os dois consumidores de `/campanha/municipios` (nomes de assessores + justificativa da tendência), [plano](plans/tooltip-celulas-listas.md); **B22 ✓** explicação por coluna no header das listas entregue — `description?: ReactNode` em `CampaignTableHead`/`MunicipalitySortableHead` (rename de `tooltip`, sublinhado pontilhado), `campaignConceptOneLiner` como fonte única para colunas cobertas pelo E18 ✓, `municipalityColumnDescriptions` cobrindo as 11 colunas de `/campanha/municipios`; sem migration/action, [plano](plans/explicacao-colunas-header-listas.md); 2026-07-25: **E10 ✓** classificação territorial relativa entregue — Reduto/Expansão/Manutenção/Marginal/Sem base sobre o artefato TSE, coluna+sort+filtro na lista, badge no card do E8 e na capa do dossiê, e o seam genérico `cellTooltip` da `CampaignTable` (núcleo do B23) com `CampaignHoverTooltip` promovido para `shared/`; **B13** liberado; **E10+** novo fill-in de engenharia com os quatro débitos do `/simplify` do E10 — a lista lendo `municipality` duas vezes por request (o que **dispara o "Adiado com gatilho" do A11**: `classe` é o 4º path derivado no loader), memo de processo dos potenciais por município, `TooltipProvider` único no layout e os multi-filtros do mobile saindo das definitions · [plano](plans/escala-dry-pos-e10.md); ~~**C8 F4b**~~ ✓ (entregue 2026-07-27); **B26 ✓** registrar sinal na célula "Último sinal" — [plano](plans/registrar-sinal-lista-municipios.md); **C13 ✓** "Plano de Ação" → **"Atividade"** renomeado em toda a vertical — collection `activity`, rota `/campanha/atividades`, sidebar "Atividades", migration data-preserving escrita à mão (4 tabelas, 3 enums, 2 colunas, 39 índices, 14 FKs, 2 sequences + os 8 índices fósseis `%plaza%` da remodelagem) e guard de vocabulário table-driven varrendo `src`+`tests`+`scripts`; [plano](plans/renomear-plano-acao-para-atividade.md); **B36** coluna "Lideranças" em `/campanha/dobradinhas` com a mesma UI/mecânica da coluna "Municípios" de `/campanha/assessores` (B19 ✓) — chips + Popover + `Command` + auto-save por delta + "Ver mais…" (clamp de 3 linhas por `ResizeObserver`, necessário aqui porque um deputado popular pode acumular muito mais lideranças do que uma liderança acumula dobradinhas); pedido explícito de não duplicar lógica — reusa **sem alteração** a mutação/schema/lock que o **B31** desenha para o lado inverso da mesma relação `leadership.stateDeputies`, promovendo a célula desse item para um componente compartilhado bidirecional (`LeadershipStateDeputyRelationCell`) em vez de um segundo componente-irmão; corrida de extração com o B31 (quem entrar primeiro paga a peça compartilhada); sem migration, [plano](plans/chips-liderancas-lista-dobradinhas.md); **B34** chips editáveis de municípios na lista de lideranças — coluna "Municípios" de `/campanha/liderancas` ganha chips com link (município) / território (`MapPinIcon`), edição por **Popover disparado por célula** com chips removíveis + combobox `Command` (busca por município/TI/ZE, lote de território/zona), gravação **por delta** direto em `leadership.municipalities` com lock `leadership-municipalities:{id}` (piso de 1 e teto de 30 respeitados) e `revalidatePath` (`liderancas`, `liderancas/[id]`, `municipios/[slug]` dos tocados); promove a lógica pura de `advisorMunicipalityPortfolio.ts`/`loadAdvisorMunicipalityIndex` (**B19 ✓**) para nomes neutros, sem portar a UI com `ResizeObserver`; **conflito registrado com o pedido literal** (pede um toggle "Editar" de tabela inteira, que B28/B31/B32 já travaram como anti-goal nesta mesma tabela — este plano segue o precedente e marca a decisão como _proposta, a validar com produto_); sem migration, [plano](plans/chips-municipios-lista-liderancas.md); ~~**B33**~~ ✓ ordenação e filtro no header da lista de dobradinhas (entregue 2026-07-26) — `?sort=`/`?dir=` por Nome/Partido + Popover multi-seleção de Partido com "Sem partido", consumindo o chrome compartilhado do **B21 ✓** (a corrida de ordem de chegada com B29 foi encerrada); paridade mobile (`StateDeputyFilters`) entrou por decisão desta sessão; ordem dos nulos de `party` pinada por int test; contagens derivadas (`municipalityCount`/`leadershipCount`) seguem sem sort/filtro, como travado, [plano](plans/ordenacao-filtros-lista-dobradinhas.md); **B32** editar Status de apoio na célula da lista de lideranças — clicar na célula abre um Popover com select de `supportStatus`, gravando sozinho por endpoint JSON dedicado (`POST /campanha/liderancas/support-status`, espelho do `expected-votes/`), **sem** o toggle "Editar" de tabela inteira (pedido explícito de produto, mesmo anti-goal do B28/B31); fecha o "Adiado com gatilho" que o próprio B29 já havia registrado para este caso; extrai `isSameOriginRequest` (2º endpoint) e as mensagens seguras do form action da ficha para módulos compartilhados; sem migration, [plano](plans/autosave-status-lista-liderancas.md); **B31** coluna de dobradinhas na lista de lideranças — chips com link + adicionar/remover na própria linha, com busca e gravação automática, na paridade pedida com a coluna "Municípios" de `/campanha/assessores` (B19 ✓) — paridade **da coluna**, não do modo "Editar" de tabela inteira (anti-goal do princípio 3 e do B28); escrita **por delta** com lock (`leadership-state-deputies:{id}`) em vez de replace do array, e `revalidatePath` porque `/campanha/dobradinhas` tem contagens derivadas; sem migration, [plano](plans/dobradinhas-lista-liderancas.md); **B30 ✓** convite de completar cadastro por WhatsApp na lista de lideranças — `LeadershipInviteRowAction` na coluna `actions` (entregue 2026-07-26), [plano](plans/convite-whatsapp-lista-liderancas.md); **B29** ordenação e filtro no header da lista de lideranças — leva B15 ✓/B16 ✓ para `/campanha/liderancas` (sort/filtro na URL, popover no header, colunas "Setor" e "Última atualização"), ordenação por nome via join `contact.name` (sem desnormalizar), e é o **3º call site** que dispara a extração do par head/filtro para `shared/` (municípios migrado junto; B21 fecha seu adiado), [plano](plans/ordenacao-filtros-lista-liderancas.md); ~~**B28**~~ ✓ e-mail + celular na lista de `/campanha/liderancas` (entregue 2026-07-26) — colunas E-mail/Celular com copy-on-click + coluna de Ações com WhatsApp como em `/campanha/assessores` (B19 ✓); `CampaignCopyableCell` nasce compartilhado já no 2º call site (`AdvisorsTable` migrado no mesmo PR), `whatsAppHrefForPhone` promovido a `lib/phone.ts`; edição in-list adiada; sem migration, [plano](plans/email-celular-lista-liderancas.md); ~~**B27**~~ ✓ combobox + chips + auto-save no popover de Assessores de `/campanha/municipios` (entregue 2026-07-26), [plano](plans/combobox-assessores-lista-municipios.md); ~~**B26**~~ ✓ registrar sinal na célula "Último sinal" (entregue 2026-07-25), [plano](plans/registrar-sinal-lista-municipios.md); **fill-in** renomear coluna "Cobertura da meta" → "Cobertura" em `/campanha/municipios` — header curto (padrão A11); glossário/KPI strips intactos; B16 ✓ liberou o nome ao remover "Assessoria", [plano](plans/renomear-coluna-cobertura-meta.md); ~~**B25**~~ ✓ link do território na lista de municípios (entregue 2026-07-26) — coluna "Território" + card mobile → `/campanha/territorios#ti-<slug>`; `territoryAnchor.ts` + `TerritoryLink`; seam `rowId` em `CampaignTable`; [plano](plans/link-territorio-lista-municipios.md); ~~**B24**~~ ✓ auto-save + justificativa editável no popover de Tendência de `/campanha/municipios` (entregue 2026-07-26), [plano](plans/autosave-tendencia-lista-municipios.md); **fill-in** remover coluna "Tipo" de `/campanha/municipios` — município e ZE tratados iguais na coordenação; filtro por Salvador cobre as zonas; drop também do filtro/sort/`?kind=` na URL da lista, schema `kind` intacto, [plano](plans/remover-coluna-tipo-municipios.md); ~~**B23**~~ ✓ tooltip de conteúdo nas células das listas (entregue 2026-07-26), [plano](plans/tooltip-celulas-listas.md); **fill-in** opções selecionadas no topo nos Popovers de filtro do header — helper puro reutilizável pelas demais listas, [plano](plans/selecionados-no-topo-filtros-header.md); ~~**B22**~~ ✓ explicação por coluna no header das listas (entregue 2026-07-26), [plano](plans/explicacao-colunas-header-listas.md); **B21** página própria dos Territórios de Identidade — rota `/campanha/territorios` com overview + tabela no sistema de listas (sort/filtro no header), sem migration, [plano](plans/pagina-territorios-identidade.md); **B20 ✓** Municípios prioritários no Início entregue 2026-07-25 — atalho ranqueado por déficit + markup sem bullets, [plano](plans/municipios-prioritarios-inicio.md); **Pass 2 ✓** consolidação de engenharia — listas genéricas/B16+ absorvido/B17-B18 triviais/E10 limpo/C8 F4 ✓/D3 consent WhatsApp; **B16 ✓**; **E16 ✓**; **E9 ✓**; **E18 ✓**; **B19 ✓**; **E8 ✓**; C12 ✓; B18; B17; A11 ✓; B15 ✓; E4R ✓; E17 ✓; B14 ✓; janela 1: smoke, R6)Registro canônico dos **próximos** planos e débitos. Histórico de entregas: resumo abaixo + planos em [`docs/plans/`](plans/) + notebook [`.cursor/rules/projects/nucleos-eleitorais.mdc`](../.cursor/rules/projects/nucleos-eleitorais.mdc).
+Atualizado em: 2026-07-28 ((**B18 ✓** filtros salvos na lista de municípios — "Salvar filtro" ao lado de "Limpar" nomeia o recorte atual da URL e o atalho vira submenu de 2º nível sob Municípios no sidebar, com chevron, estado persistido, ativo e apagar com desfazer. Cinco premissas do plano de 2026-07-24 morreram: `SidebarMenuSub*` **não existiam** (podados pelo Pass 2 W4b) e re-adicioná-los expôs um bug latente do kit — `data-active={false}` chega ao DOM como `data-active="false"` e o seletor `data-active:` casa, então **todo item não-ativo estava estilizado como ativo**; `municipalityUi.ts` não existe mais; a URL tem 14 params; B17 persiste em **cookie**; e o hover morreu com B38 ✓. O risco central era bundle — a sidebar está no layout de `(app)`, então importar o serializador de URL custaria 21 kB × toda rota `/campanha`; com o comparador puro `lib/listQueryMatch.ts` no lugar, `/campanha` ficou **inalterado em 277 kB**, medido contra árvore limpa. O e2e pegou dois bugs reais: o auto-open reabria o grupo em toda montagem (o store responde vazio até o cliente ler o `localStorage`, então um match vindo da hidratação parecia navegação) e apagar derrubava o foco para `<body>` · [plano](plans/filtros-salvos-municipios.md)) **fill-in ✓** dimir resultado no compositor de giro — `CampaignListPendingBoundary`/`CampaignListResults` em `/campanha/atividades/giros`, `TourRegionPicker` → `useCampaignListTransition`, unit pin · [plano](plans/feedback-pendente-compositor-giro.md); **fill-in ✓** selecionados no topo nos filtros do header — `orderFilterOptionsSelectedFirst` + `CampaignHeaderFilterPopover`/`CampaignMobileMultiFilterField` (4 listas); snapshot congelado; hairline oculto na busca · [plano](plans/selecionados-no-topo-filtros-header.md); **fill-in ✓** ícone de prioridade na lista de municípios — Flag + tooltip "Município prioritário" na tabela e no card mobile, Impeccable B · [plano](plans/icone-prioridade-lista-municipios.md); ~~**fill-in** remover lista de zonas do Início~~ ✓ (entregue 2026-07-28 — UI + `zoneBreakdown` removidos; ressalva via `hasZoneMunicipalities`) · [plano](plans/remover-lista-zonas-mapa-inicio.md); **E11 ✓** motor de sugestões v1 — os 8 padrões de maior confiança do §6.1 (P1/P2/P3/P5/P6/P7/K-A/K-B) como catálogo curado em código (`suggestionCatalog.ts`, client-safe: predicados puros sobre números derivados + a copy exata dos cards, revisados no mesmo diff — contrato do E18), avaliador stateless em leitura (`municipalityTriggers.ts`, molde do planner E13: leitura própria + 6 queries em `Promise.all`; nada de cron nem tabela de sugestões) e decisão humana gravando `allocationDecision` com o snapshot **recomputado no servidor** no momento da decisão — padrão fora da fila recusa como stale, lock `municipality-suggestion:{id}:{patternId}` antes de reler a última decisão; **a auditoria matou o "sem migration" do plano:** o enum real era `aceita|descarta|movimento` (os valores `descartada|adiada` do plano nunca existiram), então "Adiar" custou a migration `20260728_041547` adicionando `adiada` (precedente do `movimento` do E14) com `suppressUntil` no snapshot em vez de coluna; supressão por janelas (aceita 14d / descarta 30d / adiada até o snooze) com a regra "nível 1 fura a fila" pura e unit-testada; diferencial estrutural codificado (P2 cede a P3/K-B, P7 cede a K-A); P3 dispara só pelo artefato porque `runningAgain2026` está 100% `desconhecido` sem read path — "concorre de novo?" virou o 1º item do menu; pauta do silêncio = alta/N2+ sem gatilho e sem sinal ≥30d (inclui `priority: alta` porque E14 nasceu sem backfill); UI: painel Suspense no Início (top-5 + silêncio) e card na visão geral do município, aceite com radios do menu (1º pré-selecionado — a checagem barata) + adiamento de um toque (7d/14d pelo nível) + descarte com quick-picks dos "descartes" do padrão e leitura alternativa obrigatória, submit explícito (exceção prevista, mesmo precedente do E14), foco gerenciado na troca trigger↔form, só o nível 1 usa vermelho; int tests alocam municípios pelo alocador até um qualificar (taxas medidas 109/435 quartil superior, 205/435 quietos — slug explícito colide com a sequence com wrap); First Load JS de `/campanha` 268 → 277 kB; adjacente registrado no plano: ligar o override do "não vá" do compositor de giros ao `resolveSuggestion` · [plano](plans/motor-de-sugestoes.md); **B40 ✓** login biométrico WebAuthn em `/campanha` — enrollment opt-in (toast no shell + seção no perfil), botão de digital/Face ID na tela de login emitindo o mesmo `campaign-token` de 14 dias, revogação por dispositivo, para **todos os papéis** e **sem `Consent`** (só a chave pública sai do aparelho, nunca a biometria). O Payload não tem login password-less: a sessão é forjada com `db.findOne` cru + `checkLoginPermission` + `addSessionToUser` + `jwtSign` sob lock e transação, porque carregar o usuário pelo caminho normal apagaria `sessions` e derrubaria as outras sessões — int spec pinando o fato. Duas armadilhas fora do plano: o RP resolvia com sucesso num preview da Vercel e o browser estourava `SecurityError` (agora o host do request tem de bater com o host derivado, senão o botão não aparece), e o challenge do cookie tem de ser o mesmo que o `@simplewebauthn/server` gerou (a primeira versão gerava o seu e todo `register` dava 400); `campaignUser` ganhou `beforeDelete` em cascata porque a FK do Payload é `ON DELETE SET NULL` sobre coluna `NOT NULL`. `@simplewebauthn/browser` entra por `import()` dinâmico dentro do handler (a metade sempre carregada — probe + tipo de erro — vive em `campaignWebAuthnSupport.ts`), então `/campanha/login` fica em **126 kB** e `/campanha`, onde o toast monta em toda navegação, segue nos 268 kB de antes do item · [plano](plans/login-biometrico-campanha.md); **B37 ✓** chips editáveis de municípios na lista de dobradinhas — a coluna "Municípios" de `/campanha/dobradinhas` troca o número morto (`row.municipalityCount`) pela mesma peça do **B34 ✓** (`shared/MunicipalityPortfolioCell`, sem cópia, sem provider novo), escrevendo do lado invertido (`municipality.stateDeputies`) por uma única action de lote (`setStateDeputyMunicipalitiesBatch`, transacional, lock por município, **tudo-ou-nada** — sem "aplica o que pode"), sem piso mínimo e sem `assertMunicipalitiesWithinScope` (`canUpdateMunicipality` já escopa o assessor); o cap de `stateDeputiesArraySchema` subiu de 20 para 435 para caber um lote de território inteiro do lado do município. **O critique pós-implementação achou dois P1 e a resposta foi generalizar na hora, não adiar:** `MunicipalityPortfolioCell` e `LeadershipStateDeputyRelationCell` (B31 ✓/B36 ✓) tinham a mesma máquina de interação (delta otimista, undo, combobox ARIA, piso/teto, split pointer-fine/coarse) implementada duas vezes com contratos incompatíveis — em vez de esperar um "3º call site" hipotético, este item **era** o 3º call site, então `src/components/campaign/shared/RelationChipCell.tsx` nasceu como o motor único e as duas células viraram wrappers finos (chips/busca/`FormData`/copy por domínio); isso fecha adiantado o gatilho `useChipRowOverflow` que o **B34+** havia registrado. O segundo P1 — um assessor via e tentava remover chips de município fora do escopo, falhando em silêncio no nível do documento — fechou escondendo o chip em vez de só explicar: `MunicipalityPortfolioCell` agora filtra por `addableIds` os municípios que renderiza, não só os que oferece para adicionar. `LeadershipStateDeputyRelationCell` ganhou `ownerName` e sua primeira suíte de testes própria (zero cobertura antes); gate completo (tsc/lint/format/cycles limpos, int 452/452, Aikido 0 findings). **O `/simplify` do fechamento achou um bug latente, não uma dedução:** o helper de delta que este item criou era a **terceira** cópia byte-a-byte do mesmo cálculo de um id, e o pareamento importa porque duas das mensagens de teto eram literais crus repetidos em três lugares de `src` cada — `mapCampaignFormActionError` casa a mensagem lançada contra `safeMessages` por **string exata**, então reescrever uma delas colapsaria silenciosamente uma recusa real em "tente novamente"; o algoritmo virou `nextIdsAfterMembership` (os três nomes de domínio são wrappers de uma linha), as mensagens viraram constantes ao lado dos seus caps, e os três specs clonados viraram um `describe.each` com **mais** cobertura que antes (unit 651 → 715). Também: `scopedPortfolioIndex` fecha o **F9** do B34+ (o `.filter()` do escopo do assessor devolvia um array novo por linha, derrotando o WeakMap que existe para compartilhar derivações entre linhas) e a busca da célula de dobradinhas parou de renormalizar o catálogo a cada tecla; `maxItems` "por paridade" foi **rejeitado** (dobradinha não tem teto de produto, e um "30 generoso" recusaria uma dobradinha estadual legítima); os dois débitos que sobraram — o laço município-a-município das duas actions de lote e a gemelaridade delas (2 call sites) — foram **absorvidos no B34+ como F10**, sem abrir ID novo · [plano](plans/chips-municipios-lista-dobradinhas.md); **B17+** novo fill-in de engenharia registrado no fechamento do B17 — esconder uma coluna não desliga a query que existe só para ela, e o botão "Colunas" some com a tabela no estado vazio de três rotas; **B17 ✓** seletor de colunas — entregue como capacidade do `CampaignTable`, nas **sete** superfícies do sistema de listas em vez de só em municípios; persistência em **cookie** (`campaign_columns`) com filtragem no servidor, porque `CampaignTableColumn.cell` é função e o array de colunas não atravessa a fronteira server/client — a coluna oculta some também do payload RSC; `label: string` virou obrigatório e o seam `defaultVisible` **morreu** (era `true` em 10 colunas e `false` em nenhuma: guardar só o conjunto de ocultas é o que faz coluna nova nascer visível, contrato que E9 ✓/E14 ✓ assumiram); uma coluna `mandatory` por superfície, refiltrada no servidor; o bug real pego na revisão foi o payload de um toggle chegando dentro da janela de debounce do seguinte e commitando o conjunto sem ele; a **segunda rodada** de revisão mudou a cadência por medição (**fechar o menu é o commit**, timer de 3 s como rede que grava **só o cookie, sem refresh** — os 400 ms agrupavam rajada, não ritmo de leitura, e qualquer timer que repintasse recriaria o mesmo custo mais devagar, re-pagando os ~229 ms / 371 statements de `/campanha/liderancas`, P1 no `TECH-DEBT`; sessão que termina onde começou não repinta, e desmontar com o menu aberto grava pelo cleanup) e apagou duplicação com dono: `contentKey` virou o 4º chamador de `sameIdSet` (generalizado p/ `string | number`), e os `label` de municípios/dobradinhas passaram a citar os módulos de rótulo que o header já usa, o que fez o `id` das colunas de municípios ser **tipado** contra `MunicipalityListColumnId` (id, descrição do B22 ✓ e rótulo do picker viraram a mesma chave; membro `nivel` → `level`, alinhado ao id e ao `?level=`) · [plano](plans/seletor-colunas-lista-municipios.md)); **B32+ ✓** escala e DRY pós-B32 — a máquina de auto-save dos controles de célula virou `useCampaignCellAutosave` (um valor só: a auditoria mostrou que `display`/`draft` eram o mesmo valor com dois nomes) e as cinco rotas JSON de `/campanha` passaram a nascer de `campaignJsonMutationRoute`, com guard de convenção — a verificação de mesma origem deixou de depender de disciplina de cópia; a região `aria-live` saiu de dentro do overlay (fechar é o que dispara a gravação, então ela desmontava junto) e o `variant="sheet"` da casca ganhou slot `footer`, o que fez o controle de Sinal (B26 ✓) largar o Popover/Drawer próprios · [plano](plans/escala-dry-pos-b32.md); 2026-07-27 (**E14 ✓** níveis de envolvimento N0–N4 — `municipality.engagementLevel` staff-only (sem default: nulo é "sem nível", e filtrar por ele é a fila de triagem), motivo e sinais de reversão obrigatórios, e o **primeiro escritor de produção do `allocationDecision`** (C12 ✓), gravado na mesma transação sob lock porque o "nível anterior" do snapshot precisa ser verdade; enum de `outcome` estendido com `movimento`; histerese do §6.8 (salto duplo só com choque triangulado, 3 semanas de proteção, um movimento por mês) num módulo puro que roda no cliente **e** no servidor, com a rota respondendo `blocked` (409) com as violações tipadas e o override registrado com as regras que contrariou; submit explícito em vez de auto-save (exceção prevista pela regra, e o controle não vira o 4º call site do B32+); coluna + filtro nativo (`?level=`) e sort em memória na lista (o Postgres põe NULL primeiro no DESC, e sem backfill isso entregaria "N4 primeiro" cheio de "Sem nível") + verbete no E18 · [plano](plans/niveis-de-envolvimento.md); a triage do fechamento **não abriu ID novo** — os três débitos caíram no **B32+**: o 5º controle/rota JSON tirou **F2/F3** da condicionalidade (a política de mesma origem que `isSameOriginRequest` diz possuir está copiada em cinco rotas, e a que esquecer a linha falha **aberta**) e o slot `footer` que o **B42 ✓** havia adiado virou **F5**, porque na folha "Fechar" está pinado e "Registrar movimento" fica abaixo da dobra; ~~**fill-in** dimir o resultado no compositor de giro~~ ✓ (entregue 2026-07-28) · [plano](plans/feedback-pendente-compositor-giro.md); **E13 ✓** planejador de presença/giros — elegibilidade de visita em **5 condições ✓/—** (volume, headroom, rede, janela, encaixe) no detalhe do município, fase do calendário (`construcao|consolidacao|ativacao`, âncoras ilustrativas em `src/lib/visitPlannerAnchors.ts`) e compositor em `/campanha/atividades/giros` gerando `activity` em rascunho com `deputyPresent` numa transação; **duas premissas do plano caíram na auditoria** — `kind: 'visita'` nunca entrou na migration do C12 (e não entra: `deputyPresent` já É o marcador de presença) e `allocationDecision` não tem write path em `src/` (o "não vá" é aviso textual; gravar o override vira gatilho do **E11**); "encaixe em giro" = **mesmo TI**, porque não existe grafo de contiguidade em runtime; o teto-do-campo-não-capturado e as medianas do catálogo saíram do classificador do E10 para `municipalityPotential.ts` para que card e coluna "Classe" não pudessem divergir; a action relê os ids das paradas com `overrideAccess: false` **dentro** da transação (o `create` de `activity` é booleano de staff — sem isso um assessor semeava o estado inteiro), buraco achado por int test; sem migration, sem collection, sem `Consent`, sem entidade `tour` · [plano](plans/planejador-de-giros.md); **B42 ✓** polimento mobile da lista de municípios — Drawer em Tendência/Assessores/Votos estimados pela casca `CampaignCellEditOverlay`, card compacto e clicável por link esticado; a triage do fechamento não abriu ID novo: **F4** entrou no **B32+** (região `aria-live` que desmonta com o overlay) e o débito de bundle do catálogo no **B33+** deixou de ser condicional (gatilho disparado por B41 ✓ e B42 ✓) · [plano](plans/polimento-mobile-lista-municipios.md); **B34+** fill-in de engenharia pós-B34 registrado — a entrega custou **+58 kB** de First Load JS em `/campanha/liderancas` e **+42 kB** em `/campanha/assessores` (medido contra `main` limpo; a maior parte é a célula, não o catálogo), o gatilho de extração do `useChipRowOverflow` **disparou** (~105 linhas idênticas entre as duas células de chips da mesma tabela) e os três módulos de delta de membership colapsam num só; o passe localizado que fechou o B34 já derrubou o custo de CPU medido (chips 4,2 → 0,043 ms quente; busca 4,59 → 0,077 ms por tecla), e a **segunda rodada** somou três fases que mudaram o maior lever — `revalidatePath` por toggle (374 statements / 229 ms por clique), índice de municípios sem cache no degrau 2 da escada, e o `filter` por linha que derrota o próprio WeakMap — mais o N+1 de access pré-existente promovido a **P1** no `TECH-DEBT` (367 dos 371 statements da rota), que é quem precisa cair primeiro · [plano](plans/escala-dry-pos-b34.md); **B34 ✓** chips editáveis de municípios na lista de lideranças — célula sempre editável em `pointer-fine` + Drawer em `pointer-coarse`, `AdvisorMunicipalityCell` promovido a `shared/MunicipalityPortfolioCell` com Assessores migrado no mesmo PR, action única de lote (a de um id só, inclusive a de assessor, foi deletada), anti-goal de input sempre montado **emendado** para relações por chips; corrigiu de passagem o seam `description` de `CampaignTableHead` (B22 ✓), que quebrava qualquer chamador RSC · [plano](plans/chips-municipios-lista-liderancas.md); **B41 ✓** scroll horizontal + sticky Município · [plano](plans/scroll-horizontal-lista-municipios.md); **B32+** novo fill-in de engenharia registrado no fechamento do B32 — `MunicipalityListExpectedVotesControl`/`MunicipalityListTrendControl`/`LeadershipListSupportStatusControl` são o 3º call site da mesma máquina de auto-save por debounce (estado/refs/save/schedule/flush quase idênticos), gatilho que os três planos B24/B27/B32 já haviam registrado; auditoria primeiro, extração condicional (precedente B33+) — [plano](plans/escala-dry-pos-b32.md); **B32 ✓** editar Status de apoio na célula da lista de lideranças — `LeadershipListSupportStatusControl` (Popover + `NativeSelect`, sempre montado, sem toggle "Editar" de tabela inteira) grava por `POST /campanha/liderancas/support-status` (auto-save ~150 ms, sem `revalidatePath`), reusando `isSameOriginRequest`/`campaignJsonMutationRoute.ts` já extraídos pelo B24 ✓/B27 ✓; fecha o "Adiado com gatilho" do B29 — [plano](plans/autosave-status-lista-liderancas.md); **B33+ ✓** `useCampaignListFilterNavigation` — o scaffold de navegação/debounce sai dos três filtros de lista para um hook em `shared/` (281 linhas removidas contra 75 em `src`); a auditoria derrubou a premissa do plano de que os três domínios teriam assinaturas de canonicalização diferentes — `buildStateDeputyListHref`/`buildTerritoryListHref`/`buildMunicipalityListHref` **já canonicalizam internamente**, então o `parse(...)` explícito de dobradinhas/territórios era trabalho redundante e um único callback `toHref` cobre os três; a entrega achou **dois** bugs de comportamento, não de estrutura: tocar um filtro no meio da digitação **descartava** a busca pendente em dobradinhas e territórios (unificado na semântica de munícipios por `navigateWithSearch`), e o `setTimeout` do debounce capturava o `state` do render que o agendou, então um sort clicado dentro da janela de 1s era **revertido** um segundo depois — munícipios escapava por acidente, pelo `key=` da página que remonta e mata o timer (corrigido com `stateRef`, com caso de spec verificado vermelho nas três listas sem o fix); o `/simplify` ainda achou o fallback `useCampaignListPending() ?? useTransition()` copiado em 5 lugares, com o hook novo como 6º → `useCampaignListTransition`, e um `aria-live` que fazia o resumo de filtros de munícipios ser a **terceira** região viva da mesma página; `shouldUpdateMunicipalitySearchUrl` orfanou e foi deletado; `tests/unit/campaignListFilterNavigation.unit.spec.ts` (jsdom + router mockado + fake timers, 8 casos × 3 listas) é a primeira cobertura desses componentes — [plano](plans/escala-dry-pos-b33.md); **C8 F4b ✓** guard de `formActions` ampliado para irmãos `*FormActions.ts` + `taskActions.ts`; 6 ladders migradas; `taskActions.ts` allowlisted · [plano](plans/escala-dry-pos-c6.md); **Build resiliente ao global `metadata` ausente ✓** — `resolveSiteMetadata` em `src/utilities/seo.ts`; fallback `NEXT_PUBLIC_SITE_URL` e omit canonical/OG quando não há URL; 4 rotas + layout; [plano](plans/build-resiliente-metadata-ausente.md); **B8+ ✓** escala e DRY pós-B8 F2 — a política de escala de chão das malhas commitadas virou código nomeado (`scripts/lib/topology.mjs`, tolerância de Visvalingam em m² e dígitos de quantização derivados do bbox de cada topologia), e com ela a malha das ZE caiu de 480 para **30,2 pontos/feature** (72.310 → 7.687 bytes) sem que `bahia-municipalities` mudasse um byte; a auditoria corrigiu a alavanca do plano (quantização sozinha quase não corta — o peso absoluto manda) e **rejeitou** um item do F4 por medição (`city`/`zoneNumber` de `MunicipalityZoneNeighborhoodEntry` são evidência de proveniência hasheada, não código morto); `MAX_POINTS_PER_FEATURE = 60` é o novo tripwire, `featureMapKey` passou a ser exercido sobre features reais das três malhas (417 `codarea`, 27 `code`, 19 `slug`), o mapa **degrada** em vez de morrer quando o chunk das zonas falha, e a ressalva de aproximação saiu do gate de comparação · [plano](plans/escala-dry-pos-b8f2.md); **`users.roles` ✓** — `admin`\|`editor` em `users`, migration `20260727_032523_add_users_roles`, editor publica `post`/`tag`/`media`; unificação com `campaignUser` rejeitada · [plano](plans/roles-admin-payload.md); 2026-07-26 (**fill-in** ~~remover lista "Municípios por zona eleitoral" do Início~~ ✓ entregue 2026-07-28 — pós-B8 F2 ✓ os polígonos tornaram a lista textual redundante; UI + `zoneBreakdown` removidos; ressalva via `hasZoneMunicipalities` · [plano](plans/remover-lista-zonas-mapa-inicio.md); **B8 F2 ✓** polígonos das 19 ZE de Salvador — artefato `bahia-municipality-zones.topo.json` (72 KB) por dissolve bairro→zona do `BA_bairros_CD2022` do IBGE contra a RA 02/2017 do TRE-BA, com curadoria explícita e um passe de maior fronteira compartilhada validado; o coroplético passou a ser keyed por **map key** (`slug` na zona, `ibgeCode` no resto) e o polígono municipal de Salvador ficou como base sem interação por baixo, porque duas malhas simplificadas independentemente não fecham na mesma costa; `competitiveRank` segue por cidade (o artefato TSE só tem `federalRankByIbgeCode`) com int pinando o fato; desambiguar a ZE no card "Onde estou" do B14 ✓ virou débito com gatilho, não dependência — [plano](plans/poligonos-pracas-zona.md); **B8+** novo fill-in de engenharia com os quatro débitos do `/simplify` do B8 F2, cujos relatórios chegaram depois do merge — a malha de 19 zonas ficou com a mesma contagem de vértices da malha dos 417 municípios (as duas constantes de simplificação são relativas ao bbox e foram copiadas verbatim, o que vale ~3,9 m de grade em Salvador contra ~103 m no estado), a regra da map key está em três formas sem nenhum teste ligando artefato → `featureMapKey` → catálogo, uma falha de chunk nas zonas passou a derrubar o mapa inteiro, a ressalva de aproximação desaparece no modo comparação, e `getTerritoryFeature` perdeu o último consumidor de produção neste commit · [plano](plans/escala-dry-pos-b8f2.md); **B39–B42** registrados: sessão "Lembrar de mim" + login biométrico WebAuthn + scroll horizontal/sticky na lista de municípios + polimento mobile da mesma lista — [B39](plans/lembrar-de-mim-sessao-campanha.md), [B40](plans/login-biometrico-campanha.md), [B41](plans/scroll-horizontal-lista-municipios.md), [B42](plans/polimento-mobile-lista-municipios.md); **E12 ✓** camada TI — rollups MAUP, colunas Cobertura/Captura/Classe em `/campanha/territorios`, benchmark intra-TI no `MunicipalityGoalAccountCard`; [plano](plans/camada-territorios-identidade.md); **B36 ✓** coluna "Lideranças" em `/campanha/dobradinhas` — chips + Popover+Command + delta reuse da mutação B31; `LeadershipStateDeputyRelationCell` compartilhada (`direction`/`measureOverflow`); columns factory (não Context); casca `dobradinhas/formActions.ts`; `loadLeadershipOptions` + `leaderships[]` no row; [plano](plans/chips-liderancas-lista-dobradinhas.md); **B30 ✓** convite de completar cadastro por WhatsApp na lista de lideranças — `LeadershipInviteRowAction` (`UserPlusIcon`) na coluna `actions` ao lado do contato do B28 ✓; Popover two-step reusa `createCampaignInvite`/`autopreenchimento`; disable por `normalizeBrazilianPhone`; [plano](plans/convite-whatsapp-lista-liderancas.md); **B31 ✓** coluna de dobradinhas na lista de lideranças entregue — chips clicáveis → `/campanha/dobradinhas/<slug>` em `/campanha/liderancas`, edição por Popover+`Command` (mecânica do **B27 ✓**) com escrita por **server action direta do cliente** (`useTransition`, padrão do B19 ✓) em vez do endpoint JSON do B27, porque aqui há derivados a revalidar (`leadershipCount`, a ficha do deputado); `setLeadershipStateDeputyMembership(Record)` em transação + lock `leadership-state-deputies:{id}` + `revalidatePath`; helper puro `nextStateDeputyIdsAfterMembership` espelha `nextAdvisorIdsAfterMembership`; catálogo entregue uma vez por tabela via `leadershipColumns(stateDeputyOptions)` (columns factory, mesmo precedente de `municipalityListColumns`) em vez de Context; é o **2º call site** do padrão Popover+Command+chips — extração para `shared/` continua esperando o 3º (B34/B36/B37, que agora consomem a mutação/lock em vez de correr para desenhá-los); [plano](plans/dobradinhas-lista-liderancas.md); **fill-in ✓** limitar pan/zoom do mapa à Bahia — `BahiaMap` com `maxBounds`/`maxBoundsViscosity: 1` sobre `BAHIA_BOUNDS.pad(0.1)` e `minZoom` via `getBoundsZoom` com o mesmo padding 16px do `fitBounds`, recalculado no `ResizeObserver` existente; único arquivo; [plano](plans/limitar-mapa-a-bahia.md); (**B14 ✓** município mais próximo entregue — card cliente "Onde estou" no Início staff resolvendo **point-in-polygon** sobre o chunk de geometria que o mapa do dashboard já carrega (a premissa "polígonos explodem o bundle" do plano de 24/07 caiu na medição: 41 KB gzip já estão no browser, então o artefato de centroides e seu script saíram de escopo), com fallback nomeando onde o assessor está e o município mais próximo **da carteira** dentro de 150 km; a posição nunca sai do aparelho (sem action, sem `Consent`); First Load JS de `/campanha` 265 → 268 kB depois de mover o href das zonas de Salvador para o servidor (`zoneCityHrefs`) — importar `buildMunicipalityListHref` no cliente custava **21 kB** por um link, porque arrasta `bahiaTerritories` + `municipalityCatalog`; [plano](plans/municipio-mais-proximo.md); ~~**B38**~~ ✓ sidebar recolhido em tablet entregue — offcanvas + trigger md+ + cookie/matchMedia; [plano](plans/sidebar-recolhido-tablet.md); **B33+** novo fill-in de engenharia registrado no fechamento do B33 — `StateDeputyFilters` é o 3º call site do scaffold de navegação/debounce que `TerritoryFilters`/`MunicipalityFilters` já tinham, achado do `/simplify` rodada 2, [plano](plans/escala-dry-pos-b33.md); **B28 ✓** e-mail + celular na lista de lideranças entregue — colunas E-mail/Celular com copy-on-click + coluna de Ações com WhatsApp, no padrão de `/campanha/assessores` (B19 ✓); `shared/CampaignCopyableCell` nasce compartilhado já no 2º call site (`AdvisorsTable` migrado no mesmo PR), `whatsAppHrefForPhone` promovido a `lib/phone.ts`, `loadLeadershipDetail` deduplicado; [plano](plans/email-celular-lista-liderancas.md); **B24 ✓** auto-save + justificativa no popover de Tendência de `/campanha/municipios` — sem botão "Salvar", `POST /campanha/municipios/political-trend`, [plano](plans/autosave-tendencia-lista-municipios.md); **B13 ✓** escala relativa no mapa do Início entregue — quantis como novo default, padrão próprio/LQ nas âncoras do E10 e posição no município a partir do **artefato TSE v3** (`federalRankByIbgeCode`), mais bolhas opcionais por válidos projetados coloridas pela classe; `computeAggregateTerritorialClass` nasce aqui e o **E12** deve herdá-lo em vez de escrever um rollup próprio; `TERRITORIAL_CLASS_ANCHORS` mudou de casa para `src/lib/territorialClassAnchors.ts`; [plano](plans/escala-relativa-mapa.md); **B13+** novo fill-in de engenharia com os quatro débitos do `/simplify` do B13 — teste de concordância entre as duas escritas do LQ (mapa cliente × classificador server-only, a rede de segurança do **E15**), escopo geográfico declarado no readout (posição é da cidade inteira, classe é do escopo do usuário), uma varredura da fatia TSE por ano no script de agregados em vez de três, e a tupla no `competitiveRankByYear` que corta ~metade dos ~63,6 KB somados ao payload RSC · [plano](plans/escala-dry-pos-b13.md); **débito de teste** afinado no ledger ([TECH-DEBT.md](TECH-DEBT.md), P3 → P2): `campaignMunicipalities`/`campaign-pwa` são flaky com 2 workers **em `main`** também — clique no checkbox de consentimento antes da hidratação e regex de fixture em que "Conde" casa com "Condeúba"; **B27 ✓** combobox + chips + auto-save no popover de Assessores de `/campanha/municipios` entregue — a checkbox list + botão "Salvar assessores" virou chips removíveis + `Command` com gravação por delta, `nextAdvisorIdsAfterMembership` movido para `src/lib/`, endpoint `POST /campanha/municipios/advisors` espelho do `expected-votes/`, [plano](plans/combobox-assessores-lista-municipios.md); **B23 ✓** tooltip de conteúdo nas células das listas entregue — a mecânica genérica (`cellTooltip`, `CampaignCellTooltip`, `CampaignHoverTooltip` em `shared/`) já tinha saído de graça no E10 ✓; este item fechou `openOnTouch`/`disabled` no primitivo (mais um terceiro comportamento do `/simplify`: `content` falsy renderiza o trigger sem wrapper) e os dois consumidores de `/campanha/municipios` (nomes de assessores + justificativa da tendência), [plano](plans/tooltip-celulas-listas.md); **B22 ✓** explicação por coluna no header das listas entregue — `description?: ReactNode` em `CampaignTableHead`/`MunicipalitySortableHead` (rename de `tooltip`, sublinhado pontilhado), `campaignConceptOneLiner` como fonte única para colunas cobertas pelo E18 ✓, `municipalityColumnDescriptions` cobrindo as 11 colunas de `/campanha/municipios`; sem migration/action, [plano](plans/explicacao-colunas-header-listas.md); 2026-07-25: **E10 ✓** classificação territorial relativa entregue — Reduto/Expansão/Manutenção/Marginal/Sem base sobre o artefato TSE, coluna+sort+filtro na lista, badge no card do E8 e na capa do dossiê, e o seam genérico `cellTooltip` da `CampaignTable` (núcleo do B23) com `CampaignHoverTooltip` promovido para `shared/`; **B13** liberado; **E10+** novo fill-in de engenharia com os quatro débitos do `/simplify` do E10 — a lista lendo `municipality` duas vezes por request (o que **dispara o "Adiado com gatilho" do A11**: `classe` é o 4º path derivado no loader), memo de processo dos potenciais por município, `TooltipProvider` único no layout e os multi-filtros do mobile saindo das definitions · [plano](plans/escala-dry-pos-e10.md); ~~**C8 F4b**~~ ✓ (entregue 2026-07-27); **B26 ✓** registrar sinal na célula "Último sinal" — [plano](plans/registrar-sinal-lista-municipios.md); **C13 ✓** "Plano de Ação" → **"Atividade"** renomeado em toda a vertical — collection `activity`, rota `/campanha/atividades`, sidebar "Atividades", migration data-preserving escrita à mão (4 tabelas, 3 enums, 2 colunas, 39 índices, 14 FKs, 2 sequences + os 8 índices fósseis `%plaza%` da remodelagem) e guard de vocabulário table-driven varrendo `src`+`tests`+`scripts`; [plano](plans/renomear-plano-acao-para-atividade.md); **B36** coluna "Lideranças" em `/campanha/dobradinhas` com a mesma UI/mecânica da coluna "Municípios" de `/campanha/assessores` (B19 ✓) — chips + Popover + `Command` + auto-save por delta + "Ver mais…" (clamp de 3 linhas por `ResizeObserver`, necessário aqui porque um deputado popular pode acumular muito mais lideranças do que uma liderança acumula dobradinhas); pedido explícito de não duplicar lógica — reusa **sem alteração** a mutação/schema/lock que o **B31** desenha para o lado inverso da mesma relação `leadership.stateDeputies`, promovendo a célula desse item para um componente compartilhado bidirecional (`LeadershipStateDeputyRelationCell`) em vez de um segundo componente-irmão; corrida de extração com o B31 (quem entrar primeiro paga a peça compartilhada); sem migration, [plano](plans/chips-liderancas-lista-dobradinhas.md); **B34** chips editáveis de municípios na lista de lideranças — coluna "Municípios" de `/campanha/liderancas` ganha chips com link (município) / território (`MapPinIcon`), edição por **Popover disparado por célula** com chips removíveis + combobox `Command` (busca por município/TI/ZE, lote de território/zona), gravação **por delta** direto em `leadership.municipalities` com lock `leadership-municipalities:{id}` (piso de 1 e teto de 30 respeitados) e `revalidatePath` (`liderancas`, `liderancas/[id]`, `municipios/[slug]` dos tocados); promove a lógica pura de `advisorMunicipalityPortfolio.ts`/`loadAdvisorMunicipalityIndex` (**B19 ✓**) para nomes neutros, sem portar a UI com `ResizeObserver`; **conflito registrado com o pedido literal** (pede um toggle "Editar" de tabela inteira, que B28/B31/B32 já travaram como anti-goal nesta mesma tabela — este plano segue o precedente e marca a decisão como _proposta, a validar com produto_); sem migration, [plano](plans/chips-municipios-lista-liderancas.md); ~~**B33**~~ ✓ ordenação e filtro no header da lista de dobradinhas (entregue 2026-07-26) — `?sort=`/`?dir=` por Nome/Partido + Popover multi-seleção de Partido com "Sem partido", consumindo o chrome compartilhado do **B21 ✓** (a corrida de ordem de chegada com B29 foi encerrada); paridade mobile (`StateDeputyFilters`) entrou por decisão desta sessão; ordem dos nulos de `party` pinada por int test; contagens derivadas (`municipalityCount`/`leadershipCount`) seguem sem sort/filtro, como travado, [plano](plans/ordenacao-filtros-lista-dobradinhas.md); **B32** editar Status de apoio na célula da lista de lideranças — clicar na célula abre um Popover com select de `supportStatus`, gravando sozinho por endpoint JSON dedicado (`POST /campanha/liderancas/support-status`, espelho do `expected-votes/`), **sem** o toggle "Editar" de tabela inteira (pedido explícito de produto, mesmo anti-goal do B28/B31); fecha o "Adiado com gatilho" que o próprio B29 já havia registrado para este caso; extrai `isSameOriginRequest` (2º endpoint) e as mensagens seguras do form action da ficha para módulos compartilhados; sem migration, [plano](plans/autosave-status-lista-liderancas.md); **B31** coluna de dobradinhas na lista de lideranças — chips com link + adicionar/remover na própria linha, com busca e gravação automática, na paridade pedida com a coluna "Municípios" de `/campanha/assessores` (B19 ✓) — paridade **da coluna**, não do modo "Editar" de tabela inteira (anti-goal do princípio 3 e do B28); escrita **por delta** com lock (`leadership-state-deputies:{id}`) em vez de replace do array, e `revalidatePath` porque `/campanha/dobradinhas` tem contagens derivadas; sem migration, [plano](plans/dobradinhas-lista-liderancas.md); **B30 ✓** convite de completar cadastro por WhatsApp na lista de lideranças — `LeadershipInviteRowAction` na coluna `actions` (entregue 2026-07-26), [plano](plans/convite-whatsapp-lista-liderancas.md); **B29** ordenação e filtro no header da lista de lideranças — leva B15 ✓/B16 ✓ para `/campanha/liderancas` (sort/filtro na URL, popover no header, colunas "Setor" e "Última atualização"), ordenação por nome via join `contact.name` (sem desnormalizar), e é o **3º call site** que dispara a extração do par head/filtro para `shared/` (municípios migrado junto; B21 fecha seu adiado), [plano](plans/ordenacao-filtros-lista-liderancas.md); ~~**B28**~~ ✓ e-mail + celular na lista de `/campanha/liderancas` (entregue 2026-07-26) — colunas E-mail/Celular com copy-on-click + coluna de Ações com WhatsApp como em `/campanha/assessores` (B19 ✓); `CampaignCopyableCell` nasce compartilhado já no 2º call site (`AdvisorsTable` migrado no mesmo PR), `whatsAppHrefForPhone` promovido a `lib/phone.ts`; edição in-list adiada; sem migration, [plano](plans/email-celular-lista-liderancas.md); ~~**B27**~~ ✓ combobox + chips + auto-save no popover de Assessores de `/campanha/municipios` (entregue 2026-07-26), [plano](plans/combobox-assessores-lista-municipios.md); ~~**B26**~~ ✓ registrar sinal na célula "Último sinal" (entregue 2026-07-25), [plano](plans/registrar-sinal-lista-municipios.md); **fill-in** renomear coluna "Cobertura da meta" → "Cobertura" em `/campanha/municipios` — header curto (padrão A11); glossário/KPI strips intactos; B16 ✓ liberou o nome ao remover "Assessoria", [plano](plans/renomear-coluna-cobertura-meta.md); ~~**B25**~~ ✓ link do território na lista de municípios (entregue 2026-07-26) — coluna "Território" + card mobile → `/campanha/territorios#ti-<slug>`; `territoryAnchor.ts` + `TerritoryLink`; seam `rowId` em `CampaignTable`; [plano](plans/link-territorio-lista-municipios.md); ~~**B24**~~ ✓ auto-save + justificativa editável no popover de Tendência de `/campanha/municipios` (entregue 2026-07-26), [plano](plans/autosave-tendencia-lista-municipios.md); **fill-in** remover coluna "Tipo" de `/campanha/municipios` — município e ZE tratados iguais na coordenação; filtro por Salvador cobre as zonas; drop também do filtro/sort/`?kind=` na URL da lista, schema `kind` intacto, [plano](plans/remover-coluna-tipo-municipios.md); ~~**B23**~~ ✓ tooltip de conteúdo nas células das listas (entregue 2026-07-26), [plano](plans/tooltip-celulas-listas.md); **fill-in** opções selecionadas no topo nos Popovers de filtro do header — helper puro reutilizável pelas demais listas, [plano](plans/selecionados-no-topo-filtros-header.md); ~~**B22**~~ ✓ explicação por coluna no header das listas (entregue 2026-07-26), [plano](plans/explicacao-colunas-header-listas.md); **B21** página própria dos Territórios de Identidade — rota `/campanha/territorios` com overview + tabela no sistema de listas (sort/filtro no header), sem migration, [plano](plans/pagina-territorios-identidade.md); **B20 ✓** Municípios prioritários no Início entregue 2026-07-25 — atalho ranqueado por déficit + markup sem bullets, [plano](plans/municipios-prioritarios-inicio.md); **Pass 2 ✓** consolidação de engenharia — listas genéricas/B16+ absorvido/B17-B18 triviais/E10 limpo/C8 F4 ✓/D3 consent WhatsApp; **B16 ✓**; **E16 ✓**; **E9 ✓**; **E18 ✓**; **B19 ✓**; **E8 ✓**; C12 ✓; B18; B17; A11 ✓; B15 ✓; E4R ✓; E17 ✓; B14 ✓; janela 1: smoke, R6)Registro canônico dos **próximos** planos e débitos. Histórico de entregas: resumo abaixo + planos em [`docs/plans/`](plans/) + notebook [`.cursor/rules/projects/nucleos-eleitorais.mdc`](../.cursor/rules/projects/nucleos-eleitorais.mdc).>>>>>>> 4ad2e6f (B18: saved municipality list filters in localStorage and sidebar submenu.)
 
 ## Âncoras do calendário eleitoral 2026 (Res. TSE 23.760/2026)
 
@@ -122,7 +122,7 @@ O discovery literatura→persona→entrevista ([relatório aprovado](research/re
 - **B34+** escala e DRY pós-B34 — fill-in de engenharia com os débitos que sobreviveram ao `/simplify` do **B34 ✓**, cujos relatórios de perf e reuso chegaram depois do fechamento. O achado que manda é **medido, não estimado**: a entrega custou **+58 kB** de First Load JS em `/campanha/liderancas` (246 → 304 kB) e **+42 kB** em `/campanha/assessores` (253 → 295 kB), e a decomposição importa — assessores **já** importava o catálogo estático da Bahia, então os +42 kB de lá são a **célula em si** (Drawer, links, contrato de combobox, máquina de medição) e só os ~16 kB restantes em lideranças são o catálogo chegando a uma rota que não o tinha; é o mesmo custo que o **B14 ✓** já havia nomeado. As duas saídas se **opõem** (tirar o catálogo do browser engorda o payload de todo toggle; encolher o payload para `{id,slug}` mantém o bundle), e o plano recomenda a segunda por ser staff que edita muito e navega pouco — com a ressalva registrada de que isso troca o `region` do banco pelo do catálogo, que é snapshot-testado. Também entram: ~~`useChipRowOverflow`~~ (o gatilho de extração que o próprio B34 nomeou **disparou e já foi fechado** — o **B37 ✓** não extraiu só a medição de overflow, generalizou a célula inteira em `shared/RelationChipCell.tsx`, então `MunicipalityPortfolioCell` e `LeadershipStateDeputyRelationCell` não têm mais 105 linhas duplicadas, têm zero), ~~um só delta de membership para os três módulos de um id~~ (**fechado no `/simplify` do B37 ✓**: `nextIdsAfterMembership` com o cap como dado, três wrappers de uma linha, três specs clonados → um `describe.each`; a forma "conjunto com piso e teto" ficou **de fora de propósito** — a recomendação invertida da segunda leitura se confirmou depois de ver o código colapsado, porque um genérico cobrindo as duas formas pediria quatro callbacks para poupar ~20 linhas, e o helper novo tem 12 sem parâmetro opcional) — resta o `withLeadershipRelationDelta` local para as duas actions gêmeas e adjacentes, caminho só-ids no loader de lista de assessores, e o `Combobox` do base-ui — que ao contrário do cmdk **não** está descartado, porque `ui/combobox.tsx` já aceita `anchor` e tem hook `data-chips`. O passe localizado que fechou o B34 já derrubou o custo de CPU medido (chips 4,2 → 0,78 ms frio e **0,043 ms** quente; busca 4,59 → **0,077 ms** por tecla) e não volta ao plano. A **segunda rodada de revisão** somou três fases e mudou qual é o maior lever: cada toggle de chip dispara o `revalidatePath` da própria lista e o Next re-executa a página dentro da resposta da action — **374 statements e 229 ms por clique**, mais ~44 kB de payload (F7); o índice de municípios é dado de referência **sem cache** lido em duas rotas e de novo a cada re-render, e ~10 dos seus 12 ms são o transform por documento do Payload, não a query (F8 — degrau 2 da escada, `unstable_cache` + tag); e ~~o ramo do assessor entrega uma **chave nova ao WeakMap por linha**~~ ✓ (`municipalityIndex.filter` derrotava em 25 linhas a memoização que a própria entrega criou — **fechado no `/simplify` do B37 ✓** por `scopedPortfolioIndex`, memoizado por `(index, addableIds)` na lib e não numa segunda camada de cache dentro da célula; F9). A triage desse fechamento **absorveu uma fase nova em vez de abrir ID** (**F10**): as duas actions de lote do lado do município escrevem município a município (`findByID` + `update` cada, ~870 round trips no teto de 435 que o próprio B37 elevou, mas ~52 no maior TI real — Litoral Sul, 26 — e nenhum teste acima de lote 2), e são **gêmeas** em 2 call sites; gatilho comum: uma afordância de "selecionar tudo"/multi-TI, ou um terceiro lote desse lado — quem chegar mede antes de escolher entre SQL bulk (que devolveria à mão a checagem de escopo que o `overrideAccess: false` dá de graça) e um teto honesto abaixo do universo. Duas correções de registro vêm junto: o payload-mínimo recomendado acima poupa ~22 kB crus / 3,75 kB gzip mas **nenhum tempo de servidor** — a escolha é payload-contra-bundle, não ganho de servidor; e o custo real da página não é nada disto, é o N+1 de access **pré-existente** que o `TECH-DEBT` agora carrega em **P1** (367 dos 371 statements de `/campanha/liderancas` são a mesma leitura de `campaign_user`), então atacar F7/F8 antes dele é esforço mal alocado · ~1,5d · Janela 1–2 · soft: ~~**B37**~~ ✓ (pluga a mesma célula numa 3ª relação — entregue 2026-07-28 generalizando para `shared/RelationChipCell.tsx` em vez de só copiar a máquina; fecha o `useChipRowOverflow` acima) · cortável (exceto o P1 de N+1 de access, que já não é cortável) · [plano](plans/escala-dry-pos-b34.md)
 - ~~**B36** coluna de lideranças na lista de dobradinhas~~ — **entregue 2026-07-26** (coluna **Lideranças** em `/campanha/dobradinhas`: chips clicáveis → `/campanha/liderancas/<id>`, edição por Popover+`Command` com escrita por server action + `useTransition`, reusando **sem alteração** `setLeadershipStateDeputyMembership`/`leadershipStateDeputyMembershipSchema`/lock `leadership-state-deputies:{id}`/`nextStateDeputyIdsAfterMembership` do **B31 ✓**; `LeadershipStateDeputiesCell` promovido a `shared/LeadershipStateDeputyRelationCell` bidirecional (`direction` + `measureOverflow` — clamp 3 linhas + "Ver mais…" no lado do deputado; lado liderança passa `false`); columns factory `stateDeputyColumns(..., leadershipOptions)` — não Context; casca própria `dobradinhas/formActions.ts`; `loadLeadershipOptions`; `StateDeputyRowViewModel.leadershipCount` → `leaderships: {id,name}[]` na mesma query batch. Sem migration) · [plano](plans/chips-liderancas-lista-dobradinhas.md)
 - ~~**B17** seletor de colunas (mostrar/ocultar)~~ — **entregue 2026-07-28**, e **nas sete superfícies do sistema de listas**, não só em municípios: o picker nasceu como capacidade do `CampaignTable` (uma prop `columnVisibility` liga e filtra), então municípios, lideranças, dobradinhas, organizações, demandas, apoiadores e territórios ganharam a mesma barra "Colunas" no mesmo lugar, de graça. **Duas premissas do plano morreram na implementação.** A primeira é o `localStorage`: `CampaignTableColumn.cell` é uma **função**, o array de colunas não atravessa a fronteira server/client, e esconder no cliente exigiria `data-column` + `<style>` por lista — a persistência virou **cookie** (`campaign_columns`, path `/campanha`, um mapa `listId → ids ocultos` num formato compacto sem `JSON`/percent-encoding, porque `document.cookie` e o `cookies()` do Next discordam sobre decodificação), o servidor filtra e a coluna oculta **também some do payload RSC**; o custo é um `router.refresh()` dentro da transição compartilhada, que dima o resultado como todo filtro dessas telas. A segunda é o seam `defaultVisible`, que **morreu**: era `true` em 10 colunas e `false` em nenhuma, então o armazenamento é só o conjunto de ocultas — coluna nova nasce visível, que é o contrato que E9 ✓/E14 ✓ assumiram. Em troca, `label: string` virou **obrigatório** em `CampaignTableColumn` (o picker precisa de um rótulo serializável), preenchido nas ~55 definições de coluna — e como em 24 delas o `head` passou a só repetir o `label`, o `/simplify` tornou `head` **opcional**, com default `<CampaignTableHead>{label}</CampaignTableHead>`. Cada superfície declara uma coluna `mandatory`, que aparece no menu desabilitada com o motivo e é **refiltrada no servidor**, para um cookie velho não deixar ninguém sem a única célula linkada da linha. **O bug que a revisão pegou é o de sempre nesta base, em roupa nova:** o payload RSC do toggle A chega enquanto B ainda está na janela de debounce, e adotar o servidor ali desfazia B **e commitava o conjunto sem ele** — a reconciliação agora só roda com nada pendente, pinada num spec verificado vermelho contra o código anterior. **Nota de operação, não de código:** as duas falhas que pareciam "`router.refresh()` não funciona" eram a máquina em load 40 (outro worktree) — a suite passa a 1 e a 2 workers · [plano](plans/seletor-colunas-lista-municipios.md)
-- **B18** filtros salvos na lista de municípios — nomear o estado URL atual (`localStorage`); **Pass 2 W1 deixou trivial:** serialização canônica pronta e congelada em `municipalityListUrl.ts`; acesso rápido de 2º nível sob Municípios no sidebar (hover desktop / expand mobile; sticky só no filtro salvo ativo) · ~1–1,5d · Janela 1–2 · soft: B16/B17 (barra) · cortável · [plano](plans/filtros-salvos-municipios.md)
+- ~~**B18** filtros salvos na lista de municípios~~ — **entregue 2026-07-28**: um botão "Salvar filtro" ao lado de "Limpar" nomeia o recorte atual da URL, e o atalho vira **submenu de 2º nível sob Municípios** no sidebar, com chevron, estado persistido, item ativo e apagar com desfazer. **Cinco premissas do plano de 2026-07-24 morreram na auditoria**, e a primeira custou trabalho não previsto no appetite: `SidebarMenuSub*`/`SidebarMenuAction` **não existiam** (o Pass 2 W4b pôs knip `exports` em ERROR e o kit foi podado), então foram re-adicionados — e ao fazê-lo apareceu um bug latente do kit, `data-active={false}` que React renderiza como `data-active="false"` e o seletor `data-active:` do Tailwind casa, ou seja **todo item não-ativo estava estilizado como ativo**. As outras: `municipalityUi.ts` não existe mais (W1 o dividiu); o estado da URL cresceu para 14 params, absorvidos serializando o estado inteiro menos `page`/`compare`; **B17 persiste em cookie, não `localStorage`**; e o disclosure por hover morreu com **B38 ✓** (`collapsible="offcanvas"` tira a sidebar inteira da tela, não sobra rail), virando collapsible com chevron. Dois seams saíram de graça: `formatMunicipalityActiveFiltersSummary` já era o gate "tem filtro?" **e** já produzia o rótulo legível, então é ao mesmo tempo a condição de montagem e o **nome padrão** sugerido; e como a identidade é o **href**, re-salvar é upsert e "renomear" — adiado no plano — custou uma string, não uma fase. **O risco central era de bundle e foi medido contra árvore limpa:** a sidebar está no layout de `(app)`, então importar o serializador de URL do domínio custaria os 21 kB que o AGENTS.md já registra × **toda** rota `/campanha`; com o comparador puro `lib/listQueryMatch.ts` no lugar dele, `/campanha` ficou **inalterado em 277 kB** e só `/campanha/municipios` subiu (328 → 330 kB) — e de quebra ignorar `page` resolveu um caso que o plano não previa, estar na página 3 de um filtro salvo. **Dois bugs reais só o e2e pegou:** o auto-open reabria o grupo em toda montagem porque o store responde vazio até o cliente ler o `localStorage`, então um match vindo da hidratação parecia navegação — tornando a preferência persistida inobservável justamente para quem mais usa filtros salvos; e apagar uma linha derrubava o foco para `<body>`. No critique, uma falha de **SC 2.5.3**: rótulo visível "Salvar filtro" com `aria-label` "Salvar este filtro", que por voz não casa com nada · [plano](plans/filtros-salvos-municipios.md)
 - ~~**B19** gerenciar assessores — `/campanha/assessores` (lista + novo + detalhe): criar/editar contas `advisor`, ver/atribuir municípios, reenviar link de senha; **só Coordenador Geral e Candidato** (`isCampaignUnrestricted`); alinha access de update/phone do `candidate`~~ — **entregue 2026-07-24** (também alinha atribuição `municipality.advisors` a unrestricted; e-mail na lista via leitura privilegiada; auto-save da carteira) · [plano](plans/gerenciar-assessores.md)
 - ~~**B39** lembrar de mim / sessão longa em `/campanha`~~ — **entregue 2026-07-27** (checkbox default off; 8 h padrão / 14 d opt-in; `CampaignUser` configura o teto longo e `setCampaignAuthCookie` re-assina JWT + cookie para o TTL escolhido; `logoutCampaign` revoga o `sid` no servidor antes de limpar cookie/PWA; smoke E2E mede a expiração longa; sem migration/Consent) · [plano](plans/lembrar-de-mim-sessao-campanha.md)
 - ~~**B40** login com biometria (WebAuthn) em `/campanha`~~ — **entregue 2026-07-28** (enrollment opt-in por toast dismissível no shell + seção permanente em `/campanha/perfil`, botão de platform authenticator na tela de login emitindo o mesmo `campaign-token` de 14 dias, revogação por dispositivo; **vale para todos os papéis, liderança inclusive**, que é quem tem mais atrito; **sem `Consent`** — nenhum dado biométrico sai do aparelho, guardamos só uma chave pública, então o art. 11 não entra e o lote da Onda 0 não reabre. O Payload 3.82.0 **não tem caminho password-less**: o mint usa `payload.db.findOne` (nunca `findByID` — o `afterRead` `removePrivateAuthFields` apagaria `sessions`/`email` e o `addSessionToUser`, que reescreve o documento inteiro, derrubaria as outras sessões do usuário) + `checkLoginPermission` + `addSessionToUser` + `getFieldsToSign`/`jwtSign`, sob lock `campaign-webauthn-session:{id}` numa transação, com int spec provando que a sessão pré-existente sobrevive. Duas descobertas que a auditoria não previu: o RP derivado da origem canônica **tinha sucesso** num preview da Vercel e estourava `SecurityError` no browser, então a resolução agora exige que o host do request bata com o host derivado e devolve `null` quando divergem; e o challenge tem de ser **o mesmo bytes** que o `@simplewebauthn/server` gerou — a primeira versão gerava o seu e todo `register` respondia 400. Deleção de `campaignUser` ganhou `beforeDelete` em cascata (a FK que o Payload emite é `ON DELETE SET NULL` sobre coluna `NOT NULL`). Migration `20260728_041958_add_campaign_webauthn_credentials`; `@simplewebauthn/browser` custa 3,0 kB gzip e `/campanha/login` fica em 126 kB de First Load JS; e2e com autenticador virtual por CDP) · [plano](plans/login-biometrico-campanha.md)
@@ -185,7 +185,7 @@ flowchart TD
     B15n["B15 ✓ Ordenar lista<br/>por coluna"]
     B16n["B16 ✓ Filtros no header<br/>da lista"]
     B17n["B17 ✓ Seletor de colunas<br/>das 7 listas"]
-    B18n["B18 Filtros salvos<br/>+ atalho sidebar"]
+    B18n["B18 ✓ Filtros salvos<br/>+ atalho sidebar"]
     B19n["B19 ✓ Gerenciar assessores"]
     B20n["B20 ✓ Municípios prioritários<br/>no Início"]
     B21n["B21 ✓ Página dos<br/>Territórios de Identidade"]
@@ -335,11 +335,11 @@ flowchart TD
     B8F2 -.ZE Salvador = débito aberto.-> B14n
 ```
 
-Paralelizáveis agora: **B13** (E10 ✓ entregou as classes; consome `computeMunicipalityTerritorialClass` como está), **E12** (E8 ✓), ~~**E11**~~ ✓ (motor de sugestões v1 entregue 2026-07-28), ~~**B14**~~ ✓ (atalho geo no Início entregue 2026-07-26; ~~B8 F2~~ ✓ entregou os polígonos das ZE em 2026-07-26, então desambiguar Salvador virou débito com gatilho "pedido de campo", não dependência), ~~**B38**~~ ✓ (sidebar recolhido em tablet entregue 2026-07-26), **B39** (lembrar de mim / sessão longa; sem dep dura — cookie/JWT já existem; soft B40 só pela ordem no mesmo `LoginForm`), ~~**B40**~~ ✓ (login biométrico WebAuthn — entregue 2026-07-28), ~~**B41**~~ ✓ (scroll horizontal + sticky — entregue 2026-07-27), ~~**B42**~~ ✓ (polimento mobile da mesma lista — entregue 2026-07-27), **B21** (página dos TIs; sem dep dura — E17 ✓/B15 ✓/B16 ✓ já entregues; E12 pousa nela depois; **B25** é o único item que espera B21 — o link do território na lista só existe depois do destino), **B17** (seletor de colunas; soft B15 ✓/B16 ✓ — pousa no header de coluna atual), **B18** (filtros salvos + submenu Municípios; soft B16 ✓/B17 — botão na barra), **B22** (explicação por coluna no header; sem dep dura — B15 ✓/B16 ✓/E18 ✓), **B23** (tooltip nas células; a mecânica genérica e a promoção do primitivo já saíram no E10 ✓ — restam os consumidores Assessores/Tendência e a convivência com o Popover), ~~**B24**~~ ✓ (auto-save + justificativa no popover de Tendência; entregue 2026-07-26), **B26** (registrar sinal na célula "Último sinal"; sem dep dura — E9 ✓/C12 ✓ já entregues; soft B24/B23 só pela coerência de contrato na mesma linha), **B27** (combobox + chips + auto-save no popover de Assessores; sem dep dura — B19 ✓ já deu o delta+lock e o padrão de chips; soft B24 pelo endpoint e B23 pelo gatilho), **B28** (e-mail + celular na lista de lideranças; sem dep dura — B19 ✓ é só o padrão soft de copy/WhatsApp; `phone` já está no view model), **B29** (sort + filtro no header da lista de lideranças; sem dep dura — B15 ✓/B16 ✓ deram o contrato e o popover; soft B21 e B28 só pela ordem de chegada: quem entrar depois herda o head compartilhado / encaixa as colunas do outro), fill-ins (renomear coluna Cobertura → quick win de densidade no header; remover coluna Tipo — quick win de densidade; remover lista de zonas do Início — pós-B8 F2 ✓; ícone de prioridade na lista; Cenário junto aos filtros — encaixa na barra slim de B16 ✓ —; selecionados no topo nos filtros do header — helper puro que B21 reusa —; O0+, RS+). **B30** (convite WhatsApp na lista de lideranças; sem dep dura — reusa integralmente a action/collection existentes; soft B28 só pelo ícone na mesma linha, qualquer um pode ir primeiro — **entregue 2026-07-26**), **B31** (coluna de dobradinhas na lista de lideranças; sem dep dura — o dado já está no view model e o catálogo já tem loader; soft B27 pela peça de célula, que só vira extração compartilhada no 3º call site, e B28/B29/B30 pela ordem de chegada na mesma tabela), ~~**B32**~~ ✓ (editar Status de apoio na célula da lista de lideranças; entregue 2026-07-26), **B33** (sort + filtro no header da lista de dobradinhas; sem dep dura — B15 ✓/B16 ✓ deram o contrato; soft B29/B21 só pela ordem de chegada na mesma corrida de extração do chrome compartilhado, quem entrar primeiro paga a peça e o outro só consome), **B34** (chips editáveis de municípios na lista de lideranças; sem dep dura — B19 ✓ já deu o delta+lock, o padrão de chips e o loader do catálogo a promover; soft B27/B31 pela mesma peça de célula editável — quem chegar depois herda o combobox/Popover em vez de reinventar —, e B28/B30/B32 só pela mesma tabela; _decisão a validar com produto_: Popover por célula em vez do toggle "Editar" pedido literalmente, mesmo precedente do B31/B32), **B37** (chips editáveis de municípios na lista de dobradinhas; sem dep dura — B19 ✓/B34 já dão a lib a promover e o desenho do Popover+combobox; soft B34 só pela ordem de chegada em quem faz a promoção da lib, B31 pela mesma família de pedido em outra tabela, B33 pela mesma tabela; _mesma decisão a validar com produto_ do B31/B32/B34: Popover por célula, não toggle). **B36** (coluna de lideranças na lista de dobradinhas; sem dep dura — reusa integralmente a mutação/schema/lock que o B31 desenha para a mesma relação, do lado oposto; soft B31 pela corrida de extração da célula/action compartilhadas, B19 ✓ pelo padrão de origem, B33 pela mesma tabela), **C13** (renomear Plano de Ação → Atividade; sem dep dura — não toca nenhuma das listas em curso (B26–B37 são municípios/lideranças/dobradinhas), então roda em paralelo a elas; a única ordem que importa é **antes de E13**, que constrói dentro da vertical renomeada, e antes do congelamento ~20/09 por carregar migration; PR mecânico e isolado, não misturar com feature). **D3** só após smoke + folga e só se o fluxo sede-digita (C12 ✓) não absorver os deltas do ZAP (não compete com E9).
+Paralelizáveis agora: **B13** (E10 ✓ entregou as classes; consome `computeMunicipalityTerritorialClass` como está), **E12** (E8 ✓), ~~**E11**~~ ✓ (motor de sugestões v1 entregue 2026-07-28), ~~**B14**~~ ✓ (atalho geo no Início entregue 2026-07-26; ~~B8 F2~~ ✓ entregou os polígonos das ZE em 2026-07-26, então desambiguar Salvador virou débito com gatilho "pedido de campo", não dependência), ~~**B38**~~ ✓ (sidebar recolhido em tablet entregue 2026-07-26), **B39** (lembrar de mim / sessão longa; sem dep dura — cookie/JWT já existem; soft B40 só pela ordem no mesmo `LoginForm`), ~~**B40**~~ ✓ (login biométrico WebAuthn — entregue 2026-07-28), ~~**B41**~~ ✓ (scroll horizontal + sticky — entregue 2026-07-27), ~~**B42**~~ ✓ (polimento mobile da mesma lista — entregue 2026-07-27), **B21** (página dos TIs; sem dep dura — E17 ✓/B15 ✓/B16 ✓ já entregues; E12 pousa nela depois; **B25** é o único item que espera B21 — o link do território na lista só existe depois do destino), ~~**B17**~~ ✓ (seletor de colunas; soft B15 ✓/B16 ✓ — pousa no header de coluna atual), ~~**B18**~~ ✓ (filtros salvos + submenu Municípios; soft B16 ✓/B17 — botão na barra), **B22** (explicação por coluna no header; sem dep dura — B15 ✓/B16 ✓/E18 ✓), **B23** (tooltip nas células; a mecânica genérica e a promoção do primitivo já saíram no E10 ✓ — restam os consumidores Assessores/Tendência e a convivência com o Popover), ~~**B24**~~ ✓ (auto-save + justificativa no popover de Tendência; entregue 2026-07-26), **B26** (registrar sinal na célula "Último sinal"; sem dep dura — E9 ✓/C12 ✓ já entregues; soft B24/B23 só pela coerência de contrato na mesma linha), **B27** (combobox + chips + auto-save no popover de Assessores; sem dep dura — B19 ✓ já deu o delta+lock e o padrão de chips; soft B24 pelo endpoint e B23 pelo gatilho), **B28** (e-mail + celular na lista de lideranças; sem dep dura — B19 ✓ é só o padrão soft de copy/WhatsApp; `phone` já está no view model), **B29** (sort + filtro no header da lista de lideranças; sem dep dura — B15 ✓/B16 ✓ deram o contrato e o popover; soft B21 e B28 só pela ordem de chegada: quem entrar depois herda o head compartilhado / encaixa as colunas do outro), fill-ins (renomear coluna Cobertura → quick win de densidade no header; remover coluna Tipo — quick win de densidade; remover lista de zonas do Início — pós-B8 F2 ✓; ícone de prioridade na lista; Cenário junto aos filtros — encaixa na barra slim de B16 ✓ —; selecionados no topo nos filtros do header — helper puro que B21 reusa —; O0+, RS+). **B30** (convite WhatsApp na lista de lideranças; sem dep dura — reusa integralmente a action/collection existentes; soft B28 só pelo ícone na mesma linha, qualquer um pode ir primeiro — **entregue 2026-07-26**), **B31** (coluna de dobradinhas na lista de lideranças; sem dep dura — o dado já está no view model e o catálogo já tem loader; soft B27 pela peça de célula, que só vira extração compartilhada no 3º call site, e B28/B29/B30 pela ordem de chegada na mesma tabela), ~~**B32**~~ ✓ (editar Status de apoio na célula da lista de lideranças; entregue 2026-07-26), **B33** (sort + filtro no header da lista de dobradinhas; sem dep dura — B15 ✓/B16 ✓ deram o contrato; soft B29/B21 só pela ordem de chegada na mesma corrida de extração do chrome compartilhado, quem entrar primeiro paga a peça e o outro só consome), **B34** (chips editáveis de municípios na lista de lideranças; sem dep dura — B19 ✓ já deu o delta+lock, o padrão de chips e o loader do catálogo a promover; soft B27/B31 pela mesma peça de célula editável — quem chegar depois herda o combobox/Popover em vez de reinventar —, e B28/B30/B32 só pela mesma tabela; _decisão a validar com produto_: Popover por célula em vez do toggle "Editar" pedido literalmente, mesmo precedente do B31/B32), **B37** (chips editáveis de municípios na lista de dobradinhas; sem dep dura — B19 ✓/B34 já dão a lib a promover e o desenho do Popover+combobox; soft B34 só pela ordem de chegada em quem faz a promoção da lib, B31 pela mesma família de pedido em outra tabela, B33 pela mesma tabela; _mesma decisão a validar com produto_ do B31/B32/B34: Popover por célula, não toggle). **B36** (coluna de lideranças na lista de dobradinhas; sem dep dura — reusa integralmente a mutação/schema/lock que o B31 desenha para a mesma relação, do lado oposto; soft B31 pela corrida de extração da célula/action compartilhadas, B19 ✓ pelo padrão de origem, B33 pela mesma tabela), **C13** (renomear Plano de Ação → Atividade; sem dep dura — não toca nenhuma das listas em curso (B26–B37 são municípios/lideranças/dobradinhas), então roda em paralelo a elas; a única ordem que importa é **antes de E13**, que constrói dentro da vertical renomeada, e antes do congelamento ~20/09 por carregar migration; PR mecânico e isolado, não misturar com feature). **D3** só após smoke + folga e só se o fluxo sede-digita (C12 ✓) não absorver os deltas do ZAP (não compete com E9).
 
 ### Sequência por janela (só pendentes)
 
-**Janela 1 — agora → 05/08 (convenções):** smoke pós-deploy em produção + onboarding do time (Onda 0 §2/§4); **E4R ✓** em código (aplicar `pnpm db:seed:projecao` em produção após smoke); **E8 ✓** conta da cadeira entregue; **E17 ✓** tabela TI no Início; **B15 ✓** (sort por coluna) e **A11 ✓** (posição em votos + `sort=votos`; o default do staff passou a `deficit` no E9 ✓) entregues 2026-07-24; **E18 ✓** documentação de conceitos (`/campanha/conceitos`, v1 só E8) entregue 2026-07-24; **B19 ✓** gerenciar assessores (caminho do onboarding sem `/admin` — criar/ativar contas e carteiras) entregue 2026-07-24; **B16 ✓** filtros no header entregue 2026-07-25; **B20 ✓** Municípios prioritários no Início entregue 2026-07-25; ~~**B38**~~ ✓ sidebar recolhido em tablet (entregue 2026-07-26 — `offcanvas` + trigger `md+` + cookie/`matchMedia`); **B39** (lembrar de mim / sessão longa — o default de 2 h está derrubando sessão no onboarding; ~0,5 dia, entra cedo) e, logo atrás se folga, ~~**B40**~~ ✓ (biometria WebAuthn — entregue 2026-07-28); ~~**B41**~~ ✓ (scroll horizontal + sticky na lista de municípios — entregue 2026-07-27) e ~~**B42**~~ ✓ (polimento mobile da mesma lista — Drawer em Tendência/Assessores/Votos estimados + card compacto e clicável; entregue 2026-07-27); **B21** (página dos Territórios de Identidade — a leitura regional sai do painel do Início e ganha tela própria com sort/filtro; útil já no onboarding para dividir carteiras) se folga — e, logo atrás dela, **B25** (link do território na célula da lista: quarto de dia, é o que faz a página nova ser encontrada de dentro do trabalho); **B22** (explicação por coluna no header — a tabela deixa de exigir o autor do E8/E9 ao lado para ser lida; quick win de onboarding, meio dia); **B23** (tooltip nas células — nomes dos assessores no hover da coluna, hoje só iniciais, e a justificativa da tendência, hoje invisível na lista; capacidade genérica da célula, meio dia, casa com B22 pelo mesmo primitivo); ~~**B24**~~ ✓ (auto-save + justificativa no popover de Tendência — entregue 2026-07-26; a mesa corrige em massa as notas semeadas pelo E4R ✓ sem abrir 435 telas de edição); **B26** (registrar sinal na própria célula "Último sinal" — fecha o laço do E9 ✓: hoje a fila diz onde está frio e obriga a sair dela para registrar qualquer coisa; ~0,75 dia, e é o item que mais aumenta a chance do gate de adoção abaixo, porque o registro passa a caber no gesto de varrer a lista, inclusive no celular); **B27** (combobox + chips + auto-save nos Assessores — é literalmente a tela em que o CG divide as carteiras no onboarding: hoje procura o nome numa coluna de checkboxes e confirma num botão; ~0,75 dia, casa com B24 pelo mesmo endpoint e com B23 pelo mesmo gatilho); **B28** (e-mail + celular na lista de lideranças — copy + WhatsApp como em assessores, sem abrir a ficha; ~0,5–0,75 dia, quick win de campo no onboarding da rede); **B30** (convidar para completar cadastro por WhatsApp na mesma lista — reusa o convite que já existe no detalhe, sem abrir a ficha; ~0,25–0,5 dia, o quick win mais barato desta leva porque não toca action/collection nenhuma; casa com B28 pela mesma linha, ícone distinto); **B31** (coluna de dobradinhas na mesma lista — é o preenchimento em lote que o onboarding exige: o E4R ✓ deixou dobradinha só no município e as fichas vazias, e completar uma a uma pelo detalhe é o gesto que trava a mesa; ~1 dia, casa com B27 pela mesma peça de célula — quem for primeiro define o padrão do chip+combobox in-list); ~~**B32**~~ ✓ (editar Status de apoio na célula da mesma lista — entregue 2026-07-26; fecha o adiado do próprio B29); **B34** (chips editáveis de municípios na mesma lista — a coluna "Municípios" ganha o mesmo tratamento da coluna homônima em Assessores (B19 ✓): chips com link + Popover de edição com combobox, em vez do texto morto atual; ~1–1,25 dia, casa com B27/B31 pela mesma peça de célula editável — quem entrar antes define o padrão do combobox+chip in-list que os outros herdam); **B37** (o mesmo tratamento de chips editáveis na coluna "Municípios" de `/campanha/dobradinhas` — hoje um número morto, `municipalityCount`; ~0,75–1 dia, herda a lib promovida pelo B34 se ele já tiver landado, senão promove ela mesma); **B36** (a coluna "Lideranças" da mesma lista ganha o mesmo tratamento — chips nomeados + Popover + busca + auto-save por delta, reusando sem alteração a mutação que o B31 desenha para o lado oposto da mesma relação; ~0,5–1,5 dia dependendo de quem entre B31/B36 chega primeiro na corrida de extração da célula compartilhada); **B33** (sort + filtro no header de `/campanha/dobradinhas` — pedido explícito de reuso: Nome/Partido no header e filtro por Partido, sem duplicar o chrome de `/campanha/municipios`; ~0,5–1,5 dia dependendo de quem chega primeiro na corrida de extração do chrome compartilhado com B29/B21; entra perto de B29 por reusar a mesma peça); **B29** (sort + filtro no header da mesma lista — é a tela onde o assessor recebe a carteira e precisa recortar "quem ainda está a abordar aqui" / "quem ainda não tem acesso ao app" antes de convidar; ~1,5–2 dias porque paga também a extração do head compartilhado, então entra depois dos quick wins — mas antes se B21 for adiado, para o head nascer compartilhado); **B17** (seletor de colunas) / **B18** (filtros salvos + atalho sidebar) se folga de UX da lista no onboarding; fill-in **renomear coluna Cobertura** (header curto na fila — quarto de dia; glossário/KPI intactos); fill-in **remover coluna Tipo** (densidade morta na fila — quarto/meio dia; Salvador via slugs cobre ZE); ~~fill-in **remover lista de zonas do Início**~~ ✓ (entregue 2026-07-28); fill-in **selecionados no topo nos filtros do header** (desmarcar sem caçar checkbox; helper puro que B21 herda — quarto de dia); **C13 ✓** (renomeado "Plano de Ação" → "Atividade" em toda a vertical, incluindo a migration data-preserving — entregue 2026-07-25); gate de adoção: sinal Little Hire — ≥1 update espontâneo até 30/07, cobrança da tabela dispensada (planilhas já em `docs/sheets/`) — acompanhamento em [IMPROVE-APP-PLAN.md](IMPROVE-APP-PLAN.md); **R6** critique/polish; **E9 ✓** entregue no mesmo dia; **B14 ✓** (atalho geo entregue 2026-07-26); Onda 0 jurídica em paralelo (externa).
+**Janela 1 — agora → 05/08 (convenções):** smoke pós-deploy em produção + onboarding do time (Onda 0 §2/§4); **E4R ✓** em código (aplicar `pnpm db:seed:projecao` em produção após smoke); **E8 ✓** conta da cadeira entregue; **E17 ✓** tabela TI no Início; **B15 ✓** (sort por coluna) e **A11 ✓** (posição em votos + `sort=votos`; o default do staff passou a `deficit` no E9 ✓) entregues 2026-07-24; **E18 ✓** documentação de conceitos (`/campanha/conceitos`, v1 só E8) entregue 2026-07-24; **B19 ✓** gerenciar assessores (caminho do onboarding sem `/admin` — criar/ativar contas e carteiras) entregue 2026-07-24; **B16 ✓** filtros no header entregue 2026-07-25; **B20 ✓** Municípios prioritários no Início entregue 2026-07-25; ~~**B38**~~ ✓ sidebar recolhido em tablet (entregue 2026-07-26 — `offcanvas` + trigger `md+` + cookie/`matchMedia`); **B39** (lembrar de mim / sessão longa — o default de 2 h está derrubando sessão no onboarding; ~0,5 dia, entra cedo) e, logo atrás se folga, ~~**B40**~~ ✓ (biometria WebAuthn — entregue 2026-07-28); ~~**B41**~~ ✓ (scroll horizontal + sticky na lista de municípios — entregue 2026-07-27) e ~~**B42**~~ ✓ (polimento mobile da mesma lista — Drawer em Tendência/Assessores/Votos estimados + card compacto e clicável; entregue 2026-07-27); **B21** (página dos Territórios de Identidade — a leitura regional sai do painel do Início e ganha tela própria com sort/filtro; útil já no onboarding para dividir carteiras) se folga — e, logo atrás dela, **B25** (link do território na célula da lista: quarto de dia, é o que faz a página nova ser encontrada de dentro do trabalho); **B22** (explicação por coluna no header — a tabela deixa de exigir o autor do E8/E9 ao lado para ser lida; quick win de onboarding, meio dia); **B23** (tooltip nas células — nomes dos assessores no hover da coluna, hoje só iniciais, e a justificativa da tendência, hoje invisível na lista; capacidade genérica da célula, meio dia, casa com B22 pelo mesmo primitivo); ~~**B24**~~ ✓ (auto-save + justificativa no popover de Tendência — entregue 2026-07-26; a mesa corrige em massa as notas semeadas pelo E4R ✓ sem abrir 435 telas de edição); **B26** (registrar sinal na própria célula "Último sinal" — fecha o laço do E9 ✓: hoje a fila diz onde está frio e obriga a sair dela para registrar qualquer coisa; ~0,75 dia, e é o item que mais aumenta a chance do gate de adoção abaixo, porque o registro passa a caber no gesto de varrer a lista, inclusive no celular); **B27** (combobox + chips + auto-save nos Assessores — é literalmente a tela em que o CG divide as carteiras no onboarding: hoje procura o nome numa coluna de checkboxes e confirma num botão; ~0,75 dia, casa com B24 pelo mesmo endpoint e com B23 pelo mesmo gatilho); **B28** (e-mail + celular na lista de lideranças — copy + WhatsApp como em assessores, sem abrir a ficha; ~0,5–0,75 dia, quick win de campo no onboarding da rede); **B30** (convidar para completar cadastro por WhatsApp na mesma lista — reusa o convite que já existe no detalhe, sem abrir a ficha; ~0,25–0,5 dia, o quick win mais barato desta leva porque não toca action/collection nenhuma; casa com B28 pela mesma linha, ícone distinto); **B31** (coluna de dobradinhas na mesma lista — é o preenchimento em lote que o onboarding exige: o E4R ✓ deixou dobradinha só no município e as fichas vazias, e completar uma a uma pelo detalhe é o gesto que trava a mesa; ~1 dia, casa com B27 pela mesma peça de célula — quem for primeiro define o padrão do chip+combobox in-list); ~~**B32**~~ ✓ (editar Status de apoio na célula da mesma lista — entregue 2026-07-26; fecha o adiado do próprio B29); **B34** (chips editáveis de municípios na mesma lista — a coluna "Municípios" ganha o mesmo tratamento da coluna homônima em Assessores (B19 ✓): chips com link + Popover de edição com combobox, em vez do texto morto atual; ~1–1,25 dia, casa com B27/B31 pela mesma peça de célula editável — quem entrar antes define o padrão do combobox+chip in-list que os outros herdam); **B37** (o mesmo tratamento de chips editáveis na coluna "Municípios" de `/campanha/dobradinhas` — hoje um número morto, `municipalityCount`; ~0,75–1 dia, herda a lib promovida pelo B34 se ele já tiver landado, senão promove ela mesma); **B36** (a coluna "Lideranças" da mesma lista ganha o mesmo tratamento — chips nomeados + Popover + busca + auto-save por delta, reusando sem alteração a mutação que o B31 desenha para o lado oposto da mesma relação; ~0,5–1,5 dia dependendo de quem entre B31/B36 chega primeiro na corrida de extração da célula compartilhada); **B33** (sort + filtro no header de `/campanha/dobradinhas` — pedido explícito de reuso: Nome/Partido no header e filtro por Partido, sem duplicar o chrome de `/campanha/municipios`; ~0,5–1,5 dia dependendo de quem chega primeiro na corrida de extração do chrome compartilhado com B29/B21; entra perto de B29 por reusar a mesma peça); **B29** (sort + filtro no header da mesma lista — é a tela onde o assessor recebe a carteira e precisa recortar "quem ainda está a abordar aqui" / "quem ainda não tem acesso ao app" antes de convidar; ~1,5–2 dias porque paga também a extração do head compartilhado, então entra depois dos quick wins — mas antes se B21 for adiado, para o head nascer compartilhado); ~~**B17**~~ ✓ (seletor de colunas) / ~~**B18**~~ ✓ (filtros salvos + atalho sidebar) entregues 2026-07-28; fill-in **renomear coluna Cobertura** (header curto na fila — quarto de dia; glossário/KPI intactos); fill-in **remover coluna Tipo** (densidade morta na fila — quarto/meio dia; Salvador via slugs cobre ZE); ~~fill-in **remover lista de zonas do Início**~~ ✓ (entregue 2026-07-28); fill-in **selecionados no topo nos filtros do header** (desmarcar sem caçar checkbox; helper puro que B21 herda — quarto de dia); **C13 ✓** (renomeado "Plano de Ação" → "Atividade" em toda a vertical, incluindo a migration data-preserving — entregue 2026-07-25); gate de adoção: sinal Little Hire — ≥1 update espontâneo até 30/07, cobrança da tabela dispensada (planilhas já em `docs/sheets/`) — acompanhamento em [IMPROVE-APP-PLAN.md](IMPROVE-APP-PLAN.md); **R6** critique/polish; **E9 ✓** entregue no mesmo dia; **B14 ✓** (atalho geo entregue 2026-07-26); Onda 0 jurídica em paralelo (externa).>>>>>>> 4ad2e6f (B18: saved municipality list filters in localStorage and sidebar submenu.)
 
 **Janela 2 — 05/08 → 16/08 (pré-propaganda):** C2 dados reais assim que o jurídico liberar; ~~**E9** fila de alocação~~ (entregue 2026-07-24, antecipada da janela 2); ~~**E16** dossiê do município~~ (entregue 2026-07-25, antecipado da janela 2); D2 se sobrar folga.
 
@@ -351,7 +351,7 @@ Paralelizáveis agora: **B13** (E10 ✓ entregou as classes; consome `computeMun
 
 **Não cortáveis:** Onda 0 (jurídico/Consent); ~~**E4R** seed da planilha~~ (entregue 2026-07-24 — ainda aplicar em produção após smoke); ~~**E8** conta da cadeira~~ (entregue 2026-07-24); ~~**C12** registro-fundação~~ (entregue 2026-07-24); C2 dados reais; assimetria declarado×estimado (relação de campo); ~~**E9** fila de alocação~~ (entregue 2026-07-24 — era o mínimo de "inteligência, não planilha"); ~~**B19** gerenciar assessores~~ (entregue 2026-07-24 — CG/candidato não entram em `/admin`); **B39** lembrar de mim / sessão longa (default de 2 h derruba sessão no onboarding/campo — atrito diário de adoção).
 
-**Cortes seguros** (se o prazo apertar, nesta ordem): **D5** inbox→rascunhos (manter registro manual + `wa.me`); **D4** envio bridge (manter `wa.me`); **D3** fundação do canal (atalho `wa.me` continua); **E12** camada TI (rollup manual por lista; **E17** já dá a leitura regional básica no Início); **E13** planejador de giros (rebaixado na fila de corte em 2026-07-24: "perna"/agenda é a restrição dominante nomeada em campo — cortar só depois de E12; agenda segue manual com J-A/J-B como guia); **E15** backtest (pós-eleição por definição — cortar = perder o aprendizado 2030); **E11** motor v1 (manter a fila E9 ✓ sem sugestões); **B13** símbolo proporcional (manter quantis/LQ como escala); ~~**E14** níveis~~ (entregue 2026-07-27 — `priority` continua, intocado); ~~**B8 F2** polígonos~~ (entregue 2026-07-26 — o mapa não é mais agregado em Salvador); **D2** push (adiar); **A6**; ~~**B14** município mais próximo~~ (entregue 2026-07-26); ~~**B38** sidebar recolhido em tablet~~ (entregue 2026-07-26); ~~**B40** login biométrico~~ (entregue 2026-07-28 — senha + B39 ✓ continuam, e cortar teria custado só o atalho de digital/Face ID; era o mais caro e o primeiro a cair desta leva B39–B42); **B42** polimento mobile da lista de municípios (Popover e card longos continuam usáveis — cortar custa conforto de teclado e densidade no celular); ~~**B41** scroll horizontal + sticky~~ (entregue 2026-07-27) (a tabela continua legível com zoom/pan da página — cortar custa o overflow em tablet; cai **depois** de B42 porque o bug de layout em mesa é mais caro que o polish mobile); **B18** filtros salvos (lista + filtros manuais continuam; Visitados cobrem “voltar”); **B21** página dos Territórios de Identidade (o painel do E17 ✓ no Início continua entregando a leitura regional) — **B25** cai junto por definição (sem destino, sem link); **B17** seletor de colunas (tabela completa continua; scroll horizontal); ~~**B22** explicação no header~~ (entregue 2026-07-26); ~~**B23** tooltip nas células~~ (entregue 2026-07-26); ~~**B24** auto-save + justificativa na Tendência~~ (entregue 2026-07-26); **B27** combobox + chips nos Assessores (a lista de checkboxes com "Salvar" continua atribuindo — cortar custa a mesma coerência do B24 mais o tempo do CG procurando nomes numa coluna durante o onboarding; corte junto com B24, já que dividem o endpoint); **B28** e-mail + celular na lista de lideranças (a ficha `/liderancas/[id]` continua mostrando o contato — cortar custa o gesto de copiar/abrir ZAP na varredura; quick win barato de cortar e de fazer); ~~**B30** convite de completar cadastro por WhatsApp na lista~~ (entregue 2026-07-26); **B31** coluna de dobradinhas nas lideranças (o `RelationMultiSelect` da ficha interna continua vinculando — cortar custa o preenchimento em lote do onboarding, uma ficha aberta por liderança, e mantém o vínculo invisível na varredura; corte junto com B27, já que dividem a peça de célula, e antes de B29 só se a mesa já tiver preenchido as dobradinhas à mão); ~~**B32** editar Status de apoio na célula~~ (entregue 2026-07-26); **B34** chips editáveis de municípios na lista de lideranças (o texto simples `row.municipalityNames.join(', ')` continua legível e a ficha `/liderancas/[id]` continua vinculando município via formulário — cortar custa o link direto ao município, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha; corte junto com B31, já que dividem a mesma peça de célula editável, e antes de B29 pelo mesmo motivo de coerência); **B37** chips editáveis de municípios na lista de dobradinhas (o número `municipalityCount` continua legível e a ficha de município continua vinculando dobradinha pelo `MunicipalityStrategyForm` — cortar custa o link direto, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha do município; corte junto com B34, já que dividem a mesma lib e a mesma decisão de container); ~~**B36** coluna de lideranças na lista de dobradinhas~~ (entregue 2026-07-26; a contagem `leadershipCount` era o fallback e a ficha `/liderancas/[id]` continua vinculando dobradinha via formulário — cortar custa o link direto à liderança, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha; corte junto com B31, já que dividem a mesma mutação/schema/lock); ~~**B33** sort + filtro no header das dobradinhas~~ (entregue 2026-07-26); **B29** sort + filtro no header das lideranças (a busca por nome continua funcionando e o escopo do assessor já reduz a lista — cortar custa o recorte por status/setor/município no onboarding da rede e mantém o header rico como cópia única de municípios; por ser o item mais caro desta faixa (~1,5–2 dias com a extração do head), cai **antes** do B26, que é o que sustenta o gate de adoção); **B26** registrar sinal na célula (o formulário completo em `/[slug]?tab=updates` continua sendo o caminho — cortar custa o laço da fila do E9 ✓ e o registro em campo pelo celular, que é justamente onde o gate de adoção se decide; por isso cai **depois** de B22/B23/B24); ~~**C13** renomear Plano de Ação → Atividade~~ (entregue 2026-07-25); **B20** prioritários no Início (lista `?priority=alta` continua; só perde o atalho — mas a seção atual mente, então cortar = conviver com o bug); fill-in **renomear coluna Cobertura** (a lista continua legível com o rótulo longo — corte = header mais largo); fill-in **remover coluna Tipo** (a lista continua completa; só mantém densidade morta — corte = conviver com a coluna); ~~fill-in **remover lista de zonas do Início**~~ ✓ (entregue 2026-07-28 — o mapa B8 F2 ✓ continua abrindo cada ZE); ~~**B16** filtros no header~~ (entregue 2026-07-25); ~~**B15** sort por coluna~~ (entregue 2026-07-24); ~~**A11**/**E17**~~ (entregues 2026-07-24); ~~**E18** documentação de conceitos~~ (entregue 2026-07-24); ~~**E16** dossiê~~ (entregue 2026-07-25); demais débitos/fill-ins.
+**Cortes seguros** (se o prazo apertar, nesta ordem): **D5** inbox→rascunhos (manter registro manual + `wa.me`); **D4** envio bridge (manter `wa.me`); **D3** fundação do canal (atalho `wa.me` continua); **E12** camada TI (rollup manual por lista; **E17** já dá a leitura regional básica no Início); **E13** planejador de giros (rebaixado na fila de corte em 2026-07-24: "perna"/agenda é a restrição dominante nomeada em campo — cortar só depois de E12; agenda segue manual com J-A/J-B como guia); **E15** backtest (pós-eleição por definição — cortar = perder o aprendizado 2030); **E11** motor v1 (manter a fila E9 ✓ sem sugestões); **B13** símbolo proporcional (manter quantis/LQ como escala); ~~**E14** níveis~~ (entregue 2026-07-27 — `priority` continua, intocado); ~~**B8 F2** polígonos~~ (entregue 2026-07-26 — o mapa não é mais agregado em Salvador); **D2** push (adiar); **A6**; ~~**B14** município mais próximo~~ (entregue 2026-07-26); ~~**B38** sidebar recolhido em tablet~~ (entregue 2026-07-26); ~~**B40** login biométrico~~ (entregue 2026-07-28 — senha + B39 ✓ continuam, e cortar teria custado só o atalho de digital/Face ID; era o mais caro e o primeiro a cair desta leva B39–B42); **B42** polimento mobile da lista de municípios (Popover e card longos continuam usáveis — cortar custa conforto de teclado e densidade no celular); ~~**B41** scroll horizontal + sticky~~ (entregue 2026-07-27) (a tabela continua legível com zoom/pan da página — cortar custa o overflow em tablet; cai **depois** de B42 porque o bug de layout em mesa é mais caro que o polish mobile); ~~**B18** filtros salvos~~ ✓ entregue (lista + filtros manuais continuam; Visitados cobrem “voltar”); **B21** página dos Territórios de Identidade (o painel do E17 ✓ no Início continua entregando a leitura regional) — **B25** cai junto por definição (sem destino, sem link); ~~**B17** seletor de colunas~~ ✓ entregue (tabela completa continua; scroll horizontal); ~~**B22** explicação no header~~ (entregue 2026-07-26); ~~**B23** tooltip nas células~~ (entregue 2026-07-26); ~~**B24** auto-save + justificativa na Tendência~~ (entregue 2026-07-26); **B27** combobox + chips nos Assessores (a lista de checkboxes com "Salvar" continua atribuindo — cortar custa a mesma coerência do B24 mais o tempo do CG procurando nomes numa coluna durante o onboarding; corte junto com B24, já que dividem o endpoint); **B28** e-mail + celular na lista de lideranças (a ficha `/liderancas/[id]` continua mostrando o contato — cortar custa o gesto de copiar/abrir ZAP na varredura; quick win barato de cortar e de fazer); ~~**B30** convite de completar cadastro por WhatsApp na lista~~ (entregue 2026-07-26); **B31** coluna de dobradinhas nas lideranças (o `RelationMultiSelect` da ficha interna continua vinculando — cortar custa o preenchimento em lote do onboarding, uma ficha aberta por liderança, e mantém o vínculo invisível na varredura; corte junto com B27, já que dividem a peça de célula, e antes de B29 só se a mesa já tiver preenchido as dobradinhas à mão); ~~**B32** editar Status de apoio na célula~~ (entregue 2026-07-26); **B34** chips editáveis de municípios na lista de lideranças (o texto simples `row.municipalityNames.join(', ')` continua legível e a ficha `/liderancas/[id]` continua vinculando município via formulário — cortar custa o link direto ao município, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha; corte junto com B31, já que dividem a mesma peça de célula editável, e antes de B29 pelo mesmo motivo de coerência); **B37** chips editáveis de municípios na lista de dobradinhas (o número `municipalityCount` continua legível e a ficha de município continua vinculando dobradinha pelo `MunicipalityStrategyForm` — cortar custa o link direto, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha do município; corte junto com B34, já que dividem a mesma lib e a mesma decisão de container); ~~**B36** coluna de lideranças na lista de dobradinhas~~ (entregue 2026-07-26; a contagem `leadershipCount` era o fallback e a ficha `/liderancas/[id]` continua vinculando dobradinha via formulário — cortar custa o link direto à liderança, a navegação por chip e o atalho de adicionar/remover sem abrir a ficha; corte junto com B31, já que dividem a mesma mutação/schema/lock); ~~**B33** sort + filtro no header das dobradinhas~~ (entregue 2026-07-26); **B29** sort + filtro no header das lideranças (a busca por nome continua funcionando e o escopo do assessor já reduz a lista — cortar custa o recorte por status/setor/município no onboarding da rede e mantém o header rico como cópia única de municípios; por ser o item mais caro desta faixa (~1,5–2 dias com a extração do head), cai **antes** do B26, que é o que sustenta o gate de adoção); **B26** registrar sinal na célula (o formulário completo em `/[slug]?tab=updates` continua sendo o caminho — cortar custa o laço da fila do E9 ✓ e o registro em campo pelo celular, que é justamente onde o gate de adoção se decide; por isso cai **depois** de B22/B23/B24); ~~**C13** renomear Plano de Ação → Atividade~~ (entregue 2026-07-25); **B20** prioritários no Início (lista `?priority=alta` continua; só perde o atalho — mas a seção atual mente, então cortar = conviver com o bug); fill-in **renomear coluna Cobertura** (a lista continua legível com o rótulo longo — corte = header mais largo); fill-in **remover coluna Tipo** (a lista continua completa; só mantém densidade morta — corte = conviver com a coluna); ~~fill-in **remover lista de zonas do Início**~~ ✓ (entregue 2026-07-28 — o mapa B8 F2 ✓ continua abrindo cada ZE); ~~**B16** filtros no header~~ (entregue 2026-07-25); ~~**B15** sort por coluna~~ (entregue 2026-07-24); ~~**A11**/**E17**~~ (entregues 2026-07-24); ~~**E18** documentação de conceitos~~ (entregue 2026-07-24); ~~**E16** dossiê~~ (entregue 2026-07-25); demais débitos/fill-ins.>>>>>>> 4ad2e6f (B18: saved municipality list filters in localStorage and sidebar submenu.)
 
 ## Bloqueadores atuais
 
diff --git a/src/components/campaign/municipality/MunicipalityFilters.tsx b/src/components/campaign/municipality/MunicipalityFilters.tsx
index 90c563a2..99356ff1 100644
--- a/src/components/campaign/municipality/MunicipalityFilters.tsx
+++ b/src/components/campaign/municipality/MunicipalityFilters.tsx
@@ -1,5 +1,6 @@
 'use client'
 
+import { SaveMunicipalityFilterControl } from '@/components/campaign/municipality/SaveMunicipalityFilterControl'
 import { CampaignMobileMultiFilterField } from '@/components/campaign/shared/CampaignMobileMultiFilterField'
 import { CampaignSearchInput } from '@/components/campaign/shared/CampaignSearchInput'
 import { useCampaignListFilterNavigation } from '@/components/campaign/shared/useCampaignListFilterNavigation'
@@ -80,6 +81,7 @@ export const MunicipalityFilters = ({
             {activeFiltersSummary}
           </p>
         ) : null}
+        <SaveMunicipalityFilterControl state={state} />
         {hasActiveFilters ? (
           <Button
             type="button"
diff --git a/src/components/campaign/municipality/SaveMunicipalityFilterControl.tsx b/src/components/campaign/municipality/SaveMunicipalityFilterControl.tsx
new file mode 100644
index 00000000..7092a833
--- /dev/null
+++ b/src/components/campaign/municipality/SaveMunicipalityFilterControl.tsx
@@ -0,0 +1,136 @@
+'use client'
+
+import { BookmarkPlusIcon } from 'lucide-react'
+import { useId, useState, type FormEvent } from 'react'
+import { toast } from 'sonner'
+
+import { useMunicipalitySavedFilters } from '@/components/campaign/shared/useMunicipalitySavedFilters'
+import { Alert, AlertDescription } from '@/components/ui/Alert'
+import { Button } from '@/components/ui/button'
+import { Field, FieldDescription, FieldLabel } from '@/components/ui/field'
+import { Input } from '@/components/ui/input'
+import { Popover, PopoverContent, PopoverTrigger } from '@/components/ui/Popover'
+import {
+  buildMunicipalitySavedFilterHref,
+  formatMunicipalityActiveFiltersSummary,
+} from '@/utilities/municipalityListFilters'
+import type { MunicipalityListState } from '@/utilities/municipalityListUrl'
+import {
+  MAX_ENTRIES,
+  MAX_NAME_LENGTH,
+  saveMunicipalitySavedFilter,
+} from '@/utilities/municipalitySavedFilters'
+
+type SaveMunicipalityFilterControlProps = {
+  /** The APPLIED state — a search still inside the debounce window is not in the URL yet. */
+  state: MunicipalityListState
+}
+
+/**
+ * Names the current recorte and keeps it in the sidebar (B18).
+ *
+ * Naming is confirmatory, so this is the explicit-submit exception
+ * `.cursor/rules/campanha-edit-where-you-see.mdc` already carves out for flows
+ * that need a note — and it keeps this control out of the auto-save machine the
+ * quick-edit cells share.
+ */
+export const SaveMunicipalityFilterControl = ({ state }: SaveMunicipalityFilterControlProps) => {
+  const savedFilters = useMunicipalitySavedFilters()
+  const [open, setOpen] = useState(false)
+  const [name, setName] = useState('')
+  const [errorMessage, setErrorMessage] = useState('')
+  const nameId = useId()
+  const errorId = `${nameId}-error`
+
+  const summary = formatMunicipalityActiveFiltersSummary(state)
+  const href = buildMunicipalitySavedFilterHref(state)
+  const existing = savedFilters.find((entry) => entry.href === href)
+
+  // The bare list has no recorte to name. This is the same gate the `Limpar`
+  // button uses, minus the draft search: only what the URL already holds can be
+  // bookmarked, or the name would describe a filter the href does not carry.
+  if (!summary) return null
+
+  const handleOpenChange = (next: boolean) => {
+    setOpen(next)
+    if (!next) return
+    setName(existing?.name ?? summary.slice(0, MAX_NAME_LENGTH))
+    setErrorMessage('')
+  }
+
+  const handleSubmit = (event: FormEvent<HTMLFormElement>) => {
+    event.preventDefault()
+    if (!name.trim()) {
+      setErrorMessage('Dê um nome ao filtro.')
+      return
+    }
+
+    const result = saveMunicipalitySavedFilter({ href, name })
+    if (result === 'limit') {
+      setErrorMessage(
+        `Você já tem ${MAX_ENTRIES} filtros salvos. Apague um em Municípios, na navegação, para salvar outro.`,
+      )
+      return
+    }
+    if (result === 'failed') {
+      setErrorMessage('Não foi possível salvar neste dispositivo. Tente de novo.')
+      return
+    }
+
+    setOpen(false)
+    toast.success(existing ? 'Nome atualizado.' : 'Filtro salvo em Municípios, na navegação.')
+  }
+
+  return (
+    <Popover open={open} onOpenChange={handleOpenChange}>
+      <PopoverTrigger asChild>
+        <Button
+          type="button"
+          variant="ghost"
+          className="min-h-11 shrink-0 md:self-end"
+          // SC 2.5.3: an accessible name has to CONTAIN the visible label, or
+          // "clique em Salvar filtro" matches nothing by voice. The rename case
+          // may add the target's name because it keeps the visible word first.
+          aria-label={existing ? `Renomear o filtro salvo ${existing.name}` : undefined}
+        >
+          <BookmarkPlusIcon aria-hidden="true" />
+          {existing ? 'Renomear' : 'Salvar filtro'}
+        </Button>
+      </PopoverTrigger>
+      {/* Radix gives the content `role="dialog"` and no name of its own. */}
+      <PopoverContent align="end" aria-label="Salvar filtro" className="w-80">
+        {/* Portaled out of the search form above, so this nests no form. */}
+        <form onSubmit={handleSubmit} className="flex flex-col gap-3">
+          <Field>
+            <FieldLabel htmlFor={nameId}>Nome do filtro</FieldLabel>
+            <Input
+              id={nameId}
+              value={name}
+              onChange={(event) => {
+                setName(event.target.value)
+                setErrorMessage('')
+              }}
+              maxLength={MAX_NAME_LENGTH}
+              autoComplete="off"
+              autoFocus
+              className="min-h-11"
+              aria-invalid={errorMessage ? true : undefined}
+              // `role="alert"` announces the refusal once; this is what tells a
+              // reader returning to the field WHY it is still invalid.
+              aria-describedby={errorMessage ? errorId : undefined}
+            />
+            <FieldDescription>{summary}</FieldDescription>
+          </Field>
+          {errorMessage ? (
+            <Alert variant="destructive" id={errorId}>
+              <AlertDescription>{errorMessage}</AlertDescription>
+            </Alert>
+          ) : null}
+          <Button type="submit" className="min-h-11 w-full">
+            {existing ? 'Atualizar nome' : 'Salvar'}
+          </Button>
+        </form>
+      </PopoverContent>
+    </Popover>
+  )
+}
diff --git a/src/components/campaign/shared/useMunicipalitySavedFilters.ts b/src/components/campaign/shared/useMunicipalitySavedFilters.ts
new file mode 100644
index 00000000..92d82304
--- /dev/null
+++ b/src/components/campaign/shared/useMunicipalitySavedFilters.ts
@@ -0,0 +1,28 @@
+'use client'
+
+import { useSyncExternalStore } from 'react'
+
+import {
+  listMunicipalitySavedFilters,
+  subscribeMunicipalitySavedFilters,
+  type MunicipalitySavedFilter,
+} from '@/utilities/municipalitySavedFilters'
+
+/**
+ * Stable reference for the render that has no `localStorage` to read. Returning
+ * a fresh `[]` here is the classic `useSyncExternalStore` render loop.
+ */
+const NO_SAVED_FILTERS: readonly MunicipalitySavedFilter[] = []
+
+/**
+ * The filter bar writes this store and the sidebar reads it, from trees that
+ * never meet — so both subscribe rather than lift state, and one write repaints
+ * both. Shared because the snapshot/subscribe pairing is exactly the thing that
+ * must not be written twice.
+ */
+export const useMunicipalitySavedFilters = (): readonly MunicipalitySavedFilter[] =>
+  useSyncExternalStore(
+    subscribeMunicipalitySavedFilters,
+    listMunicipalitySavedFilters,
+    () => NO_SAVED_FILTERS,
+  )
diff --git a/src/components/campaign/shell/CampaignSidebar.tsx b/src/components/campaign/shell/CampaignSidebar.tsx
index 97295726..e993b8cd 100644
--- a/src/components/campaign/shell/CampaignSidebar.tsx
+++ b/src/components/campaign/shell/CampaignSidebar.tsx
@@ -2,16 +2,18 @@
 
 import Link from 'next/link'
 import { usePathname } from 'next/navigation'
-import { useState, type FormEvent } from 'react'
+import { useState, type FormEvent, type ReactNode } from 'react'
 
 import { logoutCampaign } from '@/app/(campaign)/campanha/actions/auth'
 import { CampaignScopeBadge } from '@/components/campaign/shared/CampaignScopeBadge'
 import { CampaignUserAvatar } from '@/components/campaign/shared/CampaignUserAvatar'
 import { CampaignLogo } from '@/components/campaign/shell/campaign-logo'
+import { MunicipalityNavSavedFilters } from '@/components/campaign/shell/MunicipalityNavSavedFilters'
 import {
   getCampaignNav,
   getCampaignSecondaryNav,
   isCampaignNavActive,
+  MUNICIPALITY_NAV_HREF,
   type CampaignNavItem,
 } from '@/components/campaign/shell/nav'
 import { Button } from '@/components/ui/button'
@@ -31,6 +33,7 @@ import { Spinner } from '@/components/ui/Spinner'
 import { clearCampaignPwaCaches } from '@/utilities/campaignPwaClient'
 import type { CampaignUserShellView } from '@/utilities/campaignUserProfile'
 import { campaignRoleLabels } from '@/utilities/campaignUserProfile'
+import { clearMunicipalitySavedFilters } from '@/utilities/municipalitySavedFilters'
 import { clearRecentVisits } from '@/utilities/recentVisits'
 
 export type CampaignSidebarUser = CampaignUserShellView
@@ -39,18 +42,22 @@ const CampaignSidebarLink = ({
   item,
   isActive,
   onNavigate,
+  children,
 }: {
   item: CampaignNavItem
   isActive: boolean
   onNavigate: () => void
+  /** Row affordances that sit beside the link — B18's disclosure and sub-list. */
+  children?: ReactNode
 }) => (
   <SidebarMenuItem>
     <SidebarMenuButton asChild isActive={isActive}>
-      <Link href={item.href} onClick={onNavigate}>
+      <Link href={item.href} onClick={onNavigate} aria-current={isActive ? 'page' : undefined}>
         <item.icon />
         <span>{item.title}</span>
       </Link>
     </SidebarMenuButton>
+    {children}
   </SidebarMenuItem>
 )
 
@@ -69,6 +76,7 @@ export const CampaignSidebar = ({ user }: { user: CampaignSidebarUser }) => {
     if (isLoggingOut) return
     setIsLoggingOut(true)
     clearRecentVisits()
+    clearMunicipalitySavedFilters()
     await clearCampaignPwaCaches()
     // logoutCampaign redirects — no need to reset the pending flag on success.
     await logoutCampaign()
@@ -98,7 +106,11 @@ export const CampaignSidebar = ({ user }: { user: CampaignSidebarUser }) => {
                   item={item}
                   isActive={isCampaignNavActive(pathname, item.href)}
                   onNavigate={closeMobileSidebar}
-                />
+                >
+                  {item.href === MUNICIPALITY_NAV_HREF ? (
+                    <MunicipalityNavSavedFilters onNavigate={closeMobileSidebar} />
+                  ) : null}
+                </CampaignSidebarLink>
               ))}
             </SidebarMenu>
           </SidebarGroupContent>
diff --git a/src/components/campaign/shell/MunicipalityNavSavedFilters.tsx b/src/components/campaign/shell/MunicipalityNavSavedFilters.tsx
new file mode 100644
index 00000000..688f729d
--- /dev/null
+++ b/src/components/campaign/shell/MunicipalityNavSavedFilters.tsx
@@ -0,0 +1,151 @@
+'use client'
+
+import { ChevronRightIcon, Trash2Icon } from 'lucide-react'
+import Link from 'next/link'
+import { usePathname, useSearchParams } from 'next/navigation'
+import { useEffect, useId, useRef, useState } from 'react'
+import { toast } from 'sonner'
+
+import { useMunicipalitySavedFilters } from '@/components/campaign/shared/useMunicipalitySavedFilters'
+import {
+  SidebarMenuAction,
+  SidebarMenuSub,
+  SidebarMenuSubButton,
+  SidebarMenuSubItem,
+} from '@/components/ui/Sidebar'
+import { isSameListHref } from '@/lib/listQueryMatch'
+import {
+  readMunicipalitySavedFiltersOpen,
+  removeMunicipalitySavedFilter,
+  saveMunicipalitySavedFilter,
+  writeMunicipalitySavedFiltersOpen,
+  type MunicipalitySavedFilter,
+} from '@/utilities/municipalitySavedFilters'
+
+/** A page is a position inside a recorte, not part of it. */
+const IGNORED_PARAMS = ['page']
+
+/**
+ * The saved filters of `/campanha/municipios` (B18), hung under that nav item.
+ *
+ * Renders only the disclosure and the sub-list: the nav link above it stays the
+ * one `CampaignSidebarLink` every other item uses.
+ */
+export const MunicipalityNavSavedFilters = ({ onNavigate }: { onNavigate: () => void }) => {
+  const savedFilters = useMunicipalitySavedFilters()
+  const pathname = usePathname()
+  const searchParams = useSearchParams()
+  // Read once, not tracked: the store owns the list, this is only the
+  // disclosure, and the toggle already writes it back.
+  const [open, setOpen] = useState(readMunicipalitySavedFiltersOpen)
+  const listId = useId()
+  const disclosureRef = useRef<HTMLButtonElement>(null)
+
+  const query = searchParams.toString()
+  const currentHref = query ? `${pathname}?${query}` : pathname
+  const activeHref = savedFilters.find((entry) =>
+    isSameListHref(currentHref, entry.href, IGNORED_PARAMS),
+  )?.href
+
+  // Arriving at a saved filter reveals where you are, but only on a real
+  // navigation into one: opening on every mount would make the persisted
+  // preference unhonorable for whoever uses saved filters most, since they
+  // collapse the group, reload, and find it back. The trigger is the URL
+  // changing rather than `activeHref` appearing, because the store answers
+  // empty until the client has read `localStorage` — a match surfacing out of
+  // hydration would otherwise read as a navigation on every single load.
+  const previousHref = useRef(currentHref)
+  useEffect(() => {
+    const navigated = previousHref.current !== currentHref
+    previousHref.current = currentHref
+    if (navigated && activeHref) setOpen(true)
+  }, [currentHref, activeHref])
+
+  // No group until there is something in it — and nothing to hydrate either,
+  // since the store answers empty until the client reads `localStorage`.
+  if (!savedFilters.length) return null
+
+  const toggle = () => {
+    const next = !open
+    setOpen(next)
+    writeMunicipalitySavedFiltersOpen(next)
+  }
+
+  const handleRemove = (entry: MunicipalitySavedFilter) => {
+    // The button about to vanish is the one holding focus, which would drop to
+    // <body> and strand a keyboard user at the top of the page. Resolve the
+    // survivor BEFORE the removal: emptying the group unmounts this whole
+    // component, disclosure included, so the fallback has to be the nav link.
+    const disclosure = disclosureRef.current
+    const successor =
+      savedFilters.length > 1
+        ? disclosure
+        : disclosure?.closest('li')?.querySelector<HTMLElement>('a')
+
+    removeMunicipalitySavedFilter(entry.href)
+    successor?.focus()
+
+    // Undo instead of a confirmation: the entry restores to the same name and
+    // the same alphabetical slot, so the cheap path is reversal, not a prompt.
+    toast.success(`Filtro “${entry.name}” apagado.`, {
+      action: {
+        label: 'Desfazer',
+        onClick: () => {
+          if (saveMunicipalitySavedFilter(entry) !== 'saved') {
+            toast.error('Não foi possível restaurar o filtro.')
+          }
+        },
+      },
+    })
+  }
+
+  return (
+    <>
+      <SidebarMenuAction
+        ref={disclosureRef}
+        type="button"
+        aria-expanded={open}
+        aria-controls={listId}
+        aria-label={`${open ? 'Ocultar' : 'Mostrar'} os filtros salvos de Municípios`}
+        onClick={toggle}
+        className={open ? 'rotate-90' : undefined}
+      >
+        <ChevronRightIcon aria-hidden="true" />
+      </SidebarMenuAction>
+      {/* Always mounted so `aria-controls` always resolves; `hidden` wins over
+          the list's own `flex` through tailwind-merge. */}
+      <SidebarMenuSub
+        id={listId}
+        aria-label="Filtros salvos de Municípios"
+        className={open ? undefined : 'hidden'}
+      >
+        {savedFilters.map((entry) => {
+          const isActive = entry.href === activeHref
+
+          return (
+            <SidebarMenuSubItem key={entry.href}>
+              <SidebarMenuSubButton asChild isActive={isActive}>
+                <Link
+                  href={entry.href}
+                  onClick={onNavigate}
+                  aria-current={isActive ? 'page' : undefined}
+                  title={entry.name}
+                >
+                  <span>{entry.name}</span>
+                </Link>
+              </SidebarMenuSubButton>
+              <SidebarMenuAction
+                type="button"
+                onClick={() => handleRemove(entry)}
+                aria-label={`Apagar o filtro salvo ${entry.name}`}
+                className="top-1 group-focus-within/menu-sub-item:opacity-100 group-hover/menu-sub-item:opacity-100 md:opacity-0"
+              >
+                <Trash2Icon aria-hidden="true" />
+              </SidebarMenuAction>
+            </SidebarMenuSubItem>
+          )
+        })}
+      </SidebarMenuSub>
+    </>
+  )
+}
diff --git a/src/components/campaign/shell/nav.ts b/src/components/campaign/shell/nav.ts
index 027f2f13..11cb2a15 100644
--- a/src/components/campaign/shell/nav.ts
+++ b/src/components/campaign/shell/nav.ts
@@ -22,9 +22,16 @@ export type CampaignNavItem = {
   icon: LucideIcon
 }
 
+/**
+ * Named because the sidebar has to recognize this one item to hang B18's saved
+ * filters under it, and a third spelling that silently no-ops when it drifts is
+ * the failure mode this codebase keeps paying for.
+ */
+export const MUNICIPALITY_NAV_HREF = '/campanha/municipios'
+
 const staffNav: CampaignNavItem[] = [
   { title: 'Início', href: '/campanha', icon: HomeIcon },
-  { title: 'Municípios', href: '/campanha/municipios', icon: MapPinIcon },
+  { title: 'Municípios', href: MUNICIPALITY_NAV_HREF, icon: MapPinIcon },
   { title: 'Territórios', href: '/campanha/territorios', icon: MapIcon },
   { title: 'Lideranças', href: '/campanha/liderancas', icon: HandshakeIcon },
   { title: 'Dobradinhas', href: '/campanha/dobradinhas', icon: Users2Icon },
diff --git a/src/components/ui/Sidebar.tsx b/src/components/ui/Sidebar.tsx
index 553c684e..d99d82dd 100644
--- a/src/components/ui/Sidebar.tsx
+++ b/src/components/ui/Sidebar.tsx
@@ -391,7 +391,10 @@ const SidebarMenuButton = ({
       data-slot="sidebar-menu-button"
       data-sidebar="menu-button"
       data-size={size}
-      data-active={isActive}
+      // Absent, not `"false"`: Tailwind compiles `data-active:` to the bare
+      // `[data-active]`, and React renders `data-active={false}` as the string
+      // `"false"` — which matches it. Every row was wearing the active accent.
+      data-active={isActive || undefined}
       className={cn(sidebarMenuButtonVariants({ variant, size }), className)}
       {...props}
     />
@@ -420,6 +423,90 @@ const SidebarMenuButton = ({
   )
 }
 
+/**
+ * Re-added from upstream shadcn for B18 (the kit had been pruned of all four
+ * submenu pieces). Two deliberate deviations, both load-bearing:
+ *
+ * - upstream's `showOnHover` prop is not here — the only caller reveals its
+ *   action against the SUB-item group, and `group-hover/menu-item` would leak
+ *   from the parent row, revealing every child's action at once;
+ * - the mobile hit-area expansion is not `md:`-gated. A 20 px visible target on
+ *   a pointer device is still a 20 px target (SC 2.5.8 has no mouse exemption),
+ *   which is the call B34 already made for the chip "×".
+ */
+const SidebarMenuAction = ({
+  className,
+  asChild = false,
+  ...props
+}: React.ComponentProps<'button'> & {
+  asChild?: boolean
+}) => {
+  const Comp = asChild ? Slot.Root : 'button'
+
+  return (
+    <Comp
+      data-slot="sidebar-menu-action"
+      data-sidebar="menu-action"
+      className={cn(
+        'absolute top-1.5 right-1 flex aspect-square w-5 items-center justify-center rounded-md p-0 text-sidebar-foreground ring-sidebar-ring outline-hidden transition-transform after:absolute after:-inset-2 peer-hover/menu-button:text-sidebar-accent-foreground peer-data-[size=default]/menu-button:top-1.5 peer-data-[size=lg]/menu-button:top-2.5 peer-data-[size=sm]/menu-button:top-1 peer-data-active/menu-button:text-sidebar-accent-foreground group-data-[collapsible=icon]:hidden hover:bg-sidebar-accent hover:text-sidebar-accent-foreground focus-visible:ring-2 [&>svg]:size-4 [&>svg]:shrink-0',
+        className,
+      )}
+      {...props}
+    />
+  )
+}
+
+const SidebarMenuSub = ({ className, ...props }: React.ComponentProps<'ul'>) => (
+  <ul
+    data-slot="sidebar-menu-sub"
+    data-sidebar="menu-sub"
+    className={cn(
+      'mx-3.5 flex min-w-0 translate-x-px list-none flex-col gap-0 border-l border-sidebar-border px-2.5 py-0.5 group-data-[collapsible=icon]:hidden',
+      className,
+    )}
+    {...props}
+  />
+)
+
+const SidebarMenuSubItem = ({ className, ...props }: React.ComponentProps<'li'>) => (
+  <li
+    data-slot="sidebar-menu-sub-item"
+    data-sidebar="menu-sub-item"
+    className={cn('group/menu-sub-item relative', className)}
+    {...props}
+  />
+)
+
+const SidebarMenuSubButton = ({
+  asChild = false,
+  size = 'md',
+  isActive = false,
+  className,
+  ...props
+}: React.ComponentProps<'a'> & {
+  asChild?: boolean
+  size?: 'sm' | 'md'
+  isActive?: boolean
+}) => {
+  const Comp = asChild ? Slot.Root : 'a'
+
+  return (
+    <Comp
+      data-slot="sidebar-menu-sub-button"
+      data-sidebar="menu-sub-button"
+      data-size={size}
+      data-active={isActive || undefined}
+      className={cn(
+        'flex h-7 min-w-0 -translate-x-px items-center gap-2 overflow-hidden rounded-md px-2 text-sidebar-foreground ring-sidebar-ring outline-hidden group-has-data-[sidebar=menu-action]/menu-sub-item:pr-8 group-data-[collapsible=icon]:hidden hover:bg-sidebar-accent hover:text-sidebar-accent-foreground focus-visible:ring-2 active:bg-sidebar-accent active:text-sidebar-accent-foreground disabled:pointer-events-none disabled:opacity-50 aria-disabled:pointer-events-none aria-disabled:opacity-50 data-active:bg-sidebar-accent data-active:font-medium data-active:text-sidebar-accent-foreground [&>span:last-child]:truncate [&>svg]:size-4 [&>svg]:shrink-0',
+        size === 'sm' && 'text-xs',
+        size === 'md' && 'text-sm',
+        className,
+      )}
+      {...props}
+    />
+  )
+}
+
 export {
   Sidebar,
   SidebarContent,
@@ -429,8 +516,12 @@ export {
   SidebarHeader,
   SidebarInset,
   SidebarMenu,
+  SidebarMenuAction,
   SidebarMenuButton,
   SidebarMenuItem,
+  SidebarMenuSub,
+  SidebarMenuSubButton,
+  SidebarMenuSubItem,
   SidebarProvider,
   SidebarTrigger,
   useSidebar,
diff --git a/src/lib/listQueryMatch.ts b/src/lib/listQueryMatch.ts
new file mode 100644
index 00000000..78b74364
--- /dev/null
+++ b/src/lib/listQueryMatch.ts
@@ -0,0 +1,46 @@
+/**
+ * Whether two list hrefs point at the same recorte.
+ *
+ * This exists as string comparison rather than a re-serialization through the
+ * domain's canonical builder because its caller is the campaign sidebar, which
+ * lives in the `(app)` layout and therefore ships on the First Load JS of every
+ * `/campanha` route: importing `buildMunicipalityListHref` there would drag
+ * `bahiaTerritories` + `municipalityCatalog` along with it (~21 kB, measured in
+ * B14).
+ */
+
+const HREF_BASE = 'https://list-query-match.invalid'
+
+const parseHref = (href: string): { pathname: string; search: URLSearchParams } | null => {
+  try {
+    // A base makes relative hrefs parseable and normalizes percent-encoding on
+    // both sides, so `?q=ita%C3%BAna` and `?q=itaúna` are the same recorte.
+    const url = new URL(href, HREF_BASE)
+    return { pathname: url.pathname, search: url.searchParams }
+  } catch {
+    return null
+  }
+}
+
+const queryKey = (search: URLSearchParams, ignoredParams: readonly string[]): string => {
+  const pairs: string[] = []
+  for (const [name, value] of search) {
+    if (ignoredParams.includes(name)) continue
+    pairs.push(`${name}=${value}`)
+  }
+  // Sorted so param order never decides the answer, and repeated params
+  // (`?region=A&region=B`) compare as the set they encode.
+  return pairs.sort().join('&')
+}
+
+export const isSameListHref = (
+  left: string,
+  right: string,
+  ignoredParams: readonly string[] = [],
+): boolean => {
+  const parsedLeft = parseHref(left)
+  const parsedRight = parseHref(right)
+  if (!parsedLeft || !parsedRight) return false
+  if (parsedLeft.pathname !== parsedRight.pathname) return false
+  return queryKey(parsedLeft.search, ignoredParams) === queryKey(parsedRight.search, ignoredParams)
+}
diff --git a/src/utilities/municipalityListFilters.ts b/src/utilities/municipalityListFilters.ts
index a8547d3f..4ff50dea 100644
--- a/src/utilities/municipalityListFilters.ts
+++ b/src/utilities/municipalityListFilters.ts
@@ -407,3 +407,11 @@ export const buildMunicipalityListVisitLabel = (state: MunicipalityListState): s
 
 export const buildMunicipalityListVisitHref = (state: MunicipalityListState): string =>
   buildMunicipalityListHref(state, 1)
+
+/**
+ * The href a saved filter (B18) bookmarks: the visit href minus `compare`, which
+ * is the Início map's comparison lens rather than a recorte of this list, and
+ * which the list's param set only carries so a hand-typed URL survives.
+ */
+export const buildMunicipalitySavedFilterHref = (state: MunicipalityListState): string =>
+  buildMunicipalityListHref({ ...state, compare: undefined }, 1)
diff --git a/src/utilities/municipalitySavedFilters.ts b/src/utilities/municipalitySavedFilters.ts
new file mode 100644
index 00000000..07671d6d
--- /dev/null
+++ b/src/utilities/municipalitySavedFilters.ts
@@ -0,0 +1,177 @@
+/**
+ * Named bookmarks of the municipality list URL (B18).
+ *
+ * Device-local on purpose: a nav shortcut never has to reach the RSC render, so
+ * this is `localStorage` — the same call `recentVisits.ts` made, and unlike
+ * B17's column cookie, which the server reads to filter columns.
+ *
+ * The canonical href IS the identity. One shortcut per recorte, so re-saving a
+ * slice that is already stored renames it instead of growing a second submenu
+ * row that navigates to the same place.
+ */
+
+export const STORAGE_KEY = 'teqo:campaign:municipality-saved-filters'
+
+/**
+ * A named bookmark is not a history entry: at the cap the save is refused with
+ * a reason instead of silently evicting something the user deliberately named
+ * (which is what `recentVisits`'s `slice` does, correctly, for dwell history).
+ */
+export const MAX_ENTRIES = 12
+
+export const MAX_NAME_LENGTH = 60
+
+/**
+ * Two islands share this store — the filter bar writes it, the sidebar reads it
+ * — and they never share a React tree, so a write has to announce itself. The
+ * native `storage` event covers other tabs and deliberately does not fire in the
+ * tab that wrote, which is exactly the half this event adds.
+ */
+const CHANGE_EVENT = 'teqo:campaign:municipality-saved-filters-change'
+
+export type MunicipalitySavedFilter = {
+  /** Canonical list href (page 1, no `compare`) — also the entry's identity. */
+  href: string
+  name: string
+}
+
+export type SaveMunicipalitySavedFilterResult = 'saved' | 'limit' | 'failed'
+
+const EMPTY: readonly MunicipalitySavedFilter[] = Object.freeze([])
+
+/**
+ * `useSyncExternalStore` compares snapshots by reference, so parsing storage on
+ * every `getSnapshot` call would render forever. The cache is dropped by every
+ * write and by a `storage` event from another tab.
+ */
+let snapshot: readonly MunicipalitySavedFilter[] | null = null
+
+const isMunicipalitySavedFilter = (value: unknown): value is MunicipalitySavedFilter => {
+  if (!value || typeof value !== 'object') return false
+  const entry = value as Record<string, unknown>
+  return (
+    typeof entry.href === 'string' &&
+    entry.href.startsWith('/campanha/municipios') &&
+    typeof entry.name === 'string' &&
+    entry.name.trim().length > 0
+  )
+}
+
+/**
+ * Alphabetical, not by recency: a named shortcut that reorders itself under the
+ * cursor every time it is re-saved is a nav bug. Recency is Visitados' job.
+ */
+const byName = (left: MunicipalitySavedFilter, right: MunicipalitySavedFilter): number =>
+  left.name.localeCompare(right.name, 'pt-BR')
+
+const read = (): readonly MunicipalitySavedFilter[] => {
+  try {
+    const raw = localStorage.getItem(STORAGE_KEY)
+    if (!raw) return EMPTY
+    const parsed: unknown = JSON.parse(raw)
+    if (!Array.isArray(parsed)) return EMPTY
+    const seen = new Set<string>()
+    const entries = parsed.filter(isMunicipalitySavedFilter).filter((entry) => {
+      if (seen.has(entry.href)) return false
+      seen.add(entry.href)
+      return true
+    })
+    return entries.length ? entries.slice(0, MAX_ENTRIES).sort(byName) : EMPTY
+  } catch {
+    return EMPTY
+  }
+}
+
+export const listMunicipalitySavedFilters = (): readonly MunicipalitySavedFilter[] => {
+  if (typeof window === 'undefined') return EMPTY
+  snapshot ??= read()
+  return snapshot
+}
+
+const write = (entries: readonly MunicipalitySavedFilter[]): boolean => {
+  let persisted = true
+  try {
+    if (entries.length) localStorage.setItem(STORAGE_KEY, JSON.stringify(entries))
+    else localStorage.removeItem(STORAGE_KEY)
+  } catch {
+    // Quota or private mode. Readers are told to re-read either way, so the
+    // submenu shows what actually persisted rather than a save that did not.
+    persisted = false
+  }
+  snapshot = null
+  window.dispatchEvent(new Event(CHANGE_EVENT))
+  return persisted
+}
+
+export const saveMunicipalitySavedFilter = (
+  entry: MunicipalitySavedFilter,
+): SaveMunicipalitySavedFilterResult => {
+  if (typeof window === 'undefined') return 'failed'
+  const name = entry.name.trim().slice(0, MAX_NAME_LENGTH)
+  if (!name) return 'failed'
+  const others = listMunicipalitySavedFilters().filter((item) => item.href !== entry.href)
+  // Renaming at the cap has to keep working, which is why the ceiling is checked
+  // against the OTHER entries and not against the stored length.
+  if (others.length >= MAX_ENTRIES) return 'limit'
+  return write([...others, { href: entry.href, name }].sort(byName)) ? 'saved' : 'failed'
+}
+
+export const removeMunicipalitySavedFilter = (href: string): void => {
+  if (typeof window === 'undefined') return
+  const existing = listMunicipalitySavedFilters()
+  const next = existing.filter((item) => item.href !== href)
+  if (next.length === existing.length) return
+  write(next)
+}
+
+export const clearMunicipalitySavedFilters = (): void => {
+  if (typeof window === 'undefined') return
+  try {
+    localStorage.removeItem(OPEN_STORAGE_KEY)
+  } catch {
+    // Same reason as below: the preference is a nicety.
+  }
+  write([])
+}
+
+const OPEN_STORAGE_KEY = 'teqo:campaign:municipality-saved-filters-open'
+
+/**
+ * The submenu's disclosure. Open by default — a shortcut nobody can see is a
+ * shortcut nobody uses, and the group only exists once something is in it.
+ */
+export const readMunicipalitySavedFiltersOpen = (): boolean => {
+  if (typeof window === 'undefined') return true
+  try {
+    return localStorage.getItem(OPEN_STORAGE_KEY) !== 'false'
+  } catch {
+    return true
+  }
+}
+
+export const writeMunicipalitySavedFiltersOpen = (open: boolean): void => {
+  if (typeof window === 'undefined') return
+  try {
+    localStorage.setItem(OPEN_STORAGE_KEY, open ? 'true' : 'false')
+  } catch {
+    // A remembered disclosure is a nicety; a full quota must not break the
+    // toggle itself, which works from React state either way.
+  }
+}
+
+export const subscribeMunicipalitySavedFilters = (onChange: () => void): (() => void) => {
+  if (typeof window === 'undefined') return () => {}
+  const handleChange = (event: Event) => {
+    // `storage` fires for every key in the origin (recent visits, biometrics
+    // flags); a null key means the whole store was cleared.
+    if (event instanceof StorageEvent && event.key !== null && event.key !== STORAGE_KEY) return
+    snapshot = null
+    onChange()
+  }
+  window.addEventListener(CHANGE_EVENT, handleChange)
+  window.addEventListener('storage', handleChange)
+  return () => {
+    window.removeEventListener(CHANGE_EVENT, handleChange)
+    window.removeEventListener('storage', handleChange)
+  }
+}
diff --git a/tests/e2e/campaignSavedFilters.e2e.spec.ts b/tests/e2e/campaignSavedFilters.e2e.spec.ts
new file mode 100644
index 00000000..f8adb729
--- /dev/null
+++ b/tests/e2e/campaignSavedFilters.e2e.spec.ts
@@ -0,0 +1,142 @@
+import { expect, test } from './fixtures/campaignE2EFixtures.js'
+
+/**
+ * B18 — a named recorte of `/campanha/municipios` becomes a sidebar shortcut.
+ *
+ * Own file for the same reason B17 took one: `campaignMunicipalities.e2e.spec.ts`
+ * carries deterministic failures at one worker, ledgered as P1, and a red run
+ * there must not be read as a regression here.
+ */
+
+/** 416 whole municipalities — deep enough that `?page=2` is a real page. */
+const SAVED_RECORTE = '/campanha/municipios?kind=municipio'
+
+const SAVED_NAME = 'Recorte do teste'
+const RENAMED = 'Recorte renomeado'
+
+/**
+ * A route transition on this list costs a full RSC round-trip, and in dev the
+ * suite's two workers share one server — which overruns the 5 s default of
+ * `expect` and produces a flake nobody reproduces at one worker. Same budget,
+ * for the same reason, as `campaignColumnPicker.e2e.spec.ts`.
+ */
+const NAVIGATION = { timeout: 20_000 }
+
+test.describe('Filtros salvos de Municípios', () => {
+  test('saves the current recorte, restores it from the sidebar and deletes it', async ({
+    campaign,
+    page,
+  }) => {
+    test.slow()
+
+    const { fixtures } = campaign
+    const password = fixtures.value('senha')
+    const email = `${fixtures.value('filtros-coordinator')}@example.com`
+    await campaign.payload.create({
+      collection: 'campaignUser',
+      data: {
+        name: fixtures.value('Coordenadora Filtros'),
+        email,
+        password,
+        role: 'coordinator',
+      },
+      depth: 0,
+    })
+
+    await campaign.login(page, email, password)
+
+    // The bare list has no recorte to name.
+    await page.goto('/campanha/municipios')
+    await expect(page.getByRole('button', { name: 'Salvar filtro', exact: true })).toHaveCount(0)
+
+    await page.goto(SAVED_RECORTE)
+    await page.getByRole('button', { name: 'Salvar filtro', exact: true }).click()
+    const nameInput = page.getByLabel('Nome do filtro')
+    // The suggested name is the active-filters summary the bar already shows.
+    await expect(nameInput).not.toHaveValue('')
+    await nameInput.fill(SAVED_NAME)
+    await page.getByRole('button', { name: 'Salvar', exact: true }).click()
+
+    const shortcut = page.getByRole('link', { name: SAVED_NAME })
+    await expect(shortcut).toBeVisible()
+    await expect(shortcut).toHaveAttribute('aria-current', 'page')
+
+    // A page is a position inside the recorte, not part of it.
+    await page.goto(`${SAVED_RECORTE}&page=2`)
+    await expect(shortcut).toHaveAttribute('aria-current', 'page')
+
+    // Another recorte is not this one, and the shortcut brings it back.
+    await page.goto('/campanha/municipios')
+    await expect(shortcut).not.toHaveAttribute('aria-current', 'page')
+    await shortcut.click()
+    await expect(page).toHaveURL(SAVED_RECORTE, NAVIGATION)
+    await expect(shortcut).toHaveAttribute('aria-current', 'page', NAVIGATION)
+
+    // Saving a recorte already bookmarked renames it instead of adding a twin.
+    await page.getByRole('button', { name: `Renomear o filtro salvo ${SAVED_NAME}` }).click()
+    await expect(page.getByLabel('Nome do filtro')).toHaveValue(SAVED_NAME)
+    await page.getByLabel('Nome do filtro').fill(RENAMED)
+    await page.getByRole('button', { name: 'Atualizar nome' }).click()
+    await expect(page.getByRole('link', { name: RENAMED })).toBeVisible()
+    await expect(shortcut).toHaveCount(0)
+
+    const remove = page.getByRole('button', { name: `Apagar o filtro salvo ${RENAMED}` })
+    await remove.click()
+    await expect(page.getByRole('link', { name: RENAMED })).toHaveCount(0)
+    // Emptying the group unmounts the disclosure too, so focus lands on the
+    // nav link rather than falling to <body>.
+    await expect(page.getByRole('link', { name: 'Municípios', exact: true })).toBeFocused()
+
+    // Deleting is undoable, which is why it never asks for confirmation.
+    await page.getByRole('button', { name: 'Desfazer' }).click()
+    await expect(page.getByRole('link', { name: RENAMED })).toBeVisible()
+  })
+
+  test('survives a reload and hides the shortcuts behind the disclosure', async ({
+    campaign,
+    page,
+  }) => {
+    // Three loads of a heavy list route, against a dev server shared with the
+    // other worker — the login redirect alone can outrun the 30 s default.
+    test.slow()
+
+    const { fixtures } = campaign
+    const password = fixtures.value('senha')
+    const email = `${fixtures.value('filtros-disclosure')}@example.com`
+    await campaign.payload.create({
+      collection: 'campaignUser',
+      data: {
+        name: fixtures.value('Coordenadora Disclosure'),
+        email,
+        password,
+        role: 'coordinator',
+      },
+      depth: 0,
+    })
+
+    await campaign.login(page, email, password)
+    await page.goto(SAVED_RECORTE)
+    await page.getByRole('button', { name: 'Salvar filtro', exact: true }).click()
+    await page.getByLabel('Nome do filtro').fill(SAVED_NAME)
+    await page.getByRole('button', { name: 'Salvar', exact: true }).click()
+
+    const shortcut = page.getByRole('link', { name: SAVED_NAME })
+    await expect(shortcut).toBeVisible()
+
+    await page.reload()
+    await expect(shortcut).toBeVisible(NAVIGATION)
+
+    await page
+      .getByRole('button', { name: 'Ocultar os filtros salvos de Municípios' })
+      .click(NAVIGATION)
+    await expect(shortcut).toBeHidden()
+
+    // The collapsed disclosure is remembered across a reload.
+    await page.reload()
+    await expect(page.getByRole('link', { name: SAVED_NAME })).toBeHidden(NAVIGATION)
+    await page
+      .getByRole('button', { name: 'Mostrar os filtros salvos de Municípios' })
+      .click(NAVIGATION)
+    await expect(page.getByRole('link', { name: SAVED_NAME })).toBeVisible()
+  })
+})
diff --git a/tests/unit/listQueryMatch.unit.spec.ts b/tests/unit/listQueryMatch.unit.spec.ts
new file mode 100644
index 00000000..f3571300
--- /dev/null
+++ b/tests/unit/listQueryMatch.unit.spec.ts
@@ -0,0 +1,65 @@
+import { describe, expect, it } from 'vitest'
+
+import { isSameListHref } from '@/lib/listQueryMatch'
+
+describe('isSameListHref', () => {
+  it('ignores param order', () => {
+    expect(
+      isSameListHref(
+        '/campanha/municipios?priority=alta&region=Sert%C3%A3o%20Produtivo',
+        '/campanha/municipios?region=Sert%C3%A3o%20Produtivo&priority=alta',
+      ),
+    ).toBe(true)
+  })
+
+  it('compares repeated params as the set they encode', () => {
+    expect(
+      isSameListHref(
+        '/campanha/municipios?level=n3&level=n4',
+        '/campanha/municipios?level=n4&level=n3',
+      ),
+    ).toBe(true)
+    expect(
+      isSameListHref('/campanha/municipios?level=n3&level=n4', '/campanha/municipios?level=n3'),
+    ).toBe(false)
+  })
+
+  it('normalizes percent-encoding on both sides', () => {
+    expect(
+      isSameListHref('/campanha/municipios?q=ita%C3%BAna', '/campanha/municipios?q=itaúna'),
+    ).toBe(true)
+  })
+
+  it('ignores the params it is told to ignore, so page 3 of a saved filter still matches', () => {
+    expect(
+      isSameListHref(
+        '/campanha/municipios?priority=alta&page=3',
+        '/campanha/municipios?priority=alta',
+        ['page'],
+      ),
+    ).toBe(true)
+    expect(
+      isSameListHref(
+        '/campanha/municipios?priority=alta&page=3',
+        '/campanha/municipios?priority=alta',
+      ),
+    ).toBe(false)
+  })
+
+  it('does not match a different recorte or a different path', () => {
+    expect(
+      isSameListHref(
+        '/campanha/municipios?priority=alta',
+        '/campanha/municipios?priority=alta&kind=zona',
+      ),
+    ).toBe(false)
+    expect(isSameListHref('/campanha/municipios', '/campanha/territorios')).toBe(false)
+  })
+
+  it('matches the bare list against itself', () => {
+    expect(isSameListHref('/campanha/municipios', '/campanha/municipios')).toBe(true)
+    expect(isSameListHref('/campanha/municipios', '/campanha/municipios?page=2', ['page'])).toBe(
+      true,
+    )
+  })
+})
diff --git a/tests/unit/municipalitySavedFilters.unit.spec.ts b/tests/unit/municipalitySavedFilters.unit.spec.ts
new file mode 100644
index 00000000..bcd0e91a
--- /dev/null
+++ b/tests/unit/municipalitySavedFilters.unit.spec.ts
@@ -0,0 +1,134 @@
+import { afterEach, describe, expect, it, vi } from 'vitest'
+
+import {
+  clearMunicipalitySavedFilters,
+  listMunicipalitySavedFilters,
+  MAX_ENTRIES,
+  MAX_NAME_LENGTH,
+  removeMunicipalitySavedFilter,
+  saveMunicipalitySavedFilter,
+  STORAGE_KEY,
+} from '@/utilities/municipalitySavedFilters'
+
+const hrefFor = (index: number) => `/campanha/municipios?q=recorte-${index}`
+
+describe('municipalitySavedFilters storage', () => {
+  afterEach(() => {
+    clearMunicipalitySavedFilters()
+    localStorage.clear()
+  })
+
+  it('returns an empty list when storage is missing or invalid', () => {
+    expect(listMunicipalitySavedFilters()).toEqual([])
+    localStorage.setItem(STORAGE_KEY, 'not-json')
+    expect(listMunicipalitySavedFilters()).toEqual([])
+    localStorage.setItem(STORAGE_KEY, JSON.stringify({ href: '/campanha/municipios' }))
+    expect(listMunicipalitySavedFilters()).toEqual([])
+  })
+
+  it('drops persisted entries with a foreign href or a blank name', () => {
+    localStorage.setItem(
+      STORAGE_KEY,
+      JSON.stringify([
+        { href: '/campanha/municipios?priority=alta', name: 'Prioritárias' },
+        { href: '/campanha/liderancas?q=x', name: 'Outra lista' },
+        { href: '/campanha/municipios?kind=zona', name: '   ' },
+      ]),
+    )
+
+    expect(listMunicipalitySavedFilters()).toEqual([
+      { href: '/campanha/municipios?priority=alta', name: 'Prioritárias' },
+    ])
+  })
+
+  it('sorts alphabetically so a re-save never reorders the submenu', () => {
+    saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Zona da Mata' })
+    saveMunicipalitySavedFilter({ href: hrefFor(2), name: 'Àgua Fria' })
+    saveMunicipalitySavedFilter({ href: hrefFor(3), name: 'Metropolitano' })
+
+    expect(listMunicipalitySavedFilters().map((entry) => entry.name)).toEqual([
+      'Àgua Fria',
+      'Metropolitano',
+      'Zona da Mata',
+    ])
+  })
+
+  it('renames instead of duplicating when the same recorte is saved again', () => {
+    saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Primeiro nome' })
+    expect(saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Segundo nome' })).toBe('saved')
+
+    expect(listMunicipalitySavedFilters()).toEqual([{ href: hrefFor(1), name: 'Segundo nome' }])
+  })
+
+  it('trims and caps the name', () => {
+    saveMunicipalitySavedFilter({
+      href: hrefFor(1),
+      name: `  ${'a'.repeat(MAX_NAME_LENGTH + 10)}  `,
+    })
+
+    expect(listMunicipalitySavedFilters()[0]?.name).toBe('a'.repeat(MAX_NAME_LENGTH))
+  })
+
+  it('refuses a blank name', () => {
+    expect(saveMunicipalitySavedFilter({ href: hrefFor(1), name: '   ' })).toBe('failed')
+    expect(listMunicipalitySavedFilters()).toEqual([])
+  })
+
+  it('refuses a new entry at the cap instead of evicting a named one', () => {
+    for (let index = 0; index < MAX_ENTRIES; index += 1) {
+      expect(saveMunicipalitySavedFilter({ href: hrefFor(index), name: `Recorte ${index}` })).toBe(
+        'saved',
+      )
+    }
+
+    expect(saveMunicipalitySavedFilter({ href: hrefFor(99), name: 'Um a mais' })).toBe('limit')
+    expect(listMunicipalitySavedFilters()).toHaveLength(MAX_ENTRIES)
+    expect(listMunicipalitySavedFilters().some((entry) => entry.name === 'Um a mais')).toBe(false)
+  })
+
+  it('still renames an existing entry at the cap', () => {
+    for (let index = 0; index < MAX_ENTRIES; index += 1) {
+      saveMunicipalitySavedFilter({ href: hrefFor(index), name: `Recorte ${index}` })
+    }
+
+    expect(saveMunicipalitySavedFilter({ href: hrefFor(0), name: 'Renomeado no teto' })).toBe(
+      'saved',
+    )
+    expect(listMunicipalitySavedFilters()).toHaveLength(MAX_ENTRIES)
+    expect(listMunicipalitySavedFilters().some((entry) => entry.name === 'Renomeado no teto')).toBe(
+      true,
+    )
+  })
+
+  it('reports a failed write when storage refuses it', () => {
+    const setItem = vi.spyOn(Storage.prototype, 'setItem').mockImplementation(() => {
+      throw new Error('QuotaExceededError')
+    })
+
+    expect(saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Sem espaço' })).toBe('failed')
+    setItem.mockRestore()
+    expect(listMunicipalitySavedFilters()).toEqual([])
+  })
+
+  it('removes by href and clears everything', () => {
+    saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Um' })
+    saveMunicipalitySavedFilter({ href: hrefFor(2), name: 'Dois' })
+
+    removeMunicipalitySavedFilter(hrefFor(1))
+    expect(listMunicipalitySavedFilters()).toEqual([{ href: hrefFor(2), name: 'Dois' }])
+
+    clearMunicipalitySavedFilters()
+    expect(listMunicipalitySavedFilters()).toEqual([])
+    expect(localStorage.getItem(STORAGE_KEY)).toBeNull()
+  })
+
+  it('serves a stable snapshot reference until a write invalidates it', () => {
+    saveMunicipalitySavedFilter({ href: hrefFor(1), name: 'Um' })
+    const first = listMunicipalitySavedFilters()
+
+    expect(listMunicipalitySavedFilters()).toBe(first)
+
+    saveMunicipalitySavedFilter({ href: hrefFor(2), name: 'Dois' })
+    expect(listMunicipalitySavedFilters()).not.toBe(first)
+  })
+})