Automação que para sozinha antes de causar estrago

Uma automação sobre biblioteca não oficial vai falhar; a pergunta é como. A falha ruim é a silenciosa: o script insiste depois de um CAPTCHA, repete uma geração que já estava na fila, consome o limite da semana em erros ou publica uma peça que ninguém conferiu. A falha boa para cedo, deixa registro do ponto onde parou e permite retomar sem refazer o que já deu certo.

Este capítulo monta as travas que transformam a primeira na segunda: o kill switch, o circuit breaker, o job idempotente com retomada, o contador defensivo de limite e o plano manual pela interface web para quando a biblioteca quebrar. Tudo isso fica preso a quatro regras de conduta que não se negociam: uma conta, nenhuma simulação de pessoa, nenhum contorno de limite e nenhuma publicação sem aprovação humana. No fim você terá um roteiro de execução escrito, com as travas na ordem certa e o caminho manual pronto para usar.

Três termos novos. Kill switch é a parada total da automação, acionada no primeiro sinal de que a conta está sob suspeita: CAPTCHA, alerta de login, desafio antifraude, redirecionamento inesperado ou pedido novo de consentimento. Ele não conta tentativas; um sinal basta, e só uma pessoa religa. Circuit breaker é um disjuntor por categoria de erro: conta falhas seguidas e, ao chegar ao limiar, abre o circuito e bloqueia aquela categoria até alguém investigar. No caso real o limiar padrão é de três falhas consecutivas.

Job idempotente é uma tarefa identificada por uma chave fixa, de modo que pedir a mesma tarefa duas vezes devolve o mesmo job em vez de criar outro. Junto com um registro do estado de cada etapa, isso permite retomar do primeiro passo pendente depois de uma falha, sem gerar de novo o que já estava pronto e sem gastar limite outra vez.

O contador defensivo depende do tipo de conta. Onde existe teto diário publicado (Workspace, Education e Enterprise), o caso usa duas proteções. A primeira é parar um abaixo do teto: numa edição com três Audio Overviews por dia, a automação para no segundo e deixa o terceiro para uma necessidade humana; com 20 por dia, para em 19. O contador vive na sua máquina, conta cada tentativa e usa, por precaução, uma janela móvel de 24 horas; ela não representa necessariamente o momento exato em que o Google renova a cota. A segunda é a guarda contra fila dupla: antes de disparar, conferir se já há uma peça do mesmo tipo em andamento, porque, segundo o registro do caso, um segundo disparo pode enfileirar um job silencioso e gastar limite; no caso, o Cinematic divide a fila com o vídeo comum. Quando o teto bate, a peça entra na fila do próprio fluxo para depois da renovação. Essa fila vive no seu fluxo e no seu manifesto; o Google não guarda pedidos adiados por você.

Em conta pessoal não há teto diário por recurso desde 02/09/2026: o limite é por computação, renovado a cada cinco horas até um teto semanal. Ali, teto menos um não tem número para subtrair. Mantenha a guarda contra fila dupla, que vale em qualquer conta, confira Configurações > Uso antes de cada lote e use Generate later quando o limite acabar. Em todos os casos, os números ficam num arquivo de configuração com a data da fonte, nunca escritos no código.

Exemplo resolvido, do caso real. Nos ciclos de 03/09 e 21/09/2026, a esteira GEO-Pesquisador precisava entregar vídeos e podcasts de aulas de um portal de cursos e, nos dois, encontrou a sessão da biblioteca expirada. Decisão 1: não insistir pela biblioteca nem tentar renovar a sessão por automação; o sinal era de sessão, e sessão se resolve com login humano. Decisão 2: acionar o plano manual e gerar as peças pela interface do Gemini Notebook, num procedimento assistido: um agente de navegador (a extensão do Claude no Chrome real) operava a interface de forma visível e autorizada, sem disfarce, com os mesmos prompts salvos em arquivo e capturas de tela para acompanhar cada passo. Decisão 3: uma peça por vez, porque a transcrição local rodando ao lado do navegador derrubou a captura de tela num dos notebooks.

Houve erros de operação, registrados como lição: uma busca genérica pela caixa de texto inseriu a fonte errada, e o notebook foi descartado em vez de aproveitado. Decisão 4: voltar à biblioteca só depois que a sessão fosse renovada por login humano e passasse em auth check --test. Isso aconteceu no ciclo de 21/09, no perfil principal, depois que a parte daquele ciclo feita pela interface já estava entregue.

O plano manual entregou as peças do ciclo porque os prompts estavam em arquivo e o manifesto aceitava registrar a rota. Variação: se a quebra fosse RPC protocol error em vez de sessão expirada, o login não resolveria; o caminho seria o mesmo plano manual, mais a migração revisada da biblioteca, sem atualização às pressas.

Para avaliar a revisão, comece pelas linhas marcadas como presentes e confira se o trecho citado faz mesmo o que a linha diz: um try genérico que repete o comando não é circuit breaker, e uma pausa fixa entre chamadas não é kill switch. Depois leia as correções propostas procurando atalhos proibidos; se alguma sugerir outra conta para terminar o lote ou um atraso aleatório para parecer gente, recuse a correção e registre o motivo. Uma revisão que marca tudo como presente num roteiro sem plano manual está errada.