feat!: modernizar toolchain (tsdown, vitest 4) e elevar piso para Node 22 — v4.0.0

[andrenfe]

Resumo

Parte 2 de 2 do plano de segurança da #31 — fecha os 2 alertas do Dependabot (vitest crítica + esbuild baixa) modernizando o toolchain, e prepara a release v4.0.0.

⚠️ Breaking change

Node.js ≥ 22 (Node 18 e 20 estão EOL). Zero mudanças de API — todo código v3 funciona sem alterações. Documentado no CHANGELOG e na nova seção v3→v4 do MIGRATION.md.

Segurança

Alerta	Severidade	Resolução
Dependabot #34 — vitest (GHSA-5xrq-8626-4rwp)	🔴 Crítica	vitest 3.2.4 → 4.1.8
Dependabot #35 — esbuild (GHSA-g7r4-m6w7-qqqr)	🟡 Baixa	tsup → tsdown (Rolldown, sem esbuild); esbuild residual via tsx já é 0.28.1 (corrigido)

npm audit: 0 vulnerabilidades.

Toolchain

• tsup → tsdown: mesmo output dual ESM/CJS (outExtensions preserva index.js/index.cjs), target node22
• Bônus: exports com types por condição (index.d.ts ESM / index.d.cts CJS) + sideEffects: false → publint "All good!" e attw "No problems found" (corrige o "Masquerading as ESM" que a v3 publicada tinha)
• vitest.config.ts: corrigida opção inexistente testMatch → include; thresholds no formato do vitest 4; tests/ excluído do coverage
• @types/node ^20 → ^22

CI/CD

• Matriz de testes 22/24 (antes 18/20/22), jobs single-version em 24.x
• Actions → majors Node 24-ready (checkout@v6, setup-node@v6, upload-artifact@v7, github-script@v9, codecov@v7) — runners passam a executar actions em Node 24 em 16/06/2026

Skill

• nfeio-sdk → nfeio-node-sdk (convenção cross-SDK para o skills.sh); corrige o path quebrado do agents.skills no package.json; requisito Node 22+

Verificação

• ✅ npm test -- --run — 650 testes passando no vitest 4 (sem mudanças nos testes)
• ✅ npm run test:coverage — thresholds 80% ok (branches 80.64%)
• ✅ npm run build — dist/index.js + index.cjs + index.d.ts + index.d.cts, banner preservado
• ✅ Smoke CJS (require) e ESM (import) — named + default exports + instanciação
• ✅ publint All good! · attw --pack No problems found 🌟
• ✅ npm run lint (0 erros) e npm run typecheck
• ✅ npm ls esbuild → somente 0.28.1 · npm audit → 0 vulnerabilidades

Closes #31

[github-actions]

📋 OpenAPI Spec Validation

✅ All specs validated and types generated successfully

Specs processed:

• calculo-impostos-v1.yaml - 27.90 KB, 853 lines
• consulta-cnpj.yaml - 34.28 KB, 1128 lines
• consulta-cpf.yaml - 3.39 KB, 83 lines
• consulta-cte-v2.yaml - 18.33 KB, 578 lines
• consulta-endereco.yaml - 11.17 KB, 343 lines
• consulta-nf-consumidor.yaml - 43.41 KB, 1279 lines
• consulta-nf.yaml - 137.87 KB, 3119 lines
• consulta-nfe-distribuicao-v1.yaml - 53.07 KB, 1775 lines
• nf-consumidor-v2.yaml - 293.87 KB, 7609 lines
• nf-produto-v2.yaml - 309.41 KB, 8204 lines
• nf-servico-v1.yaml - 257.42 KB, 6252 lines
• nfeio.yaml - 15.86 KB, 630 lines

Generated types available as artifact in src/generated/.