Um catálogo aberto precisa de barreiras, não de vale-tudo

"Aberto" é a parte fácil

Qualquer um pode montar uma loja onde desenvolvedores enviam código. O difícil de um catálogo aberto não é deixar entrar: é o que acontece depois: quem revisa os envios, como o conteúdo nocivo é detectado, o que impede o abuso e por que o usuário deveria confiar no que toca. Um runtime que hospeda mini-programas de terceiros herda o mesmo peso de confiança e segurança de uma loja de apps, e o modelo para fazer isso bem já existe em escala. O WeChat opera 4,3M+ de mini-programas, 945M de MAU e 5M+ de desenvolvedores sob uma especificação operacional documentada — prova de que um catálogo aberto pode ser, ao mesmo tempo, aberto e governado.

O que a governança realmente cobre

Governança são quatro tarefas; pular qualquer uma delas é como catálogos ganham uma fama da qual não se recuperam.

Camada de governança	O que exige	O que quebra sem ela
Revisão de envios	Identidade real, adequação de categoria, licenças verificadas antes de publicar	Serviços fraudulentos ou sem licença entram no ar
Segurança de conteúdo	Varredura de texto/imagem/áudio por ilegal, pornografia, violência, risco político	UGC e conteúdo ao vivo vazam dano
Controles anti-abuso	Anti-spam de compartilhamento, anti-fraude de pedidos, anti-esquemas, anti-trapaças	Loops de incentivo e bots afogam usuários reais
Sinais de confiança	Canais de denúncia, avaliações, remoção transparente	Usuário não tem recurso; a plataforma perde credibilidade

Revisar antes de publicar, não depois

A especificação operacional do WeChat exige um corpo (主体) verificável para cada mini-programa, filtra nomes/logos/marcas para evitar confusão e infração, obriga a coerência de categoria (o serviço deve coincidir com a categoria e etiqueta registradas) e rejeita categorias ocultas ou clones homogêneos. Serviços financeiros, médicos e governamentais devem apresentar as licenças corretas ou são recusados. O princípio é simples: identidade e escopo são estabelecidos na porta, não descobertos após o dano. Um runtime que incorpora um catálogo deve herdar o mesmo portão — cada mini-programa carrega um desenvolvedor verificado e um escopo declarado e auditado.

A segurança de conteúdo é um controle integrado

Para conteúdo gerado por usuários e ao vivo, o WeChat expõe uma API de segurança de conteúdo (msgSecCheck para texto, mediaCheckAsync para imagem/áudio) baseada em um dicionário sensível de 100k níveis e modelos de aprendizado profundo, com uma ressalva dura: a automação não isenta a plataforma — os documentos dizem explicitamente aos desenvolvedores que mantenham revisão humana para o conteúdo marcado REVIEW e para uma amostra do conteúdo PASS. Um catálogo governado aplica a mesma sobreposição: varredura no servidor antes de publicar mais revisão humana por amostragem, de modo que o conteúdo nocivo seja cortado na borda em vez de após viralizar.

Os controles anti-abuso mantêm o catálogo utilizável

A especificação operacional define e pune spam de compartilhamento (forçado, sugerido ou recompensado), fraude de métricas (votos, seguidores, pedidos falsos), esquemas de ganho pago, trapaças (cheats/plugins), infração de IP e distribuição multinível ilegal. As penas escalam de limitar o compartilhamento/busca até a remoção e o banimento de conta. Esta é a maquinaria sem glamour que impede que um catálogo aberto se torne uma máquina de spam — e deve ser codificada como política de plataforma, não deixada a critério de cada desenvolvedor.

Remoção e prestação de contas em escala

A governança só é crível se as infrações são realmente removidas. A equipe 珊瑚安全 (Coral Security) do WeChat publica avisos de remoção mensais; em um ciclo mensal de 2026 removeu dezenas de programas de micro-dramas não conformes e, em uma varredura de maio, mais de 2.800 micro-dramas com retratos infantis prejudiciais. Uma aplicação recorrente e pública sinaliza aos desenvolvedores que as regras estão vivas e aos usuários que o catálogo é vigiado.

Onde o Cross Mini App se encaixa

O Cross Mini App trata a governança como parte do runtime, não como um remendo colado depois. Cada mini-programa do catálogo é revisado por escopo e identidade, varrido antes de publicar, coberto por controles de abuso e denúncia, e sujeito a remoção — assim um host app pode abrir um catálogo aberto sem herdar um sem governança. "Aberto" sem barreiras é apenas risco deslocado para o usuário; o trabalho do runtime é absorver esse risco para que o host não precise carregá-lo.