[P3][feature] feat(remediation): writer de armazenamento de objetos (S3, Azure Blob, GCS) — versões, Object Lock e KMS #2054

Parte do épico #2048 (contrato comum preview → apply → verify → evidência). Plano: docs/plans/PLAN_REMEDIATION_INTERFACE.md; depende de #865.

Summary (EN): object-storage remediation writer: versioning, WORM/object lock, replication and key-based crypto-shred.

Contexto

docs/plans/PLAN_OBJECT_STORAGE_CLOUD_CONNECTORS.md está Deferred; as chaves connector_s3_object_storage, connector_azure_blob, connector_gcs existem no mapa de tiers.

Escopo

• Versionamento: versões antigas guardam o dado; expurgo exige permissão própria.
• Object Lock / retenção WORM / legal hold: o objeto não pode ser editado até expirar; detectar e recusar.
• Regras de ciclo de vida, replicação para outra região/conta, backups, notificações de evento.
• Cripto-shred por chave: destruir a chave de criptografia (KMS) como forma de eliminação, com o impacto em tudo que usa a mesma chave.
• Objeto grande: leitura/escrita por faixa, custo de egress.

Critérios de aceite

• Seção desta família em docs/plans/PLAN_REMEDIATION_INTERFACE.md (+ .pt_BR.md), com <!-- plans-hub-summary: ... --> atualizado.
• python scripts/plans_hub_sync.py --write executado; entry em docs/plans/PLANS_TODO.md.
• Matriz "o que o writer toca × o que declara não tocar" (cópias, versões, lixeira, retenção/holds, backups), com o que fica UNKNOWN dito de forma explícita.
• Contrato preview → apply → verify → evidência, com testes sintéticos (nunca dado real) e falha fechada quando o escopo não é provável.
• Não reimplementa tokenização/pseudonimização: delega ao plugin de remediação (ADR-0059 / epic(sdk): formalizar Boar Plugin SDK — contrato agnóstico versionado + fronteira L1/L2/L3 + fail-graceful (plugin = superfície do sidecar) #865).

Disciplina de PR

Esta issue não pede PR própria. A fila inteira (épico) produz no máximo 2 PRs (ver o épico); commits por assunto dentro de cada uma.

P: P3 · U: U3 (sem pressão) · G: G2 (altera dado real no lugar) · Sequenciamento e milestone: operador + auditor; backlog até haver decisão.

Aberta por Claude Code (auditor), recomendatório; implementação é do Cursor. Evidência, não conclusão jurídica.