#536 chore: release v3.0.0

[PabloTzeliks]

Contexto

Fechamento da release final v3.0.0. A develop acumulou os três domínios sobre o Core com RBAC e está pronta para virar main. Com a finalização geral do Front End de cada módulo: Comunicados, Checklist, Mapa de Sala e Core. Este PR prepara o corte: fixa a versão e resolve um bloqueio de login no deploy em HTTP puro (EC2 sem TLS), onde o navegador descarta cookies marcados Secure e a sessão nunca fecha.

O que muda

• Bump de versão 2.0.0 → 3.0.0 nos 8 package.json (raiz, apps/root e os 6 pacotes), espelhando o fluxo da v2.0.0.
• COOKIE_SECURE opt-out na sessão: sem a env o comportamento é o de hoje (Secure em produção); COOKIE_SECURE=false desliga a flag para servir sob HTTP puro. Aplica aos dois cookies (access e refresh) e documenta a env em apps/root/.env.example.

Issue relacionada

Closes #536

Como testar

1. Bump aplicado só no campo version: git diff main...release/v3.0.0 -- '**/package.json' mostra apenas 3.0.0 em 8 arquivos.
2. Cookie opt-out: npx vitest run packages/core/tests/auth/session.test.ts — 4 cenários verdes (default preserva Secure em produção; COOKIE_SECURE=false desliga mesmo em produção).
3. Regressão e tipos: npx vitest run packages/core (337 testes) e npx tsc --build sem erros.

Tipo de mudança

• Nova feature
• Correção de bug
• Refatoração (sem mudança de comportamento)
• Documentação
• Infraestrutura / config / build
• Outro: ___

Checklist do autor

• Código segue convenções definidas em CONTRIBUTING.md
• Validei localmente que a aplicação compila/gera build sem erros (CI Build verde)
• Verifiquei que não há erros de análise estática ou alertas relevantes (CI Lint verde)
• Confirmei que não há erros de tipagem/TypeScript no escopo da mudança (tsc --build OK)
• Testei manualmente os cenários principais (4 testes de sessão + suíte de 337 do core)
• Componentes novos/alterados documentados no Storybook (não aplicável — sem componente)
• Documentação atualizada (apps/root/.env.example)
• Não introduzi dependências novas sem alinhamento prévio

Notas pro revisor

• Não fazer squash no merge — preservar o histórico para a promoção seguinte develop → main (padrão da v2.0.0).
• COOKIE_SECURE é runtime server-side (não NEXT_PUBLIC), lida no Route Handler de login; a injeção no container fica no docker-compose.yml do repo de infra — nenhuma mudança de Dockerfile aqui.
• Requer 1 aprovação para mergear na develop.

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.