| Um projeto por aplicação | Centenas de projetos, permissões e templates divergentes | Projetos por domínio |
| Pipeline copiado e colado entre repos | Correção de segurança precisa ser feita N vezes | extends de template versionado |
| Rebuild por ambiente | O que foi testado não é o que vai para produção | Build once, deploy many |
| Segredos em variáveis de pipeline | Vazamento em log e rotação manual | Workload Identity Federation + Key Vault |
| Permissão por usuário | Acessos órfãos e auditoria impossível | Grupos do Entra ID |
| Aprovação manual em todo deploy | Lead time alto sem ganho real de segurança | Mudança padrão pré-aprovada + gates automáticos |
| Agentes persistentes compartilhados | Contaminação entre builds e risco de supply chain | Agentes efêmeros |
| Scan que só gera relatório | Ninguém age, a dívida cresce | Gate com política explícita de bloqueio |
| Padrões só em documento | Ninguém lê, ninguém segue | Padrão embutido no template |