feat(dev-db): backend dev usa banco isolado via .env (default=produção)

- DATABASE_URL parametrizado (${SCOREO_DB_*}); default mantém produção (VPS1) intacta
- server.js: não força SSL p/ host @pgdev (container dev local); SSL segue p/ VPS3
- .gitignore: ignora .env (override local de dev)
- doc: status de implementação do banco DEV isolado

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

documentação/BANCO-DEV-ESTRATEGIA.md

@@ -145,4 +145,16 @@ DB_PASS=<senha pgdev>
 
 ---
 
-_Status: aprovado o plano → implementar a Parte 2. Até lá, nada foi criado/alterado._
+# PARTE 3 — Status de implementação (16/jun/2026)
+
+**Implementado em `/home/deploy/stack/pg-dev/`** (Docker rootless da VPS4):
+- ✅ Container **`pgdev`** (`postgis/postgis:18-3.6`) na rede `soc`, sem porta pública, volume `pgdev-data` em `/var/lib/postgresql`.
+- ✅ Scripts `pg-dev-refresh.sh` / `pg-dev-reset.sh` + manifesto `pg-dev-projects.conf` + `secrets.env` (gitignored).
+- ✅ Bancos criados (ref+dev): **scoreodonto** (20 MB, PostGIS 3.6.3, 1750 pacientes), **rx** (dental_images), **subdominio**.
+
+**Backends apontados (via `.env` gitignored + `DATABASE_URL`/`PG_*` parametrizados com default=produção):**
+- ✅ **ScoreOdonto** → `pgdev/scoreodonto_dev` (validado: backend conecta, migrações OK; `dev.scoreodonto.com` no ar). Exigiu ajuste de SSL no backend (não força SSL p/ host `@pgdev`).
+- ✅ **Subdomínio** → `pgdev/subdominio_dev` (env confirmado, site no ar).
+- ⏳ **RX** → `rx_dev` **pronto**, mas o backend ainda NÃO foi apontado: o `rx_scoreodonto_app` está na rede `rx_scoreodonto_network` (não na `soc`) e a senha vem do `.secrets`. Para apontar: adicionar o serviço `app` à rede `soc` + override de `DB_HOST/DB_NAME/DB_USER` e da senha (sem quebrar o default de produção). Follow-up.
+
+**Produção (VPS3/VPS1) intocada.** Para um projeto novo: adicionar linha no `pg-dev-projects.conf`, `SRC_<proj>_PASS` no `secrets.env`, rodar `./pg-dev-refresh.sh <proj>` e parametrizar o compose do projeto + `.env`.