[mariolucasdev]

Closes #165.

Três consertos de credibilidade e descoberta. Nenhum muda comportamento da
biblioteca.

A matriz do README agora é gerada

Ela ficou duas releases errada: faltavam as colunas de estornos e de
leitura de webhook desde que as capacidades entraram, nas v2.5 e v2.6. Só
foi notado quando gerei a matriz a partir do código para conferir. Dez gateways
por oito capacidades são 80 células que ninguém revisa.

.github/scripts/capability-matrix.php monta a tabela de Gateway::cases() ×
Capability::cases() usando o label() que cada enum já expõe — nenhum
rótulo é duplicado no script, e rótulo novo aparece sozinho.

php .github/scripts/capability-matrix.php            # imprime
php .github/scripts/capability-matrix.php --write    # reescreve entre os marcadores
php .github/scripts/capability-matrix.php --check    # reprova se divergir

O --check entrou no composer test e no CI, depois do passo dos links.

Provei a guarda em vez de confiar nela: reintroduzi a deriva que aconteceu
de verdade (Asaas sem estornos) e o composer test:matrix saiu com 1.

A tabela de roteiro estava errada, e contradizia a outra

"Cobertura por gateway" estava sem o Inter e dizia "sete gateways" onde já
são oito. Consertei, e acrescentei o que faltava dizer: a matriz gerada é a
autoritativa. As duas nunca iam concordar porque medem coisas diferentes — a
coluna Pix da tabela de roteiro significa aceitar Pix, não gerenciar chaves,
e por isso o Mercado Pago aparece com ✅ lá e com — na gerada.

Não apaguei a tabela: ela mostra o que está planejado, que a gerada não
sabe. Mas duas matrizes num README é superfície de deriva, e decidir se ela
fica é seu, não meu.

O grant da licença estava invisível

Correção do que eu disse antes: eu ia recomendar trocar a BUSL por MIT. Fui
ler os parâmetros e a decisão é boa e bem redigida — o Additional Use Grant
permite produção, fechado e comercial, e vira MIT em 2030-09-20. A seção de
licença no fim do README é completa, com tabela de pode/não pode e tudo.

O problema é só de posição: quem vê o badge BUSL-1.1 no topo e não desce
1300 linhas assume restrição e fecha a aba. Um scanner de licença corporativo
faz o mesmo. Uma linha no topo agora resolve, com link para a seção.

Fora deste PR, porque é configuração e não arquivo

• topics: eram gateways, invoices, receipts. Agora são 18, com
  php, pix, boleto, payment-gateway, laravel, brazil, fintech e os
  nomes dos gateways. Busca por topic é caminho de descoberta primário;
• relato privado de vulnerabilidade do GitHub: estava desligado, foi
  ligado. Isso importa porque o SECURITY.md aponta para sec@phpay.io, e
  phpay.io não existe no DNS (NXDOMAIN, sem MX) — numa biblioteca de
  pagamentos, um canal de segurança que promete e não entrega é pior que não
  ter. A partir de agora há um canal que funciona.

O que continua em aberto, e é decisão sua

Os outros contatos do domínio morto: conduta e suporte (fale@phpay.io),
licenciamento comercial (LICENSE.md convida a escrever e ninguém
recebe) e a homepage do repositório e do Packagist (doc.phpay.io).

Não escolhi endereço por você: publicar um e-mail seu num repositório público é
decisão sua, não minha.

Verificação

composer test: lint, 770 testes, PHPStan nível 9, 113 links, matriz
conferida. Smoke com 97 verificações.