Docs: bring the documentation in line with the code

- Demo docs replaced by the screencast docs (single source of truth): the
  legacy demo-session.sh/demo-record.py and the v0.9 renderer were removed
  instead of being kept as a second convention.
- feature-matrix: stale 'M2-in-progress' vocabulary gone; the rows the 15
  gates prove now say VERIFIED-in-VM and name the gate; af-to is now an
  explicit non-goal row (INET6 0 in this build).
- guide: the queues/divert/pflog sections described a state that no longer
  exists (priq-only, divert dropping packets, pflog logging nothing); they
  now describe the shipped behaviour.
- vm-lab: the 15 real gates with what each proves, 15/15 green, and the
  pf0 -> cli/srv/gw2 ssh setup the screencasts rely on.
- install/build: pdivert and pflogd are built and ported (docs said
  otherwise); module object list now includes hfsc.c, fq_codel.c, pfk_pflog.c;
  the screencast pipeline is an optional build stage.
- pf-guide: the 'M2 scope only' framing is gone; honest gaps listed.
- caveats: three new sections about the screencast pipeline (MiniMax video
  generation blocked by the account tier, narration as a separate track, a
  video frame is not a verdict).
- porting-notes: what the recording taught us.
- README/README.pt-BR: status, milestones, layout and video section updated.

All internal doc links verified.

docs/pt-BR/pf-guide.md

@@ -3,11 +3,12 @@
 English: [docs/en/pf-guide.md](../en/pf-guide.md).
 
 Este é o guia do "o que dá para rodar hoje". Ele segue a
-[matriz de features](feature-matrix.md): o escopo do **M2 (núcleo de
-filtragem: pass/block/quick/keep state/tabelas/anchors + habilitar/
-desabilitar)** tem evidência em VM; tudo além disso é COMPILES-untested ou
-PENDING. Instalação/build ficam em [install.md](install.md) e
-[build.md](build.md).
+[matriz de features](feature-matrix.md): o núcleo de filtragem
+(pass/block/quick/keep state/tabelas/anchors), a família de NAT, o scrub, o
+roteamento forçado, os pools, o `divert`, o `pflog` e as filas do OpenBSD
+8.0 têm todos **evidência em VM** — os 15 gates do lab estão verdes. O que
+*não* tem gate está listado explicitamente abaixo. Instalação/build ficam em
+[install.md](install.md) e [build.md](build.md).
 
 ## Ciclo diário
 
@@ -26,7 +27,7 @@ sudo rmmod pf                     # descarrega (regras/estados são liberados aq
 
 > **Atenção — a ordem importa**: `-f` e depois `-e`. Habilitar sem uma regra `pass`
 > que cubra o caminho de administração corta esse caminho — este port segue
-> a política padrão de bloqueio do OpenBSD, e as rodadas do gate M2
+> a política padrão de bloqueio do OpenBSD, e as rodadas do lab
 > *realmente derrubaram o ssh da VM de teste* assim (a bancada mantém console
 > serial exatamente por isso). Num host remoto, libere a interface de
 > gerência antes de habilitar qualquer coisa.
@@ -34,8 +35,8 @@ sudo rmmod pf                     # descarrega (regras/estados são liberados aq
 ## Um ruleset que funciona neste port hoje
 
 ```pf
-# /etc/pf.conf — apenas escopo M2. Os nomes de interface aqui são os da
-# bancada (mgmt/lan/wan); troque pelos seus (eth0, enp1s0, …).
+# /etc/pf.conf. Os nomes de interface aqui são os da bancada
+# (mgmt/lan/wan); troque pelos seus (eth0, enp1s0, …).
 
 # 1) mantenha você mesmo alcançável (faça isso primeiro, sempre)
 pass in  quick on mgmt
@@ -59,7 +60,11 @@ tudo isso offline — mas o *comportamento no kernel* da maioria das opções
 `set` ainda não foi verificado em gate; trate como "carrega e reza" até a
 matriz mudar.
 
-## O que evitar até os milestones chegarem
+**Sem gate** (lacunas honestas): o caminho IPv6, o fingerprint de OS, as
+opções `set` acima, os syncookies e a disciplina FQ-CoDel. O `af-to` está
+compilado fora neste build (`INET6 0`).
+
+## Notas por feature — o que cada sintaxe faz hoje
 
 | Sintaxe | Até | O que acontece hoje |
 |---|---|---|