-- Armazenamento seguro (AES-256-GCM) da senha do certificado
ALTER TABLE empresas ADD COLUMN cert_password_enc VARBINARY(2048) NULL;
ALTER TABLE empresas ADD COLUMN cert_password_iv VARBINARY(16) NULL;
ALTER TABLE empresas ADD COLUMN cert_password_tag VARBINARY(16) NULL;
ALTER TABLE empresas ADD COLUMN cert_kdf_salt VARBINARY(16) NULL;
-- Opcional: limpar coluna legada ao migrar (execução tolerante)
UPDATE empresas SET cert_password = NULL WHERE cert_password IS NOT NULL;