Avviso certificati mancanti (DD-046), dipendenze aggiornate, versione 1.2.3

Il giocatore senza certificato vede una card rossa cliccabile, l'admin
l'elenco dei mancanti sopra scaduti e in scadenza. Nessuna migration.

Aggiorna @tanstack/react-start alla 1.168.60 (con router, plugin e query) e
chiude le vulnerabilità di npm audit: Vercel bloccava il deploy con la
1.168.34. Il tipo di error in __root.tsx diventa unknown, come nel nuovo tipo
di TanStack.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/ROADMAP.md

@@ -38,9 +38,9 @@ Tutto quello che è rilasciato, fino alla versione 1.0.0 (vedi `CHANGELOG.md`).
       calcolata dal CSI
 - [x] Ruolo allenatore — gestisce gli eventi e sollecita le presenze, profilo ridotto senza
       stagione e badge ([specifica](modules/allenatore.md), DD-034)
-- [x] Avviso certificati in scadenza — in Home, giallo nei 7 giorni prima e nero dopo la
-      scadenza: agli admin con i nomi dei giocatori, al giocatore solo per il proprio
-      ([specifica](modules/profilo-giocatore.md#avviso-certificati), DD-035)
+- [x] Avviso certificati in scadenza — in Home, giallo nei 7 giorni prima, nero dopo la
+      scadenza e rosso se il certificato manca (DD-046): agli admin con i nomi dei giocatori, al giocatore solo per il proprio
+      ([specifica](modules/profilo-giocatore.md#avviso-certificati), DD-035, DD-046)
 - [x] Notifiche email — ogni notifica in-app inviata anche per email agli account registrati,
       da un worker Docker sull'host di casa via Gmail, con interruttore «Email» in Profilo
       ([specifica](modules/notifiche-email.md), DD-036)