Chiede le credenziali alle route che avvisano tutta la squadra (DD-024).

Le route in src/routes/api/public/ girano con la service role e saltano la RLS,
quindi DD-023 non le copre. Nessuna faceva un controllo di accesso: cercando
"authorization" in quella cartella l'unico header era lo User-Agent con cui
csi.ts chiama il portale CSI. Chiunque conoscesse l'URL poteva far suonare i
telefoni della squadra, e promemoria-palloni accetta perfino una POST con il
corpo vuoto.

La difesa apparente delle altre due — serve un id evento valido — non è una
difesa: l'id è "e" più il timestamp in base 36, compare negli URL che la squadra
si scambia ed è elencabile da qualsiasi utente loggato.

auth-route.server.ts porta i due controlli, diversi perché i chiamanti sono
diversi. apri-sondaggio e sollecita-presenze usano richiediAdmin: token della
sessione verificato con auth.getUser, poi ruolo admin da user_roles, la stessa
fonte di ruoli.ts. Il controllo precede la validazione dell'input, così la
risposta non rivela nemmeno se un evento esiste. promemoria-palloni usa
richiediSegreto, perché la chiama un cron che una sessione non ce l'ha: se
CRON_SEGRETO non è configurata la route resta chiusa con 503, perché una porta
che si riapre da sola quando manca una variabile non se ne accorge nessuno.

csi, push-config, push-subscribe e push-messaggio restano aperte: le chiamano il
browser prima del login e il service worker, dove qualsiasi segreto finirebbe
nel bundle.

Lato client i due pulsanti admin mandano il token con intestazioniAutenticate(),
letto al momento della chiamata e non da uno stato React.

permessi-route.test.ts copre il giro intero — nessun token, giocatore, admin —
avviando il server di sviluppo puntato al database locale, perché servono utenti
veri. Il controllo positivo è il 404: l'admin supera l'accesso e arriva alla
validazione. In api.test.ts restano i rifiuti che non richiedono un utente e
sparisce la verifica della validazione di sollecita-presenze, che ora sta dietro
all'accesso.

I limiti noti di palloni.md sono aggiornati: il secret che il piano originale
prevedeva ora c'è. Resta vero che nessun cron chiama la route, quindi il
promemoria quotidiano non parte da solo.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

test/integration/api.test.ts

@@ -109,16 +109,46 @@ try {
     assert.equal(res.status, 400, "anche la cancellazione valida l'input");
   });
 
-  await prova("push-messaggio e sollecita-presenze rifiutano i payload non validi", async () => {
+  await prova("push-messaggio rifiuta i payload non validi", async () => {
     assert.equal((await postJson("/api/public/push-messaggio", {})).status, 400);
-    assert.equal((await postJson("/api/public/sollecita-presenze", {})).status, 400);
+  });
+
+  // --- le route che mandano notifiche a tutti (DD-024) ------------------------
+  // Il controllo di accesso viene prima della validazione: senza credenziali la
+  // risposta non deve nemmeno dire se l'evento esiste.
+  await prova("le route che avvisano la squadra chiedono le credenziali", async () => {
+    for (const percorso of ["/api/public/sollecita-presenze", "/api/public/apri-sondaggio"]) {
+      assert.equal(
+        (await postJson(percorso, { eventoId: "non-esiste" })).status,
+        401,
+        `${percorso} senza token`,
+      );
+    }
     assert.equal(
-      (await postJson("/api/public/sollecita-presenze", { eventoId: "" })).status,
-      400,
-      "eventoId vuoto non è valido",
+      (await postJson("/api/public/promemoria-palloni", {})).status < 400,
+      false,
+      "promemoria-palloni senza segreto non parte",
     );
   });
 
+  await prova("un token malformato non passa", async () => {
+    const res = await fetch(url("/api/public/sollecita-presenze"), {
+      method: "POST",
+      headers: { "content-type": "application/json", authorization: "Bearer non-un-jwt" },
+      body: JSON.stringify({ eventoId: "non-esiste" }),
+    });
+    assert.equal(res.status, 401, "tre segmenti separati da punto, o niente");
+  });
+
+  await prova("uno schema diverso da Bearer non passa", async () => {
+    const res = await fetch(url("/api/public/sollecita-presenze"), {
+      method: "POST",
+      headers: { "content-type": "application/json", authorization: "Basic aGVsbG86d29ybGQ=" },
+      body: JSON.stringify({ eventoId: "non-esiste" }),
+    });
+    assert.equal(res.status, 401);
+  });
+
   // --- endpoint che leggono dal database -------------------------------------
   if (haSupabase()) {
     await prova("push-messaggio risponde con il messaggio di default", async () => {
@@ -130,10 +160,10 @@ try {
       assert.ok(dati.title && dati.body, "un endpoint sconosciuto riceve comunque un testo");
     });
 
-    await prova("sollecita-presenze su un evento inesistente risponde 404", async () => {
-      const res = await postJson("/api/public/sollecita-presenze", { eventoId: "non-esiste" });
-      assert.equal(res.status, 404);
-    });
+    // La validazione dell'input di sollecita-presenze (400 sul corpo vuoto, 404
+    // sull'evento inesistente) ora sta dietro al controllo di accesso: serve un
+    // token di amministratore, che questo file non ha. La copre
+    // `permessi-route.test.ts` sullo stack locale.
   } else {
     salta("endpoint con database", "SUPABASE_URL/SERVICE_ROLE_KEY non configurate");
   }