docs: add CLAUDE.md and docs/ configuration reference

docs/authentication.md

@@ -0,0 +1,12 @@
+# Autenticazione
+
+Gestione da Amministrazione sito → Origini di autenticazione, o CLI `gitea admin auth ...`.
+
+- **OAuth2 / OpenID Connect** (Keycloak, GitHub, Google...): bottone "Accedi con". Il redirect URI deve combaciare esattamente (`https://your-domain.com/user/oauth2/<nome>/callback`). Auto-registrazione e linking account in `[oauth2_client]`.
+- **LDAP** (bind DN o template DN, sync utenti, filtro admin, gruppi) e **FreeIPA**.
+- **SMTP**: valida login contro un mail server (PLAIN/LOGIN).
+- **PAM**: richiede build custom, non nei binari ufficiali.
+- **SPNEGO/SSPI**: SSO Windows/Kerberos.
+- **Header del reverse proxy** (`X-WEBAUTH-USER`): Gitea deve essere raggiungibile *solo* dal proxy (qui la 3000 è già su 127.0.0.1, ma attenzione se si espone altrimenti).
+- Account locali: 2FA (TOTP/WebAuthn) dalle impostazioni utente; token di accesso con scope; chiavi SSH e GPG. (Dettagli 2FA/token/GPG non verificati: docs.gitea.com/usage/authentication e pagine collegate.)
+- `SECRET_KEY` cifra i segreti 2FA: non cambiarla.