Disable Swagger/ReDoc/OpenAPI JSON by default (B-42)

They enumerate the entire API surface, admin endpoints included, to
anyone who requests them. Gate them behind a new ENABLE_API_DOCS
setting (off by default) and update README/docs and BUGS.md/CLAUDE.md
open-bug counts accordingly.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/guida-admin.md

@@ -121,8 +121,9 @@ Eventi a cui vale la pena prestare attenzione:
 ## Alternative all'interfaccia grafica
 
 Le stesse operazioni si possono fare da terminale o da Swagger UI
-(`https://<host>/docs`, sezione `admin`), sempre passando `ADMIN_TOKEN`
-nell'header `X-Admin-Token`:
+(`https://<host>/docs`, sezione `admin` — disponibile solo se `ENABLE_API_DOCS=true`
+è impostato in `.env`, disattivata di default perché espone l'intera API),
+sempre passando `ADMIN_TOKEN` nell'header `X-Admin-Token`:
 
 ```bash
 # leggere la configurazione

docs/running-the-server.md

@@ -12,6 +12,9 @@ uvicorn app.main:app --reload --port 8123
 
 - App su `http://127.0.0.1:8123/`
 - Pannello admin su `http://127.0.0.1:8123/admin`
+- Docs API interattive su `http://127.0.0.1:8123/docs` solo se `ENABLE_API_DOCS=true`
+  in `.env` — disattivate di default perché espongono l'intera API, endpoint
+  admin inclusi (vedi [setup.md](setup.md))
 - Log applicativi in `logs/app.log` (rotante, 10MB × 5 backup)
 - Nessun TLS, nessun reverse proxy — solo per test locali sulla tua macchina.
 

docs/setup.md

@@ -38,6 +38,11 @@ cp .env.example .env
 Le altre chiavi di `.env` (`DATABASE_URL`, `ELECTRUM_HOST`/`PORT`/`USE_SSL`,
 `MASTER_KEY_PATH`) hanno default sensati in `.env.example`.
 
+`ENABLE_API_DOCS` (default `false`) controlla Swagger/ReDoc/l'OpenAPI JSON grezzo
+su `/docs`, `/redoc` e `/openapi.json`: espongono l'intera superficie dell'API,
+endpoint admin inclusi, quindi restano disattivati a meno di non impostarlo
+esplicitamente a `true` — utile in locale, da evitare in produzione.
+
 `ELECTRUM_FALLBACK_SERVERS` elenca i server di riserva, separati da virgola, nel
 formato `host:porta` (TLS, il caso normale) oppure `host:porta:notls`. Esempio: