Disable Swagger/ReDoc/OpenAPI JSON by default (B-42)

They enumerate the entire API surface, admin endpoints included, to
anyone who requests them. Gate them behind a new ENABLE_API_DOCS
setting (off by default) and update README/docs and BUGS.md/CLAUDE.md
open-bug counts accordingly.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/guida-admin.md

@@ -121,8 +121,9 @@ Eventi a cui vale la pena prestare attenzione:
 ## Alternative all'interfaccia grafica
 
 Le stesse operazioni si possono fare da terminale o da Swagger UI
-(`https://<host>/docs`, sezione `admin`), sempre passando `ADMIN_TOKEN`
-nell'header `X-Admin-Token`:
+(`https://<host>/docs`, sezione `admin` — disponibile solo se `ENABLE_API_DOCS=true`
+è impostato in `.env`, disattivata di default perché espone l'intera API),
+sempre passando `ADMIN_TOKEN` nell'header `X-Admin-Token`:
 
 ```bash
 # leggere la configurazione