Disable Swagger/ReDoc/OpenAPI JSON by default (B-42)

They enumerate the entire API surface, admin endpoints included, to
anyone who requests them. Gate them behind a new ENABLE_API_DOCS
setting (off by default) and update README/docs and BUGS.md/CLAUDE.md
open-bug counts accordingly.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/setup.md

@@ -38,6 +38,11 @@ cp .env.example .env
 Le altre chiavi di `.env` (`DATABASE_URL`, `ELECTRUM_HOST`/`PORT`/`USE_SSL`,
 `MASTER_KEY_PATH`) hanno default sensati in `.env.example`.
 
+`ENABLE_API_DOCS` (default `false`) controlla Swagger/ReDoc/l'OpenAPI JSON grezzo
+su `/docs`, `/redoc` e `/openapi.json`: espongono l'intera superficie dell'API,
+endpoint admin inclusi, quindi restano disattivati a meno di non impostarlo
+esplicitamente a `true` — utile in locale, da evitare in produzione.
+
 `ELECTRUM_FALLBACK_SERVERS` elenca i server di riserva, separati da virgola, nel
 formato `host:porta` (TLS, il caso normale) oppure `host:porta:notls`. Esempio: