Complete the target spec for the 2026-09-28 review (B-73..B-98)

Finishes what 88221b0 started: sicurezza.md, audit-log.md and storico-bug.md
now describe the target behaviour too, the operator guides are corrected
against today's code, and api.md gains the missing /health/ready and
/admin/electrum sections plus every new error code in its catalog.

Harmonised names and owners across documents (the `resurrected_tx` pause
reason, the reconciler as the one that watches failed rows, the full
`winner_drawn` payload, a reason for an unanswered pre-payout pool check,
one corroboration-failure row per hash instead of one per tick).

Adds B-98 (coin selection stops at the first covering UTXO and refuses a
payable bet), tightens RND-40 to check both 1 and 400 participants and to
guard PUT /admin/config, and gives a stalled `closing` round a signal
(TX-29, closing_stalled).

Records three decisions confirmed on 2026-09-29: the draw's server_seed is
stored Fernet-encrypted until revealed (SEC-56, DAT-64), the chosen abuse
and key-check thresholds (SEC-49, SEC-54, SEC-55), and a broadcast
rejection is verified against every server before any coin is released,
so matching "already known" text is a shortcut, not a safety condition
(TX-04).

Spec only; no code changed.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/api.md

@@ -940,6 +940,21 @@ dei parametri operativi in
   *Codice:* `app/api/routes/admin.py:list_pending_transactions` ·
   *Test:* `tests/unit/test_admin.py`
 
+#### GET /admin/electrum
+
+- **[API-47]** Stato della connessione alla rete, per l'indicatore Electrum di
+  `/admin`. Risponde `200` con: `connected` (booleano), `endpoint` (server
+  attivo come `host:port`, `null` se non connesso), `tip_height`,
+  `last_header_age_seconds`, `fallback_count` (server di riserva configurati),
+  `quorum_enforced` (falso solo con `ALLOW_NO_QUORUM=true`,
+  [connessione-electrum.md](connessione-electrum.md) ELC-19) e
+  `last_rotation` (motivo e ora dell'ultimo cambio di server, ad esempio punta
+  ferma, [connessione-electrum.md](connessione-electrum.md) ELC-21).
+  *Codice:* `app/api/routes/admin.py`, `app/electrum/listener.py:ElectrumListener.current_endpoint` ·
+  *Test:* —
+  *Stato:* da implementare (B-86, B-92) · *Oggi:* l'endpoint non esiste;
+  `/admin` mostra solo l'altezza della catena letta da `GET /rounds/current`.
+
 #### GET /admin/bug-reports
 
 - **[API-39]** Tutte le segnalazioni, dalla più recente.
@@ -972,8 +987,31 @@ dei parametri operativi in
 - **[API-41]** Risponde sempre `200 {"status": "ok"}` finché il processo
   serve richieste. Non verifica né il database né la connessione Electrum:
   per lo stato della rete si usa `chain_tip_height` di `GET /rounds/current`.
+  È il controllo di *vitalità* (il processo risponde); quello di *prontezza*
+  è [API-46].
   *Codice:* `app/main.py:health`
 
+#### GET /health/ready
+
+- **[API-46]** Risponde `200 {"status": "ready", "checks": {...}}` solo se
+  **tutte** queste condizioni sono vere, altrimenti `503` con lo stesso corpo e
+  `"status": "not_ready"`:
+  - la connessione Electrum è attiva (`listener.client` non nullo);
+  - l'ultimo header è stato accettato da meno di 360 secondi
+    ([connessione-electrum.md](connessione-electrum.md) ELC-29);
+  - lo scheduler dei round ha battuto da meno di 30 secondi (il battito si
+    aggiorna a ogni giro e a ogni iterazione dell'attesa del blocco di
+    estrazione, [architettura.md](architettura.md) ARC-61).
+
+  `checks` riporta ogni condizione con il suo valore: `electrum_connected`
+  (booleano), `last_header_age_seconds` (intero o `null`),
+  `scheduler_heartbeat_age_seconds` (intero o `null`). Nessuna autenticazione,
+  nessun dato sensibile: non espone né il server attivo né l'altezza. È il
+  `healthcheck` del container.
+  *Codice:* `app/main.py:health` · *Test:* —
+  *Stato:* da implementare (B-92) · *Oggi:* l'endpoint non esiste; esiste solo
+  `GET /health` ([API-41]).
+
 #### Pagine e file statici
 
 - **[API-42]** `GET /`, `/admin`, `/guida` e `/report-bug` restituiscono
@@ -1003,7 +1041,7 @@ dei parametri operativi in
 |---|---|---|---|---|---|
 | `session_expired` | 401 | `app/auth/dependencies.py:get_current_user` | — | token illeggibile, scaduto, utente inesistente o token superato da un cambio/reset password | sì |
 | `invalid_credentials` | 401 | `app/auth/routes.py:login` | — | username inesistente o password sbagliata (risposta identica) | sì |
-| `rate_limited` | 429 | `app/auth/routes.py:register`, `app/auth/routes.py:login` | `retry_after_seconds` | quota di registrazione o blocco per tentativi di login falliti | sì |
+| `rate_limited` | 429 | `app/auth/routes.py:register`, `app/auth/routes.py:login`; anche `app/api/routes/users.py:change_password` e `app/api/routes/bug_reports.py` *da implementare (B-94)* | `retry_after_seconds` | quota di registrazione, blocco per tentativi falliti, o quota di segnalazioni | sì |
 | `username_taken` | 409 | `app/auth/routes.py:register` | — | nome già usato (senza distinzione di maiuscole) | sì |
 | `derivation_index_conflict` | 409 | `app/auth/routes.py:register` | — | nessun indice di derivazione libero dopo 5 tentativi | sì |
 | `current_password_incorrect` | 401 | `app/api/routes/users.py:change_password` | — | password attuale errata | sì |
@@ -1014,7 +1052,7 @@ dei parametri operativi in
 | `already_betting` | 400 | `app/bets/service.py:place_bet` | — | l'utente ha già una riga di partecipazione nel round | sì |
 | `round_full` | 400 | `app/bets/service.py:place_bet` | `max_participants` | il round ha già 400 partecipanti (in qualunque stato) | sì |
 | `insufficient_balance` | 400 | `app/bets/service.py:place_bet`, `app/withdrawals/service.py:request_withdrawal`, `app/wallet/psbt_builder.py:select_utxos` | `required_sats` (assente se sollevato da `select_utxos`) | le monete confermate e non spese non coprono l'importo | sì |
-| `balance_pending_confirmation` | 400 | `app/withdrawals/service.py:request_withdrawal` | `pending_sats` | l'importo sarebbe coperto dal saldo comprensivo del non confermato, ma non da quello confermato | sì |
+| `balance_pending_confirmation` | 400 | `app/withdrawals/service.py:request_withdrawal`; anche `app/bets/service.py:place_bet` *da implementare (B-96)* | `pending_sats` | l'importo sarebbe coperto dal saldo comprensivo del non confermato, ma non da quello confermato | sì |
 | `too_many_inputs` | 400 | `app/wallet/psbt_builder.py:select_utxos` | `max_inputs` | servirebbero più di 50 monete in ingresso | sì |
 | `balance_leaves_no_change` | 400 | `app/wallet/psbt_builder.py:build_signed_transaction` (solo scommesse) | `required_extra_sats` | dopo la scommessa il resto sarebbe sotto il limite di polvere (294 sat) | sì |
 | `amount_below_network_fee` | 400 | `app/wallet/psbt_builder.py:build_signed_transaction` | — | l'importo non copre la commissione di rete | sì |
@@ -1024,6 +1062,17 @@ dei parametri operativi in
 | `withdrawal_to_own_address` | 400 | `app/withdrawals/service.py:request_withdrawal` | — | destinazione uguale all'indirizzo di deposito dell'utente | sì |
 | `amount_below_minimum` | 400 | `app/withdrawals/service.py:request_withdrawal` | `minimum_sats` | prelievo sotto il costo attuale della scommessa | sì |
 | `internal_error` | 500 | `app/main.py:log_unhandled_exception` | — | eccezione non gestita | sì |
+| `withdrawal_to_platform_address` | 400 | `app/withdrawals/service.py:request_withdrawal` | — | destinazione uguale a un indirizzo di montepremi, di riserva o delle commissioni — *da implementare (B-80)* | no — da aggiungere |
+| `service_busy` | 503 | `app/bets/service.py:place_bet` | — | il database non ha concesso il lock di scrittura entro il timeout; nulla è stato trasmesso, si può riprovare — *da implementare (B-88)* | no — da aggiungere |
+| `registration_unavailable` | 503 | `app/auth/routes.py:register` | — | registrazione sospesa finché il controllo degli indici di derivazione dopo un ripristino non è concluso o risolto ([registrazione-e-depositi.md](registrazione-e-depositi.md), B-90) — *da implementare* | no — da aggiungere |
+| `not_authenticated` | 401 | dipendenza Bearer di FastAPI | — | header `Authorization` assente — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `invalid_admin_token` | 403 | `app/api/routes/admin.py:require_admin` | — | token admin assente o errato — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `user_not_found` | 404 | `app/api/routes/admin.py` | — | utente inesistente — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `bug_report_not_found` | 404 | `app/api/routes/admin.py` | — | segnalazione inesistente — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `round_not_found` | 404 | `app/api/routes/rounds.py` (`GET /rounds/{id}/proof`) | — | round inesistente — *da implementare (B-73)* | no — da aggiungere |
+| `not_found` | 404 | gestore delle eccezioni HTTP in `app/main.py` | — | percorso inesistente — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `method_not_allowed` | 405 | gestore delle eccezioni HTTP in `app/main.py` | — | metodo non ammesso — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
+| `too_many_streams` | 503 | `app/api/routes/rounds.py` (SSE) | — | tetto globale degli stream raggiunto — oggi `detail` stringa — *da implementare (B-94)* | no — da aggiungere |
 
 Due codici di `app/wallet/psbt_builder.py` — `winner_share_below_network_fee`
 e `commission_below_dust_limit` — riguardano solo la costruzione del