Readiness, Electrum status, audit browsing and logs (B-92, API-37, API-46, API-47, AUD-34, AUD-41, ARC-02, ARC-09, ARC-61, ELC-29, SEC-48)

- GET /health/ready (Electrum connected, header < 1800s, scheduler heartbeat < 30s) is the
  container healthcheck; the scheduler beats on every tick and draw-wait iteration
- GET /admin/electrum and an Electrum indicator in /admin (server, header age, last rotation)
- GET /admin/audit-log: before_id, event_type, round_id, user_id, from, to; the panel gets filters
- registration writes user_registered in its transaction
- the app's own logs also go to stdout; uvicorn trusts X-Forwarded-For from Caddy's fixed
  address only, so the access log shows the client's IP

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/api.md

@@ -50,9 +50,9 @@ esiste una API separata per l'amministrazione, solo un'autenticazione diversa.
 | `GET` | `/admin/pending-transactions` | admin | [API-38](#get-adminpending-transactions) |
 | `GET` | `/admin/bug-reports` | admin | [API-39](#get-adminbug-reports) |
 | `POST` | `/admin/bug-reports/{report_id}/status` | admin | [API-40](#post-adminbug-reportsreport_idstatus) |
-| `GET` | `/admin/electrum` | admin | [API-47](#get-adminelectrum) — *da implementare (B-92)* |
+| `GET` | `/admin/electrum` | admin | [API-47](#get-adminelectrum) |
 | `GET` | `/health` | nessuna | [API-41](#get-health) |
-| `GET` | `/health/ready` | nessuna | [API-46](#get-healthready) — *da implementare (B-92)* |
+| `GET` | `/health/ready` | nessuna | [API-46](#get-healthready) |
 | `GET` | `/`, `/admin`, `/guida`, `/report-bug` | nessuna | [API-42](#pagine-e-file-statici) |
 | `GET` | qualunque altro percorso (file statici) | nessuna | [API-43](#pagine-e-file-statici) |
 
@@ -314,7 +314,6 @@ esiste una API separata per l'amministrazione, solo un'autenticazione diversa.
     [registrazione-e-depositi.md](registrazione-e-depositi.md).
   *Codice:* `app/auth/routes.py:register`, `app/auth/routes.py:RegisterRequest` ·
   *Test:* `tests/unit/test_auth.py`, `tests/unit/test_users.py`
-  *Stato:* da implementare (B-92) · *Oggi:* non scrive audit.
 
 #### POST /auth/login
 
@@ -886,10 +885,7 @@ dei parametri operativi in
   - **Risposta `200`:** lista di `{"id", "event_type", "payload" (oggetto),
     "user_id", "round_id", "created_at"}`, per `id` decrescente.
   *Codice:* `app/api/routes/admin.py:list_audit_log` ·
-  *Test:* `tests/unit/test_admin.py`
-  *Stato:* da implementare (B-92), per filtri e paginazione · *Oggi:* accetta
-  solo `limit`, quindi oltre le ultime 500 voci il registro non è
-  consultabile dall'API.
+  *Test:* `tests/unit/test_admin.py`, `tests/unit/test_observability.py`
 
 #### GET /admin/pending-transactions
 
@@ -918,9 +914,7 @@ dei parametri operativi in
   `last_rotation` (motivo e ora dell'ultimo cambio di server, ad esempio punta
   ferma, [connessione-electrum.md](connessione-electrum.md) ELC-21).
   *Codice:* `app/api/routes/admin.py`, `app/electrum/listener.py:ElectrumListener.current_endpoint` ·
-  *Test:* —
-  *Stato:* da implementare (B-92) · *Oggi:* l'endpoint non esiste;
-  `/admin` mostra solo l'altezza della catena letta da `GET /rounds/current`.
+  *Test:* `tests/unit/test_observability.py`
 
 #### GET /admin/bug-reports
 
@@ -975,9 +969,7 @@ dei parametri operativi in
   `scheduler_heartbeat_age_seconds` (intero o `null`). Nessuna autenticazione,
   nessun dato sensibile: non espone né il server attivo né l'altezza. È il
   `healthcheck` del container.
-  *Codice:* `app/main.py:health` · *Test:* —
-  *Stato:* da implementare (B-92) · *Oggi:* l'endpoint non esiste; esiste solo
-  `GET /health` ([API-41]).
+  *Codice:* `app/main.py:health` · *Test:* `tests/unit/test_observability.py`
 
 #### Pagine e file statici