Align README and running-the-server.md with the Docker-only policy (B-44)

CLAUDE.md declares the server always runs via Docker (dev and prod
alike) with no supported bare-uvicorn workflow, but README's Quick
start and docs/running-the-server.md's "Locale / venv" section still
documented running uvicorn directly — a leftover from before that
policy was adopted. Rewrite both to a single Docker-only path and
update CLAUDE.md's own note about it.

Verified docker compose run --rm app python scripts/generate_master_key.py
against a real build/run to confirm the Quick start's Docker commands
actually work as documented.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/running-the-server.md

@@ -3,27 +3,14 @@
 Presuppone che [setup.md](setup.md) sia già stato completato (`.env` pronto,
 master key generata, migrazioni applicate).
 
-## Locale / venv (sviluppo rapido)
+Il server gira sempre via Docker, in sviluppo e in produzione allo stesso
+modo — non esiste un modo supportato per lanciare `uvicorn` direttamente.
+Il venv locale (`.venv/`) serve solo per i test, per scrivere le migrazioni
+Alembic e per gli script una tantum di generazione chiavi (vedi
+[setup.md](setup.md) e la sezione "Commands" di
+[CLAUDE.md](../CLAUDE.md#commands)).
 
-```bash
-source .venv/bin/activate
-uvicorn app.main:app --reload --port 8123
-```
-
-- App su `http://127.0.0.1:8123/`
-- Pannello admin su `http://127.0.0.1:8123/admin`
-- Docs API interattive su `http://127.0.0.1:8123/docs` solo se `ENABLE_API_DOCS=true`
-  in `.env` — disattivate di default perché espongono l'intera API, endpoint
-  admin inclusi (vedi [setup.md](setup.md))
-- Log applicativi in `logs/app.log` (rotante, 10MB × 5 backup)
-- Nessun TLS, nessun reverse proxy — solo per test locali sulla tua macchina.
-
-Per fermarlo: `Ctrl+C`, oppure se lanciato in background con `nohup`:
-```bash
-pkill -f "uvicorn app.main:app"
-```
-
-## Docker + Caddy (consigliato, anche per i test con dominio/TLS)
+## Docker + Caddy (unico workflow supportato)
 
 ```bash
 mkdir -p data/db data/keys data/logs   # una tantum, se non già presenti