Harden the container: non-root, pinned images and dependencies, the key in a file (B-91, SEC-51, SEC-52, SEC-53; closes B-71, B-72)

- app runs as uid 1000; a one-shot data-permissions service chowns ./data to it
  and closes it to others (works on an older root-owned install with no host sudo);
  files are created 0600 (umask 077)
- python:3.12-slim and caddy:2-alpine pinned by digest; dependencies installed from
  requirements.lock with --require-hashes
- the Fernet key is XPRV_ENCRYPTION_KEY_FILE (./secrets/xprv_encryption.key, a compose
  secret), out of every environment variable and of a ./data backup
- setup.md no longer presents a second way to run the server (B-72)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/adr/ADR-01-piattaforma-custodiale-tutte-chiavi-generate-tenute.md

@@ -1,6 +1,6 @@
 # ADR-01 — La piattaforma è custodiale: tutte le chiavi sono generate e tenute dal server
 
-- **Stato:** Accettata — implementazione da completare (B-91)
+- **Stato:** Accettata
 - **Area:** Custodia, chiavi e indirizzi
 - **Fonte di verità per:** la scelta di progetto descritta qui sotto; i requisiti (`PREFISSO-NN`) che la attuano stanno nei documenti di dominio, indicati nelle *Conseguenze*.
 
@@ -23,5 +23,3 @@ git. L'utente non controlla nulla finché non preleva.
 
 *Codice:* `app/wallet/hd.py:_load_account_key` · `app/wallet/keystore.py:decrypt_xprv` · `app/wallet/hd.py:generate_master_key` ·
 *Test:* `tests/unit/test_hd.py`
-*Stato:* da implementare (B-91) · *Oggi:* la chiave di cifratura è la
-variabile d'ambiente `XPRV_ENCRYPTION_KEY`, visibile con `docker inspect`.

docs/adr/ADR-11-server-rifiuta-partire-segreti-inadeguati.md

@@ -1,6 +1,6 @@
 # ADR-11 — Il server rifiuta di partire con segreti inadeguati
 
-- **Stato:** Accettata — implementazione da completare (B-91)
+- **Stato:** Accettata
 - **Area:** Configurazione e ambiente
 - **Fonte di verità per:** la scelta di progetto descritta qui sotto; i requisiti (`PREFISSO-NN`) che la attuano stanno nei documenti di dominio, indicati nelle *Conseguenze*.
 
@@ -24,8 +24,6 @@ chiuso a tutti. Il controllo è nel lifespan, non in un validatore di
 
 *Codice:* `app/config.py:validate_runtime_secrets` · `app/main.py:lifespan` · `app/api/routes/admin.py:require_admin` ·
 *Test:* `tests/unit/test_config.py`
-*Stato:* da implementare (B-91) per la parte sulla chiave · *Oggi:* la
-chiave Fernet arriva da `XPRV_ENCRYPTION_KEY` (variabile d'ambiente); dopo
-B-91 arriva da un file (`XPRV_ENCRYPTION_KEY_FILE`,
+La chiave Fernet arriva da un file (`XPRV_ENCRYPTION_KEY_FILE`,
 [sicurezza.md](../sicurezza.md#sec-53) SEC-53) e il rifiuto riguarda un file
 mancante o vuoto.