Harden the container: non-root, pinned images and dependencies, the key in a file (B-91, SEC-51, SEC-52, SEC-53; closes B-71, B-72)

- app runs as uid 1000; a one-shot data-permissions service chowns ./data to it
  and closes it to others (works on an older root-owned install with no host sudo);
  files are created 0600 (umask 077)
- python:3.12-slim and caddy:2-alpine pinned by digest; dependencies installed from
  requirements.lock with --require-hashes
- the Fernet key is XPRV_ENCRYPTION_KEY_FILE (./secrets/xprv_encryption.key, a compose
  secret), out of every environment variable and of a ./data backup
- setup.md no longer presents a second way to run the server (B-72)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/setup.md

@@ -1,13 +1,13 @@
 # Setup
 
 Passaggi da eseguire una tantum per preparare un'istanza di PLM Lottery, prima di
-poterla avviare (in locale o via Docker). Per come avviarla poi ogni volta, vedi
+poterla avviare. Il server gira sempre in Docker; il venv serve solo a test, migrazioni da generare e script una tantum. Per come avviarla poi ogni volta, vedi
 [running-the-server.md](running-the-server.md).
 
 ## 1. Prerequisiti
 
-- Python 3.12+ (serve solo per il workflow locale/venv — puoi saltarlo se usi solo Docker)
-- Docker + Docker Compose (serve solo per il workflow a container)
+- Docker + Docker Compose (il server gira solo così)
+- Python 3.12+ (solo per gli strumenti locali: test, `alembic revision` e gli script delle chiavi)
 - Un server Electrum raggiungibile per la rete PLM. Il server di bootstrap per lo
   sviluppo è `santantonio.sytes.net:50002` (SSL) — va bene per i test, ma in
   produzione conviene usarne uno di cui ci si fida o gestirne uno proprio.
@@ -31,7 +31,7 @@ cp .env.example .env
 
 | Variabile | Scopo | Come generarla |
 |---|---|---|
-| `XPRV_ENCRYPTION_KEY` | Chiave simmetrica che cifra a riposo la master xprv del server. **Perdere questa chiave significa perdere per sempre l'accesso ai fondi di tutti gli utenti.** | `python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"` |
+| `XPRV_ENCRYPTION_KEY_FILE` | Percorso del file che contiene la chiave simmetrica che cifra a riposo la master xprv del server (`./secrets/xprv_encryption.key`, cartella `0700`, file `0600`; nel container è montato come secret). **Perdere questa chiave significa perdere per sempre l'accesso ai fondi di tutti gli utenti.** | `mkdir -p secrets && chmod 700 secrets && python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())" > secrets/xprv_encryption.key && chmod 600 secrets/xprv_encryption.key` |
 | `JWT_SECRET` | Firma i token di sessione degli utenti. | `python -c "import secrets; print(secrets.token_urlsafe(32))"` |
 | `ADMIN_TOKEN` | Token bearer richiesto sugli endpoint admin (header `X-Admin-Token`). | `python -c "import secrets; print(secrets.token_urlsafe(32))"` |
 
@@ -61,7 +61,7 @@ certificato del primario. Attenzione: un valore scritto male **blocca
 l'avvio** dell'app — è voluto, meglio accorgersene subito che durante il
 disservizio in cui il fallback serve davvero.
 
-`JWT_SECRET` e `XPRV_ENCRYPTION_KEY` vengono verificati all'avvio: se sono vuoti
+`JWT_SECRET` e la chiave in `XPRV_ENCRYPTION_KEY_FILE` vengono verificati all'avvio: se sono vuoti
 (o `JWT_SECRET` è più corto di 32 caratteri) il container si rifiuta di partire con
 un errore esplicito, invece di avviarsi e rompersi al primo login. Nota: `.env`
 contiene solo segreti e configurazione di infrastruttura — i parametri di
@@ -74,15 +74,13 @@ admin dopo l'avvio, non qui — vedi [guida-admin.md](guida-admin.md).
 
 Il server deriva l'indirizzo di deposito di ogni utente (e l'indirizzo pool) da
 un'unica master xprv, generata una volta e cifrata a riposo con
-`XPRV_ENCRYPTION_KEY`. Questo passaggio va eseguito esattamente una volta per
-ogni deployment, dopo aver impostato `XPRV_ENCRYPTION_KEY` in `.env`:
+la chiave in `XPRV_ENCRYPTION_KEY_FILE`. Questo passaggio va eseguito esattamente una volta per
+ogni deployment, dopo aver creato quel file e impostato `XPRV_ENCRYPTION_KEY_FILE` in `.env`:
 
-- **Locale/venv**: `PYTHONPATH=. python scripts/generate_master_key.py`
-- **Docker**: `docker compose run --rm app python scripts/generate_master_key.py`
+Dal venv: `PYTHONPATH=. python scripts/generate_master_key.py`, con `MASTER_KEY_PATH=./data/keys/master.xprv.enc` in `.env`, così lo script scrive esattamente il file che legge il container.
 
-Questo scrive un file cifrato (`MASTER_KEY_PATH`, default `./master.xprv.enc` in
-locale o `./data/keys/master.xprv.enc` con Docker). **Fai il backup di questo
-file insieme a `XPRV_ENCRYPTION_KEY`** — uno dei due da solo è inutile, ma
+Questo scrive un file cifrato (`MASTER_KEY_PATH`, in Docker `./data/keys/master.xprv.enc`). **Fai il backup di questo
+file insieme a `secrets/xprv_encryption.key`** — uno dei due da solo è inutile, ma
 perderli entrambi insieme significa perdere i fondi di tutti gli utenti senza
 possibilità di recupero.
 
@@ -107,10 +105,10 @@ Entrambi vanno eseguiti localmente (o dentro il container via
 pannello admin: chi ottiene questa xprv ottiene il controllo dei fondi di
 tutti gli utenti e del pool.
 
-## 4. Installare le dipendenze (solo workflow locale/venv)
+## 4. Installare gli strumenti locali (venv)
 
-Salta questo passaggio se usi solo Docker — l'immagine installa le proprie
-dipendenze durante la build.
+Servono per i test e per gli script delle chiavi; il server non ne ha bisogno,
+perché l'immagine installa le proprie dipendenze (da `requirements.lock`).
 
 ```bash
 python3 -m venv .venv
@@ -120,9 +118,9 @@ pip install -e ".[dev]"
 
 ## 5. Applicare le migrazioni del database
 
-- **Locale/venv**: `alembic upgrade head`
-- **Docker**: le migrazioni vengono eseguite automaticamente all'avvio del
-  container (vedi il `CMD` del `Dockerfile`) — nessun passaggio manuale.
+Le migrazioni vengono eseguite automaticamente all'avvio del container (vedi il
+`CMD` del `Dockerfile`) — nessun passaggio manuale, e `alembic upgrade head` non
+si lancia mai a mano.
 
 ## 6. Impostare l'indirizzo delle fee