Le aree riservate partono da insanitylab.tielogic.xyz

Deciso da Adriano il 03/09/2026: il dominio del cliente resta su Aruba e non
si tocca, le piattaforme partono da un sottodominio nostro. Scelto l'host che
risolveva gia' e aveva gia' il certificato - fino a oggi faceva 308 verso
l'apex del sito - invece di aspettare un record DNS nuovo.

Tre modifiche coordinate, che vanno insieme o l'host resta senza padrone:
- allowedDomains dell'app: aggiunto l'host temporaneo accanto a quello
  definitivo. Senza, dietro Traefik il CSRF di Astro respinge ogni POST con
  403 e il login sembra rifiutare le credenziali.
- router del container: Host(insanitylab.tielogic.xyz)
- compose del sito: quell'host esce dal router di redirect (www continua)

Quando il record A "apps" esistera' su Aruba si tengono doppi per un po',
invece di spostare di netto un indirizzo che qualcuno ha gia' salvato.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EndnceRA5WnA6rvA5iV9WL

apps/platforms/astro.config.mjs

@@ -11,7 +11,15 @@ export default defineConfig({
   // il login smette di funzionare, e l'errore sembra "credenziali sbagliate".
   // Stessa configurazione del sito, con l'host di quest'app.
   security: {
-    allowedDomains: [{ hostname: 'apps.insanitylab.it', protocol: 'https' }],
+    allowedDomains: [
+      // L'host definitivo, quando il record A su Aruba ci sara'.
+      { hostname: 'apps.insanitylab.it', protocol: 'https' },
+      // ⚠️ L'host TEMPORANEO (03/09/2026): il dominio del cliente resta su Aruba e le aree
+      // riservate partono da un sottodominio nostro, che risolve gia'. Finche' e' in uso
+      // deve stare qui: senza, dietro Traefik il controllo CSRF di Astro respinge ogni POST
+      // con 403 e il login sembra rifiutare le credenziali.
+      { hostname: 'insanitylab.tielogic.xyz', protocol: 'https' },
+    ],
   },
 
   adapter: node({ mode: 'standalone' }),

apps/platforms/compose.yaml

@@ -23,7 +23,12 @@ services:
       - /opt/docker/insanitylab-platforms/data:/app/data
     labels:
       - traefik.enable=true
-      - traefik.http.routers.insanitylab-platforms.rule=Host(`apps.insanitylab.it`)
+      # ⚠️ Host temporaneo: `insanitylab.tielogic.xyz` risolveva gia' e aveva gia' il
+      # certificato (fino al 03/09/2026 faceva 308 verso l'apex del sito, redirect tolto
+      # dal compose del sito nello stesso momento). Quando il record A `apps` esistera' su
+      # Aruba, qui si aggiunge `|| Host(`apps.insanitylab.it`)` e si tiene doppio per un
+      # po', invece di spostare di netto un indirizzo che qualcuno ha gia' salvato.
+      - traefik.http.routers.insanitylab-platforms.rule=Host(`insanitylab.tielogic.xyz`)
       - traefik.http.routers.insanitylab-platforms.tls=true
       - traefik.http.routers.insanitylab-platforms.entrypoints=websecure
       - traefik.http.routers.insanitylab-platforms.tls.certresolver=mytlschallenge

apps/sito/compose.yaml

@@ -32,7 +32,10 @@ services:
       - traefik.http.routers.insanitylab.tls.certresolver=mytlschallenge
       - traefik.http.services.insanitylab.loadbalancer.server.port=4321
       # Router redirect: www e vecchio sottodominio tielogic.xyz → 301 apex
-      - traefik.http.routers.insanitylab-redir.rule=Host(`www.insanitylab.it`) || Host(`insanitylab.tielogic.xyz`)
+      # ⚠️ `insanitylab.tielogic.xyz` NON e' piu' qui dal 03/09/2026: e' l'host temporaneo
+      # delle aree riservate (apps/platforms). Rimetterlo qui gliela toglie di sotto, e il
+      # sintomo sarebbe un 308 verso l'apex al posto del login.
+      - traefik.http.routers.insanitylab-redir.rule=Host(`www.insanitylab.it`)
       - traefik.http.routers.insanitylab-redir.tls=true
       - traefik.http.routers.insanitylab-redir.entrypoints=websecure
       - traefik.http.routers.insanitylab-redir.tls.certresolver=mytlschallenge