feat(deploy): dominio ufficiale insanitylab.it (apex canonico)

- astro.config: site=https://insanitylab.it, allowedDomains apex+www+tielogic
- compose/Traefik: router serve insanitylab.it e (in transizione) tielogic.xyz;
  www.insanitylab.it redirige 301 all'apex. TLS Let's Encrypt via certresolver.
  tielogic resta servito per non avere downtime finché il DNS non propaga;
  il suo redirect all'apex verra' attivato dopo la conferma che il dominio e' live.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

astro.config.mjs

@@ -2,12 +2,18 @@ import { defineConfig } from 'astro/config';
 import node from '@astrojs/node';
 
 export default defineConfig({
-  site: 'https://insanitylab.tielogic.xyz',
+  site: 'https://insanitylab.it',
   output: 'server',
   // Dietro Traefik il TLS termina al proxy: senza allowedDomains Astro ignora
   // X-Forwarded-Proto/Host e il checkOrigin CSRF respinge i POST (403).
+  // Dominio ufficiale insanitylab.it (canonico apex); www e il vecchio
+  // sottodominio tielogic.xyz redirigono all'apex a livello Traefik.
   security: {
-    allowedDomains: [{ hostname: 'insanitylab.tielogic.xyz', protocol: 'https' }],
+    allowedDomains: [
+      { hostname: 'insanitylab.it', protocol: 'https' },
+      { hostname: 'www.insanitylab.it', protocol: 'https' },
+      { hostname: 'insanitylab.tielogic.xyz', protocol: 'https' },
+    ],
   },
   adapter: node({ mode: 'standalone' }),
   // La sezione "Programmi" è stata rinominata "Servizi": redirect permanenti dai vecchi URL.