Blog: numeri delle tematiche fra parentesi

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.dockerignore

@@ -0,0 +1,10 @@
+node_modules
+dist
+data
+uploads
+.env
+.git
+docs
+assets-src
+tests
+*.md

.env.example

@@ -1,8 +1,17 @@
-SMTP_HOST=smtp.example.com
+# SMTP Aruba — il dominio insanitylab.it invia la posta via Aruba (SPF: include:aruba.it)
-SMTP_PORT=587
+# Server posta in uscita autenticato: smtps.aruba.it:465 (SSL). Verificato funzionante.
-SMTP_USER=user
+SMTP_HOST=smtps.aruba.it
-SMTP_PASS=pass
+SMTP_PORT=465
+# Casella reale del dominio usata per l'invio autenticato (con la sua password Aruba)
+SMTP_USER=postmaster@insanitylab.it
+SMTP_PASS=la-password-della-casella
+# Aruba impone che il mittente sia la casella autenticata: uguale a SMTP_USER
+CONTACT_FROM=postmaster@insanitylab.it
+# Dove arrivano i messaggi del form
 CONTACT_TO=info@insanitylab.it
-CONTACT_FROM=sito@insanitylab.it
 DB_PATH=data/insanitylab.db
 UPLOADS_DIR=uploads
+
+# Google Tag Manager: ID container preso da tagmanager.google.com (accanto al nome container).
+# Formato GTM-XXXXXXX. Lascia vuoto per non caricare GTM (es. in locale/staging).
+GTM_ID=GTM-XXXXXXX

.superpowers/sdd/task-2-report.md

@@ -0,0 +1,247 @@
+# Task 2 Report — Estrazione e mappatura asset immagine da Figma
+
+**Data:** 2026-07-01  
+**Fonte:** `../FigmaDoc/Web Insanity.fig` (60 immagini uniche + ~66 duplicati = 126 estratte)  
+**Destinazione:** `src/assets/img/` (31 file) + `public/img/` (2 loghi)
+
+---
+
+## Mappature completate
+
+### Hero
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `hero-1.jpg` | `8b71f158...` | Uomo con palla medica (medicine ball) che la tiene verso donna in posizione crunch, palestra scura — "uomo con palla medica + donna" ✓ |
+
+### Info sezioni (PERFORMANCE / BALANCE / LONGEVITY)
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `info-performance.jpg` | `0f803439...` | Uomo muscoloso in planche su sfondo grigio neutro |
+| `info-balance.jpg` | `432d397a...` | Due donne sedute schiena a schiena in abiti sportivi beige/neutri |
+| `info-longevity.jpg` | `d7fcf0aa...` | Donna anziana in posizione push-up — longevità attiva |
+
+### Feature sezioni (immagini più grandi per ciascun pilastro)
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `feature-performance.jpg` | `6d602573...` | Uomo con chalk sulle mani — preparazione sollevamento pesi, performance atletica |
+| `feature-balance.jpg` | `16e611de...` | Gruppo yoga all'aperto al tramonto — equilibrio e benessere |
+| `feature-longevity.jpg` | `98f1f8d2...` | Donna anziana in piedi con bottiglia d'acqua, outfit sportivo beige — longevità sana |
+
+### Quote background
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `quote-bg.jpg` | `28e8157d...` | Scritta "PERFORMANCE. BALANCE. LONGEVITY." su muro di intonaco — elemento visivo identitario |
+
+### Training programs
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `training-one-to-one.jpg` | `85808a0c...` | Trainer e cliente a colloquio in palestra, tablet in mano — consulenza personalizzata |
+| `training-small-groups.jpg` | `bb632b8d...` | Due donne con manubri leggeri in posizione atletica — small group training |
+| `training-performance-class.jpg` | `91aa82b5...` | Grande gruppo in sala fitness/danza con palle fitball — performance class |
+| `training-fit-remote.jpg` | `86c1363b...` | Donna a casa sul tappetino con laptop — allenamento remoto online |
+
+### Team Trainer (homepage — 4 ritratti luce dorata)
+| File destinazione | Hash sorgente | Persona identificata |
+|---|---|---|
+| `team-donata.jpg` | `0b6cf694...` | Donna capelli lunghi scuri dritti, luce dorada laterale — Donata ✓ |
+| `team-nicola.jpg` | `1cc33c41...` | Uomo barba folta, turtleneck scuro, luce dorata — Nicola ✓ |
+| `team-eleonora.jpg` | `a75ca105...` | Donna capelli biondi/chiari, stessa luce dorata — Eleonora ✓ |
+| `team-antonello.jpg` | `e3c84f99...` | Uomo occhiali tondi, capelli rasatissimi, luce dorata — Antonello ✓ |
+
+### Il Metodo (4 passi circolari)
+| File destinazione | Hash sorgente | Step identificato |
+|---|---|---|
+| `method-step-1.jpg` | `88cfcd5f...` | Calibro plicometro su addome — valutazione composizione corporea |
+| `method-step-2.jpg` | `d21671bb...` | Donna in cucina con verdure fresche e metro — pianificazione nutrizionale |
+| `method-step-3.jpg` | `a3e84d7d...` | Silhouette uomo in palestra in controluce — sessione allenamento |
+| `method-step-4.jpg` | `e50b6f78...` | Scarpe su tapis roulant — monitoraggio continuo e progressione |
+
+### Partner loghi
+| File destinazione | Hash sorgente | Logo identificato |
+|---|---|---|
+| `partner-edenred.png` | `bee22f37...` | "Ticket Welfare Edenred" — logo rosso/blu su sfondo trasparente ✓ |
+| `partner-welbee.png` | `cf079250...` | "welbee" — logo verde su sfondo bianco ✓ |
+| `partner-aon.png` | `014a7708...` | "Aon" — logo rosso su sfondo bianco ✓ |
+| `partner-howden.png` | `872c3679...` | "HOWDEN" — logo blu su sfondo bianco ✓ |
+
+### Loghi InsanityLab (public/img/)
+| File destinazione | Sorgente | Note |
+|---|---|---|
+| `logo-dark.png` | `../Dati/logo-dark.png` | **Fallback** — logo non presente nel file Figma |
+| `logo-light.png` | `../Dati/logo-light.png` | **Fallback** — logo non presente nel file Figma |
+
+### About page (bonus — non richiesti dal brief)
+| File destinazione | Hash sorgente | Descrizione |
+|---|---|---|
+| `about-exterior.jpg` | `8ffc5f7a...` | Facciata esterna palestra/studio InsanityLab, sera |
+| `about-team-group.jpg` | `32ecd00a...` | Foto di gruppo team InsanityLab in bianco e nero |
+| `about-training-group.jpg` | `d4608b10...` | Gruppo che salta con kettlebell in sala beige |
+| `about-trainer-1.jpg` | `dafcc193...` | Trainer donna capelli scuri ondulati, luce dorata |
+| `about-trainer-2.jpg` | `9c50f1d3...` | Trainer donna capelli scuri più corti, matura, luce dorata |
+| `about-trainer-3.jpg` | `c51a49b9...` | Trainer donna capelli neri lisci, sorriso, sfondo chiaro |
+| `about-trainer-4.jpg` | `3341a11b...` | Trainer uomo giovane senza barba, turtleneck scuro |
+
+---
+
+## Immagini attese ma non trovate nel Figma
+
+| Nome atteso | Motivo mancanza | Azione intrapresa |
+|---|---|---|
+| `logo-dark.png` | Assente in `Web Insanity.fig` | Fallback da `../Dati/logo-dark.png` ✓ |
+| `logo-light.png` | Assente in `Web Insanity.fig` | Fallback da `../Dati/logo-light.png` ✓ |
+
+Tutti e 4 i loghi partner sono stati trovati nel Figma. Nessuna altra immagine richiesta dal brief risulta mancante.
+
+---
+
+## Dimensioni finali
+
+```
+src/assets/img/   3.7 MB  (31 file JPG + 4 PNG partner loghi)
+public/img/       ~3.4 KB  (2 PNG logo: logo-dark.png 1.7 KB, logo-light.png 1.7 KB)
+```
+
+Tutte le immagini sono ≤ 1400 px larghezza e ≤ 1600 px altezza. Il file più pesante è quote-bg.jpg a 460 KB. Nessun file supera 500 KB.
+
+*Aggiornato dopo fix round 2 — i numeri precedenti (3.4 MB / nessun file >400 KB) erano errati: la pipeline originale non vincolava l'altezza, lasciando immagini portrait a 2-3 MB ciascuna.*
+
+---
+
+## Note tecnica — PNG → JPG
+
+Le foto trainer e training erano estratte dal Figma come PNG lossless (6–8 MB ciascuna). Convertite a JPG qualità 85 con resize a 1200 px max → risparmio ~98% per file. I loghi partner restano PNG per preservare sfondo trasparente.
+
+Il file `asset-map.json` referenzia gli hash originali (estensione .png/.jpg come estratti). I file di destinazione finali hanno tutti estensione .jpg (eccetto loghi partner .png), il che diverge dai nomi originali nel map ma i file in `src/assets/img/` riflettono il formato convertito.
+
+---
+
+## Conteggio
+
+- **Mappate e presenti:** 33 (31 in src/assets/img + 2 in public/img)
+- **Mancanti nel Figma:** 2 (logo-dark, logo-light) → risolti con fallback
+- **Immagini estratte totali:** 126 (inclusi ~66 duplicati)
+- **Lasciate in assets-src/ (gitignored):** 126 file sorgente
+
+---
+
+## Fix round 1
+
+**Data:** 2026-07-02
+
+### Cosa cambiato
+
+1. **`scripts/asset-map.json`** — rimossa sezione `"public/img"` (chiavi non-hash, rompeva pipeline dopo `extract-fig-images.sh`). Aggiunta sezione top-level `"fallbacks"` con struttura `{ "public/img": { "../Dati/logo-dark.png": "logo-dark.png", "../Dati/logo-light.png": "logo-light.png" } }`. Le destinazioni in `src/assets/img` mantengono l'estensione REALE del sorgente estratto da Figma (`.png` per PNG Figma, `.jpg` per JPEG già presenti in assets-src).
+
+2. **`scripts/apply-asset-map.mjs`** — aggiunto commento d'intestazione sull'ordine pipeline (extract → apply → optimize). Aggiunto loop `fallbacks`: copia da path relativo alla root del repo invece che da `assets-src/`, senza exit 1 per file assenti nel .fig.
+
+3. **`scripts/optimize-assets.sh`** (nuovo) — bash, `set -euo pipefail`. Converte tutti i PNG non-partner in `src/assets/img/` → JPG qualità 85 con resize `1400x>`, poi ridimensiona JPG già esistenti se larghezza > 1400px. Idempotente (nullglob su `.png`).
+
+### Output verifica riproducibilità
+
+```
+node scripts/apply-asset-map.mjs → "Copiate 33 immagini"
+./scripts/optimize-assets.sh    → 16 PNG→JPG, 5 JPG ridimensionati (hero-1, info-balance, info-longevity, method-step-1, method-step-2)
+git status --short              → elenco file identico al pre-fix (31 img + 4 PNG partner)
+                                   18 file binari rigenerati (ricompressione diversa da conversione manuale originale)
+                                   → ricommittati: repo = output pipeline ✓
+```
+
+### Esito punto 4 — bassa risoluzione
+
+- **`method-step-3.jpg`** (184×276): sorgente in `assets-src/a3e84d7daf0b25c750ef694f4b9fc10bf0f2f1a8.jpg` è già 184×276 — stessa risoluzione del file committato. Nessuna versione ad alta risoluzione disponibile in `assets-src/`. **Richiede sorgente migliore dal cliente.**
+- **`about-team-group.jpg`** (270×480): sorgente in `assets-src/32ecd00a20321e58c700fbaf739e53ac3bf03876.png` è già 270×480. Nessuna versione ad alta risoluzione disponibile. **Richiede sorgente migliore dal cliente.**
+
+---
+
+## Fix round 2
+
+**Data:** 2026-07-02
+
+### Numeri finali
+
+```
+src/assets/img/   3.7 MB  totale (31 JPG + 4 PNG partner)
+```
+
+Top-5 per peso:
+| File | Dimensioni | Peso |
+|---|---|---|
+| quote-bg.jpg | 1087×1600 | 460 KB |
+| info-performance.jpg | 1200×1500 | 256 KB |
+| info-longevity.jpg | 1095×1600 | 248 KB |
+| training-performance-class.jpg | 1400×1400 | 240 KB |
+| about-exterior.jpg | 1400×781 | 188 KB |
+
+Nessun file supera 500 KB. Precedente info-longevity.jpg era 2.7 MB, info-balance.jpg 2.0 MB.
+
+### Cosa cambiato
+
+1. **`scripts/optimize-assets.sh`** — vincolo resize cambiato da `'1400x>'` (solo larghezza) a `'1400x1600>'` (larghezza E altezza). Qualità JPG da 85 a 83. Tutti i JPG già esistenti vengono ri-codificati a q83 con nuovo vincolo (loop separato, skip file appena convertiti per evitare doppia codifica). Risultato: portrait da 2-3 MB → 248-460 KB.
+
+2. **`scripts/asset-map.json`** — aggiunta chiave `"_nota"` in testa per documentare la conversione PNG→JPG operata da optimize-assets.sh (JSON non supporta commenti, chiave dedicata con prefisso `_`).
+
+3. **`scripts/apply-asset-map.mjs`** — aggiunto `destDir.startsWith('_')` nella condizione di skip, così le chiavi meta `_*` del JSON vengono ignorate nella pipeline.
+
+### Esito idempotenza
+
+Terza esecuzione `apply-asset-map.mjs + optimize-assets.sh`: md5sum su tutti i .jpg identico prima e dopo → **IDEMPOTENTE** ✓
+
+### Esito verifica loghi
+
+`public/img/logo-dark.png` (130×19, 1725 B) e `logo-light.png` (135×19, 1701 B) sono **identici** ai file sorgente in `../Dati/logo-dark.png` e `../Dati/logo-light.png` (stessa dimensione byte-level). Non sono placeholder: sono i loghi reali InsanityLab copiati dalla sezione `fallbacks` di asset-map.json tramite apply-asset-map.mjs. Le dimensioni in pixel ridotte (130×19 px) sono caratteristiche del PNG sorgente in Dati/, non di un errore di pipeline.
+
+---
+
+## Fix round 3
+
+**Data:** 2026-07-02
+
+### Problema chiuso
+
+`public/img/logo-dark.png` e `logo-light.png` contenevano i loghi del template "PROWESS++" copiati da `../Dati/` (sorgente errato). Sostituiti con i loghi reali "insanitylab" estratti vettorialmente dal PDF Figma.
+
+### Metodo
+
+Sorgente: `../FigmaDoc/Homepage.pdf` (1334×10460 pt, 1 pagina).
+
+Render esplorativi a 72–150 dpi per individuare le zone logo:
+- **Logo dark** (header, fondo bianco): riga nav in alto, x≈25pt, y≈10pt
+- **Logo light** (footer, fondo scuro `srgb(58,41,41)`): sezione footer, y≈8490pt
+
+Estrazione finale con `pdftoppm -r 300`, poi ImageMagick:
+- Dark: `-fuzz 8% -transparent white -trim -resize 600x -strip`
+- Light: `-crop 850x660+130+60` (esclude tagline e colonne destra), `-fuzz 12% -transparent 'srgb(58,41,41)' -trim -resize 600x -strip`
+
+`-strip` su entrambi garantisce idempotenza md5sum tra esecuzioni successive.
+
+### Coordinate pdftoppm a 300 dpi (pixel)
+
+| Logo | -x | -y | -W | -H | crop interno |
+|---|---|---|---|---|---|
+| dark  | 104 | 41    | 895  | 250 | — |
+| light | 0   | 35375 | 1800 | 833 | `850x660+130+60` |
+
+### Dimensioni finali
+
+| File | Dimensioni | Tipo |
+|---|---|---|
+| `public/img/logo-dark.png`  | **600×108 px** | TrueColorAlpha (PNG trasparente) |
+| `public/img/logo-light.png` | **600×342 px** | TrueColorAlpha (PNG trasparente) |
+
+### Aggiornamenti pipeline
+
+- Creato `scripts/extract-logos.sh` (bash, `set -euo pipefail`, coordinate fisse, idempotente)
+- `scripts/asset-map.json`: rimossa sezione `fallbacks` (loghi ora da extract-logos.sh, non da `../Dati`)
+- `scripts/apply-asset-map.mjs`: commento pipeline aggiornato a step 4
+- Ordine pipeline: `extract-fig-images.sh → apply-asset-map.mjs → optimize-assets.sh → extract-logos.sh`
+
+### Verifica visiva
+
+- `logo-dark.png`: icona onda/battito cardiaco beige + scritta "insanitylab" scura, layout orizzontale, sfondo trasparente. **Nessun residuo PROWESS++.**
+- `logo-light.png`: icona onda/battito cardiaco beige sopra, scritta "insanitylab" beige sotto, layout stacked, sfondo trasparente. **Nessun residuo PROWESS++.**
+
+### Idempotenza
+
+```
+md5sum run1 = md5sum run2 → IDEMPOTENTE ✓
+```

Dockerfile

@@ -0,0 +1,25 @@
+# Stage 1: build
+FROM node:22-slim AS build
+WORKDIR /app
+COPY package.json package-lock.json ./
+RUN npm ci
+COPY . .
+RUN npm run build
+
+# Stage 2: runtime
+FROM node:22-slim AS runtime
+WORKDIR /app
+ENV NODE_ENV=production
+COPY package.json package-lock.json ./
+RUN npm ci --omit=dev && npm cache clean --force
+COPY --from=build /app/dist ./dist
+COPY scripts ./scripts
+# Contenuti della sezione Campus (generati con `npm run sync-campus` e committati)
+COPY campus-content ./campus-content
+
+ENV HOST=0.0.0.0 \
+    PORT=4321 \
+    DB_PATH=/app/data/insanitylab.db \
+    UPLOADS_DIR=/app/uploads
+EXPOSE 4321
+CMD ["node", "./dist/server/entry.mjs"]

README.md

@@ -1,137 +1,167 @@
 # InsanityLab Website
 
-Sito vetrina per InsanityLab con blog integrato e form di contatti.
+Sito ufficiale di InsanityLab: vetrina aziendale, blog integrato, form di contatti e sistema di contenuti modificabili senza toccare il codice. In produzione su **https://insanitylab.it**.
 
 ## Descrizione
 
-Il progetto realizza un sito web per InsanityLab, combinando una vetrina aziendale con un sistema di blog gestito tramite SQLite e un form di contatti funzionante. L'architettura è costruita su **Astro 5** con adapter **Node.js** per deployment su server, garantendo performance ottimali e SEO-friendly pages.
+Il sito è costruito su **Astro 7** in modalità server (SSR) con adapter **Node.js standalone**, servito in un container Docker dietro **Traefik** (TLS Let's Encrypt automatico). I contenuti testuali e le immagini della parte vetrina sono "taggati" e salvati su **SQLite**: si modificano da un pannello di amministrazione o direttamente in pagina, senza deploy. Il blog è gestito internamente con editor rich‑text, e il form di contatti invia email tramite SMTP.
 
-## Stack Tecnologico
+## Stack tecnologico
 
-- **Framework**: Astro 5
+- **Framework**: Astro 7 (output `server`, `prerender = false` sulle pagine dinamiche)
-- **Runtime**: Node.js (adapter standalone)
+- **Runtime**: Node.js 22 (adapter `@astrojs/node` standalone)
-- **Database**: SQLite (better-sqlite3)
+- **Database**: SQLite via `better-sqlite3`
-- **Autenticazione**: bcryptjs
+- **Autenticazione**: sessioni con password hashate (`bcryptjs`)
-- **Email**: Nodemailer
+- **Email**: Nodemailer (SMTP)
-- **Markup Editor**: TipTap (rich text)
+- **Editor articoli**: TipTap (rich text)
-- **Font System**: @fontsource (Montserrat, Open Sans)
+- **Font**: `@fontsource` (Montserrat, Open Sans) — nessun CDN esterno
-- **Sitemap**: @astrojs/sitemap
+- **Sitemap**: endpoint runtime `/sitemap.xml` (route vetrina + articoli pubblicati)
-- **Testing**: Vitest
+- **Test**: Vitest
 - **Linguaggio**: TypeScript
+- **Deploy**: Docker (multi‑stage, `node:22-slim`) + Traefik su VPS
 
-## Installazione
+## Funzionalità principali
+
+- **Vetrina**: home, chi siamo, training, servizi (con schede di dettaglio), blog, contatti, landing "Promo ed eventi".
+- **Contenuti taggati**: ogni testo/immagine ha un tag (es. `home.hero.title-line-1`) modificabile dal pannello o in pagina.
+- **Modifica inline**: chi ha i permessi può attivare l'overlay dei tag e modificare i contenuti direttamente mentre naviga il sito.
+- **Blog** con editor TipTap, immagini caricate, firma autore e proprietà degli articoli per ruolo.
+- **Gestione utenti** con quattro ruoli (`admin`, `superuser`, `user`, `campus`).
+- **Campus**: sezione riservata con le guide di studio del corso Biohacking Campus, accessibile solo dopo il login e con navigazione autonoma.
+- **Form contatti** con validazione, honeypot anti‑spam, rate‑limit e invio email via SMTP.
+
+## Installazione (sviluppo)
 
 ### Prerequisiti
-
 - Node.js 18+ e npm
 
 ### Setup
-
 ```bash
-# Installa dipendenze
 npm install
-
+cp .env.example .env          # poi compila i valori reali
-# Copia il template di configurazione env
+npm run create-user -- admin <password> admin
-cp .env.example .env
+npm run dev                   # http://localhost:4321
-
-# Crea il primo utente amministratore (dopo aver configurato il DB)
-npm run create-user -- admin tuapassword
 ```
 
-Modifica `.env` con le credenziali SMTP, percorsi database e upload directory secondo il tuo ambiente.
+Il database `data/insanitylab.db` viene creato al primo avvio ed è popolato automaticamente con i contenuti di default (seed) e le migrazioni idempotenti.
 
-## Comandi Disponibili
+## Comandi
 
 | Comando | Descrizione |
 |---------|-------------|
-| `npm run dev` | Avvia il server di sviluppo (localhost:3000) |
+| `npm run dev` | Server di sviluppo (localhost:4321) |
-| `npm run build` | Compila il progetto per production |
+| `npm run build` | Build di produzione |
-| `npm run preview` | Visualizza l'anteprima della build (locale) |
+| `npm run preview` | Anteprima locale della build |
-| `npm run start` | Avvia il server production (richiede `npm run build` preliminare) |
+| `npm run start` | Server di produzione (`node --env-file=.env`) |
-| `npm run test` | Esegui i test con Vitest |
+| `npm run test` | Test con Vitest |
-| `npm run create-user` | Crea un nuovo utente (admin o redattore) |
+| `npm run create-user` | Crea/aggiorna utente: `-- <nome> <password> [admin\|superuser\|user\|campus]` |
+| `npm run sync-campus` | Rigenera i contenuti del Campus: `-- <path-progetto-biohacking-campus>` |
 
-## Struttura Progetto
+## Gestione contenuti
+
+I testi e le immagini della vetrina sono **blocchi taggati** salvati nella tabella `content_blocks`. Ogni blocco ha un tag stabile (es. `home.hero.title-line-1`), un valore, eventuali stili predefiniti, un tipo (`text` / `html` / `image`) e un **GUID** univoco.
+
+- **Pannello** `/admin/content`: i blocchi sono raggruppati per pagina, con ricerca per tag o contenuto, upload delle immagini e ripristino all'originale.
+- **Modifica inline**: attivando "Mostra tag" dal menu utente, ogni blocco mostra un badge (nome tag + matita) che apre una finestra di modifica direttamente in pagina.
+- **Componenti** `<T>` e `<TImg>`: rendono i blocchi con fallback automatico al seed quando un tag non è ancora nel database.
+
+Il seed dei contenuti è in `src/data/content-seed.ts`; le variazioni sui contenuti già esistenti (rinomine, testi aggiornati) si applicano tramite **migrazioni idempotenti** in `src/lib/db.ts`, così da non sovrascrivere le modifiche fatte dal pannello.
+
+> Nota tecnica: gli elementi resi dai componenti `<T>`/`<TImg>` **non** ereditano il `data-astro-cid` del componente che li usa. Uno stile scoped basato solo sulla classe (es. `.hero__line`) non li raggiunge: va ancorato a un contenitore che ha il cid usando `:global()` (es. `.hero__text :global(.hero__line)`).
+
+## Ruoli e accessi
+
+Quattro ruoli, con autorizzazione a matrice di prefissi in `src/lib/auth.ts`:
+
+| Ruolo | Può fare |
+|-------|----------|
+| `admin` | Tutto: contenuti, blog, upload, **gestione utenti** (`/admin/users`), Campus |
+| `superuser` | Pannello contenuti + blog |
+| `user` | Solo i **propri** articoli del blog |
+| `campus` | Solo la sezione riservata `/campus`; nessun accesso al pannello |
+
+Login pubblico su `/login` (`?next` sanitizzato contro open redirect). Dopo l'autenticazione ogni ruolo viene indirizzato alla propria pagina iniziale: il pannello per admin e user, i contenuti per superuser, il Campus per il ruolo omonimo. La gestione utenti (`/admin/users`, solo admin) consente creazione, reset password una‑tantum, cambio ruolo ed eliminazione, con guardie contro l'auto‑eliminazione e la rimozione dell'ultimo admin.
+
+## Campus (sezione riservata)
+
+La sezione `/campus` raccoglie le guide di studio del corso Biohacking Campus. È protetta dal middleware come il pannello: un visitatore anonimo viene mandato al login, un utente con ruolo non abilitato torna alla propria pagina iniziale. Le pagine non montano l'header e il footer del sito — la navigazione avviene attraverso la barra laterale delle aree, con un unico richiamo per tornare alla home — ma usano i font, i colori e il CSS globale di InsanityLab.
+
+I contenuti non vengono scritti a mano: lo script `npm run sync-campus` legge le guide sorgente (`*.studio.md`) dal progetto Biohacking Campus, le converte in frammenti HTML e produce la cartella `campus-content/` (indice `nav.json`, pagine e immagini delle slide), che va committata perché il deploy la copia nell'immagine Docker. Lo script è idempotente: rigenerarlo dopo l'aggiunta di nuove lezioni aggiorna indice e pagine e rimuove quelle non più presenti. Le nuove guide vanno prima dichiarate nella struttura dei capitoli in `scripts/campus/structure.mjs`.
+
+Le immagini delle slide sono servite dalla route `/campus/assets/...`, anch'essa protetta: non sono raggiungibili senza una sessione valida.
+
+## Struttura del progetto
 
 ```
 insanitylab-website/
 ├── src/
-│   ├── pages/               # Pagine Astro (routing automatico)
+│   ├── pages/            # Route Astro (vetrina, /admin, /api, /campus)
-│   ├── components/          # Componenti Astro riutilizzabili
+│   ├── components/       # Componenti (home/, content/, Header, Footer, …)
-│   ├── layouts/             # Layout master
+│   ├── layouts/          # Layout Base, Admin, Campus
-│   ├── utils/               # Funzioni di utilità
+│   ├── data/             # Dati statici + seed contenuti (services, trainings, site, content-seed)
-│   ├── env.d.ts            # Type definitions globali
+│   ├── lib/              # db, auth, content, mailer, rate-limit, safe-next, env
-│   └── ...
+│   ├── assets/img/       # Immagini ottimizzate da Astro
-├── data/                    # Database SQLite e dati persistenti
+│   └── styles/           # global.css
-│   └── insanitylab.db      # (generato al primo avvio)
+├── data/                 # SQLite (volume in produzione)
-├── uploads/                 # Directory per upload immagini e file
+├── uploads/              # Upload immagini (volume in produzione)
-├── dist/                    # Output build (server)
+├── campus-content/       # Contenuti del Campus generati da sync-campus
-├── tests/                   # Test suite
+├── scripts/              # create-user, sync-campus, smoke test
-├── astro.config.mjs        # Configurazione Astro
+├── astro.config.mjs      # Config Astro (site, allowedDomains, redirects)
-├── tsconfig.json           # Configurazione TypeScript
+├── compose.yaml          # Stack Docker + label Traefik
-├── vitest.config.ts        # Configurazione test framework
+├── Dockerfile            # Build multi-stage
-├── .env.example            # Template variabili di ambiente
+├── .env.example          # Template variabili d'ambiente
-├── .env                    # Variabili di ambiente (non versionato)
+└── README.md
-├── package.json            # Dipendenze e script npm
-└── README.md               # Questo file
 ```
 
-## Configurazione Ambiente
+## Variabili d'ambiente
 
-Il file `.env` richiede le seguenti variabili:
+Il file `.env` (non versionato) richiede:
 
-- `SMTP_HOST`: Host SMTP per invio email
+| Variabile | Descrizione |
-- `SMTP_PORT`: Porta SMTP (solitamente 587)
+|-----------|-------------|
-- `SMTP_USER`: Utente SMTP
+| `SMTP_HOST` | Host SMTP (produzione: `smtps.aruba.it`) |
-- `SMTP_PASS`: Password SMTP
+| `SMTP_PORT` | Porta SMTP (`465` con SSL) |
-- `CONTACT_TO`: Email di destinazione contatti
+| `SMTP_USER` | Casella di invio (deve coincidere con `CONTACT_FROM`) |
-- `CONTACT_FROM`: Email mittente
+| `SMTP_PASS` | Password della casella |
-- `DB_PATH`: Percorso database SQLite
+| `CONTACT_FROM` | Mittente delle email (= `SMTP_USER`) |
-- `UPLOADS_DIR`: Cartella upload file
+| `CONTACT_TO` | Destinatario dei messaggi del form |
+| `DB_PATH` | Percorso del database SQLite |
+| `UPLOADS_DIR` | Cartella degli upload |
+| `CAMPUS_DIR` | Cartella dei contenuti del Campus (default `./campus-content`) |
 
-## Development Workflow
+La posta del dominio `@insanitylab.it` è ospitata su **Aruba**; l'invio del form usa l'SMTP autenticato Aruba (`smtps.aruba.it:465`). Aruba impone che il mittente sia la casella autenticata, quindi `CONTACT_FROM` deve essere uguale a `SMTP_USER`.
 
-1. **Avvia il server locale**: `npm run dev`
+## Deploy in produzione
-2. **Modifica file** in `src/` (hot reload automatico)
-3. **Test**: `npm run test`
-4. **Build**: `npm run build` (verifica errori di build)
-5. **Commit**: Con prefisso `feat:` (feature) o `chore:` (manutenzione)
 
-## Deployment
+Il sito gira in Docker su un VPS, dietro Traefik. Lo stack è in `/opt/docker/insanitylab/` (repo in `src/`, volumi `data/` e `uploads/`). Aggiornamento:
 
 ```bash
-# Build per production
+cd /opt/docker/insanitylab/src
-npm run build
+git pull
-
+docker compose up -d --build
-# Opzionalmente, preview locale
-npm run preview
-
-# In production, il server parte con:
-npm run start
-
-# Variabili ambiente in production vanno impostate sull'hosting
-# (es. Hostinger VPS, Vercel, etc.)
 ```
 
-## Riferimenti Tecnici
+Le migrazioni del database (in `src/lib/db.ts`) sono idempotenti e girano all'avvio del container: aggiornano lo schema e i contenuti senza perdere le modifiche fatte dal pannello.
 
-Per dettagli su architettura, schema database, componenti e specifiche vedi:
+### Dominio e DNS
-- `/docs/superpowers/specs/2026-07-01-insanitylab-website-design.md`
-- `/docs/superpowers/plans/2026-07-01-insanitylab-website.md`
 
-## Problemi Comuni
+- Dominio ufficiale: **insanitylab.it** (canonico l'apex; `www` fa redirect 301 all'apex tramite Traefik).
+- I record **A** di `@` e `www` puntano al VPS; la **posta resta su Aruba** (MX, SPF, webmail non vengono toccati).
+- TLS Let's Encrypt automatico via Traefik (certresolver `mytlschallenge`).
 
-### `better-sqlite3` fallisce su npm install
+> Attenzione dietro Traefik: `allowedDomains` in `astro.config.mjs` deve elencare i domini serviti, altrimenti Astro ignora `X-Forwarded-Proto/Host` e il controllo CSRF respinge i POST con 403.
 
-Se `better-sqlite3` non compila, assicurati di avere build tools installati:
+## Problemi comuni
-- **Linux**: `sudo apt-get install build-essential python3`
-- **macOS**: Xcode Command Line Tools (`xcode-select --install`)
-- **Windows**: Visual Studio Build Tools o MinGW
 
-### Database locked
+**`better-sqlite3` non compila su `npm install`** — servono i build tools:
+- Linux: `sudo apt-get install build-essential python3`
+- macOS: `xcode-select --install`
+- Windows: Visual Studio Build Tools
 
-Se il database è locato durante i test, verifica che non ci siano processi in background che accedono a `data/insanitylab.db`.
+**Modifiche allo `<style>` scoped di `[slug].astro` non compaiono in dev** — l'HMR di Astro 7 non sempre ricompila lo stile scoped delle route dinamiche: riavviare il dev server (`astro dev stop` + `npm run dev`).
+
+**Database "locked" durante i test** — assicurarsi che nessun processo stia accedendo a `data/insanitylab.db`.
 
 ## Licenza
 
-Proprietario InsanityLab.
+Proprietà di InsanityLab.

astro.config.mjs

@@ -1,10 +1,36 @@
 import { defineConfig } from 'astro/config';
 import node from '@astrojs/node';
-import sitemap from '@astrojs/sitemap';
+
+import react from '@astrojs/react';
 
 export default defineConfig({
-  site: 'https://insanitylab.tielogic.xyz',
+  site: 'https://insanitylab.it',
   output: 'server',
+
+  // Dietro Traefik il TLS termina al proxy: senza allowedDomains Astro ignora
+  // X-Forwarded-Proto/Host e il checkOrigin CSRF respinge i POST (403).
+  // Dominio ufficiale insanitylab.it (canonico apex); www e il vecchio
+  // sottodominio tielogic.xyz redirigono all'apex a livello Traefik.
+  security: {
+    allowedDomains: [
+      { hostname: 'insanitylab.it', protocol: 'https' },
+      { hostname: 'www.insanitylab.it', protocol: 'https' },
+      { hostname: 'insanitylab.tielogic.xyz', protocol: 'https' },
+    ],
+  },
+
   adapter: node({ mode: 'standalone' }),
-  integrations: [sitemap()],
+
-});
+  // La sezione "Programmi" è stata rinominata "Servizi": redirect permanenti dai vecchi URL.
+  redirects: {
+    '/programs': { status: 301, destination: '/services' },
+    '/programs/[slug]': { status: 301, destination: '/services/[slug]' },
+    // Modifiche 02: "Pilates Flow" → "Profilazione". "Rehab" esce dalla griglia Servizi e
+    // diventa un riquadro Training, ma la pagina dettaglio resta su /services/rehab.
+    '/services/pilates-flow': { status: 301, destination: '/services/profilazione' },
+    // "Personal Training" rinominato "One to One" (nuovo slug); Small Group è una pagina a sé.
+    '/services/personal-training': { status: 301, destination: '/services/one-to-one' },
+  },
+
+  integrations: [react()],
+});