Il sito lascia le piattaforme: separazione fusa in main

Fuso `feat/split-apps` (fermo dal 03/09 e mai portato in main, mentre il container
delle piattaforme girava gia' da li'): il sito e le piattaforme erano online in due
copie, con database diversi e ruoli divergenti — `nicola` era `admin` di la' e
`piattaforme` di qua, e la promozione di ieri valeva solo su una delle due.

Adesso `insanitylab.it/campus`, `/piattaforme` e `/login` fanno 404: le aree
riservate stanno solo su `piattaforme.tielogic.xyz`. Il pannello `/admin` resta.
Nel database del sito restano `admin` ed `editor`; `nicola` e `adriano` sono usciti.

Il lavoro di oggi e' passato intatto: edizione `settembre-2026` coi cinque
pacchetti, i 73 tag, il countdown al 19/09 e la correzione del sabato. Verificato
sull'immagine nuova prima di metterla, chiedendo la pagina a quattro date.

Tre cose che lo split del 03/09 aveva lasciato indietro, trovate eseguendo:

- **`Dockerfile` del sito copiava ancora `campus-content`**, spostato sotto
  `apps/platforms`: il build falliva. Nel sito non c'era piu' un solo riferimento a
  quella cartella - solo la riga del Dockerfile. Rimossa.
- **`migra-utenti.mjs --togli-dal-sito` era un no-op silenzioso**: il `continue`
  sugli utenti gia' presenti a destinazione saltava anche la cancellazione
  dall'origine. Siccome copiare e ripulire sono due passi separati apposta, l'opzione
  non funzionava proprio nel caso per cui esiste. Ora chi e' gia' di la' esce di qua
  lo stesso, e il riepilogo dice quanti ne ha tolti.
- **`.env` non e' in git**, quindi il merge non lo ha spostato sotto `apps/sito/`.
  L'`up` e' fallito dopo che il `down` aveva gia' tolto il container: **9,7 secondi
  di sito giu'**, misurati. La prova con `docker run` non lo aveva visto perche' non
  legge `env_file`. Il rimedio - `docker compose config` prima dello swap - e' scritto
  nel README del sito, che prima non diceva come si fa un deploy.

Sito 149 test verdi, piattaforme 202.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01FPKFABRT3y26dFNMquF3CS

.gitignore

@@ -2,7 +2,15 @@ node_modules/
 dist/
 .astro/
 .env
-data/*.db*
-uploads/*
-!uploads/.gitkeep
-assets-src/
+.env.bak*
+**/data/*.db*
+**/uploads/*
+!**/uploads/.gitkeep
+**/assets-src/
+
+# Artefatti di lavoro dei subagenti (ledger, brief, review package)
+.superpowers/
+
+# Cache di Python generata rieseguendo l'oracolo
+__pycache__/
+*.pyc

README.md

@@ -1,154 +0,0 @@
-# InsanityLab Website
-
-Sito ufficiale di InsanityLab: vetrina aziendale, blog integrato, form di contatti e sistema di contenuti modificabili senza toccare il codice. In produzione su **https://insanitylab.it**.
-
-## Descrizione
-
-Il sito è costruito su **Astro 7** in modalità server (SSR) con adapter **Node.js standalone**, servito in un container Docker dietro **Traefik** (TLS Let's Encrypt automatico). I contenuti testuali e le immagini della parte vetrina sono "taggati" e salvati su **SQLite**: si modificano da un pannello di amministrazione o direttamente in pagina, senza deploy. Il blog è gestito internamente con editor rich‑text, e il form di contatti invia email tramite SMTP.
-
-## Stack tecnologico
-
-- **Framework**: Astro 7 (output `server`, `prerender = false` sulle pagine dinamiche)
-- **Runtime**: Node.js 22 (adapter `@astrojs/node` standalone)
-- **Database**: SQLite via `better-sqlite3`
-- **Autenticazione**: sessioni con password hashate (`bcryptjs`)
-- **Email**: Nodemailer (SMTP)
-- **Editor articoli**: TipTap (rich text)
-- **Font**: `@fontsource` (Montserrat, Open Sans) — nessun CDN esterno
-- **Sitemap**: endpoint runtime `/sitemap.xml` (route vetrina + articoli pubblicati)
-- **Test**: Vitest
-- **Linguaggio**: TypeScript
-- **Deploy**: Docker (multi‑stage, `node:22-slim`) + Traefik su VPS
-
-## Funzionalità principali
-
-- **Vetrina**: home, chi siamo, training, servizi (con schede di dettaglio), blog, contatti, landing "Promo ed eventi".
-- **Contenuti taggati**: ogni testo/immagine ha un tag (es. `home.hero.title-line-1`) modificabile dal pannello o in pagina.
-- **Modifica inline**: chi ha i permessi può attivare l'overlay dei tag e modificare i contenuti direttamente mentre naviga il sito.
-- **Blog** con editor TipTap, immagini caricate, firma autore e proprietà degli articoli per ruolo.
-- **Gestione utenti** con tre ruoli (`admin`, `superuser`, `user`).
-- **Form contatti** con validazione, honeypot anti‑spam, rate‑limit e invio email via SMTP.
-
-## Installazione (sviluppo)
-
-### Prerequisiti
-- Node.js 18+ e npm
-
-### Setup
-```bash
-npm install
-cp .env.example .env          # poi compila i valori reali
-npm run create-user -- admin <password> admin
-npm run dev                   # http://localhost:4321
-```
-
-Il database `data/insanitylab.db` viene creato al primo avvio ed è popolato automaticamente con i contenuti di default (seed) e le migrazioni idempotenti.
-
-## Comandi
-
-| Comando | Descrizione |
-|---------|-------------|
-| `npm run dev` | Server di sviluppo (localhost:4321) |
-| `npm run build` | Build di produzione |
-| `npm run preview` | Anteprima locale della build |
-| `npm run start` | Server di produzione (`node --env-file=.env`) |
-| `npm run test` | Test con Vitest |
-| `npm run create-user` | Crea/aggiorna utente: `-- <nome> <password> [admin\|superuser\|user]` |
-
-## Gestione contenuti
-
-I testi e le immagini della vetrina sono **blocchi taggati** salvati nella tabella `content_blocks`. Ogni blocco ha un tag stabile (es. `home.hero.title-line-1`), un valore, eventuali stili predefiniti, un tipo (`text` / `html` / `image`) e un **GUID** univoco.
-
-- **Pannello** `/admin/content`: i blocchi sono raggruppati per pagina, con ricerca per tag o contenuto, upload delle immagini e ripristino all'originale.
-- **Modifica inline**: attivando "Mostra tag" dal menu utente, ogni blocco mostra un badge (nome tag + matita) che apre una finestra di modifica direttamente in pagina.
-- **Componenti** `<T>` e `<TImg>`: rendono i blocchi con fallback automatico al seed quando un tag non è ancora nel database.
-
-Il seed dei contenuti è in `src/data/content-seed.ts`; le variazioni sui contenuti già esistenti (rinomine, testi aggiornati) si applicano tramite **migrazioni idempotenti** in `src/lib/db.ts`, così da non sovrascrivere le modifiche fatte dal pannello.
-
-> Nota tecnica: gli elementi resi dai componenti `<T>`/`<TImg>` **non** ereditano il `data-astro-cid` del componente che li usa. Uno stile scoped basato solo sulla classe (es. `.hero__line`) non li raggiunge: va ancorato a un contenitore che ha il cid usando `:global()` (es. `.hero__text :global(.hero__line)`).
-
-## Ruoli e accessi
-
-Tre ruoli, con autorizzazione a matrice di prefissi in `src/lib/auth.ts`:
-
-| Ruolo | Può fare |
-|-------|----------|
-| `admin` | Tutto: contenuti, blog, upload, **gestione utenti** (`/admin/users`) |
-| `superuser` | Pannello contenuti + blog |
-| `user` | Solo i **propri** articoli del blog |
-
-Login pubblico su `/login` (`?next` sanitizzato contro open redirect). La gestione utenti (`/admin/users`, solo admin) consente creazione, reset password una‑tantum, cambio ruolo ed eliminazione, con guardie contro l'auto‑eliminazione e la rimozione dell'ultimo admin.
-
-## Struttura del progetto
-
-```
-insanitylab-website/
-├── src/
-│   ├── pages/            # Route Astro (vetrina, /admin, /api)
-│   ├── components/       # Componenti (home/, content/, Header, Footer, …)
-│   ├── layouts/          # Layout Base
-│   ├── data/             # Dati statici + seed contenuti (services, trainings, site, content-seed)
-│   ├── lib/              # db, auth, content, mailer, rate-limit, safe-next, env
-│   ├── assets/img/       # Immagini ottimizzate da Astro
-│   └── styles/           # global.css
-├── data/                 # SQLite (volume in produzione)
-├── uploads/              # Upload immagini (volume in produzione)
-├── scripts/              # create-user, smoke test
-├── astro.config.mjs      # Config Astro (site, allowedDomains, redirects)
-├── compose.yaml          # Stack Docker + label Traefik
-├── Dockerfile            # Build multi-stage
-├── .env.example          # Template variabili d'ambiente
-└── README.md
-```
-
-## Variabili d'ambiente
-
-Il file `.env` (non versionato) richiede:
-
-| Variabile | Descrizione |
-|-----------|-------------|
-| `SMTP_HOST` | Host SMTP (produzione: `smtps.aruba.it`) |
-| `SMTP_PORT` | Porta SMTP (`465` con SSL) |
-| `SMTP_USER` | Casella di invio (deve coincidere con `CONTACT_FROM`) |
-| `SMTP_PASS` | Password della casella |
-| `CONTACT_FROM` | Mittente delle email (= `SMTP_USER`) |
-| `CONTACT_TO` | Destinatario dei messaggi del form |
-| `DB_PATH` | Percorso del database SQLite |
-| `UPLOADS_DIR` | Cartella degli upload |
-
-La posta del dominio `@insanitylab.it` è ospitata su **Aruba**; l'invio del form usa l'SMTP autenticato Aruba (`smtps.aruba.it:465`). Aruba impone che il mittente sia la casella autenticata, quindi `CONTACT_FROM` deve essere uguale a `SMTP_USER`.
-
-## Deploy in produzione
-
-Il sito gira in Docker su un VPS, dietro Traefik. Lo stack è in `/opt/docker/insanitylab/` (repo in `src/`, volumi `data/` e `uploads/`). Aggiornamento:
-
-```bash
-cd /opt/docker/insanitylab/src
-git pull
-docker compose up -d --build
-```
-
-Le migrazioni del database (in `src/lib/db.ts`) sono idempotenti e girano all'avvio del container: aggiornano lo schema e i contenuti senza perdere le modifiche fatte dal pannello.
-
-### Dominio e DNS
-
-- Dominio ufficiale: **insanitylab.it** (canonico l'apex; `www` fa redirect 301 all'apex tramite Traefik).
-- I record **A** di `@` e `www` puntano al VPS; la **posta resta su Aruba** (MX, SPF, webmail non vengono toccati).
-- TLS Let's Encrypt automatico via Traefik (certresolver `mytlschallenge`).
-
-> Attenzione dietro Traefik: `allowedDomains` in `astro.config.mjs` deve elencare i domini serviti, altrimenti Astro ignora `X-Forwarded-Proto/Host` e il controllo CSRF respinge i POST con 403.
-
-## Problemi comuni
-
-**`better-sqlite3` non compila su `npm install`** — servono i build tools:
-- Linux: `sudo apt-get install build-essential python3`
-- macOS: `xcode-select --install`
-- Windows: Visual Studio Build Tools
-
-**Modifiche allo `<style>` scoped di `[slug].astro` non compaiono in dev** — l'HMR di Astro 7 non sempre ricompila lo stile scoped delle route dinamiche: riavviare il dev server (`astro dev stop` + `npm run dev`).
-
-**Database "locked" durante i test** — assicurarsi che nessun processo stia accedendo a `data/insanitylab.db`.
-
-## Licenza
-
-Proprietà di InsanityLab.

apps/platforms/.dockerignore

@@ -0,0 +1,7 @@
+node_modules
+dist
+data
+.env
+.git
+tests
+*.md

apps/platforms/Dockerfile

@@ -0,0 +1,30 @@
+# Stage 1: build
+FROM node:22-slim AS build
+WORKDIR /app
+COPY package.json package-lock.json ./
+RUN npm ci
+COPY . .
+RUN npm run build
+
+# Stage 2: runtime
+FROM node:22-slim AS runtime
+WORKDIR /app
+ENV NODE_ENV=production
+COPY package.json package-lock.json ./
+RUN npm ci --omit=dev && npm cache clean --force
+COPY --from=build /app/dist ./dist
+COPY scripts ./scripts
+# Contenuti del Biohacking Campus (generati con sync-campus e committati nel repo)
+COPY campus-content ./campus-content
+
+# Tre database distinti, tutti nello stesso volume:
+#  - piattaforme.db  utenti e sessioni di quest'app (NON quelli del sito)
+#  - longevity.db    misure e punteggi, senza nomi
+#  - identity.db     la mappatura codice ↔ persona, l'unico file con dei nomi dentro
+ENV HOST=0.0.0.0 \
+    PORT=4321 \
+    DB_PATH=/app/data/piattaforme.db \
+    LONGEVITY_DB_PATH=/app/data/longevity.db \
+    IDENTITY_DB_PATH=/app/data/identity.db
+EXPOSE 4321
+CMD ["node", "./dist/server/entry.mjs"]

apps/platforms/README.md

@@ -0,0 +1,69 @@
+# InsanityLab — aree riservate (`apps.insanitylab.it`)
+
+Applicazione Astro autosufficiente con le tre aree riservate: **Biohacking Campus**,
+**Stress Index** e **Longevity**. Nasce il 03/09/2026 separando dal sito
+(`apps/sito`, `insanitylab.it`) tutto ciò che sta dietro un login.
+
+## Cosa la rende separata
+
+| | Sito | Quest'app |
+|---|---|---|
+| Host | `insanitylab.it` | `apps.insanitylab.it` |
+| Utenti | 3 redazionali (`admin`, `superuser`, `user`) | uno per ogni cliente del centro (`piattaforme`, `cliente`, `trainer`, `admin`) |
+| Database | `insanitylab.db` (contenuti, articoli, utenti del sito) | `piattaforme.db` + `longevity.db` + `identity.db` |
+| Login | `/admin/login`, solo redazione | `/login`, ed è l'unica porta |
+
+Non c'è SSO e non c'è cookie condiviso: **una sessione del sito qui non vale**, ed è la
+separazione, non un difetto. Le due `lib/auth.ts` sono parenti ma non sono la stessa cosa —
+~170 righe duplicate una volta sola, libere di divergere come già divergono i ruoli.
+
+## Sviluppo
+
+```bash
+npm ci
+npm run dev                      # http://localhost:4321
+npm test                         # 26 file, 197 test
+npm run create-user -- <nome> <password> <ruolo>   # ruoli: piattaforme, cliente, trainer, admin
+```
+
+I dati stanno in `data/` (gitignorata): `piattaforme.db`, `longevity.db`, `identity.db`.
+
+## Rilascio
+
+⚠️⚠️ **Il DNS viene prima del container.** `apps.insanitylab.it` deve già risolvere verso
+l'IP della VPS quando si alza lo stack: avviarlo prima significa una catena di sfide TLS
+fallite, e Let's Encrypt limita proprio quelle. La zona è su **Aruba**, serve un record
+**A** `apps` → l'IP della macchina.
+
+```bash
+mkdir -p /opt/docker/insanitylab-platforms/data      # i dati stanno FUORI dal clone git
+docker compose up -d --build
+node scripts/migra-utenti.mjs                        # prova a vuoto
+node scripts/migra-utenti.mjs --applica              # porta gli utenti dal DB del sito
+```
+
+## Trappole già pagate
+
+⚠️ **Le versioni si fissano esatte.** `^7.0.5` sulla nuova app aveva risolto ad **astro
+7.3.0**, che con `@astrojs/node 11.1.5` non si parla (`"./_internal/logger" is not
+exported`) e il build muore. Astro, l'adapter node e l'integrazione react sono pinnati
+alle stesse versioni che girano in produzione sul sito.
+
+⚠️ **`security.allowedDomains` in `astro.config.mjs` non è decorativo.** Dietro Traefik il
+TLS termina al proxy: senza quell'elenco Astro ignora `X-Forwarded-Proto`/`Host` e il
+controllo CSRF respinge **ogni** POST con 403 — cioè il login smette di funzionare e
+l'errore sembra «credenziali sbagliate».
+
+⚠️ **`name: insanitylab-platforms` nel compose.** Senza, il progetto si chiamerebbe
+`platforms` (dal nome della cartella) e un `down --remove-orphans` dato altrove potrebbe
+toccare container che non sono suoi.
+
+⚠️ **Il default di `canAccessPath` è chiuso**, al contrario del sito da cui viene: là le
+rotte non elencate (blog, upload) erano di chiunque fosse loggato, qui ogni sezione è di
+qualcuno. Una rotta nuova senza regola risulta **vietata**, e lo si scopre provandola.
+
+⚠️ **Le API rispondono con uno stato, non con un redirect** (401/403 su `/api/*`): mandare
+un 302 verso il login a chi ha chiesto del JSON produce un 200 con dentro dell'HTML.
+
+⚠️ **Stress Index non ha un backend**: `src/lib/stress-index/data.ts` sono dieci clienti
+inventati scritti a mano. In linea c'è la sua interfaccia, non i suoi dati.

apps/platforms/astro.config.mjs

@@ -0,0 +1,27 @@
+import { defineConfig } from 'astro/config';
+import node from '@astrojs/node';
+import react from '@astrojs/react';
+
+export default defineConfig({
+  site: 'https://apps.insanitylab.it',
+  output: 'server',
+
+  // ⚠️ Dietro Traefik il TLS termina al proxy: senza allowedDomains Astro ignora
+  // X-Forwarded-Proto/Host e il checkOrigin CSRF respinge OGNI POST con 403 — cioè
+  // il login smette di funzionare, e l'errore sembra "credenziali sbagliate".
+  // Stessa configurazione del sito, con l'host di quest'app.
+  security: {
+    allowedDomains: [
+      // L'host definitivo, quando il record A su Aruba ci sara'.
+      { hostname: 'apps.insanitylab.it', protocol: 'https' },
+      // ⚠️ L'host in uso oggi (03/09/2026): il dominio del cliente resta su Aruba e le aree
+      // riservate stanno su un sottodominio nostro. Finche' e' in uso deve stare qui:
+      // senza, dietro Traefik il controllo CSRF di Astro respinge ogni POST con 403 e il
+      // login sembra rifiutare le credenziali.
+      { hostname: 'piattaforme.tielogic.xyz', protocol: 'https' },
+    ],
+  },
+
+  adapter: node({ mode: 'standalone' }),
+  integrations: [react()],
+});