Rende la pagina Promo ed eventi modificabile dal pannello contenuti

Tutti i testi della landing (hero, launch, card con prezzi, nota validità e FAQ)
passano ora dal sistema di content-tag `promo.*`, editabili inline e da pannello.
Il numero WhatsApp è centralizzato nel tag globale `global.whatsapp`: le risposte
FAQ usano il segnaposto {{whatsapp}}, sostituito a runtime, così si aggiorna in un
punto solo. Struttura delle 4 card e link di acquisto bsport restano nel codice.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitignore

@@ -2,15 +2,7 @@ node_modules/
 dist/
 .astro/
 .env
-.env.bak*
+data/*.db*
-**/data/*.db*
+uploads/*
-**/uploads/*
+!uploads/.gitkeep
-!**/uploads/.gitkeep
+assets-src/
-**/assets-src/
-
-# Artefatti di lavoro dei subagenti (ledger, brief, review package)
-.superpowers/
-
-# Cache di Python generata rieseguendo l'oracolo
-__pycache__/
-*.pyc

README.md

@@ -0,0 +1,154 @@
+# InsanityLab Website
+
+Sito ufficiale di InsanityLab: vetrina aziendale, blog integrato, form di contatti e sistema di contenuti modificabili senza toccare il codice. In produzione su **https://insanitylab.it**.
+
+## Descrizione
+
+Il sito è costruito su **Astro 7** in modalità server (SSR) con adapter **Node.js standalone**, servito in un container Docker dietro **Traefik** (TLS Let's Encrypt automatico). I contenuti testuali e le immagini della parte vetrina sono "taggati" e salvati su **SQLite**: si modificano da un pannello di amministrazione o direttamente in pagina, senza deploy. Il blog è gestito internamente con editor rich‑text, e il form di contatti invia email tramite SMTP.
+
+## Stack tecnologico
+
+- **Framework**: Astro 7 (output `server`, `prerender = false` sulle pagine dinamiche)
+- **Runtime**: Node.js 22 (adapter `@astrojs/node` standalone)
+- **Database**: SQLite via `better-sqlite3`
+- **Autenticazione**: sessioni con password hashate (`bcryptjs`)
+- **Email**: Nodemailer (SMTP)
+- **Editor articoli**: TipTap (rich text)
+- **Font**: `@fontsource` (Montserrat, Open Sans) — nessun CDN esterno
+- **Sitemap**: endpoint runtime `/sitemap.xml` (route vetrina + articoli pubblicati)
+- **Test**: Vitest
+- **Linguaggio**: TypeScript
+- **Deploy**: Docker (multi‑stage, `node:22-slim`) + Traefik su VPS
+
+## Funzionalità principali
+
+- **Vetrina**: home, chi siamo, training, servizi (con schede di dettaglio), blog, contatti, landing "Promo ed eventi".
+- **Contenuti taggati**: ogni testo/immagine ha un tag (es. `home.hero.title-line-1`) modificabile dal pannello o in pagina.
+- **Modifica inline**: chi ha i permessi può attivare l'overlay dei tag e modificare i contenuti direttamente mentre naviga il sito.
+- **Blog** con editor TipTap, immagini caricate, firma autore e proprietà degli articoli per ruolo.
+- **Gestione utenti** con tre ruoli (`admin`, `superuser`, `user`).
+- **Form contatti** con validazione, honeypot anti‑spam, rate‑limit e invio email via SMTP.
+
+## Installazione (sviluppo)
+
+### Prerequisiti
+- Node.js 18+ e npm
+
+### Setup
+```bash
+npm install
+cp .env.example .env          # poi compila i valori reali
+npm run create-user -- admin <password> admin
+npm run dev                   # http://localhost:4321
+```
+
+Il database `data/insanitylab.db` viene creato al primo avvio ed è popolato automaticamente con i contenuti di default (seed) e le migrazioni idempotenti.
+
+## Comandi
+
+| Comando | Descrizione |
+|---------|-------------|
+| `npm run dev` | Server di sviluppo (localhost:4321) |
+| `npm run build` | Build di produzione |
+| `npm run preview` | Anteprima locale della build |
+| `npm run start` | Server di produzione (`node --env-file=.env`) |
+| `npm run test` | Test con Vitest |
+| `npm run create-user` | Crea/aggiorna utente: `-- <nome> <password> [admin\|superuser\|user]` |
+
+## Gestione contenuti
+
+I testi e le immagini della vetrina sono **blocchi taggati** salvati nella tabella `content_blocks`. Ogni blocco ha un tag stabile (es. `home.hero.title-line-1`), un valore, eventuali stili predefiniti, un tipo (`text` / `html` / `image`) e un **GUID** univoco.
+
+- **Pannello** `/admin/content`: i blocchi sono raggruppati per pagina, con ricerca per tag o contenuto, upload delle immagini e ripristino all'originale.
+- **Modifica inline**: attivando "Mostra tag" dal menu utente, ogni blocco mostra un badge (nome tag + matita) che apre una finestra di modifica direttamente in pagina.
+- **Componenti** `<T>` e `<TImg>`: rendono i blocchi con fallback automatico al seed quando un tag non è ancora nel database.
+
+Il seed dei contenuti è in `src/data/content-seed.ts`; le variazioni sui contenuti già esistenti (rinomine, testi aggiornati) si applicano tramite **migrazioni idempotenti** in `src/lib/db.ts`, così da non sovrascrivere le modifiche fatte dal pannello.
+
+> Nota tecnica: gli elementi resi dai componenti `<T>`/`<TImg>` **non** ereditano il `data-astro-cid` del componente che li usa. Uno stile scoped basato solo sulla classe (es. `.hero__line`) non li raggiunge: va ancorato a un contenitore che ha il cid usando `:global()` (es. `.hero__text :global(.hero__line)`).
+
+## Ruoli e accessi
+
+Tre ruoli, con autorizzazione a matrice di prefissi in `src/lib/auth.ts`:
+
+| Ruolo | Può fare |
+|-------|----------|
+| `admin` | Tutto: contenuti, blog, upload, **gestione utenti** (`/admin/users`) |
+| `superuser` | Pannello contenuti + blog |
+| `user` | Solo i **propri** articoli del blog |
+
+Login pubblico su `/login` (`?next` sanitizzato contro open redirect). La gestione utenti (`/admin/users`, solo admin) consente creazione, reset password una‑tantum, cambio ruolo ed eliminazione, con guardie contro l'auto‑eliminazione e la rimozione dell'ultimo admin.
+
+## Struttura del progetto
+
+```
+insanitylab-website/
+├── src/
+│   ├── pages/            # Route Astro (vetrina, /admin, /api)
+│   ├── components/       # Componenti (home/, content/, Header, Footer, …)
+│   ├── layouts/          # Layout Base
+│   ├── data/             # Dati statici + seed contenuti (services, trainings, site, content-seed)
+│   ├── lib/              # db, auth, content, mailer, rate-limit, safe-next, env
+│   ├── assets/img/       # Immagini ottimizzate da Astro
+│   └── styles/           # global.css
+├── data/                 # SQLite (volume in produzione)
+├── uploads/              # Upload immagini (volume in produzione)
+├── scripts/              # create-user, smoke test
+├── astro.config.mjs      # Config Astro (site, allowedDomains, redirects)
+├── compose.yaml          # Stack Docker + label Traefik
+├── Dockerfile            # Build multi-stage
+├── .env.example          # Template variabili d'ambiente
+└── README.md
+```
+
+## Variabili d'ambiente
+
+Il file `.env` (non versionato) richiede:
+
+| Variabile | Descrizione |
+|-----------|-------------|
+| `SMTP_HOST` | Host SMTP (produzione: `smtps.aruba.it`) |
+| `SMTP_PORT` | Porta SMTP (`465` con SSL) |
+| `SMTP_USER` | Casella di invio (deve coincidere con `CONTACT_FROM`) |
+| `SMTP_PASS` | Password della casella |
+| `CONTACT_FROM` | Mittente delle email (= `SMTP_USER`) |
+| `CONTACT_TO` | Destinatario dei messaggi del form |
+| `DB_PATH` | Percorso del database SQLite |
+| `UPLOADS_DIR` | Cartella degli upload |
+
+La posta del dominio `@insanitylab.it` è ospitata su **Aruba**; l'invio del form usa l'SMTP autenticato Aruba (`smtps.aruba.it:465`). Aruba impone che il mittente sia la casella autenticata, quindi `CONTACT_FROM` deve essere uguale a `SMTP_USER`.
+
+## Deploy in produzione
+
+Il sito gira in Docker su un VPS, dietro Traefik. Lo stack è in `/opt/docker/insanitylab/` (repo in `src/`, volumi `data/` e `uploads/`). Aggiornamento:
+
+```bash
+cd /opt/docker/insanitylab/src
+git pull
+docker compose up -d --build
+```
+
+Le migrazioni del database (in `src/lib/db.ts`) sono idempotenti e girano all'avvio del container: aggiornano lo schema e i contenuti senza perdere le modifiche fatte dal pannello.
+
+### Dominio e DNS
+
+- Dominio ufficiale: **insanitylab.it** (canonico l'apex; `www` fa redirect 301 all'apex tramite Traefik).
+- I record **A** di `@` e `www` puntano al VPS; la **posta resta su Aruba** (MX, SPF, webmail non vengono toccati).
+- TLS Let's Encrypt automatico via Traefik (certresolver `mytlschallenge`).
+
+> Attenzione dietro Traefik: `allowedDomains` in `astro.config.mjs` deve elencare i domini serviti, altrimenti Astro ignora `X-Forwarded-Proto/Host` e il controllo CSRF respinge i POST con 403.
+
+## Problemi comuni
+
+**`better-sqlite3` non compila su `npm install`** — servono i build tools:
+- Linux: `sudo apt-get install build-essential python3`
+- macOS: `xcode-select --install`
+- Windows: Visual Studio Build Tools
+
+**Modifiche allo `<style>` scoped di `[slug].astro` non compaiono in dev** — l'HMR di Astro 7 non sempre ricompila lo stile scoped delle route dinamiche: riavviare il dev server (`astro dev stop` + `npm run dev`).
+
+**Database "locked" durante i test** — assicurarsi che nessun processo stia accedendo a `data/insanitylab.db`.
+
+## Licenza
+
+Proprietà di InsanityLab.

apps/platforms/.dockerignore

@@ -1,7 +0,0 @@
-node_modules
-dist
-data
-.env
-.git
-tests
-*.md

apps/platforms/Dockerfile

@@ -1,30 +0,0 @@
-# Stage 1: build
-FROM node:22-slim AS build
-WORKDIR /app
-COPY package.json package-lock.json ./
-RUN npm ci
-COPY . .
-RUN npm run build
-
-# Stage 2: runtime
-FROM node:22-slim AS runtime
-WORKDIR /app
-ENV NODE_ENV=production
-COPY package.json package-lock.json ./
-RUN npm ci --omit=dev && npm cache clean --force
-COPY --from=build /app/dist ./dist
-COPY scripts ./scripts
-# Contenuti del Biohacking Campus (generati con sync-campus e committati nel repo)
-COPY campus-content ./campus-content
-
-# Tre database distinti, tutti nello stesso volume:
-#  - piattaforme.db  utenti e sessioni di quest'app (NON quelli del sito)
-#  - longevity.db    misure e punteggi, senza nomi
-#  - identity.db     la mappatura codice ↔ persona, l'unico file con dei nomi dentro
-ENV HOST=0.0.0.0 \
-    PORT=4321 \
-    DB_PATH=/app/data/piattaforme.db \
-    LONGEVITY_DB_PATH=/app/data/longevity.db \
-    IDENTITY_DB_PATH=/app/data/identity.db
-EXPOSE 4321
-CMD ["node", "./dist/server/entry.mjs"]

apps/platforms/README.md

@@ -1,69 +0,0 @@
-# InsanityLab — aree riservate (`apps.insanitylab.it`)
-
-Applicazione Astro autosufficiente con le tre aree riservate: **Biohacking Campus**,
-**Stress Index** e **Longevity**. Nasce il 03/09/2026 separando dal sito
-(`apps/sito`, `insanitylab.it`) tutto ciò che sta dietro un login.
-
-## Cosa la rende separata
-
-| | Sito | Quest'app |
-|---|---|---|
-| Host | `insanitylab.it` | `apps.insanitylab.it` |
-| Utenti | 3 redazionali (`admin`, `superuser`, `user`) | uno per ogni cliente del centro (`piattaforme`, `cliente`, `trainer`, `admin`) |
-| Database | `insanitylab.db` (contenuti, articoli, utenti del sito) | `piattaforme.db` + `longevity.db` + `identity.db` |
-| Login | `/admin/login`, solo redazione | `/login`, ed è l'unica porta |
-
-Non c'è SSO e non c'è cookie condiviso: **una sessione del sito qui non vale**, ed è la
-separazione, non un difetto. Le due `lib/auth.ts` sono parenti ma non sono la stessa cosa —
-~170 righe duplicate una volta sola, libere di divergere come già divergono i ruoli.
-
-## Sviluppo
-
-```bash
-npm ci
-npm run dev                      # http://localhost:4321
-npm test                         # 26 file, 197 test
-npm run create-user -- <nome> <password> <ruolo>   # ruoli: piattaforme, cliente, trainer, admin
-```
-
-I dati stanno in `data/` (gitignorata): `piattaforme.db`, `longevity.db`, `identity.db`.
-
-## Rilascio
-
-⚠️⚠️ **Il DNS viene prima del container.** `apps.insanitylab.it` deve già risolvere verso
-l'IP della VPS quando si alza lo stack: avviarlo prima significa una catena di sfide TLS
-fallite, e Let's Encrypt limita proprio quelle. La zona è su **Aruba**, serve un record
-**A** `apps` → l'IP della macchina.
-
-```bash
-mkdir -p /opt/docker/insanitylab-platforms/data      # i dati stanno FUORI dal clone git
-docker compose up -d --build
-node scripts/migra-utenti.mjs                        # prova a vuoto
-node scripts/migra-utenti.mjs --applica              # porta gli utenti dal DB del sito
-```
-
-## Trappole già pagate
-
-⚠️ **Le versioni si fissano esatte.** `^7.0.5` sulla nuova app aveva risolto ad **astro
-7.3.0**, che con `@astrojs/node 11.1.5` non si parla (`"./_internal/logger" is not
-exported`) e il build muore. Astro, l'adapter node e l'integrazione react sono pinnati
-alle stesse versioni che girano in produzione sul sito.
-
-⚠️ **`security.allowedDomains` in `astro.config.mjs` non è decorativo.** Dietro Traefik il
-TLS termina al proxy: senza quell'elenco Astro ignora `X-Forwarded-Proto`/`Host` e il
-controllo CSRF respinge **ogni** POST con 403 — cioè il login smette di funzionare e
-l'errore sembra «credenziali sbagliate».
-
-⚠️ **`name: insanitylab-platforms` nel compose.** Senza, il progetto si chiamerebbe
-`platforms` (dal nome della cartella) e un `down --remove-orphans` dato altrove potrebbe
-toccare container che non sono suoi.
-
-⚠️ **Il default di `canAccessPath` è chiuso**, al contrario del sito da cui viene: là le
-rotte non elencate (blog, upload) erano di chiunque fosse loggato, qui ogni sezione è di
-qualcuno. Una rotta nuova senza regola risulta **vietata**, e lo si scopre provandola.
-
-⚠️ **Le API rispondono con uno stato, non con un redirect** (401/403 su `/api/*`): mandare
-un 302 verso il login a chi ha chiesto del JSON produce un 200 con dentro dell'HTML.
-
-⚠️ **Stress Index non ha un backend**: `src/lib/stress-index/data.ts` sono dieci clienti
-inventati scritti a mano. In linea c'è la sua interfaccia, non i suoi dati.

apps/platforms/astro.config.mjs

@@ -1,27 +0,0 @@
-import { defineConfig } from 'astro/config';
-import node from '@astrojs/node';
-import react from '@astrojs/react';
-
-export default defineConfig({
-  site: 'https://apps.insanitylab.it',
-  output: 'server',
-
-  // ⚠️ Dietro Traefik il TLS termina al proxy: senza allowedDomains Astro ignora
-  // X-Forwarded-Proto/Host e il checkOrigin CSRF respinge OGNI POST con 403 — cioè
-  // il login smette di funzionare, e l'errore sembra "credenziali sbagliate".
-  // Stessa configurazione del sito, con l'host di quest'app.
-  security: {
-    allowedDomains: [
-      // L'host definitivo, quando il record A su Aruba ci sara'.
-      { hostname: 'apps.insanitylab.it', protocol: 'https' },
-      // ⚠️ L'host in uso oggi (03/09/2026): il dominio del cliente resta su Aruba e le aree
-      // riservate stanno su un sottodominio nostro. Finche' e' in uso deve stare qui:
-      // senza, dietro Traefik il controllo CSRF di Astro respinge ogni POST con 403 e il
-      // login sembra rifiutare le credenziali.
-      { hostname: 'piattaforme.tielogic.xyz', protocol: 'https' },
-    ],
-  },
-
-  adapter: node({ mode: 'standalone' }),
-  integrations: [react()],
-});