docs(.env.example): APP_ENV e SETUP_ALLOW_AFTER_INIT (#33, #9)

Righe mancanti per le impostazioni backend introdotte in questo lotto:
APP_ENV (guardia sui segreti di default, #33) e SETUP_ALLOW_AFTER_INIT
(override del blocco post-init di setup.py, #9). TRUSTED_PROXY_COUNT e
WEB_CONCURRENCY erano gia' state aggiunte da un altro lotto.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.env.example

@@ -12,6 +12,10 @@ DB_USER=tmflow
 DB_PASSWORD=change_me_in_production
 
 # --- Server ---
+# APP_ENV: "dev" (default) o "test" fanno partire il server senza controlli;
+# qualunque altro valore (es. "production") fa scattare i rifiuti descritti
+# sotto per SERVER_SECRET_KEY e DB_PASSWORD ancora ai valori committati.
+APP_ENV=dev
 # SERVER_SECRET_KEY: in produzione obbligatoria, senza default, e il server rifiuta
 # di avviarsi se resta uguale al valore committato qui sotto.
 SERVER_HOST=0.0.0.0
@@ -54,6 +58,10 @@ MAX_UPLOAD_SIZE_MB=50
 
 # --- Setup Page ---
 SETUP_PASSWORD=  # Password per /api/setup, vuoto = disabilitato
+# Una volta creato un admin, /api/setup/{reset-db,seed,manage-user,
+# change-user-password,init-db} rispondono 403. true per un deploy demo/test
+# riprovisionato via script: non impostarlo su un'installazione reale.
+SETUP_ALLOW_AFTER_INIT=false
 
 # --- AI (OpenRouter) ---
 OPENROUTER_API_KEY=  # API key per parsing schede tecniche, vuoto = disabilitato