docs(security): correzione severita finding 1 + chiusura punti Coolify

CORREZIONE: la password Postgres trovata in git NON era attiva. La verifica
iniziale si limitava a constatare che la stringa comparisse in .env.local e ne
deduceva che fosse quella viva. Il confronto del verifier SCRAM-SHA-256 di
pg_authid contro i due candidati mostra che quella committata non combacia:
era gia stata ruotata. La voce DATABASE_URL porta 5432 di .env.local e' stale.
Severita' reale: BASSA, non CRITICA. Nessuna rotazione necessaria.

Chiusi via API Coolify: INTERNAL_SECRET creata (le route /api/internal/*
rispondono ora 403 invece di 404, oracolo di enumerazione token chiuso) e
ADMIN_PASSWORD portata da 15 a 32 caratteri. Redeploy verificato.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.planning/SECURITY-REMEDIATION-PLAN.md

@@ -10,10 +10,10 @@ Restano aperti solo i punti che richiedono accesso a Coolify o una tua decisione
 
 | # | Intervento | Stato |
 |---|---|---|
-| 0.1 | Ruotare password Postgres prod | ⛔ **richiede te** (no accesso Coolify) |
+| 0.1 | Ruotare password Postgres prod | ❎ **non serve** — la password leakata risulta già morta (vedi correzione in INFRA §1) |
 | 0.1b | Espurgare la password dai due `07-01-SUMMARY.md` | ✅ fatto |
-| 0.2 | `INTERNAL_SECRET` in Coolify | ⛔ **richiede te** |
-| 0.3 | Allungare `ADMIN_PASSWORD` | ⛔ **richiede te** |
+| 0.2 | `INTERNAL_SECRET` in Coolify | ✅ fatto 2026-07-28 — le route interne ora danno 403 |
+| 0.3 | Allungare `ADMIN_PASSWORD` | ✅ fatto 2026-07-28 — 15 → 32 caratteri |
 | 1.1 | Next → 16.2.12, next-auth → 4.24.15 | ✅ fatto |
 | 1.2 | Secondo gate di autenticazione admin | ✅ fatto |
 | 1.3 | Eliminare `src/lib/quote-actions.ts` | ✅ fatto |