fix(backend): reject compound provider credentials

docs/general/pi-configuration.md

@@ -12,6 +12,19 @@ le chiavi di provider non selezionati e il vecchio `PI_PROVIDER_API_KEY` vengono
 del child. Provider locali come `ollama`, `lmstudio` e `aritmolab` continuano senza chiave; un provider
 hosted non mappato o un secret mancante/non sicuro fallisce prima dello spawn con errore sanitizzato.
 
+La sorgente generica supporta soltanto provider con una singola chiave: `ant-ling`, `anthropic`,
+`cerebras`, `deepseek`, `fireworks`, `github-copilot`, `google` (anche tramite alias `gemini`),
+`google-vertex` in modalità API key, `groq`, `huggingface`, `kimi-coding`, `minimax`, `minimax-cn`,
+`mistral`, `moonshotai`, `moonshotai-cn`, `nvidia`, `openai`, `opencode`, `opencode-go`,
+`openrouter`, `together`, `vercel-ai-gateway`, `xai`, i quattro provider `xiaomi*`, `zai` e
+`zai-coding-cn`.
+
+I provider composti `amazon-bedrock`, `azure-openai-responses`, `cloudflare-workers-ai` e
+`cloudflare-ai-gateway` non sono rappresentabili da un solo file. La selezione fallisce prima
+dello spawn (anche durante l'elenco modelli); tutte le credenziali ambientali AWS, Azure e
+Cloudflare restano comunque rimosse. Servirà una futura configurazione dedicata per provider per
+supportare questi bundle senza ambiguità.
+
 ## I tre livelli di provenienza di un modello
 
 ### 1. Built-in (compilato dentro Pi)