docs: consolidate historical records and verify public manual publication

2026-09-15 14:37:29 +02:00
parent 5f3a7f5975
commit 4ff91e8d6e
63 changed files with 633 additions and 6598 deletions
@@ -1,9 +1,31 @@
 # PRD — Security hardening per Docker personale e server multiutente

+## Ripresa del lavoro e limiti di autorizzazione
+
+Questo PRD resta una bozza, non una specifica di implementazione approvata. Il precedente
+prompt di ripresa è stato consolidato qui il 15 settembre 2026. Riconfermare i rilievi
+SEC-01–SEC-12 contro codice e dipendenze correnti, separando fatti, ipotesi, rischi del
+profilo locale/server e problemi già risolti. Le vecchie survey non provano lo stato del server.
+Usare inizialmente controlli in sola lettura e dati sintetici; accesso a server, IdP, DWH
+o provider e relative mutazioni richiedono target e operazioni concordati.
+
+Prima di implementare, il proprietario deve confermare profili di fiducia, isolamento
+del runtime Pi, trattamento dei valori sensibili, revoca, retention, limiti di risorse,
+priorità e criteri misurabili. I modelli visibili sul server sono un problema separato.
+Registrare le decisioni in questo PRD; pubblicare spec e ticket Gitea soltanto dopo la
+conferma del perimetro e della granularità. La bonifica documentale non autorizza il
+codice di sicurezza, né il rollout di tutti i punti SEC.
+
+L'implementazione futura richiede un worktree dedicato, test positivi/negativi ai confini
+concordati, typecheck e revisione contro standard e specifica. Conservare gate manuali,
+evidenze e rollback; un ticket completato non chiude automaticamente il PRD. Non copiare
+segreti o dati operativi nei worktree. Usare le skill effettivamente disponibili per
+chiarimento, diagnosi e revisione, senza assumere che i vecchi nomi dei comandi esistano.
+
 **Stato:** bozza da validare con `grill-with-docs`; implementazione rinviata.
 **Data:** 8 settembre 2026.
 **Owner delle decisioni:** il maintainer di ThothII.
-**Ripresa:** [prompt per la prossima sessione](2026-09-08-security-hardening-resume-prompt.md).
+**Ripresa:** seguire la sezione «Ripresa del lavoro e limiti di autorizzazione» sopra.

 Questo documento conserva la survey di sicurezza discussa con il maintainer e propone requisiti,
 priorità e criteri di accettazione. Non è una spec approvata, un penetration test, una certificazione