feat(cli): validate prerequisites and seal installation plans

docs/install/standalone-manual-it.md

@@ -158,6 +158,47 @@ differiti: asset del rilascio, connettività esterna, import Catalog e readiness
 Un esito positivo prepara il successivo preflight: non autorizza a saltare tali
 controlli e non equivale a un'installazione completata.
 
+## Verificare le precondizioni e produrre il piano
+
+Al passo 3, prima di completare tutti i parametri applicativi, controllare la
+macchina e la directory privata già preparata:
+
+```bash
+tht installation preflight --directory /percorso/installazione --json
+```
+
+Servono Docker Linux raggiungibile, Compose 2.24 o successivo, almeno 2 CPU,
+4 GiB assegnati a Docker e 10 GiB liberi nella directory di installazione. Il
+rilascio può richiedere risorse maggiori. Su Windows eseguire il binario Linux
+in Ubuntu WSL2 con integrazione Docker Desktop; Pi è incluso nell'immagine core.
+
+Al passo 5, dopo `installation validate`, selezionare il manifest del rilascio
+pubblicato, con le risorse del bundle già scaricate, e produrre un piano nuovo:
+
+```bash
+tht --installation /percorso/installazione/thothii-installation.yaml installation plan \
+  --workspaces /percorso/workspaces \
+  --release /percorso/rilascio/release-manifest.json \
+  --output /percorso/installazione/installation-plan.json --json
+```
+
+Il comando ripete i controlli dei documenti, verifica immagini/digest e Compose,
+Git, database ed Evidence esterne disponibili, poi salva il piano e il suo file
+privato `.key`. Non esegue il setup. Le immagini assenti e le dipendenze esterne
+irraggiungibili bloccano il piano. Al momento la pubblicazione reale Docker Hub
+è ancora il ticket successivo: un manifest inventato non permette di aggirarla.
+
+Correggere gli esiti `error`; leggere gli `warning`. Gli esiti
+`deferred-to-runtime` identificano controlli obbligatori dopo l'avvio, non una
+readiness già ottenuta. Un piano valido non sostituisce questi gate. Dopo una
+correzione o rotazione di credenziali produrre un nuovo piano; i file esistenti
+non vengono sovrascritti. Conservare piano e chiave fuori dal Git dei workspace.
+Le prove esterne sono letture limitate: autenticazione/schema del database,
+letture Git e HTTP/S3, raggiungibilità degli endpoint modello espliciti. Nessuna
+generazione LLM viene invocata; le richieste HTTP/S3 possono avere i normali costi
+del servizio. Limiti, manifest e obblighi sono nel
+[riferimento di preflight](installation-preflight.md).
+
 ## Prima di iniziare: i due repository
 
 Servono due repository distinti: