docs: publish English public documentation

docs/install/dwh-auth-tls.md

@@ -1,49 +1,38 @@
-# TLS per DWH REST
+# TLS for DWH REST
 
-La chiave DWH è accettabile solo sopra TLS verificato. Un errore `401` o `503` non autorizza mai a
-ridurre la verifica del certificato.
+The DWH key may be used only over verified TLS. Authorization or availability errors never justify
+disabling certificate verification.
 
-## Stato PSD
+## Private CA
 
-L'origine REST PSD corrente usa il certificato self-issued/private di Nginx. Il SAN copre
-`supabase-aritmolab.policlinicosandonato.it`, l'origine `.it` approvata, e non copre un dominio
-`.com`. Non usare `.com` finché non è incluso esplicitamente nel SAN.
+When DWH REST uses an enterprise CA, deliver the certificate separately from the API key. The CA
+is not a credential, but its integrity is part of the security boundary. Keep it out of Git and
+make it unwritable by unauthorized users.
 
-Chi non dispone già di trust equivalente approvato riceve la CA separatamente e configura
-`TLS_CA_FILE`. La CA non è una credenziale, ma la sua integrità è un confine di sicurezza: fuori da
-Git e non scrivibile da utenti non autorizzati.
-
-## Fingerprint fuori banda
-
-Calcolare localmente il fingerprint del file ricevuto:
-
-```bash
-openssl x509 -noout -fingerprint -sha256 -in /absolute/protected/psd-dwh-ca.pem
-```
-
-Confrontarlo con il responsabile autorizzato tramite un canale indipendente dalla consegna (vault
-aziendale o canale telefonico verificato). Nell'evidenza registrare solo conferma, approvatore e
-timestamp; mai corpo certificato, fingerprint completo o output grezzo.
-
-## Binding e ping
-
-Il binding headless PSD effettivo è:
+Esempio ACME Limited:
 
 ```dotenv
-THT_WS_PSD_CLINICAL_DWH_TLS_CA_FILE=/run/secrets/psd-clinical-dwh-ca.pem
+THT_WS_ACME_EBIKES_DWH_TLS_CA_FILE=/run/secrets/acme-ebikes-dwh-ca.pem
 ```
 
-Il file sorgente locale è collegato da file operatore non tracciato. Usare URL `.it`, poi
-**Test workspace connections** su `/rpc/ping`. Non disabilitare TLS e non usare `curl -k`.
+## Out-of-band fingerprint
 
-## Rinnovo coordinato
+Calculate the fingerprint of the received file and compare it through an independent channel:
 
-1. Preparare certificato e chain nuovi; verificare prima SAN `.it` e assenza di falsa copertura `.com`.
-2. Confermare fuori banda il nuovo fingerprint.
-3. Consegnare la CA/chain nuova ai client con `TLS_CA_FILE`, senza rimuovere ancora la precedente.
-4. Aggiornare vault/binding e verificare ping con TLS normale.
-5. Solo con gate Nginx approvato installare il certificato server e ripetere il ping.
-6. Ritirare il trust precedente dopo la finestra approvata.
+```bash
+openssl x509 -noout -fingerprint -sha256 \
+  -in /absolute/protected/acme-ebikes-dwh-ca.pem
+```
 
-Il rinnovo non modifica chiavi `dwh-auth`, record o ruoli PostgreSQL. TLS e rollback della route
-restano approvazioni e backup distinti.
+The certificate SAN must include the exact name used by the binding, such as `dwh.acme.example`.
+
+## Renewal
+
+1. Prepare the new certificate and chain.
+2. Confirm the SAN and fingerprint out of band.
+3. Distribute the new CA to clients while temporarily keeping the old one.
+4. Update the binding and confirm connectivity with normal TLS.
+5. Install the server certificate.
+6. Remove the old trust after the agreed window.
+
+Do not use `curl -k`, disable TLS, or embed complete certificates or fingerprints in shared documents.