fix(deploy): close container final review

docs/superpowers/plans/2026-07-11-container-packaging-portable-storage.md

@@ -236,6 +236,13 @@ git commit -m "build(docker): add runtime-configured frontend image"
 
 ### Task 5: Compose external profile and end-to-end smoke gate
 
+> **Final-review security amendment (2026-07-12):** the frontend port binds to `127.0.0.1` by
+> default. Public deployment uses an authenticated upstream proxy with `AUTH_MODE=upstream`;
+> `THOTH_PUBLIC_EXPOSURE=true` plus `AUTH_MODE=none` is invalid. Local env files are development
+> only; production uses read-only Compose secrets. Image gates pin exact tags and multi-platform
+> digests and verify both linux/amd64 and linux/arm64 using the shared container verification
+> script.
+
 **Files:**
 - Create: `compose.yaml`
 - Create: `deploy/env.example`

docs/superpowers/specs/2026-07-11-portable-deployment-architecture-design.md

@@ -36,6 +36,7 @@ Non sono presenti Dockerfile o file Compose. Il processo di sviluppo assume Pi e
 6. **Configurazione dichiarativa e validata.** I workspace contengono riferimenti logici e configurazioni non segrete; i segreti sono in environment variables o secret store.
 7. **Capability esplicite.** Un adapter dichiara ciò che supporta. Le funzioni mancanti producono degradazione o blocco comprensibile, non emulazioni implicite.
 8. **Read-only by construction sul DWH.** Credenziali, API e guard client-side mantengono la separazione dall'autorità di scrittura.
+9. **Esposizione sicura per default.** La porta applicativa pubblicata è vincolata a loopback. Un'esposizione pubblica richiede un reverse proxy autenticante esterno e `AUTH_MODE=upstream`; la combinazione pubblico + `none` viene rifiutata all'avvio. OIDC interno non fa parte di questa fase.
 
 ## 4. Packaging e runtime
 
@@ -143,6 +144,11 @@ La configurazione si divide in:
 - **workspace:** lingua, adapter, namespace, collezioni e policy di preprocessing;
 - **segreti:** password, token, certificati e chiavi reader/writer.
 
+Nel profilo locale i segreti possono provenire da un env-file non versionato. In produzione sono
+file read-only sotto `/run/secrets`, leggibili dall'UID 10001. Il reverse proxy autenticante è un
+confine fidato: rimuove header identità forniti dal client e inserisce
+`X-Authenticated-User` soltanto dopo autenticazione.
+
 Deve esistere un comando di diagnostica che produca sia output umano sia JSON pristino, rispettando il contratto CLI corrente.
 
 ## 7. Pipeline di preprocessing