docs: focus public documentation on product usage

docs/architecture/authentication.md

@@ -84,8 +84,8 @@ Workspace Validate performs static authentication validation without provider co
 `tht auth check` performs live, non-interactive diagnosis: static safety plus OIDC discovery,
 issuer/JWKS, group-catalog authentication, and exact configured-group existence. Adding
 `--interactive` runs that same live diagnosis and then validates a device-flow identity when the
-provider supports Device Authorization. Workspace Test is the aggregate live workspace and
-authentication validation.
+provider supports Device Authorization. Aggregate live workspace and authentication validation is
+available through the installation diagnostics.
 
 The ordered `tht doctor` report is exactly: `descriptor`, `files`, `docker`, `compose`,
 `configuration`, `authentication`, `services`, `core-http`, `frontend-http`,

docs/architecture/overview.md

@@ -1,9 +1,7 @@
 # Panoramica dell'architettura
 
-> Sintesi ad uso documentazione. Per il dettaglio dei moduli e dei flussi vedi
-> [Componenti, moduli e flussi](components.md); i contratti correnti sono in `docs/contracts/`
-> e le decisioni durevoli in `docs/adr/`. Per lo stato corrente del progetto (gate manuali
-> pendenti, layout workspace/secret) vedi `PROJECT_STATE.md` nella radice del repo.
+> Per il dettaglio dei moduli e dei flussi vedi
+> [Componenti, moduli e flussi](components.md).
 
 ThothII è un **datamart builder human-in-the-loop**: trasforma una domanda in linguaggio naturale in SQL validato (ed eventualmente un datamart dbt) attraverso un **workflow deterministico a 8 fasi NL→SQL**, in cui il modello *propone* e un revisore umano *decide* ai gate.
 
@@ -80,8 +78,8 @@ rinominare o ricreare la collezione. `workspace preprocess evidence` e la parte
 
 - `tht -c`/`--config` è un'opzione **per-comando**: deve seguire il subcommand, mai precederlo (`ThtRunner.buildArgv` lo impone).
 - L'output `--json` deve essere JSON puro su stdout — è un contratto machine-readable.
-- Le stringhe UI sono in inglese; il *contenuto* dei documenti resta nella lingua del workspace (italiano per `psd`), perché è il dato reale — solo chrome/label sono in inglese.
-- I workspace (`harness/workspaces/*.yaml`) impostano il target DB e i path **assoluti** `paths.sessions/artifacts/indexes` — per `psd` puntano a un repo separato e non versionato (`tht-workspace-psd/`). I segreti vivono solo in `harness/.env` (gitignored).
+- Le stringhe UI sono in inglese; il *contenuto* dei documenti resta nella lingua del workspace, perché è il dato reale — solo chrome e label sono in inglese.
+- Ogni workspace imposta il target DWH e le proprie directory operative. I segreti restano nei file protetti dell'installazione e non nel repository del workspace.
 - Le impostazioni sono globali (`backend/data/settings.json`: workspace/provider/modello/thinking); il form di nuova sessione richiede solo la domanda.
 - **Resume**: una sessione riprendibile rientra all'ultima fase incompleta. Il backend rifiuta il resume con 409 se `finalized` o `archived`; `PiProcessManager.spawnFor` deve inviare `/riprendi-sessione <id>` (resume) vs `/nuova-domanda` (nuova) — il prompt sbagliato trasforma silenziosamente un resume in una nuova domanda.
 
@@ -90,5 +88,3 @@ rinominare o ricreare la collezione. `workspace preprocess evidence` e la parte
 Lo stack locale si avvia con `./scripts/run-stack.sh`, dopo aver creato
 `deploy/env/local.env` da `deploy/env/local.env.example`. Il core Compose include Pi; DWH,
 vector DB, embedding e LLM sono endpoint esterni configurati nel file locale.
-
-Comandi per singolo layer, test e lint: vedi `AGENTS.md` nella radice del repo.