feat: add production configuration contracts

[high-cde]

Sintesi

Questa PR introduce le configurazioni P0 autonome e verificabili individuate nell'audit di production-readiness. Le modifiche rendono più espliciti i contratti di rootfs, hardening, supply chain, operabilità e governance CI, senza dichiarare risolte le capacità che richiedono consumer o chiavi operative.

Modifiche incluse

Area	Risultato
Rootfs e boot	os-release, fstab, hostname, resolver, account protetti e policy mdev
Hardening	securetty, shell consentite, sysctl e policy modprobe
Supply chain	Release policy, documentazione delle chiavi e input controllati
Operabilità	Policy di logging e backup prive di segreti; file sysusers/tmpfiles del servizio residente
Governance	CODEOWNERS, Dependabot, SBOM, security scan e contratto di configurazione

Verifiche eseguite

• sintassi Shell;
• security contract e production configuration contract;
• ./tools/zdos-selftest.sh --all;
• build ISO, boot QEMU e persistenza ext4 su due boot;
• git diff --check.

Fuori perimetro

Installer BIOS/UEFI, Secure Boot completo, repository di aggiornamento firmato, rollback A/B, autenticazione web pubblica e backend di backup restano attività successive. Ciascuna richiede un consumer operativo, chiavi o segreti gestiti fuori dal repository e test dedicati.

Checklist

• Configurazioni senza segreti versionati;
• Contratti collegati a controlli automatici;
• Limiti attuali dichiarati in modo esplicito.