Production hardening: webhook auth, audit trail, atomic approvals y recovery de huérfanos

[nicolas344]

Resumen

Correcciones de la revisión de preparación para producción de Sentinel:

Seguridad

• Webhook /api/alerts autenticado: exige Authorization: Bearer <ALERT_WEBHOOK_SECRET>. Sin la env var queda abierto (modo dev) con warning en logs. Alertmanager envía el secreto vía http_config.authorization.
• Auditoría human-in-the-loop: execute/reject/postpone registran approved_by (email del JWT).
• Transiciones atómicas: el claim de awaiting_approval es un UPDATE condicional — dos aprobaciones simultáneas ya no ejecutan el comando dos veces (la segunda recibe 409).

Robustez

• Deduplicación por fingerprint de Alertmanager, respaldada por índice único parcial en Postgres (elimina la race del check-then-insert).
• Recovery sweep: incidentes huérfanos por reinicios del backend (atascados en detected/investigating/executing_solution/verifying >30 min) se marcan failed con nota explicativa. Corre al arrancar y cada 15 min.

Bugs y configuración

• Fix: los endpoints de runbooks e incidentes similares para K8s/Podman consultaban las colecciones de Docker.
• CORS por entorno: CORS_ORIGINS / CORS_ORIGIN_REGEX (necesario para que el frontend de Render funcione sin hardcodear orígenes).
• Migraciones SQL versionadas en supabase/migrations/ (baseline reconstruido + hardening).

Tests

• 40+ tests nuevos: validadores de comandos (inyección con ;, $(), backticks, pipes, path traversal) y auth del webhook. 76 passing, ruff limpio.

Pasos post-merge (manuales)

1. Ejecutar supabase/migrations/0002_production_hardening.sql en el SQL Editor de Supabase (solo ADD COLUMN IF NOT EXISTS + índice; seguro sobre datos existentes).
2. En Render (backend): configurar CORS_ORIGINS=https://sentinel-softserve-1.onrender.com y un ALERT_WEBHOOK_SECRET fuerte.
3. Verificar: POST /api/alerts sin header → 401; con el secreto → 200.