emilsoftware-utilities 2.0.0-dev.37 → 2.0.0-dev.39

package/dist/accessi-module/AccessiModule.d.ts

@@ -56,6 +56,18 @@ export interface PublicAuthRateLimitOptions {
     getUserByToken?: PublicAuthRateLimitRuleOptions;
     twoFactorVerify?: PublicAuthRateLimitRuleOptions;
     twoFactorResend?: PublicAuthRateLimitRuleOptions;
+    adminBootstrap?: PublicAuthRateLimitRuleOptions;
+}
+/**
+ * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del
+ * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.
+ * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.
+ */
+export interface AdminBootstrapOptions {
+    /** Abilita il bootstrap admin. Default `false`. */
+    enabled?: boolean;
+    /** Crea l'utente come superutente oltre che admin. Default `true`. */
+    superUser?: boolean;
 }
 /** Controls the legacy public username/password registration endpoint. Disabled by default. */
 export interface PublicRegistrationOptions {
@@ -119,7 +131,7 @@ export interface AccessiOptions {
     /** Connessione Firebird alla base dati Accessi. */
     databaseOptions: Options;
     /**
-     * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'
+     * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'
      */
     confirmationEmailUrl: string;
     /**
@@ -157,6 +169,10 @@ export interface AccessiOptions {
     serviceTokens?: ServiceTokenOptions;
     /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */
     catalogScripts?: CatalogScriptsOptions;
+    /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */
+    adminBootstrap?: AdminBootstrapOptions;
+    /** Base URL pubblica usata solo per loggare gli indirizzi (console, swagger, API). */
+    publicBaseUrl?: string;
 }
 export declare class AccessiModule {
     /**

package/dist/accessi-module/AccessiModule.js

@@ -33,6 +33,7 @@ const ServiceTokenService_1 = require("./Services/ServiceTokenService/ServiceTok
 const serviceTokenGuard_1 = require("./security/serviceTokenGuard");
 const SchemaController_1 = require("./Controllers/SchemaController");
 const SchemaExportService_1 = require("./Services/SchemaExportService/SchemaExportService");
+const AdminBootstrapService_1 = require("./Services/AdminBootstrapService/AdminBootstrapService");
 const emailConfiguration_1 = require("./security/emailConfiguration");
 let AccessiModule = AccessiModule_1 = class AccessiModule {
     /**
@@ -64,8 +65,7 @@ let AccessiModule = AccessiModule_1 = class AccessiModule {
                 AccessiDatabaseUpdater_1.AccessiDatabaseUpdater,
                 FederatedAuthService_1.FederatedAuthService,
                 ServiceTokenService_1.ServiceTokenService,
-                serviceTokenGuard_1.ServiceTokenGuard,
-                SchemaExportService_1.SchemaExportService
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService
             ],
             exports: [
                 'ACCESSI_OPTIONS',
@@ -79,8 +79,7 @@ let AccessiModule = AccessiModule_1 = class AccessiModule {
                 authenticateGen_1.AuthenticateGenService,
                 FederatedAuthService_1.FederatedAuthService,
                 ServiceTokenService_1.ServiceTokenService,
-                serviceTokenGuard_1.ServiceTokenGuard,
-                SchemaExportService_1.SchemaExportService
+                serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService
             ],
         };
     }
@@ -101,8 +100,8 @@ exports.AccessiModule = AccessiModule = AccessiModule_1 = __decorate([
             ServiceTokenController_1.ServiceTokenController,
             SchemaController_1.SchemaController,
         ],
-        providers: [AuthService_1.AuthService, TwoFactorService_1.TwoFactorService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService],
-        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService],
+        providers: [AuthService_1.AuthService, TwoFactorService_1.TwoFactorService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, AccessiDatabaseUpdater_1.AccessiDatabaseUpdater, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService],
+        exports: [AuthService_1.AuthService, UserService_1.UserService, EmailService_1.EmailService, PermissionService_1.PermissionService, FiltriService_1.FiltriService, ConfiguratorService_1.ConfiguratorService, jwt_strategy_1.JwtSimpleGuard, authenticateGen_1.AuthenticateGenService, FederatedAuthService_1.FederatedAuthService, ServiceTokenService_1.ServiceTokenService, serviceTokenGuard_1.ServiceTokenGuard, SchemaExportService_1.SchemaExportService, AdminBootstrapService_1.AdminBootstrapService],
     })
 ], AccessiModule);
 //# sourceMappingURL=AccessiModule.js.map

package/dist/accessi-module/AccessiModule.js.map

@@ -1 +1 @@
-{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAC/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,qFAAkF;AAClF,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,qEAAkE;AAClE,4FAAyF;AACzF,sEAAsE;AAsL/D,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;gBACjB,yCAAmB;aACpB;YACD,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB;gBACjB,yCAAmB;aACpB;SACF,CAAC;IACJ,CAAC;CACF,CAAA;AAlDY,sCAAa;wBAAb,aAAa;IAjBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;YACtB,mCAAgB;SACjB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,CAAC;QAC/Q,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,CAAC;KACpO,CAAC;GACW,aAAa,CAkDzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { SchemaController } from './Controllers/SchemaController';\nimport { SchemaExportService } from './Services/SchemaExportService/SchemaExportService';\nimport { assertEmailConfigured } from './security/emailConfiguration';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione in-memory degli endpoint pubblici. In cluster aggiungere un limite anche al gateway. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n  /**\n   * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono\n   * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.\n   */\n  allowDdl?: boolean;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ServiceTokenController,\n    SchemaController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard,\n        SchemaExportService\n      ],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard,\n        SchemaExportService\n      ],\n    };\n  }\n}\n"]}
+{"version":3,"file":"AccessiModule.js","sourceRoot":"","sources":["../../src/accessi-module/AccessiModule.ts"],"names":[],"mappings":";;;;;;;;;;AAAA,mFAAgF;AAQhF,2CAA+D;AAC/D,oEAAiE;AACjE,uEAAoE;AACpE,sFAAmF;AACnF,oEAAiE;AACjE,mEAAgE;AAChE,iEAA8D;AAC9D,6EAA0E;AAC1E,iEAA8D;AAC9D,0EAAuE;AACvE,qEAAkE;AAClE,iFAA8E;AAC9E,4FAAyF;AACzF,qDAAoD;AACpD,kEAAsE;AACtE,sFAAmF;AACnF,gFAA6E;AAC7E,sFAAmF;AACnF,qFAAkF;AAClF,iFAA8E;AAC9E,4FAAyF;AACzF,oEAAiE;AACjE,qEAAkE;AAClE,4FAAyF;AACzF,kGAA+F;AAC/F,sEAAsE;AAuM/D,IAAM,aAAa,qBAAnB,MAAM,aAAa;IACxB;;;;;;OAMG;IACH,MAAM,CAAC,OAAO,CAAC,OAAuB;QACpC,yFAAyF;QACzF,IAAA,0CAAqB,EAAC,OAAO,CAAC,CAAC;QAC/B,OAAO;YACL,MAAM,EAAE,eAAa;YACrB,SAAS,EAAE;gBACT;oBACE,OAAO,EAAE,iBAAiB;oBAC1B,QAAQ,EAAE,OAAO;iBAClB;gBACD,yBAAW;gBACX,mCAAgB;gBAChB,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,+CAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB;aAAC;YAChE,OAAO,EAAE;gBACP,iBAAiB;gBACjB,yBAAW;gBACX,yBAAW;gBACX,2BAAY;gBACZ,qCAAiB;gBACjB,6BAAa;gBACb,yCAAmB;gBACnB,6BAAc;gBACd,wCAAsB;gBACtB,2CAAoB;gBACpB,yCAAmB;gBACnB,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB;aAAC;SACjE,CAAC;IACJ,CAAC;CACF,CAAA;AA9CY,sCAAa;wBAAb,aAAa;IAjBzB,IAAA,eAAM,GAAE;IACR,IAAA,eAAM,EAAC;QACN,WAAW,EAAE;YACX,iCAAe;YACf,+BAAc;YACd,2CAAoB;YACpB,+BAAc;YACd,mCAAgB;YAChB,+CAAsB;YACtB,iDAAuB;YACvB,mDAAwB;YACxB,+CAAsB;YACtB,mCAAgB;SACjB;QACD,SAAS,EAAE,CAAC,yBAAW,EAAE,mCAAgB,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,+CAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,CAAC;QACtS,OAAO,EAAE,CAAC,yBAAW,EAAE,yBAAW,EAAE,2BAAY,EAAE,qCAAiB,EAAE,6BAAa,EAAE,yCAAmB,EAAE,6BAAc,EAAE,wCAAsB,EAAE,2CAAoB,EAAE,yCAAmB,EAAE,qCAAiB,EAAE,yCAAmB,EAAE,6CAAqB,CAAC;KAC3P,CAAC;GACW,aAAa,CA8CzB","sourcesContent":["import { TwoFactorService } from './Services/TwoFactorService/TwoFactorService';\n/**\n * Modulo che gestisce le operazioni di accesso degli utenti, incluse le rotte, il controller e il modello.\n *\n * @module AccessiModule\n * @author mttdev382\n */\nimport { Options } from 'node-firebird';\nimport { DynamicModule, Global, Module } from '@nestjs/common';\nimport { AuthService } from './Services/AuthService/AuthService';\nimport { EmailService } from './Services/EmailService/EmailService';\nimport { PermissionService } from './Services/PermissionService/PermissionService';\nimport { UserService } from './Services/UserService/UserService';\nimport { EmailController } from './Controllers/EmailController';\nimport { AuthController } from './Controllers/AuthController';\nimport { PermissionController } from './Controllers/PermissionController';\nimport { UserController } from './Controllers/UserController';\nimport { FiltriService } from './Services/FiltriService/FiltriService';\nimport { FiltriController } from './Controllers/FiltriController';\nimport { ConfiguratorController } from './Controllers/ConfiguratorController';\nimport { ConfiguratorService } from './Services/ConfiguratorService/ConfiguratorService';\nimport { JwtSimpleGuard } from './jwt/jwt.strategy';\nimport { AuthenticateGenService } from './middleware/authenticateGen';\nimport { AccessiDatabaseUpdater } from './database-updates/AccessiDatabaseUpdater';\nimport { FederatedAuthService } from './federated-auth/FederatedAuthService';\nimport { FederatedAuthController } from './federated-auth/FederatedAuthController';\nimport { AccessiConsoleController } from './Controllers/AccessiConsoleController';\nimport { ServiceTokenController } from './Controllers/ServiceTokenController';\nimport { ServiceTokenService } from './Services/ServiceTokenService/ServiceTokenService';\nimport { ServiceTokenGuard } from './security/serviceTokenGuard';\nimport { SchemaController } from './Controllers/SchemaController';\nimport { SchemaExportService } from './Services/SchemaExportService/SchemaExportService';\nimport { AdminBootstrapService } from './Services/AdminBootstrapService/AdminBootstrapService';\nimport { assertEmailConfigured } from './security/emailConfiguration';\n\n/** JWT emesso da Accessi dopo un login locale o SSO. Non riutilizzare il segreto del provider SSO. */\nexport interface JwtOptions {\n  /** Segreto simmetrico per firmare e verificare i JWT Accessi; deve essere unico per ambiente. */\n  secret: string;\n  /** Durata compatibile con `jsonwebtoken`, per esempio `24h` o `3600s`. */\n  expiresIn: string;\n}\n\n/** Parametri SMTP usati esclusivamente per impostazione e reset della password. */\nexport interface EmailOptions {\n  host: string;\n  port: number;\n  secure: boolean;\n  requireTLS : boolean;\n  tls: {\n    rejectUnauthorized: boolean,\n  }\n  from: string;\n  auth: {\n    user: string;\n    pass: string;\n  };\n}\n\n/** Configura campi applicativi aggiuntivi restituiti insieme al profilo Accessi. */\nexport interface ExtensionFieldsOptions {\n  /** Connessione al database contenente la tabella estesa. */\n  databaseOptions: Options;\n  /** Chiave con cui i dati saranno esposti nella risposta. */\n  objectKey: string;\n  /** Tabella applicativa contenente i dati estesi. */\n  tableName: string;\n  /** Colonne consentite; non valorizzarle mai con input HTTP. */\n  tableFields: string[];\n  /** Colonna correlata a `UTENTI.CODUTE`. */\n  tableJoinFieldName: string;\n}\n\n/** Limite per una singola categoria di endpoint pubblici. */\nexport interface PublicAuthRateLimitRuleOptions {\n  windowMs: number;\n  maxAttempts: number;\n}\n\n/** Protezione in-memory degli endpoint pubblici. In cluster aggiungere un limite anche al gateway. */\nexport interface PublicAuthRateLimitOptions {\n  enabled?: boolean;\n  login?: PublicAuthRateLimitRuleOptions;\n  register?: PublicAuthRateLimitRuleOptions;\n  passwordResetEmail?: PublicAuthRateLimitRuleOptions;\n  passwordResetConfirm?: PublicAuthRateLimitRuleOptions;\n  getUserByToken?: PublicAuthRateLimitRuleOptions;\n  twoFactorVerify?: PublicAuthRateLimitRuleOptions;\n  twoFactorResend?: PublicAuthRateLimitRuleOptions;\n  adminBootstrap?: PublicAuthRateLimitRuleOptions;\n}\n\n/**\n * Bootstrap del primo admin. Se abilitato, Accessi genera un token casuale a ogni avvio del\n * processo, lo stampa nel log e lo accetta sull'endpoint pubblico `POST /accessi/auth/bootstrap-admin`.\n * Serve a creare il primo utente admin senza email di conferma e senza un admin gia esistente.\n */\nexport interface AdminBootstrapOptions {\n  /** Abilita il bootstrap admin. Default `false`. */\n  enabled?: boolean;\n  /** Crea l'utente come superutente oltre che admin. Default `true`. */\n  superUser?: boolean;\n}\n\n/** Controls the legacy public username/password registration endpoint. Disabled by default. */\nexport interface PublicRegistrationOptions {\n  /** Enables POST /accessi/user/register. Applications that used it before must opt in explicitly. */\n  enabled?: boolean;\n}\n\n/** Configurazione dei token di servizio (macchina-a-macchina, senza utente). */\nexport interface ServiceTokenOptions {\n  /** Abilita gli endpoint amministrativi dei service token. Default `true`. */\n  enabled?: boolean;\n  /** Durata predefinita in giorni quando non e indicata una scadenza esplicita. Default: nessuna scadenza. */\n  defaultTtlDays?: number;\n}\n\n/** Cosa fare quando uno script gia applicato presenta un checksum diverso (file modificato). */\nexport type CatalogScriptChecksumPolicy = 'error' | 'warn' | 'reapply';\n\n/**\n * Catalog migrations applicative (menu, ruoli, tipi, cataloghi). Gli script `.sql` vivono nel\n * backend ospitante (versionati in repository) e vengono eseguiti da Accessi dopo la\n * riconciliazione dello schema. Ogni script e tracciato nella tabella `ACCESSI_CATALOG_SCRIPT`,\n * quindi viene applicato una sola volta per database (idempotenza lato DB).\n */\nexport interface CatalogScriptsOptions {\n  /** Abilita l'esecuzione automatica al bootstrap. Default `false`. */\n  enabled?: boolean;\n  /** Cartella contenente gli script `.sql` (assoluta o relativa alla working directory). */\n  folder: string;\n  /** Cosa fare se il checksum di uno script applicato e cambiato. Default `error`. */\n  onChecksumMismatch?: CatalogScriptChecksumPolicy;\n  /** Se `true` (default) un errore interrompe l'esecuzione e non avanza allo script successivo. */\n  stopOnError?: boolean;\n  /** Globi/estensioni inclusi. Default: tutti i `.sql`. */\n  include?: string[];\n  /** Numero massimo di script eseguiti in un singolo run (protezione operativa). Default: illimitato. */\n  maxScriptsPerRun?: number;\n  /**\n   * Permette statement DDL/schema negli script. Default `false`: le catalog migrations possono\n   * modificare solo righe. Sconsigliato: lo schema e di competenza di `db:update:accessi`.\n   */\n  allowDdl?: boolean;\n}\n\n/**\n * Enables Accessi's provider-agnostic federated identity capability.\n *\n * Accessi never validates Azure, Google, Apple, SAML, or other provider tokens.\n * The hosting backend must validate its own SSO flow and pass only a verified\n * `{ provider, subject }` identity to FederatedAuthService.\n */\nexport interface FederatedAuthenticationOptions {\n  /** Attiva le API SSO generiche; con `false` il comportamento password storico rimane invariato. */\n  enabled?: boolean;\n  /** @deprecated Schema management is centralized in autoUpdateDatabase. This legacy flag no longer starts separate SSO migrations. */\n  autoUpdateSchema?: boolean;\n  /** Allows a backend to create a user from a verified external identity without a master user. Default false. */\n  allowSelfRegistration?: boolean;\n}\n\n/**\n * Configurazione completa del modulo Accessi, fornita esclusivamente dal backend ospitante.\n * Segreti JWT, SMTP, database e le configurazioni tecniche dei provider SSO non devono mai raggiungere il browser.\n */\nexport interface AccessiOptions {\n  /** Connessione Firebird alla base dati Accessi. */\n  databaseOptions: Options;\n  /**\n   * Basepath del sito es: 'http://www.il-mio-sito.it/nome-progetto(se c'è)'\n   */\n  confirmationEmailUrl: string;\n  /**\n   * Percorso della pagina di reset personalizzata es. http://localhost:4200/#/admin/reset-password\n   * N.B si sostituisce al confirmationMailURl\n   */\n  customResetPage?: string;\n  /** URL di ritorno della pagina standard di reset dopo il completamento. */\n  confirmationEmailReturnUrl: string;\n  /** Prefisso applicativo facoltativo trasmesso alla pagina standard di reset. */\n  confirmationEmailPrefix?: string;\n  /** Chiave riservata alla compatibilita e alla migrazione delle password legacy cifrate. */\n  encryptionKey: string;\n  /** Abilita gli utenti fittizi `admin` e `demo` solo fuori produzione. */\n  mockDemoUser: boolean;\n  /** Attiva il controllo della scadenza password durante il login locale. */\n  passwordExpiration?: boolean;\n  /** Giorni di validita della password; quando assente Accessi usa 90 giorni. */\n  passwordExpirationDays?: number;\n  /** Esegue al bootstrap la conversione non distruttiva delle password legacy. Default `true`. */\n  legacyPasswordMigrationOnStartup?: boolean;\n  /** Riconcilia lo schema al bootstrap (default `true`). Con `false` verifica comunque la compatibilita in sola lettura e blocca avvii incompatibili. */\n  autoUpdateDatabase?: boolean;\n  /** Parametri JWT dei token emessi da Accessi. */\n  jwtOptions: JwtOptions;\n  /** Parametri SMTP per reset e attivazione password. */\n  emailOptions: EmailOptions;\n  publicAuthRateLimit?: PublicAuthRateLimitOptions;\n  /** Public local registration is deliberately opt-in. Existing applications must set enabled: true to retain it. */\n  publicRegistration?: PublicRegistrationOptions;\n  /** Optional provider-agnostic SSO support. Provider-specific configuration remains in the hosting backend. */\n  federatedAuthentication?: FederatedAuthenticationOptions;\n  extensionFieldsOptions?: ExtensionFieldsOptions[];\n  /** Token di servizio per chiamate tecniche macchina-a-macchina. Abilitati di default. */\n  serviceTokens?: ServiceTokenOptions;\n  /** Catalog migrations applicative eseguite dopo la riconciliazione dello schema. */\n  catalogScripts?: CatalogScriptsOptions;\n  /** Bootstrap del primo admin tramite token casuale stampato a ogni avvio. */\n  adminBootstrap?: AdminBootstrapOptions;\n  /** Base URL pubblica usata solo per loggare gli indirizzi (console, swagger, API). */\n  publicBaseUrl?: string;\n}\n\n@Global()\n@Module({\n  controllers: [\n    EmailController,\n    AuthController,\n    PermissionController,\n    UserController,\n    FiltriController,\n    ConfiguratorController,\n    FederatedAuthController,\n    AccessiConsoleController,\n    ServiceTokenController,\n    SchemaController,\n  ],\n  providers: [AuthService, TwoFactorService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, AccessiDatabaseUpdater, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n  exports: [AuthService, UserService, EmailService, PermissionService, FiltriService, ConfiguratorService, JwtSimpleGuard, AuthenticateGenService, FederatedAuthService, ServiceTokenService, ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n})\nexport class AccessiModule {\n  /**\n   * Registra Accessi nel contenitore Nest del backend ospitante.\n   *\n   * Usare questo metodo una sola volta nella composizione dell'applicazione. Per un backend\n   * Express esistente usare invece `initializeAccessiModule`, che crea e monta l'host Nest interno.\n   * La configurazione viene registrata con il token DI `ACCESSI_OPTIONS` ed e condivisa dai servizi.\n   */\n  static forRoot(options: AccessiOptions): DynamicModule {\n    // Il servizio email e obbligatorio: reset password, 2FA e creazione utente ne dipendono.\n    assertEmailConfigured(options);\n    return {\n      module: AccessiModule,\n      providers: [\n        {\n          provide: 'ACCESSI_OPTIONS',\n          useValue: options,\n        },\n        AuthService,\n        TwoFactorService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        AccessiDatabaseUpdater,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n      exports: [\n        'ACCESSI_OPTIONS',\n        AuthService,\n        UserService,\n        EmailService,\n        PermissionService,\n        FiltriService,\n        ConfiguratorService,\n        JwtSimpleGuard,\n        AuthenticateGenService,\n        FederatedAuthService,\n        ServiceTokenService,\n        ServiceTokenGuard, SchemaExportService, AdminBootstrapService],\n    };\n  }\n}\n"]}

package/dist/accessi-module/Console/console.css

@@ -102,7 +102,7 @@ button:focus-visible, input:focus-visible, select:focus-visible, textarea:focus-
 .card h1 { margin: 0 0 var(--s2); }
 .card > p { margin: 0 0 var(--s5); color: var(--muted); }
 .card form { gap: var(--s4); }
-.card form button, .card > button { width: 100%; }
+.card form > button, .card > button { width: 100%; }
 .card > button { margin-top: var(--s3); }
 
 #console { display: grid; grid-template-columns: var(--sidebar-w) minmax(0, 1fr); gap: var(--gutter); align-items: start; }
@@ -555,12 +555,48 @@ article h3 { margin-bottom: var(--s2); }
 }
 
 /* Aiuto contestuale: icona "i" e popover con la miniguida del campo */
-.help-dot { display: inline-flex; align-items: center; justify-content: center; width: 18px; height: 18px; min-height: 0; margin-left: var(--s1); padding: 0; border: 1px solid var(--line-strong); border-radius: 50%; color: var(--muted); font-size: 11px; font-weight: 700; line-height: 1; background: var(--surface); vertical-align: middle; cursor: pointer; }
-.help-dot:hover, .help-dot:focus-visible { color: var(--brand-strong); border-color: var(--brand-line); background: var(--brand-soft); }
-.help-popover { position: fixed; z-index: 3000; width: min(460px, 94vw); max-height: 72vh; overflow: auto; padding: var(--s4); border: 1px solid var(--line); border-radius: var(--r-md); background: var(--surface); box-shadow: var(--shadow-md); }
+/* Trigger "i": auto-contenuto, non eredita la forma dei bottoni applicativi. */
+button.help-dot {
+  display: inline-flex;
+  align-items: center;
+  justify-content: center;
+  width: 1.125rem;
+  min-width: 1.125rem;
+  max-width: 1.125rem;
+  height: 1.125rem;
+  min-height: 1.125rem;
+  max-height: 1.125rem;
+  flex: 0 0 auto;
+  box-sizing: border-box;
+  margin: 0;
+  padding: 0;
+  border: 1px solid var(--line-strong);
+  border-radius: 50%;
+  color: var(--muted);
+  font-family: inherit;
+  font-size: .6875rem;
+  font-weight: 700;
+  line-height: 1;
+  background: var(--surface);
+  vertical-align: text-top;
+  cursor: pointer;
+}
+button.help-dot:hover,
+button.help-dot:focus-visible { color: var(--brand-strong); border-color: var(--brand-line); background: var(--brand-soft); }
+button.help-dot:focus-visible { outline: 2px solid var(--brand-line); outline-offset: 1px; }
+
+/* Label "a blocchi" (caption + controllo): icona in alto a destra, senza rompere la griglia. */
+label { position: relative; }
+label:not(.check):not(.inline-field) > .help-dot { position: absolute; top: 0; right: 0; }
+label:not(.check):not(.inline-field):has(> .help-dot) { padding-right: 1.625rem; }
+/* Label flex: icona inline col testo. */
+.check > .help-dot,
+.inline-field > .help-dot { position: static; margin-left: var(--s1); }
+.help-popover { position: fixed; z-index: 3000; width: min(460px, 94vw); max-height: 72vh; overflow: auto; overscroll-behavior: contain; padding: var(--s4); border: 1px solid var(--line); border-radius: var(--r-md); background: var(--surface); box-shadow: var(--shadow-md); }
+.help-popover:focus { outline: none; }
 .help-popover-head { display: flex; align-items: flex-start; justify-content: space-between; gap: var(--s3); margin-bottom: var(--s3); }
 .help-popover-head h4 { margin: 0; color: var(--ink); font-size: var(--fs-md); }
-.help-close { width: 28px; min-height: 28px; padding: 0; font-size: var(--fs-lg); line-height: 1; }
+.help-close { flex: 0 0 auto; width: 28px; min-width: 28px; min-height: 28px; padding: 0; font-size: var(--fs-lg); line-height: 1; }
 .help-popover-body { display: grid; gap: var(--s3); }
 .help-popover-body p { margin: 0; font-size: var(--fs-sm); line-height: 1.55; }
 .help-popover-body ul, .help-popover-body ol { display: grid; gap: var(--s1); margin: 0; padding-left: var(--s4); font-size: var(--fs-sm); }
@@ -633,3 +669,8 @@ article h3 { margin-bottom: var(--s2); }
 .sql-section { display: grid; gap: var(--s2); min-width: 0; }
 .sql-section-head { display: flex; align-items: center; justify-content: space-between; gap: var(--s2); }
 .sql-section-head h3 { margin: 0; color: var(--ink); }
+
+/* Bootstrap admin (schermata di login) */
+.bootstrap-admin { margin-top: var(--s4); padding: var(--s3); border: 1px dashed var(--line); border-radius: var(--r-md); background: var(--surface-sunken); }
+.bootstrap-admin summary { cursor: pointer; font-weight: 650; color: var(--ink-2); }
+.bootstrap-admin form { display: grid; gap: var(--s2); margin-top: var(--s3); }

package/dist/accessi-module/Console/console.js

@@ -95,6 +95,21 @@ var resendTwoFactor = async (resendTwoFactorRequest, options) => {
     }
   );
 };
+var getBootstrapAdminUrl = () => {
+  return `/api/accessi/auth/bootstrap-admin`;
+};
+var bootstrapAdmin = async (bootstrapAdminRequest, options) => {
+  return accessiFetch(
+    getBootstrapAdminUrl(),
+    {
+      ...options,
+      method: "POST",
+      body: JSON.stringify(
+        bootstrapAdminRequest
+      )
+    }
+  );
+};
 var getGetRolesUrl = () => {
   return `/api/accessi/permission/roles`;
 };
@@ -880,7 +895,9 @@ var WIKI_SECTIONS = [
           ["federatedAuthentication", "FederatedAuthenticationOptions", "no", `Abilita l'SSO generico.`],
           ["extensionFieldsOptions", "ExtensionFieldsOptions[]", "no", "Tabelle esterne allegate al profilo."],
           ["serviceTokens", "{ enabled, defaultTtlDays }", "no", "Token macchina-a-macchina, abilitati per impostazione predefinita."],
-          ["catalogScripts", "{ enabled, folder, ... }", "no", "Catalog migrations SQL eseguite dopo la riconciliazione dello schema."]
+          ["catalogScripts", "{ enabled, folder, ... }", "no", "Catalog migrations SQL eseguite dopo la riconciliazione dello schema."],
+          ["adminBootstrap", "{ enabled, superUser }", "no", "Token casuale a ogni avvio per creare il primo admin dalla console."],
+          ["publicBaseUrl", "string", "no", "Base URL usata solo per loggare console/swagger/API."]
         ]
       ),
       good("ts", [
@@ -1375,7 +1392,8 @@ POST /api/accessi/auth/confirm-reset-password/{token}
       ]),
       note("info", `Superutente (FLGSUPER)`, `Riceve TUTTE le abilitazioni al livello massimo (30) dopo il login. In console vede solo la sezione Utenti e gestisce utenti, ruoli e grant.`),
       note("info", `Admin (FLGADMIN)`, `Accede a tutta la console (catalogo, token, SSO, utenti) ma NON conferisce abilitazioni: i menu restano quelli assegnati via ABILITAZIONI/RUOLI_MNU.`),
-      note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con FLGSUPER o FLGADMIN. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`)
+      note("info", `Accesso`, `Apri /api/accessi/console e accedi con un utente con FLGSUPER o FLGADMIN. Le sezioni sono raggiungibili anche tramite deep link (per esempio /api/accessi/console/menu-e-gruppi/menu).`),
+      note("info", `Bootstrap admin`, `Con adminBootstrap.enabled il backend stampa a ogni avvio un token casuale (monouso, valido fino al riavvio). Nella schermata di login della console trovi "Crea utente admin": incolla il token e crea il primo admin senza email di conferma. La password \xE8 opzionale: se assente viene generata e mostrata una sola volta.`)
     ]
   },
   // -------------------------------------------------------------------------
@@ -2055,7 +2073,7 @@ function handleAction(action) {
   void action().catch((error) => showNotice(errorMessage(error), true));
 }
 function render(markup) {
-  closeHelp();
+  closeHelp(false);
   byId("view").innerHTML = markup;
 }
 function setActiveNavigation(view) {
@@ -3010,7 +3028,8 @@ function bindCopyButtons(root) {
   });
 }
 function helpDot(key) {
-  return `<button type="button" class="help-dot" data-help="${escapeHtml(key)}" aria-label="Aiuto: ${escapeHtml(HELP[key]?.title ?? key)}">i</button>`;
+  const title = HELP[key]?.title ?? key;
+  return `<button type="button" class="help-dot" data-help="${escapeHtml(key)}" aria-haspopup="dialog" aria-expanded="false" aria-controls="accessi-help-popover" aria-label="Informazioni: ${escapeHtml(title)}" title="Informazioni">i</button>`;
 }
 var helpPopover = null;
 var helpAnchor = null;
@@ -3018,24 +3037,36 @@ function ensureHelpPopover() {
   if (!helpPopover) {
     helpPopover = document.createElement("div");
     helpPopover.className = "help-popover";
+    helpPopover.id = "accessi-help-popover";
     helpPopover.hidden = true;
     helpPopover.setAttribute("role", "dialog");
+    helpPopover.setAttribute("aria-modal", "false");
+    helpPopover.tabIndex = -1;
     document.body.appendChild(helpPopover);
   }
   return helpPopover;
 }
-function closeHelp() {
-  if (helpPopover) helpPopover.hidden = true;
+function closeHelp(restoreFocus = true) {
+  if (!helpPopover) return;
+  const wasOpen = !helpPopover.hidden;
+  helpPopover.hidden = true;
+  const anchor = helpAnchor;
+  if (anchor) anchor.setAttribute("aria-expanded", "false");
   helpAnchor = null;
+  if (restoreFocus && wasOpen && anchor && document.contains(anchor)) anchor.focus();
 }
 function positionHelp() {
   if (!helpPopover || !helpAnchor || helpPopover.hidden) return;
   const rect = helpAnchor.getBoundingClientRect();
   const width = helpPopover.offsetWidth;
   const height = helpPopover.offsetHeight;
-  const left = Math.max(8, Math.min(rect.right - width, window.innerWidth - width - 8));
+  const margin = 8;
+  const left = Math.max(margin, Math.min(rect.right - width, window.innerWidth - width - margin));
   let top = rect.bottom + 6;
-  if (top + height > window.innerHeight - 8) top = Math.max(8, rect.top - height - 6);
+  if (top + height > window.innerHeight - margin) {
+    const above = rect.top - height - 6;
+    top = above >= margin ? above : Math.max(margin, window.innerHeight - height - margin);
+  }
   helpPopover.style.left = `${left}px`;
   helpPopover.style.top = `${top}px`;
 }
@@ -3043,11 +3074,15 @@ function openHelp(anchor) {
   const entry = HELP[anchor.dataset.help ?? ""];
   if (!entry) return;
   const popover = ensureHelpPopover();
-  popover.innerHTML = `<div class="help-popover-head"><h4>${escapeHtml(entry.title)}</h4><button type="button" class="help-close" data-help-close aria-label="Chiudi">&times;</button></div><div class="help-popover-body">${entry.blocks.map(renderWikiBlock).join("")}</div>`;
+  if (helpAnchor && helpAnchor !== anchor) helpAnchor.setAttribute("aria-expanded", "false");
+  popover.innerHTML = `<div class="help-popover-head"><h4 id="accessi-help-title">${escapeHtml(entry.title)}</h4><button type="button" class="help-close" data-help-close aria-label="Chiudi">&times;</button></div><div class="help-popover-body">${entry.blocks.map(renderWikiBlock).join("")}</div>`;
+  popover.setAttribute("aria-labelledby", "accessi-help-title");
   popover.hidden = false;
   helpAnchor = anchor;
+  anchor.setAttribute("aria-expanded", "true");
   bindCopyButtons(popover);
   positionHelp();
+  (popover.querySelector(".help-close") ?? popover).focus();
 }
 function wikiIndexMarkup(selectedId) {
   return wikiGroups().map(({ group, sections }) => `<div class="wiki-index-group"><span class="wiki-index-group-title">${escapeHtml(group)}</span><ul>${sections.map((section) => `<li><a href="#wiki-${escapeHtml(section.id)}" data-wiki="${escapeHtml(section.id)}"${section.id === selectedId ? ' aria-current="page"' : ""}>${escapeHtml(section.title)}</a></li>`).join("")}</ul></div>`).join("");
@@ -3204,6 +3239,31 @@ async function show(view) {
 var loginForm = document.getElementById("login-form");
 if (loginForm) loginForm.onsubmit = loginView;
 byId("restart-login").onclick = resetLogin;
+var bootstrapAdminForm = document.getElementById("bootstrap-admin-form");
+if (bootstrapAdminForm) {
+  bootstrapAdminForm.onsubmit = async (event) => {
+    event.preventDefault();
+    const status = document.getElementById("bootstrap-admin-status");
+    try {
+      if (status) status.textContent = "";
+      const values = formValues(bootstrapAdminForm);
+      const fields = new FormData(bootstrapAdminForm);
+      const created = result(await bootstrapAdmin({
+        token: values.token ?? "",
+        email: values.email ?? "",
+        nome: values.nome || void 0,
+        cognome: values.cognome || void 0,
+        password: values.password || void 0,
+        superUser: fields.has("superUser")
+      }));
+      const generated = created.password ? ` Password generata (copiala ora): ${created.password}` : "";
+      if (status) status.textContent = `Utente admin creato: ${created.email}.${generated} Ora accedi dal form principale.`;
+      bootstrapAdminForm.reset();
+    } catch (error) {
+      if (status) status.textContent = error instanceof Error ? error.message : "Creazione non riuscita.";
+    }
+  };
+}
 byId("two-factor-form").onsubmit = async (event) => {
   event.preventDefault();
   if (!pendingChallenge) return;
@@ -3250,7 +3310,11 @@ document.addEventListener("click", (event) => {
   const dot = target.closest("[data-help]");
   if (dot) {
     event.preventDefault();
-    openHelp(dot);
+    if (helpAnchor === dot && helpPopover && !helpPopover.hidden) {
+      closeHelp();
+    } else {
+      openHelp(dot);
+    }
     return;
   }
   if (target.closest("[data-help-close]")) {