Tela de login: credencial única, sem banco

Toda rota passa por um before_request que redireciona para /login quem não
tem sessão — inclusive os POSTs, então /exportar e /salvar-sd sem cookie não
chegam ao handler. Ficam de fora só a própria entrada e /static (a tela de
login precisa da folha de estilo).

Credencial única em constante (admin@iasis.com.br / admin123), comparada com
compare_digest nos dois campos e com a mesma mensagem para usuário errado e
senha errada — dizer qual dos dois falhou entrega metade da credencial. Sem
banco, sem cadastro e sem recuperação de senha: a app é ferramenta interna de
uso individual, e isto existe para o upload e o writeback não ficarem abertos
a quem alcançar a porta quando ela roda hospedada.

SECRET_KEY não tem default assado na imagem — chave fixa numa imagem vale para
toda cópia dela. Sem a variável, o servidor sorteia uma por processo e o login
cai a cada restart, que é a mesma vida útil que a sessão da SD já tem; é seguro
porque o gunicorn roda com -w 1. APP_USUARIO/APP_SENHA seguem a convenção do
Dockerfile: default lá, compose só espelha.

O Sair encerra a sessão do navegador sem descartar a SD em memória — é a mesma
máquina, o mesmo processo. E o teste_e2e faz login uma vez no test client,
senão todo request dele voltaria 302.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

Dockerfile

@@ -39,6 +39,13 @@ FROM python:3.13-slim
 #   TZ                  fuso do carimbo de exportação
 #   GUNICORN_TIMEOUT    segundos por request (upload + análise da SD)
 #   GUNICORN_LOG_LEVEL  debug | info | warning | error
+#   APP_USUARIO         e-mail da credencial única da tela de login
+#   APP_SENHA           senha dessa credencial
+#   SECRET_KEY          assina o cookie de sessão — SEM default aqui de
+#                       propósito: chave fixa assada na imagem é pior que
+#                       nenhuma (vale para toda cópia dela). Sem a variável, o
+#                       servidor.py sorteia uma por processo e o login cai a
+#                       cada restart; cadastre no Coolify para o login durar.
 ENV PYTHONUNBUFFERED=1 \
     PYTHONDONTWRITEBYTECODE=1 \
     LANG=C.UTF-8 \
@@ -46,7 +53,9 @@ ENV PYTHONUNBUFFERED=1 \
     PORT=5000 \
     TZ=America/Sao_Paulo \
     GUNICORN_TIMEOUT=120 \
-    GUNICORN_LOG_LEVEL=info
+    GUNICORN_LOG_LEVEL=info \
+    APP_USUARIO=admin@iasis.com.br \
+    APP_SENHA=admin123
 
 WORKDIR /app