Tela de login: credencial única, sem banco

Toda rota passa por um before_request que redireciona para /login quem não
tem sessão — inclusive os POSTs, então /exportar e /salvar-sd sem cookie não
chegam ao handler. Ficam de fora só a própria entrada e /static (a tela de
login precisa da folha de estilo).

Credencial única em constante (admin@iasis.com.br / admin123), comparada com
compare_digest nos dois campos e com a mesma mensagem para usuário errado e
senha errada — dizer qual dos dois falhou entrega metade da credencial. Sem
banco, sem cadastro e sem recuperação de senha: a app é ferramenta interna de
uso individual, e isto existe para o upload e o writeback não ficarem abertos
a quem alcançar a porta quando ela roda hospedada.

SECRET_KEY não tem default assado na imagem — chave fixa numa imagem vale para
toda cópia dela. Sem a variável, o servidor sorteia uma por processo e o login
cai a cada restart, que é a mesma vida útil que a sessão da SD já tem; é seguro
porque o gunicorn roda com -w 1. APP_USUARIO/APP_SENHA seguem a convenção do
Dockerfile: default lá, compose só espelha.

O Sair encerra a sessão do navegador sem descartar a SD em memória — é a mesma
máquina, o mesmo processo. E o teste_e2e faz login uma vez no test client,
senão todo request dele voltaria 302.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

app/static/app.css

@@ -129,6 +129,11 @@ header h1 {
 }
 .cabecalho { display: flex; justify-content: space-between; align-items: center;
              gap: 1rem; margin-bottom: 0.75rem; }
+/* Tema e Sair juntos à direita do título; o form do Sair não pode empurrar
+   layout, por isso margem zero. */
+.acoes-cabecalho { display: flex; align-items: center; gap: 0.3rem; flex: none; }
+.acoes-cabecalho form { margin: 0; }
+
 #alternar-tema {
   font-size: 1.05rem; line-height: 1; padding: 0.35rem 0.65rem; flex: none;
   border-radius: 999px;
@@ -239,16 +244,19 @@ ol.checklist li { margin-bottom: 0.2rem; }
 label { display: block; margin-bottom: 0.7rem; font-size: 0.82rem; color: var(--fraco); font-weight: 500; }
 label.radio { display: inline-flex; align-items: center; gap: 0.35rem; margin-right: 1rem;
               color: var(--tinta); font-size: 0.82rem; font-weight: 400; }
-input[type=text], input:not([type]), select, textarea {
+input[type=text], input[type=email], input[type=password], input:not([type]),
+select, textarea {
   display: block; width: 100%; margin-top: 0.3rem; padding: 0.5rem 0.6rem;
   border: 1px solid var(--linha); border-radius: 7px; font: inherit;
   font-size: 0.88rem; color: var(--tinta); background: var(--papel);
   transition: border-color 0.15s ease, box-shadow 0.15s ease;
 }
-input[type=text]:hover, input:not([type]):hover, select:hover, textarea:hover {
+input[type=text]:hover, input[type=email]:hover, input[type=password]:hover,
+input:not([type]):hover, select:hover, textarea:hover {
   border-color: var(--fraco);
 }
-input[type=text]:focus, input:not([type]):focus, select:focus, textarea:focus {
+input[type=text]:focus, input[type=email]:focus, input[type=password]:focus,
+input:not([type]):focus, select:focus, textarea:focus {
   border-color: var(--foco);
   outline: 2px solid var(--foco); outline-offset: 1px;
 }
@@ -356,3 +364,9 @@ table.entregaveis th { font-size: 0.7rem; text-transform: uppercase; letter-spac
                        color: var(--fraco); font-weight: 600; }
 table.entregaveis td.num { font-family: var(--fonte-mono); font-size: 0.78rem;
                            font-variant-numeric: tabular-nums; white-space: nowrap; }
+
+/* Tela de entrada. Um cartão estreito e centralizado: a largura útil do resto
+   da app deixaria dois campos soltos no meio de uma faixa vazia. */
+.cartao.entrada { max-width: 26rem; margin-left: auto; margin-right: auto; }
+.cartao.entrada .acoes { margin-top: 1.1rem; }
+.cartao.entrada button.primario { width: 100%; text-align: center; }