feat(R4b): reproducible builds — pin requirements.lock checksum

- Dockerfile: build-arg REQUIREMENTS_CHECKSUM verifica lo sha256 del
  lockfile (fallisce la build se non coincide; vuoto = skip locale)
- docker-compose.yml: default = hash corrente del lock
- CI: nuovo job checksum.yml che fallisce se il pin non coincide
- Fix YAML preesistente in ci.yml (name: con ':' non quotati)
- Docs: README, .env.example, review aggiornati

.env.example

@@ -11,3 +11,10 @@ BOOKISH_CLEANUP_HOURS=1
 
 # RATE LIMIT upload per IP/ora (0 = disabilitato, default 20)
 #BOOKISH_RATE_LIMIT_UPLOAD=20
+
+# BUILD REPRODUCIBILE (R4b): sha256 di requirements.lock. Il default in
+# docker-compose.yml è già il pin corrente; in dev sovrascrivi con:
+#   REQUIREMENTS_CHECKSUM=""  → skippa il check in build locale
+# quando aggiorni le dipendenze (pip-compile) aggiorna anche il pin:
+#   sed -i "s/[a-f0-9]\{64\}/$(sha256sum requirements.lock | awk '{print $1}')/" docker-compose.yml
+#REQUIREMENTS_CHECKSUM=d13e4fb14a909e0bd06d20894860152d5334aa341dd9dec2e5e4ca368a0d2a62