feat(altcha): zapal captchę zgłoszeń publikacji (ZGLOS_CAPTCHA_ENABLED)

[mpasternak]

Problem

PR #19 dołożył auto-generację ALTCHA_HMAC_KEY, ale sama captcha pozostawała wyłączona:
ZGLOS_CAPTCHA_ENABLED nie było ustawiane nigdzie (na main występuje wyłącznie w
komentarzu). Klucz czekał w .env, flagi nie było — więc na żadnej instalacji, w tym na
staging, widget ALTCHA się nie pojawiał.

Rozwiązanie

Flaga dopisywana zaraz po kluczu, w tym samym self-healu w ensure-config-files.sh:

_ensure_secret ALTCHA_HMAC_KEY "$(openssl rand -hex 32)"
_ensure_var ZGLOS_CAPTCHA_ENABLED "1" "..."

Dwie rzeczy, które są tu load-bearing:

1. Kolejność. Gdy flaga się zapala, realny klucz już jest w .env. Captcha z
   nieustawionym kluczem byłaby bezwartościowa — Django bierze wtedy publiczny
   sentinel-placeholder, więc wyzwanie da się podrobić (zglos_publikacje.W001).
2. Brak sprzężenia z generacją klucza. Flaga dopisuje się niezależnie od tego, czy
   klucz powstał właśnie teraz. Sprzężenie („ustaw flagę, gdy generujesz klucz") nie
   zapaliłoby captchy dokładnie tam, gdzie ma się pojawić: instalacje, które od PR feat(deploy): auto-generacja ALTCHA_HMAC_KEY (captcha zgłoszeń, bpp #560) #19
   dostały sam klucz, mają go już w .env, więc warunek „brak klucza" nigdy by nie
   zaskoczył. To najliczniejszy przypadek w praktyce — m.in. staging.

Jedno miejsce wystarcza także dla świeżych instalacji: init-configs.sh woła
ensure-config-files.sh pod spodem, więc nie duplikuję zmiennych w heredocu .env.
Compose bez zmian — env_file przekazuje .env w całości.

⚠️ Zmiana domyślnego zachowania

To zapala captchę domyślnie na wszystkich instalacjach po git pull && make up
(dotąd zakładano default OFF + świadome włączenie przez operatora).
Opt-out: ZGLOS_CAPTCHA_ENABLED=0 — _ensure_var nie nadpisuje niepustych wartości,
więc wybór przeżywa upgrade'y. Samo usunięcie linii nie wystarczy.

Testy

+10 asercji w tests/test_makefile.sh (odpalane w CI):

• świeży .env przez make init-configs → klucz 64-hex + flaga,
• self-heal starego .env (sprzed captchy) → oba dopisane,
• .env z samym kluczem, bez flagi (staging) → flaga dopisana, klucz nietknięty,
• klucz stabilny między przebiegami (brak rotacji) i bez duplikatu linii,
• ZGLOS_CAPTCHA_ENABLED=0 nienaruszone.

bash tests/test_makefile.sh → 143 passed, 1 failed. Jedyna porażka —
nginx -t (LE mode, fallback manual) — pada identycznie na czystym main;
pre-existing, niezwiązana z tą zmianą. mkdocs build --strict → OK.

Weryfikacja end-to-end: wygenerowany .env przechodzi validate-env-quotes, a
django-environ parsuje 1→True, 0→False.

Wdrożenie

Wymaga obrazu BPP ≥ 202607.1398 (kod ALTCHA jest na dev i release/v202607.1398,
czyli w RC na :staging; na :latest trafi po make release-promote). Na starszym
obrazie obie zmienne są nieszkodliwe — Django ich nie czyta.

🤖 Generated with Claude Code

https://claude.ai/code/session_01Gf8VQNqJ3yy5S1A5SrP1qb