fix(security): corrige achados da varredura — render, brute-force, upload, WYSIWYG, cookie, sessões

1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida);
   decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413
   real ao cliente em todos os endpoints JSON)
2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto
   reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP
3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do
   parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile
4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data:
   (case/whitespace-insensível); link legítimo preservado
5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE)
   — X-Forwarded-Proto é spoofável; documentado em .env.example e compose
6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d,
   revogação no logout e no restart); token mestre só vale via Bearer —
   furo pego pelo próprio teste novo (token no cookie era aceito)
   Testes: rate-limit, revogação, canais separados, render 413, upload cap
   sw v16

cmd/notas/main.go

@@ -40,13 +40,16 @@ func run() error {
 		return errors.New("NOTES_TOKEN não definido — defina o token de acesso " +
 			"(ex.: NOTES_TOKEN=$(openssl rand -hex 24) docker compose up -d)")
 	}
+	// Secure no cookie só é decidido por configuração explícita: X-Forwarded-Proto
+	// do cliente é spoofável. Ative quando o acesso é sempre por HTTPS (proxy).
+	secureCookie := envOr("NOTES_SECURE_COOKIE", "") == "true"
 
 	st, err := store.New(*dataDir)
 	if err != nil {
 		return err
 	}
 
-	handler := api.New(st, token, web.FS).Handler()
+	handler := api.New(st, token, web.FS, api.Options{SecureCookie: secureCookie}).Handler()
 	srv := &http.Server{
 		Addr:              *addr,
 		Handler:           handler,