fix(security): corrige achados da varredura — render, brute-force, upload, WYSIWYG, cookie, sessões

1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida);
   decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413
   real ao cliente em todos os endpoints JSON)
2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto
   reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP
3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do
   parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile
4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data:
   (case/whitespace-insensível); link legítimo preservado
5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE)
   — X-Forwarded-Proto é spoofável; documentado em .env.example e compose
6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d,
   revogação no logout e no restart); token mestre só vale via Bearer —
   furo pego pelo próprio teste novo (token no cookie era aceito)
   Testes: rate-limit, revogação, canais separados, render 413, upload cap
   sw v16

internal/store/files.go

@@ -23,6 +23,10 @@ import (
 // MaxFileBytes limita o tamanho de cada anexo (64 MiB).
 const MaxFileBytes = 64 << 20
 
+// MaxFilesTotalBytes limita o total de anexos (2 GiB). Sem quota agregada,
+// uploads concorrentes (1000 × 64 MiB) esgotam o disco do host.
+const MaxFilesTotalBytes = 2048 << 20
+
 // Folder é um nó da árvore de pastas (parent "" = raiz).
 type Folder struct {
 	ID        string    `json:"id"`
@@ -362,6 +366,9 @@ func (s *Store) AddFile(name, folder, note string, r io.Reader) (*FileMeta, erro
 	if size > MaxFileBytes {
 		return fail(fmt.Errorf("%w: arquivo excede %d MiB", ErrTooLarge, MaxFileBytes>>20))
 	}
+	if total := s.totalFileBytesLocked(); size+total > MaxFilesTotalBytes {
+		return fail(fmt.Errorf("%w: total de anexos excede %d GiB", ErrTooLarge, MaxFilesTotalBytes>>30))
+	}
 	if err := f.Close(); err != nil {
 		os.Remove(tmp)
 		return nil, err
@@ -385,6 +392,15 @@ func (s *Store) AddFile(name, folder, note string, r io.Reader) (*FileMeta, erro
 	return &meta, nil
 }
 
+// totalFileBytesLocked soma o tamanho dos anexos; requer lock de escrita.
+func (s *Store) totalFileBytesLocked() int64 {
+	var total int64
+	for i := range s.fileMetas {
+		total += s.fileMetas[i].Size
+	}
+	return total
+}
+
 // Files devolve todos os metadados (ordenados por data desc).
 func (s *Store) Files() []FileMeta {
 	s.mu.RLock()