# Checklist post-deploy

- [ ] `APP_ENV=production`, `APP_DEBUG=false`, URL e timezone corretti.
- [ ] HTTPS valido; HTTP reindirizzato; cookie `Secure`, `HttpOnly`, `SameSite`.
- [ ] `/.env`, `/vendor`, `/storage/logs` e directory listing non accessibili.
- [ ] Home, login, logout e reset password funzionanti.
- [ ] Coach e atleta vedono solo menu e dati autorizzati.
- [ ] Dashboard, profilo, esercizi, schede, calendario e sessioni caricati.
- [ ] YouTube, Vimeo, Instagram, TikTok, MP4 e fallback verificati nel browser.
- [ ] Diario, nutrizione, progressi, fotografie, notifiche, report e impostazioni verificati.
- [ ] Upload copertina e fotografia; PHP non eseguibile nello storage.
- [ ] Fotografie private non accessibili senza sessione.
- [ ] E-mail reale ricevuta; SPF/DKIM/DMARC controllati.
- [ ] `php artisan schedule:list` corretto; cron eseguito e log aggiornato.
- [ ] Backup creato, scaricato off-site e verificato con `--deep`.
- [ ] PWA installabile via HTTPS; funzionamento ordinario senza permesso notifiche.
- [ ] Asset e manifest funzionanti su dominio o sottocartella prevista.
- [ ] Nessun errore 5xx o dato sensibile nei log.
- [ ] Cache configurazione, route e view generate.
- [ ] Test responsive su mobile, tablet e desktop.
- [ ] Script installer, token, archivi release e file temporanei rimossi dal web.
- [ ] Revisione legale privacy/termini completata prima dell’apertura al pubblico.
- [ ] Non conformità messaggistica registrata e accettata.