[FEAT] Vocea whistleblowing — scaffold integrazione (dormiente) + handoff AgileHub

Scaffold per sostituire il modulo whistleblowing interno (plaintext) con Vocea
(nexus-whistleblowing-ms), prodotto zero-knowledge della suite. Modalita C
(integrazione verticale, nessuna crypto re-implementata). DORMIENTE: VOCEA_ENABLED
=false di default -> zero impatto sul modulo legacy.

- docs/sql/063_vocea_channel.sql + application/cli/migrate_063_vocea_channel.php
  (idempotente): organizations += vocea_tenant_slug/channel_status/enrolled_at.
  NON ancora applicata al DB.
- application/services/VoceaService.php (nuovo): client API integratori (X-API-Key
  su api.vocea.cloud) per submit/status/reports/keyholders + portalUrl (embed
  wb-link.js). Guard enabled()/isEnabledForOrg(): se OFF/non provisioned ritorna
  DISABLED/NOT_PROVISIONED senza chiamate di rete.
- config.php: costanti VOCEA_ENABLED/BASE_URL/API_KEY/PORTAL_URL (default off).
- WhistleblowingController: branch dormiente in list() (delega a Vocea se attivo) +
  endpoint GET channelStatus + helper voceaOrg/listViaVocea. Modulo legacy invariato.
- public/index.php: route GET:channelStatus.
- docs handoff: richiesta a VIGILE (OUTGOING) + risposta VIGILE (INCOMING).

Attivazione a MS live: applicare migrate_063 + VOCEA_ENABLED=true + VOCEA_API_KEY
(vault tier1__nis2-agile__vocea__*) + slug canale su organizations.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

application/config/config.php

@@ -103,6 +103,18 @@ define('ANTHROPIC_API_KEY', Env::get('ANTHROPIC_API_KEY', ''));
 define('ANTHROPIC_MODEL', Env::get('ANTHROPIC_MODEL', 'claude-sonnet-4-5-20250929'));
 define('ANTHROPIC_MAX_TOKENS', Env::int('ANTHROPIC_MAX_TOKENS', 4096));
 
+// ═══════════════════════════════════════════════════════════════════════════
+// VOCEA (Whistleblowing zero-knowledge — integrazione, DISABILITATA di default)
+// ═══════════════════════════════════════════════════════════════════════════
+// SCAFFOLD DORMIENTE: con VOCEA_ENABLED=false (default) VoceaService non effettua
+// nessuna chiamata di rete. Attivazione a MS live: applicare migrate_063 +
+// VOCEA_ENABLED=true + VOCEA_API_KEY (vault tier1__nis2-agile__vocea__*) +
+// slug del canale su organizations.vocea_tenant_slug (status='active').
+define('VOCEA_ENABLED',    filter_var(Env::get('VOCEA_ENABLED', 'false'), FILTER_VALIDATE_BOOLEAN));
+define('VOCEA_BASE_URL',   Env::get('VOCEA_BASE_URL',   'https://api.vocea.cloud/api/wb/v1')); // API integratori (X-API-Key)
+define('VOCEA_API_KEY',    Env::get('VOCEA_API_KEY',    ''));                                  // wbk_... per-tenant (da vault)
+define('VOCEA_PORTAL_URL', Env::get('VOCEA_PORTAL_URL', 'https://app.vocea.cloud'));           // portale embed via wb-link.js
+
 // ═══════════════════════════════════════════════════════════════════════════
 // CERTISOURCE (atti-service.php)
 // ═══════════════════════════════════════════════════════════════════════════