[DEMO] Collaudo E2E lato NIS2 PASS (0 difetti, 5 dimensioni) — pronti per giro avatar-in-the-loop

Via sottodominio: integrità proxy (md5 parity, 17 viste+7 asset 200), auto-auth (read 200/write 403,
tenant isolation, spoof org ignorato), manifest 10 step 21/21 selettori presenti, endpoint codici attesi,
asset demo gated. Auth reale intatta. Workflow collaudo wf_c473580d-ec3.

docs/OUTGOING_TO_AGILEHUB_2026_06_13_demo_avatar_nis2_product_ready.md

@@ -40,4 +40,12 @@
 ## Commit di riferimento (pushati su Gitea, branch main)
 `e04eba6` guard+seeder · `6900d94` resetDataset · `be29895` banca esercizi · `d16fdd2` frontend demo · `d6d6188` manifest · (mappe+tassonomia `4dfab2a`).
 
-**Quando volete, accendiamo la persona e facciamo il giro coordinato + collaudo.** Da NIS2 è tutto pronto e live.
+## COLLAUDO E2E lato NIS2 — PASS (2026-06-13, 0 difetti)
+Eseguito via sottodominio `nis2.dimostrazione.agile.software`, 5 dimensioni avversariali:
+- **Integrità proxy**: 17 viste + 7 asset path-assoluto 200; md5 byte-identico proxy↔backend; nessun leak cross-dominio.
+- **Auto-auth + read-only**: read 200 (score 75, 6 rischi, 1 incidente Art.23, 5 asset rilevanti), write **403 DEMO_READ_ONLY**; spoofing `X-Organization-Id=129` ignorato (resta 996001); auth reale intatta (401 senza token).
+- **Manifest + 10 step**: 10/10 step, **21/21 selettori highlight presenti** nella pagina servita (0 mancanti, "mai una schermata sbagliata"); `navigate==highlight` su tutti.
+- **Endpoint /api/demo/***: codici attesi; `reset-dataset` 401 senza/with chiave bogus (no bypass).
+- **Asset demo + gating**: demo.css/demo-mode.js/demo-selectors.js 200; iniezione solo con `?demo=` (HTML byte-identico senza); HMAC_ENFORCE=false + allowlist origin enforced.
+
+**Quando volete, accendiamo la persona e facciamo il giro coordinato (avatar-in-the-loop).** Da NIS2 è tutto pronto, live e **collaudato**.