security: rate limit no login, cookies Secure condicional, security headers e deps com CVE

- app/rate_limit.py: bloqueia por IP após 5 tentativas de senha erradas
  em 5 minutos em POST /login (rota pré-autenticação, hoje sem nenhuma
  proteção contra força bruta).
- Cookie de sessão (routers/auth.py) e cookie CSRF (main.py) passam a
  sair com Secure quando a requisição chega em HTTPS (request.url.scheme)
  — hoje é sempre False porque produção ainda serve HTTP puro, mas o
  cookie passa a ficar protegido automaticamente assim que um TLS for
  colocado na frente, sem precisar editar isso de novo.
- main.py: novo middleware de security headers (X-Content-Type-Options,
  X-Frame-Options: DENY, Referrer-Policy, Content-Security-Policy,
  Strict-Transport-Security condicional a HTTPS).
- requirements.txt: fastapi 0.115.0 -> 0.115.6 (starlette >=0.40.0,
  corrige DoS por memória não limitada ao parsear multipart/form-data —
  GHSA-f96h-pmfr-66vw), python-multipart 0.0.9 -> 0.0.20 (várias
  vulnerabilidades de DoS corrigidas), jinja2 3.1.4 -> 3.1.6 (escapes de
  sandbox). httpx/uvicorn/PyMySQL já estavam em versões sem CVE
  conhecida — conferido via osv.dev.
- Dockerfile: container não roda mais como root.

Suíte completa (181 testes) passando, incluindo testes novos para o
rate limiter (unitários + integração via POST /login) e smoke test
manual confirmando headers, fluxo de login com CSRF e o bloqueio por
força bruta.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/main.py

@@ -45,11 +45,50 @@ async def csrf_cookie_middleware(request: Request, call_next):
 
     if precisa_definir_cookie:
         response.set_cookie(
-            CSRF_COOKIE_NAME, request.state.csrf_token, httponly=True, samesite="strict"
+            CSRF_COOKIE_NAME, request.state.csrf_token, httponly=True, samesite="strict",
+            # Secure só quando a requisição já chegou em HTTPS — ver o
+            # comentário equivalente em app/routers/auth.py sobre o
+            # cookie de sessão (mesma razão, mesmo cuidado com proxy).
+            secure=request.url.scheme == "https",
         )
     return response
 
 
+@app.middleware("http")
+async def security_headers_middleware(request: Request, call_next):
+    """
+    Cabeçalhos de resposta que não dependem de nenhuma lógica de negócio,
+    só reduzem a superfície de ataque do navegador: impedem o painel de
+    ser carregado dentro de um <iframe> de outro site (clickjacking),
+    impedem o navegador de tentar "adivinhar" um Content-Type diferente
+    do declarado, e restringem de onde a página pode carregar recursos.
+
+    CSP liberado para 'self' e 'unsafe-inline': os templates usam <script>
+    inline (tema, sidebar, máscaras do formulário de cliente) sem nonce, e
+    não carregam nada de CDN externo — então 'unsafe-inline' aqui não abre
+    mão de proteção nenhuma que já não estivesse ausente antes (o objetivo
+    desta CSP é bloquear script/estilo/frame de origem EXTERNA, o vetor
+    mais comum de um XSS injetado virar efeito prático, ex.: exfiltrar
+    cookie pra outro domínio ou carregar um script de terceiro).
+    """
+    response = await call_next(request)
+    response.headers["X-Content-Type-Options"] = "nosniff"
+    response.headers["X-Frame-Options"] = "DENY"
+    response.headers["Referrer-Policy"] = "same-origin"
+    response.headers["Content-Security-Policy"] = (
+        "default-src 'self'; "
+        "script-src 'self' 'unsafe-inline'; "
+        "style-src 'self' 'unsafe-inline'; "
+        "img-src 'self' data:; "
+        "frame-ancestors 'none'; "
+        "base-uri 'self'; "
+        "form-action 'self'"
+    )
+    if request.url.scheme == "https":
+        response.headers["Strict-Transport-Security"] = "max-age=31536000; includeSubDomains"
+    return response
+
+
 @app.middleware("http")
 async def carregar_usuario_middleware(request: Request, call_next):
     """