Assinatura digital Ed25519 de manifestos, relatórios e recuperações

guara sign keygen, file, verify e recovery. Com chave configurada, recover e report
assinam sozinhos o manifesto e o relatório. A assinatura cobre hash, tamanho, nome, hora e
assinante e é Ed25519 comum (conferida com o openssl). A conferência de uma pasta de
recuperação refaz o hash de cada arquivo contra o manifesto e não deixa o manifesto apontar
para fora da pasta. A hora é a do relógio local, sem carimbo de terceiros (RFC 3161).

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

crates/guara-core/src/service.rs

@@ -706,6 +706,7 @@ impl Engine {
             crate::report::html(&input).into_bytes()
         };
         crate::owner::write_owned(Path::new(path), bytes)?;
+        crate::sign::sign_if_configured(Path::new(path));
         crate::audit::record(
             "export.report",
             json!({ "job": id, "source": j.target, "path": path, "case": case.case_id, "examiner": case.examiner }),