fix(ci): ad-hoc sign DMG for macOS Tahoe compatibility

- Add codesign step after tauri-action: signs .app, repacks DMG,
  re-uploads with --clobber so users get a signed bundle
- Update README with correct install instructions for Tahoe (16.x):
  both xattr -cr and codesign needed without this CI fix
- Fix release notes: replace wrong "tasto destro → Apri" with
  actual Terminal commands

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Author: ZonatedCord

.github/workflows/release.yml

@@ -68,9 +68,37 @@ jobs:
             ### Nota
             Le funzionalità di scansione (OSM/Google/Foursquare), verifica siti e arricchimento Facebook richiedono il worker Python locale. Vedi README per istruzioni.
 
-            ### Installazione
+            ### Installazione (Apple Silicon — M1/M2/M3/M4)
             1. Scarica `Morpheus_${{ github.ref_name }}_aarch64.dmg`
             2. Apri il DMG e trascina Morpheus in Applicazioni
-            3. Al primo avvio: tasto destro → Apri (app non firmata)
+            3. Se macOS dice **"danneggiata"**, apri Terminal e incolla:
+            ```
+            xattr -cr /Applications/Morpheus.app
+            codesign --force --deep --sign - /Applications/Morpheus.app
+            ```
+            Poi riapri normalmente. Necessari entrambi i comandi su macOS Tahoe (16.x).
           releaseDraft: false
           prerelease: false
+
+      - name: Ad-hoc sign app and repackage DMG
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+        run: |
+          APP="src-tauri/target/release/bundle/macos/Morpheus.app"
+          DMG=$(ls src-tauri/target/release/bundle/dmg/*.dmg | head -1)
+
+          # Ad-hoc sign the .app bundle
+          codesign --force --deep --sign - "$APP"
+
+          # Replace .app in DMG with signed version and repack
+          hdiutil convert "$DMG" -format UDRW -o /tmp/rw.dmg
+          hdiutil attach /tmp/rw.dmg -mountpoint /tmp/morphvol -nobrowse -quiet
+          rm -rf "/tmp/morphvol/Morpheus.app"
+          cp -r "$APP" "/tmp/morphvol/Morpheus.app"
+          hdiutil detach /tmp/morphvol -quiet
+          rm "$DMG"
+          hdiutil convert /tmp/rw.dmg -format UDZO -o "$DMG"
+          rm /tmp/rw.dmg
+
+          # Re-upload signed DMG to release (overwrites unsigned)
+          gh release upload "${{ github.ref_name }}" "$DMG" --clobber

README.md

@@ -16,6 +16,35 @@ App desktop nativa macOS per lead generation iperlocale. Raccoglie attività com
 
 ---
 
+## Download e installazione
+
+**Requisiti:** Mac con Apple Silicon (M1/M2/M3/M4) · macOS 12 Monterey o superiore
+
+> ⚠️ Intel Mac non supportato in questa versione. Supporto Intel in arrivo.
+
+1. Scarica `Morpheus_vX.X.X_aarch64.dmg` dalla [pagina Releases](https://github.com/ZonatedCord/Morpheus/releases/latest)
+2. Apri il DMG e trascina **Morpheus** in **Applicazioni**
+3. Prova ad aprire l'app
+
+### macOS dice "danneggiata" o "non può essere aperta"
+
+L'app non è ancora firmata con certificato Apple. macOS blocca le app non firmate scaricate da internet.
+
+**Fix — apri Terminal e incolla questi due comandi:**
+
+```bash
+xattr -cr /Applications/Morpheus.app
+codesign --force --deep --sign - /Applications/Morpheus.app
+```
+
+Poi riapri Morpheus normalmente.
+
+> ⚠️ **macOS Tahoe (16.x):** il solo primo comando non basta. Servono entrambi.
+>
+> Questo errore scomparirà nella versione futura con firma Apple (Apple Developer Program).
+
+---
+
 ## Screenshot
 
 ![Morpheus Desktop](assets/screenshot.png)