Merge branch 'dev' into feat/openapi-contrat

Complète le contrat OpenAPI de GET /sites et GET /sites/{site_id} (merges depuis dev via #78) :
tag sites décrit, REPONSES_LECTEUR (401 + 403 mot de passe provisoire) posée au niveau du
routeur, 404 et 422 documentés sur la route detail. openapi.json régénéré.

apps/backend/app/api/openapi.py

@@ -50,6 +50,10 @@ TAGS: Final[list[dict[str, Any]]] = [
         "name": "users",
         "description": "Administration des comptes. Réservé au rôle `admin`.",
     },
+    {
+        "name": "sites",
+        "description": "Consultation du parc de sites. Accessible à partir du rôle `lecteur`.",
+    },
 ]
 
 cookie_de_rafraichissement = APIKeyCookie(
@@ -113,6 +117,18 @@ REPONSES_ADMIN: Final[Reponses] = {
     },
 }
 
+# `lecteur` est le rôle minimum : `require_role` n'y refuse jamais un 403 pour droits
+# insuffisants, seulement pour le mot de passe provisoire.
+REPONSES_LECTEUR: Final[Reponses] = {
+    **REPONSES_AUTHENTIFIEES,
+    403: {
+        "model": ErrorResponse,
+        "description": (
+            "Mot de passe provisoire à changer (`detail` vaut `password_change_required`)."
+        ),
+    },
+}
+
 REPONSE_ORIGINE_REFUSEE: Final[Reponses] = {
     403: {
         "model": ErrorResponse,