docs: acte les décisions d'authentification et met à jour les vues

Trois ADR : le jeton d'accès et le rafraîchissement opaque, le RBAC avec
relecture du compte à chaque requête, et le journal d'audit en ajout
seul. Chacun porte ses alternatives écartées et son critère de bascule,
notamment celui vers OIDC.

`31-contrat-authentification.md` est destiné au frontend : endpoints,
codes d'erreur à traiter, et les quatre règles qui comptent. La
troisième, un seul rafraîchissement en vol, est une exigence et non une
optimisation : cinq rotations concurrentes seraient lues comme un rejeu
et révoqueraient la session à chaque chargement de page.

`owasp-traceabilite.md` remplace la revendication « couverture OWASP Top
10 et API Top 10 » de la NFR4, qui n'a pas de réponse honnête sur vingt
items en deux semaines. Un contrôle par ligne, l'item adressé, et une
section qui dit ce qui reste ouvert : portée par site, bornage des
lectures de séries, transport, et la consommation de l'API Mock.

Les vues 00, 20 et 40 suivent, comme l'impose leur propre règle de
maintenance. La question ouverte « quel mécanisme d'authentification »
est fermée ; trois autres la remplacent, dont la portée par site.

docs/architecture/README.md

@@ -12,12 +12,17 @@ contredisent, c'est l'ADR qui fait foi et la vue qui est en retard.
 | [10-infra.md](10-infra.md) | Poste de développement, cible k3s, décisions figées, ports et noms |
 | [20-backend.md](20-backend.md) | Couches FastAPI, séquence de démarrage, routes, configuration |
 | [30-frontend.md](30-frontend.md) | Angular, arborescence cible, flux HTTP |
+| [31-contrat-authentification.md](31-contrat-authentification.md) | Ce que le frontend doit savoir pour coder la connexion |
 | [40-data.md](40-data.md) | Frontières `db/` et `alembic/`, cycle de vie d'une mesure, modèle |
 
-L'observabilité, la sécurité et la CI/CD n'ont pas de document propre : ce sont des sections des
-cinq ci-dessus, tant que `monitoring/`, `.github/workflows/` et `etl/airflow/` ne contiennent que
-des `.gitkeep`. Elles en sortiront le jour où elles auront de la matière. Un fichier vide de plus
-n'aide personne.
+L'observabilité et la CI/CD n'ont pas de document propre : ce sont des sections des documents
+ci-dessus, tant que `monitoring/` et `etl/airflow/` ne contiennent que des `.gitkeep`. Elles en
+sortiront le jour où elles auront de la matière. Un fichier vide de plus n'aide personne.
+
+La sécurité applicative, elle, a désormais de la matière : la vue consolidée reste dans
+[00-vue-ensemble.md](00-vue-ensemble.md), le détail dans [20-backend.md](20-backend.md), la
+traçabilité OWASP dans [owasp-traceabilite.md](owasp-traceabilite.md), et les décisions dans les
+ADR 0002 à 0004.
 
 ## Conventions