fix(ci,docs): lève les points de revue du SAST et de la vue CI/CD

ML-START.md affirmait que l'orchestration Airflow n'existait pas : `ml_score`
tourne en `@hourly` depuis l'issue #115, seuls le mode `--csv` et un lancement
local restent manuels.

50-cicd.md : Dependabot compte six entrées sur cinq écosystèmes et non cinq
entrées, le filtre d'`airflow.yml` couvre aussi `apps/backend/` depuis le DAG
`alertes`, et les issues #21 (job de déploiement) et #22 (secrets) sont
distinguées au lieu d'être citées l'une pour l'autre. Le `continue-on-error` du
second passage Bandit est nommé pour ce qu'il est : le job reste vert même avec
un constat LOW.

Bandit est épinglé à 1.9.4 dans les deux jobs `sast` : sans épingle, une
nouvelle version passe la CI au rouge sans qu'une ligne du dépôt ait changé, et
le rejeu à l'identique documenté n'existe pas. Le `cache-dependency-glob` part :
`uvx` n'installe pas le projet, le verrou n'alimentait aucune clé de cache.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.github/workflows/backend.yml

@@ -152,18 +152,17 @@ jobs:
       - name: Récupère le dépôt
         uses: actions/checkout@v4
 
+      # Pourquoi : pas de cache ici. uvx n'installe pas le projet, le verrou n'alimente donc
+      # aucune clé de cache ; la seule roue téléchargée est celle de Bandit.
       - name: Installe uv
         uses: astral-sh/setup-uv@v5
-        with:
-          enable-cache: true
-          cache-dependency-glob: apps/backend/uv.lock
 
       # Pourquoi : le périmètre est `app`, le code livré. Les tests emploient légitimement des
       # secrets factices et des `assert` que Bandit signalerait sans qu'aucun n'atteigne la prod.
       - name: Analyse le code livré (bloquant à partir de MEDIUM)
-        run: uvx bandit --recursive app --severity-level medium --confidence-level medium
+        run: uvx bandit==1.9.4 --recursive app --severity-level medium --confidence-level medium
 
       # Piège : sans cette seconde passe, un constat LOW disparaîtrait du journal sans trace.
       - name: Rapport complet, tous niveaux
         continue-on-error: true
-        run: uvx bandit --recursive app
+        run: uvx bandit==1.9.4 --recursive app

.github/workflows/ml.yml

@@ -69,15 +69,14 @@ jobs:
       - name: Récupère le dépôt
         uses: actions/checkout@v4
 
+      # Pourquoi : pas de cache ici. uvx n'installe pas le projet, le verrou n'alimente donc
+      # aucune clé de cache ; la seule roue téléchargée est celle de Bandit.
       - name: Installe uv
         uses: astral-sh/setup-uv@v5
-        with:
-          enable-cache: true
-          cache-dependency-glob: ml/uv.lock
 
       - name: Analyse le code livré (bloquant à partir de MEDIUM)
-        run: uvx bandit --recursive enervision_ml --severity-level medium --confidence-level medium
+        run: uvx bandit==1.9.4 --recursive enervision_ml --severity-level medium --confidence-level medium
 
       - name: Rapport complet, tous niveaux
         continue-on-error: true
-        run: uvx bandit --recursive enervision_ml
+        run: uvx bandit==1.9.4 --recursive enervision_ml