fix(ml): applique les corrections de la review MLflow (securite, documentation, robustesse)

ml/Dockerfile

@@ -1,4 +1,4 @@
-FROM python:3.12-slim
+FROM python:3.14-slim
 RUN pip install --no-cache-dir --only-binary :all: mlflow==3.16.1 psycopg2-binary==2.9.10
 RUN useradd --create-home --uid 1000 mlflow \
     && mkdir /mlartifacts \

ml/README.md

@@ -62,17 +62,21 @@ lags/moyennes glissantes, une fuite qui masquerait un surapprentissage.
 Premiere utilisation : copier `.env.example` en `.env` et y choisir un mot de passe PostgreSQL
 (lettres et chiffres uniquement). Le fichier `.env` est ignore par git.
 
-```
-Copy-Item .env.example .env
+```bash
+cp .env.example .env
 ```
 
 Un serveur MLflow (PostgreSQL pour les metadonnees, volume pour les artefacts) se lance avec
 Docker. Prerequis : Docker Desktop demarre.
 
+```bash
+make mlflow-up
 ```
-cd ml
-docker compose -f docker-compose.mlflow.yml up -d --build
-```
+
+La cible vérifie que `MLFLOW_DB_PASSWORD` (définie dans `ml/.env`) ne contient que des lettres et
+des chiffres avant de démarrer le serveur : ce mot de passe est interpolé directement dans l'URI
+PostgreSQL (`postgresql://mlflow:${MLFLOW_DB_PASSWORD}@...`), un caractère spécial la rendrait
+invalide sans message d'erreur clair.
 
 Interface : http://localhost:5000. Entrainer vers ce serveur :
 
@@ -90,9 +94,11 @@ Pour voir les runs dans l'interface (MLflow 3.x) :
 - **Runs** liste les entrainements, **Models** les artefacts de modele de chaque run (tous nommes
   `model`), et **Model registry** les versions numerotees de `consumption-forecast-lightgbm`.
 
-Limites : les identifiants PostgreSQL (`mlflow` / `mlflow`) du compose ne conviennent qu'au
-developpement local. Un deploiement partage demandera des secrets, de l'authentification et un
-stockage d'artefacts dedie (S3/MinIO). Le port 5000 doit etre libre : arreter `mlflow ui` avant,
+Limites : l'identifiant PostgreSQL du compose est fixe a `mlflow`, le mot de passe vient de la
+variable obligatoire `MLFLOW_DB_PASSWORD` (aucune valeur par defaut, le compose refuse de
+demarrer sans elle) -- ce mot de passe est choisi lors de la copie de `.env.example`, il ne
+convient donc qu'au developpement local tel quel. Un deploiement partage demandera des secrets,
+de l'authentification et un stockage d'artefacts dedie (S3/MinIO). Le port 5000 doit etre libre : arreter `mlflow ui` avant,
 ou changer le mapping (`"5001:5000"`) dans le compose.
 
 ## Scoring
@@ -121,6 +127,13 @@ section 2 :
 fichier : `train.py` reecrit toujours le meme chemin a chaque entrainement, donc le nom seul ne
 distinguerait pas deux versions du modele.
 
+**Le scoring ne lit pas le Model Registry.** Le fichier charge par `--model` est local
+(`models/lightgbm-consumption.txt`), independant des versions enregistrees dans le
+**Model registry** MLflow (`consumption-forecast-lightgbm`). `train.py` enregistre bien une
+version a chaque entrainement (tracabilite), mais aucun alias (`champion` par exemple) n'est
+pose, et `enervision_ml.score` ne les lit pas. Le registre sert aujourd'hui a la tracabilite des
+entrainements, pas au deploiement du modele utilise en scoring.
+
 En mode `--csv`, rien n'est ecrit en base : c'est un instantane historique fige (l'heure "future"
 calculee a partir de la fin du CSV n'existe dans aucune base reelle), utile pour valider le
 pipeline sans base joignable.

ml/docker-compose.mlflow.yml

@@ -1,6 +1,6 @@
 services:
   mlflow-db:
-    image: postgres:16
+    image: postgres:17
     environment:
       POSTGRES_USER: mlflow
       POSTGRES_PASSWORD: ${MLFLOW_DB_PASSWORD:?definir MLFLOW_DB_PASSWORD dans ml/.env}
@@ -18,7 +18,7 @@ services:
       mlflow-db:
         condition: service_healthy
     ports:
-      - "5000:5000"
+      - "127.0.0.1:5000:5000"
     volumes:
       - mlflow-artifacts:/mlartifacts
     command: >