Merge remote-tracking branch 'origin/dev' into feat/reverse-proxy-nginx-tls

Rapatrie la #118 (DAGs Airflow). Quatre conflits, tous additifs sauf un :

- `.env.example` et `.gitignore` : les blocs Airflow et proxy cohabitent.
- `Makefile` : `AIRFLOW` rejoint les variables de dossier, les cibles Airflow
  et TLS cohabitent dans `.PHONY`.
- `00-vue-ensemble.md` : la ligne ML de `dev` est retenue, la ligne Infra de
  cette branche aussi, chacune portant sa propre mise à jour.

L'interface Airflow rejoint la base et Mailpit sur `127.0.0.1` dans l'overlay :
elle n'a pas d'authentification à publier derrière le proxy.

infra/proxy/README.md

@@ -21,6 +21,10 @@ configuration est montée en volume par `docker-compose.prod.yml`.
 | `/api/` | `backend:8000` | Préfixe `/api/v1` préservé tel quel |
 | `/` | `frontend:3000` | Le SPA, qui renvoie `index.html` sur les routes inconnues |
 
+L'interface Airflow, celle de Mailpit et la base ne passent pas par le proxy : l'overlay les
+ramène sur `127.0.0.1`, donc joignables par tunnel SSH et pas autrement. Les publier derrière le
+proxy demanderait une authentification propre, qui n'est pas la leur.
+
 `/docs`, `/redoc`, `/openapi.json`, `/static` et `/metrics` sont montés par l'API **à la racine**,
 pas sous `/api`. Ils tombent donc dans `location /`, donc sur le SPA : ils ne sont pas joignables
 depuis l'extérieur, sans qu'aucune règle de blocage ait à être écrite. Y toucher, c'est les