feat(p12a): services git distants (PAT/app_password) + clone HTTPS

Modèle de données :
- migration #11 git_credentials (secrets chiffrés SecretBox : secret_encrypted ; colonnes ssh/oauth posées pour P12b/P12c) ; #12 repos ALTER remote_url/git_service/credential_id (pas de FK)
- types partagés api.ts (GitCredentialSummary sans secret + hasSecret/secretLast4, CRUD, RemoteRepoSummary, Clone*) ; protocole additif : topic 'clones' + message clone_update (CloneOperation)

Backend :
- core/git-credentials.ts (GitCredentialsManager(db, box)) : CRUD chiffré, test() (GET /user), getSecret()/authContext() internes, NULLification de repos.credential_id à la suppression
- core/git-clients/ (github/gitlab/gitea) via fetch, sans dépendance : verify()+listRepos() paginés, erreurs typées AUTH_FAILED/RATE_LIMITED/UNREACHABLE, SSRF base_url http(s)
- core/git-auth.ts : withGitAuth (GIT_ASKPASS éphémère 0o700, secret par env, GIT_TERMINAL_PROMPT=0, jamais dans l'URL/.git/config, nettoyage finally)
- core/git.ts cloneRepo (spawn git clone --progress, parse progression, timeout)
- core/clone-manager.ts (EventEmitter) : clone async, dest confiné sous scanRoots + non existant, auto-enregistrement via addRepo + métadonnées de provenance, nettoyage du clone partiel, events topic 'clones'
- routes/git-connections.ts (CRUD + /test + /:id/repos + POST /repos/clone 202 + GET /repos/clone/:id) ; app.ts câble box→GitCredentialsManager + CloneManager→gateway ; gateway relaie 'clones'

Frontend :
- ws-client subscribeClones ; stores git-connections + clone (suivi WS)
- components/settings/GitConnectionsSection (liste + formulaire pat/app_password, secret jamais ré-affiché) inséré dans SettingsView ; CloneRepoModal (connexion → repos distants paginés → dest scanRoots[0] → barre de progression WS → redirection) ; bouton « Cloner » dans DashboardView ; i18n EN+FR

Tests : git-credentials (round-trip SecretBox, résumé sans secret, NULLification) ; acceptance-p12.mjs (clone bare local file:// → clone_update done + repo enregistré + secret ABSENT de l'API, de la DB et du .git/config)

Sous-phases restantes : P12b (SSH), P12c (OAuth device flow).

packages/web/src/lib/ws-client.ts

@@ -31,6 +31,8 @@ export type WorktreeEvent = Extract<ServerMessage, { type: 'repo_update' | 'repo
 export type GroupEvent = Extract<ServerMessage, { type: 'group_update' | 'group_removed' }>;
 /** P11 — un réglage a changé (diffusé au topic 'settings'). */
 export type SettingsUpdateEvent = Extract<ServerMessage, { type: 'settings_update' }>;
+/** P12 — progression/fin d'un clone (diffusée au topic 'clones'). */
+export type CloneEvent = Extract<ServerMessage, { type: 'clone_update' }>;
 /** P7 — signal ciblé « le détail (changes/diff) d'un worktree regardé a changé ». */
 export type WorktreeChangesEvent = Extract<ServerMessage, { type: 'worktree_changes' }>;
 
@@ -130,6 +132,7 @@ export class WsClient {
   private readonly worktreeListeners = new Set<(e: WorktreeEvent) => void>();
   private readonly groupListeners = new Set<(e: GroupEvent) => void>();
   private readonly settingsListeners = new Set<(e: SettingsUpdateEvent) => void>();
+  private readonly cloneListeners = new Set<(e: CloneEvent) => void>();
   /** P7 — abonnements ciblés au détail d'un worktree (clé repoId\0path → listeners). */
   private readonly worktreeChangesListeners = new Map<string, Set<(e: WorktreeChangesEvent) => void>>();
 
@@ -180,12 +183,13 @@ export class WsClient {
   }
 
   /** topics actifs = union des abonnements courants (une seule connexion partagée). */
-  private activeTopics(): Array<'sessions' | 'worktrees' | 'groups' | 'settings'> {
-    const t: Array<'sessions' | 'worktrees' | 'groups' | 'settings'> = [];
+  private activeTopics(): Array<'sessions' | 'worktrees' | 'groups' | 'settings' | 'clones'> {
+    const t: Array<'sessions' | 'worktrees' | 'groups' | 'settings' | 'clones'> = [];
     if (this.sessionListeners.size > 0) t.push('sessions');
     if (this.worktreeListeners.size > 0) t.push('worktrees');
     if (this.groupListeners.size > 0) t.push('groups');
     if (this.settingsListeners.size > 0) t.push('settings');
+    if (this.cloneListeners.size > 0) t.push('clones');
     return t;
   }
 
@@ -233,6 +237,16 @@ export class WsClient {
     };
   }
 
+  subscribeClones(listener: (e: CloneEvent) => void): () => void {
+    this.cloneListeners.add(listener);
+    this.connect();
+    this.sendSub();
+    return () => {
+      this.cloneListeners.delete(listener);
+      this.sendSub();
+    };
+  }
+
   /**
    * P7 — observe le détail (changes/diff) d'un worktree précis : envoie `watch`, route les
    * `worktree_changes` correspondants vers `listener`, et ré-arme automatiquement après reconnexion.
@@ -505,6 +519,10 @@ export class WsClient {
         for (const cb of this.settingsListeners) cb(msg);
         return;
       }
+      case 'clone_update': {
+        for (const cb of this.cloneListeners) cb(msg);
+        return;
+      }
       case 'worktree_changes': {
         const set = this.worktreeChangesListeners.get(`${msg.repoId}\0${msg.path}`);
         if (set) for (const cb of set) cb(msg);