feat: clean install (Gitea en dur, scan off) + durcissement sécurité entreprise

Gitea
- lien « Code source » hardcodé (REPO_SOURCE_URL) vers le dépôt, toujours visible
- retrait complet du réglage configurable (api.ts, route+store settings, SettingsView, i18n, help, tests)

Découverte des dépôts
- aucune racine de scan par défaut → pas de scan au premier démarrage (clean install)
- corrige la découverte des dépôts à l'INTÉRIEUR d'une racine qui est elle-même un repo
  (depth 0 = conteneur de scan, on descend ; depth > 0 = feuille)

Sécurité « enterprise-deployable »
- en-têtes HTTP durcis (CSP, X-Frame-Options, nosniff, Referrer-Policy, HSTS conditionnel, no-store API), header Server retiré
- permissions DB 0o600 / dossier de données 0o700 ; error handler sanitisé ; garde Content-Type sur les mutations
- chiffrement au repos AES-256-GCM des secrets (server_secret, clé privée VAPID) via SecretBox
- journal d'audit (migration #7) + endpoint /audit-logs + RGPD export/effacement + UI Réglages
- SECURITY.md, docs/ENTERPRISE_DEPLOYMENT.md, sections README EN/FR, SBOM CycloneDX en CI

CI
- pack-smoke packe depuis le contexte du package (cd packages/server) au lieu de « npm pack -w » :
  corrige l'embarquement de @arboretum/shared dans le tarball

Purge des données personnelles du dépôt public
- suppression de spikes/s4-discovery/result.json, reformulation du VERDICT
- chemin de test générique, anonymisation des 5 fixtures de dialogues

packages/web/src/composables/useNav.ts

@@ -3,8 +3,8 @@ import { useRoute, type RouteLocationRaw } from 'vue-router';
 import { useI18n } from 'vue-i18n';
 import { Boxes, GitBranch, LifeBuoy, Settings, TerminalSquare } from '@lucide/vue';
 import { useSessionsStore } from '../stores/sessions';
-import { useSettingsStore } from '../stores/settings';
 import GiteaIcon from '../components/ui/GiteaIcon.vue';
+import { REPO_SOURCE_URL } from '../lib/constants';
 
 export interface NavEntry {
   key: string;
@@ -23,7 +23,6 @@ export function useNav() {
   const { t } = useI18n();
   const route = useRoute();
   const sessions = useSessionsStore();
-  const settings = useSettingsStore();
 
   // sessions vivantes bloquées sur un dialogue (le cœur de la supervision mobile).
   const waitingCount = computed(
@@ -37,17 +36,12 @@ export function useNav() {
     { key: 'groups', to: { name: 'groups' }, icon: Boxes, label: t('nav.groups'), match: ['groups', 'group'], badge: 0 },
   ]);
 
-  // Onglets secondaires : réglages, aide, et lien externe Gitea (uniquement si l'URL est configurée).
-  const secondary = computed<NavEntry[]>(() => {
-    const items: NavEntry[] = [
-      { key: 'settings', to: { name: 'settings' }, icon: Settings, label: t('nav.settings'), match: ['settings'], badge: 0 },
-      { key: 'help', to: { name: 'help' }, icon: LifeBuoy, label: t('nav.help'), match: ['help'], badge: 0 },
-    ];
-    if (settings.giteaUrl) {
-      items.push({ key: 'gitea', href: settings.giteaUrl, icon: GiteaIcon, label: t('nav.gitea'), match: [], badge: 0 });
-    }
-    return items;
-  });
+  // Onglets secondaires : réglages, aide, et lien externe « Code source » (en dur, toujours présent).
+  const secondary = computed<NavEntry[]>(() => [
+    { key: 'settings', to: { name: 'settings' }, icon: Settings, label: t('nav.settings'), match: ['settings'], badge: 0 },
+    { key: 'help', to: { name: 'help' }, icon: LifeBuoy, label: t('nav.help'), match: ['help'], badge: 0 },
+    { key: 'gitea', href: REPO_SOURCE_URL, icon: GiteaIcon, label: t('nav.gitea'), match: [], badge: 0 },
+  ]);
 
   const isActive = (match: string[]): boolean => match.includes(String(route.name));