feat: clean install (Gitea en dur, scan off) + durcissement sécurité entreprise

Gitea
- lien « Code source » hardcodé (REPO_SOURCE_URL) vers le dépôt, toujours visible
- retrait complet du réglage configurable (api.ts, route+store settings, SettingsView, i18n, help, tests)

Découverte des dépôts
- aucune racine de scan par défaut → pas de scan au premier démarrage (clean install)
- corrige la découverte des dépôts à l'INTÉRIEUR d'une racine qui est elle-même un repo
  (depth 0 = conteneur de scan, on descend ; depth > 0 = feuille)

Sécurité « enterprise-deployable »
- en-têtes HTTP durcis (CSP, X-Frame-Options, nosniff, Referrer-Policy, HSTS conditionnel, no-store API), header Server retiré
- permissions DB 0o600 / dossier de données 0o700 ; error handler sanitisé ; garde Content-Type sur les mutations
- chiffrement au repos AES-256-GCM des secrets (server_secret, clé privée VAPID) via SecretBox
- journal d'audit (migration #7) + endpoint /audit-logs + RGPD export/effacement + UI Réglages
- SECURITY.md, docs/ENTERPRISE_DEPLOYMENT.md, sections README EN/FR, SBOM CycloneDX en CI

CI
- pack-smoke packe depuis le contexte du package (cd packages/server) au lieu de « npm pack -w » :
  corrige l'embarquement de @arboretum/shared dans le tarball

Purge des données personnelles du dépôt public
- suppression de spikes/s4-discovery/result.json, reformulation du VERDICT
- chemin de test générique, anonymisation des 5 fixtures de dialogues

packages/web/src/i18n/fr.ts

@@ -184,7 +184,7 @@ const fr: typeof en = {
     settings: 'Réglages',
     help: 'Aide',
     more: 'Plus',
-    gitea: 'Ouvrir Gitea',
+    gitea: 'Code source',
     waiting: 'en attente',
   },
   controls: {
@@ -336,14 +336,16 @@ const fr: typeof en = {
     confirmRevoke: 'Confirmer la révocation',
     tokenRevoked: 'Jeton révoqué',
     lastTokenError: 'Impossible de révoquer le dernier jeton actif — créez-en un autre d’abord.',
-    // Intégrations
-    integrations: 'Intégrations',
-    gitea: 'Gitea',
-    giteaUrlLabel: 'URL de l’instance Gitea',
-    giteaUrlPlaceholder: 'https://git.exemple.com',
-    giteaUrlHint: 'Ajoute une icône de raccourci dans la navigation. Laissez vide pour la masquer.',
     save: 'Enregistrer',
     saved: 'Enregistré',
+    // Sécurité & conformité
+    compliance: 'Sécurité & conformité',
+    complianceHint: 'Exportez ou effacez les données liées à votre jeton (RGPD), et consultez le journal d’audit des opérations sensibles.',
+    exportData: 'Exporter mes données',
+    refreshAudit: 'Journal d’audit',
+    deleteData: 'Effacer mes données',
+    deleteConfirm: 'Effacer les données liées à votre jeton (abonnements push) et révoquer ce jeton ? Action irréversible.',
+    deleteDone: 'Vos données ont été effacées.',
     // Découverte des dépôts
     discovery: 'Découverte des dépôts',
     discoveryHint: 'Arboretum scanne ces dossiers à la recherche de dépôts git et les enregistre automatiquement. Les dépôts masqués sont conservés et jamais ré-ajoutés.',