feat: clean install (Gitea en dur, scan off) + durcissement sécurité entreprise

Gitea
- lien « Code source » hardcodé (REPO_SOURCE_URL) vers le dépôt, toujours visible
- retrait complet du réglage configurable (api.ts, route+store settings, SettingsView, i18n, help, tests)

Découverte des dépôts
- aucune racine de scan par défaut → pas de scan au premier démarrage (clean install)
- corrige la découverte des dépôts à l'INTÉRIEUR d'une racine qui est elle-même un repo
  (depth 0 = conteneur de scan, on descend ; depth > 0 = feuille)

Sécurité « enterprise-deployable »
- en-têtes HTTP durcis (CSP, X-Frame-Options, nosniff, Referrer-Policy, HSTS conditionnel, no-store API), header Server retiré
- permissions DB 0o600 / dossier de données 0o700 ; error handler sanitisé ; garde Content-Type sur les mutations
- chiffrement au repos AES-256-GCM des secrets (server_secret, clé privée VAPID) via SecretBox
- journal d'audit (migration #7) + endpoint /audit-logs + RGPD export/effacement + UI Réglages
- SECURITY.md, docs/ENTERPRISE_DEPLOYMENT.md, sections README EN/FR, SBOM CycloneDX en CI

CI
- pack-smoke packe depuis le contexte du package (cd packages/server) au lieu de « npm pack -w » :
  corrige l'embarquement de @arboretum/shared dans le tarball

Purge des données personnelles du dépôt public
- suppression de spikes/s4-discovery/result.json, reformulation du VERDICT
- chemin de test générique, anonymisation des 5 fixtures de dialogues

packages/web/src/stores/settings.ts

@@ -3,11 +3,10 @@ import { ref } from 'vue';
 import type { ServerInfo, SettingsResponse, UpdateSettingsRequest } from '@arboretum/shared';
 import { api } from '../lib/api';
 
-// Réglages serveur + intégrations. `giteaUrl` alimente l'item de nav Gitea (affiché si défini).
+// Réglages serveur (découverte des dépôts, infos serveur).
 // Les préférences purement client (langue) restent gérées par l'i18n/localStorage.
 export const useSettingsStore = defineStore('settings', () => {
   const server = ref<ServerInfo | null>(null);
-  const giteaUrl = ref<string | null>(null);
   const scanRoots = ref<string[]>([]);
   const scanIntervalMin = ref(0);
   const loaded = ref(false);
@@ -15,7 +14,6 @@ export const useSettingsStore = defineStore('settings', () => {
 
   function apply(res: SettingsResponse): void {
     server.value = res.server;
-    giteaUrl.value = res.settings.giteaUrl;
     scanRoots.value = res.settings.scanRoots;
     scanIntervalMin.value = res.settings.scanIntervalMin;
     loaded.value = true;
@@ -34,5 +32,5 @@ export const useSettingsStore = defineStore('settings', () => {
     }
   }
 
-  return { server, giteaUrl, scanRoots, scanIntervalMin, loaded, saving, fetch, save };
+  return { server, scanRoots, scanIntervalMin, loaded, saving, fetch, save };
 });