feat: clean install (Gitea en dur, scan off) + durcissement sécurité entreprise

Gitea
- lien « Code source » hardcodé (REPO_SOURCE_URL) vers le dépôt, toujours visible
- retrait complet du réglage configurable (api.ts, route+store settings, SettingsView, i18n, help, tests)

Découverte des dépôts
- aucune racine de scan par défaut → pas de scan au premier démarrage (clean install)
- corrige la découverte des dépôts à l'INTÉRIEUR d'une racine qui est elle-même un repo
  (depth 0 = conteneur de scan, on descend ; depth > 0 = feuille)

Sécurité « enterprise-deployable »
- en-têtes HTTP durcis (CSP, X-Frame-Options, nosniff, Referrer-Policy, HSTS conditionnel, no-store API), header Server retiré
- permissions DB 0o600 / dossier de données 0o700 ; error handler sanitisé ; garde Content-Type sur les mutations
- chiffrement au repos AES-256-GCM des secrets (server_secret, clé privée VAPID) via SecretBox
- journal d'audit (migration #7) + endpoint /audit-logs + RGPD export/effacement + UI Réglages
- SECURITY.md, docs/ENTERPRISE_DEPLOYMENT.md, sections README EN/FR, SBOM CycloneDX en CI

CI
- pack-smoke packe depuis le contexte du package (cd packages/server) au lieu de « npm pack -w » :
  corrige l'embarquement de @arboretum/shared dans le tarball

Purge des données personnelles du dépôt public
- suppression de spikes/s4-discovery/result.json, reformulation du VERDICT
- chemin de test générique, anonymisation des 5 fixtures de dialogues

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.github/workflows/ci.yml

@@ -47,17 +47,14 @@ jobs:
       - name: Pack tarball
         run: |
           rm -rf /tmp/tarballs && mkdir -p /tmp/tarballs
-          # Le hook prepack (copy-web + vendor-shared + copy-meta) matérialise
-          # @arboretum/shared comme VRAI dossier dans le node_modules du serveur —
-          # condition pour que npm l'embarque via bundleDependencies. Selon la version
-          # de npm du runner, « npm pack -w » ne déclenche PAS toujours ce lifecycle
-          # (contrairement à « npm publish -w », qui lance bien prepack). On l'exécute
-          # donc explicitement, on vérifie la matérialisation, puis on packe avec
-          # --ignore-scripts (prepack déjà fait, dossier physique présent → bundlé).
-          npm run prepack -w @johanleroy/git-arboretum
-          test -f packages/server/node_modules/@arboretum/shared/dist/index.js \
-            || { echo "ERREUR: prepack n'a pas matérialisé @arboretum/shared/dist/index.js"; exit 1; }
-          npm pack -w @johanleroy/git-arboretum --pack-destination /tmp/tarballs --ignore-scripts
+          # @arboretum/shared (dépendance runtime non publiée) est embarquée via bundleDependencies,
+          # matérialisée par le hook prepack (copy-web + vendor-shared + copy-meta) comme VRAI dossier
+          # dans packages/server/node_modules/@arboretum/shared.
+          # On packe depuis le CONTEXTE DU PACKAGE (cd), PAS en mode workspace (-w) : « npm pack -w »
+          # résout @arboretum/shared via le symlink workspace hoisté de la racine et n'embarque donc
+          # PAS le dossier vendored local. « cd packages/server && npm pack » lance le lifecycle pack
+          # complet et reproduit fidèlement « npm publish » (qui, lui, embarque correctement).
+          ( cd packages/server && npm pack --pack-destination /tmp/tarballs )
           ls -l /tmp/tarballs
       - name: Assert @arboretum/shared is bundled in the tarball
         run: |