fix(security,metrics): Sprint A14-S1 — boucher les 6 P0 du rewrite ciblé

feat(web): Sprint A4 — sécurité web (B-11 CSRF, M-3 /health)

chore(web): cookie samesite=strict + nettoyage des références "Sprint X"

fix(web): valider strictement les payloads Pydantic (max_length, Literal)

fix(web): déléguer l'I/O bloquante à des threads dans les routes async

fix(web): JOBS registry thread-safe via helpers state.register_job / get_job_in_memory

chore(web): nettoyer 4 dettes techniques du chantier A

refactor(web): finaliser le découpage — router benchmark + app.py orchestrateur

refactor(web): extraire les 5 routers métier (engines, corpus, config, synthesis, history)

refactor(web): extraire les 5 routers simples (system, normalization, reports, importers, home)