feat(sprint-A16): build Docker reproductible (digest + lock file) — clôture M-2

fix(ci): pre-commit hooks + pip-audit (security scanner)

docs(audit): plan de remédiation 15 sprints vers niveau BnF/BL