fix(compose): corrige la régression de démarrage CSRF + découple secure_cookies

fix(compose): retire le tag Ollama deviné, garde la paramétrisation

hardening(web): durcissement des defaults P0 issus de l'audit prod

feat(sprint-S6)!: déploiement institutionnel — pin Tesseract, CSRF strict, logs JSON, observability

fix: Sprint 3 — CI/CD, packaging, Docker (11 issues)

Sprint 9 : documentation, packaging, Docker et CI/CD — version 1.0.0