fix(compose): retire le tag Ollama deviné, garde la paramétrisation

hardening(web): durcissement des defaults P0 issus de l'audit prod

chore(audit): Phase 0 quick wins — entry point + numérotation couches

feat(sprint-S6)!: déploiement institutionnel — pin Tesseract, CSRF strict, logs JSON, observability

feat(sprint-A8): reproductibilité opérationnelle (lock files + Docker pinning + snapshots doc)