feat(api): production-ready P0/P1 — secrets hors navigateur, clés d'API, métriques

P0
- Aucun secret servi au navigateur : /assets/config.local.js est généré par le
  serveur AVANT les montages statiques (il l'emporte sur le fichier local) et
  ne contient plus YOUTUBE_API_KEY(S) ; le fichier local n'est plus copié dans
  l'image Docker ni embarqué dans dist (angular ignore config.local.js) ;
  youtube-api.service n'appelle plus googleapis directement (fetchYouTube =
  /api/yt -> /proxy/api/yt), gardes « pas de clé => écran vide », rotation et
  carte de bans côté client supprimées ; readiness YouTube via /healthz
  (youtube.keys.count) ; messages d'erreur orientés configuration serveur.
- CORS : origines pilotées par API_ALLOWED_ORIGINS (CSV), méthode PATCH
  ajoutée (requis par /user/preferences), header X-API-Key accepté.
- Clés d'API longue durée : table api_keys (empreinte SHA-256 + préfixe
  affichable), routes GET/POST /api/keys et DELETE /api/keys/:id, jeton
  ntk_… affiché une seule fois, last_used_at à chaque usage ; X-API-Key
  accepté par authMiddleware ET authMiddlewareCookieAware.

P1
- X-Request-Id renvoyé sur chaque réponse + journal JSON structuré en prod
  (ts, reqId, method, route, status, ms).
- GET /metrics : exposition Prometheus sans dépendance (http_requests_total
  par route/code, somme+nombre de durées, uptime/mémoire ; METRICS_TOKEN
  verrouille l'accès si défini).
- Rate-limit sur /api/details (DETAILS_RATE_LIMIT, 60/min, réponse JSON) —
  /transcript avait déjà le sien.
- Version unique package.json : menu du compte, info.version de l'OpenAPI
  (+ schéma apiKeyAuth et chemins /keys / /metrics documentés).

Tests : api_coverage +7 cas « production-ready » (sentinel de fuite de clé,
X-Request-Id, /metrics, CORS PATCH, contrat/version, cycle complet des clés
d'API), suggest, transcript, flags, filters, kind — verts. Build OK.
Vérifs instance locale : config servie sans secret, /api/yt 200 avec la clé
serveur, /metrics alimenté, menu 1.0.59 et 40 cartes rendues sans clé côté
client.

server/db.mjs

@@ -404,6 +404,36 @@ export function cryptoRandomId() {
   return randomBytes(16).toString('base64url');
 }
 
+// -------------------- API keys (clients hors navigateur) --------------------
+// Le jeton en clair n'est jamais stocké : on ne garde que son SHA-256.
+
+export function insertApiKey({ userId, name, keyHash, prefix }) {
+  const id = cryptoRandomId();
+  db.prepare(`INSERT INTO api_keys (id, user_id, name, key_hash, prefix, created_at)
+              VALUES (@id, @userId, @name, @keyHash, @prefix, @ts)`)
+    .run({ id, userId, name: String(name || 'clé').slice(0, 80), keyHash, prefix, ts: nowIso() });
+  return id;
+}
+
+export function listApiKeys(userId) {
+  return db.prepare(`SELECT id, name, prefix, created_at AS createdAt, last_used_at AS lastUsedAt, revoked_at AS revokedAt
+                     FROM api_keys WHERE user_id = ? ORDER BY created_at DESC`).all(userId);
+}
+
+export function revokeApiKey(id, userId) {
+  const info = db.prepare('UPDATE api_keys SET revoked_at = ? WHERE id = ? AND user_id = ? AND revoked_at IS NULL')
+    .run(nowIso(), id, userId);
+  return info.changes > 0;
+}
+
+/** Renvoie le propriétaire d'un jeton valide (non révoqué) et note l'usage. */
+export function findApiKeyUser(keyHash) {
+  const row = db.prepare('SELECT id, user_id AS userId FROM api_keys WHERE key_hash = ? AND revoked_at IS NULL').get(keyHash);
+  if (!row) return null;
+  try { db.prepare('UPDATE api_keys SET last_used_at = ? WHERE id = ?').run(nowIso(), row.id); } catch {}
+  return { userId: row.userId, keyId: row.id };
+}
+
 // -------------------- Telemetry (minimal product events) --------------------
 
 export function insertTelemetryEvent({ userId, event, meta }) {