fix(serveur): index.html ET index.css jamais mis en cache

/index.css n'est pas fingerprinté (index.html le référence en dur) mais
héritait de `maxAge: '1h'` : après un redéploiement F5 continuait de servir
l'ANCIEN CSS jusqu'à une heure — correctif présent sur le serveur, invisible
au navigateur (« je ne vois toujours pas la ligne fournisseur »). Il rejoint
index.html dans le `setHeaders` no-cache (ETag → 304, coût nul).

Test : `index.html et index.css : jamais mis en cache` dans
server/tests/api_coverage.test.mjs (29 pass / 0 fail).

server/tests/api_coverage.test.mjs

@@ -235,6 +235,21 @@ describe('production-ready (P0/P1)', () => {
     }
   });
 
+  it('index.html et index.css : jamais mis en cache (seuls fichiers non fingerprintés)', async () => {
+    for (const p of ['/', '/index.css']) {
+      const r = await fetch(`${base}${p}`);
+      assert.equal(r.status, 200, p);
+      const cc = r.headers.get('cache-control') || '';
+      // Sans revalidation, F5 continue de servir l'ANCIEN fichier jusqu'à 1 h
+      // après un redéploiement : le correctif est bien sur le serveur mais
+      // invisible au navigateur.
+      assert.match(cc, /no-cache/, `${p} doit être revalidé à chaque chargement (reçu : ${cc || 'vide'})`);
+      assert.ok(!/max-age=[1-9]/.test(cc), `${p} ne doit pas porter de max-age positif (${cc})`);
+    }
+    const css = await fetch(`${base}/index.css`);
+    assert.match(css.headers.get('content-type') || '', /css/, '/index.css doit servir du CSS');
+  });
+
   it('X-Request-Id renvoyé sur chaque réponse', async () => {
     const r = await fetch(`${base}/api/health`);
     assert.ok(r.headers.get('x-request-id'), 'header X-Request-Id absent');