fix(security): consolidation & securite phase 1 (#84, BUG-021 a BUG-034)

- sanitizer XSS serveur (markdown + page de partage) [BUG-021/022]
- rate-limit/lockout MFA [BUG-023]
- isolation vaults par segments [BUG-024]
- caps regex ReDoS [BUG-025]
- SSRF webhooks + secrets externalises [BUG-026]
- rotation/revocation des jetons [BUG-027]
- politique de mot de passe + invalidation sessions [BUG-028]
- verrous users.json [BUG-029]
- IP reelle dans les audits [BUG-030]
- rate-limit par compte [BUG-031]
- symlinks hors vault ignores [BUG-032]
- recherche simple via inverted index [BUG-033]
- token en memoire + cookie HttpOnly, CSP durcie [BUG-034]

Tests: pytest 961 passed / 6 skipped, ruff 0, mypy 0, frontend vert.

.env.example

@@ -16,8 +16,17 @@ OBSIGATE_ADMIN_PASSWORD=chab30
 
 # Rate limiting
 # OBSIGATE_LOGIN_MAX_ATTEMPTS=10
+# OBSIGATE_ACCOUNT_MAX_ATTEMPTS=10
 # OBSIGATE_LOGIN_WINDOW_SECONDS=900
 
+# IP client derrière un reverse proxy (fait confiance à X-Forwarded-For)
+# OBSIGATE_TRUST_PROXY=false
+
+# Webhooks : sécurité SSRF
+# OBSIGATE_WEBHOOK_ALLOW_HTTP=false      # autoriser http:// (défaut : HTTPS requis)
+# OBSIGATE_WEBHOOK_ALLOW_PRIVATE=false   # autoriser les IP privées/boucle
+# Secret d'un webhook : OBSIGATE_WEBHOOK_SECRET_<ID_WEBHOOK_EN_MAJUSCULES>
+
 # Watcher
 # OBSIGATE_WATCHER_ENABLED=true
 # OBSIGATE_WATCHER_USE_POLLING=false