feat(desktop): manifeste de mise a jour latest.json + builds locaux signes (#77)

- scripts/updater_manifest.py : construit latest.json (version, pub_date, platforms Windows/Linux avec signature .sig et URLs des assets).

- publish_release.py : genere latest.json, upload des .sig + latest.json, rappel de commit.

- tauri.conf.json : endpoint updater -> raw/branch/main/desktop/latest.json.

- build-windows.bat / build-linux.sh : detection automatique de obsigate-updater.key (signature) ou repli non signe.

- .gitignore : ignore desktop/key/ ; tests/test_updater_manifest.py (8 tests).

docs/DESKTOP_E2E_CHECKLIST.md

@@ -128,10 +128,9 @@ fenêtre existante** (single-instance) au lieu de lancer un doublon.
 **Résultat attendu :** détection de la version N+1, téléchargement, installation
 sans intervention manuelle, version mise à jour après redémarrage.
 
-**Prérequis bloquant :** la `pubkey` de l'updater dans `desktop/tauri.conf.json`
-ne doit **pas** être le placeholder `OBSIGATE_UPDATE_PUBKEY_PLACEHOLDER`, et la
-clé privée correspondante doit être fournie au build
-(`TAURI_SIGNING_PRIVATE_KEY`). Voir §4.
+**Prérequis bloquant :** la release N+1 doit être publiée (binaires **signés**
+`.sig` + `latest.json`) et le fichier `desktop/latest.json` **commité sur `main`**
+(le manifeste est généré par `scripts/publish_release.py`, cf. §4).
 
 ---
 
@@ -172,14 +171,11 @@ aucun raccourci cassé.
   `OBSIGATE_SIGN_CERT_PFX` est défini ; sinon il est un no-op explicite.
   Alternatives détaillées dans le [README desktop](../desktop/README.md).
 - **Signature de l'updater Tauri (gratuite, distincte de la signature Windows) :**
-  générer une paire de clés, renseigner la `pubkey` dans
-  `desktop/tauri.conf.json` et exposer la clé privée au build via
-  `TAURI_SIGNING_PRIVATE_KEY`. La clé privée **ne doit jamais être commitée**.
-
-```bash
-cargo tauri signer generate -w ~/.tauri/obsigate.key
-# → copier la clé publique affichée dans plugins.updater.pubkey
-```
+  déjà configurée — `pubkey` dans `desktop/tauri.conf.json`, clé privée lue depuis
+  `desktop/obsigate-updater.key` (gitignorée) ou `TAURI_SIGNING_PRIVATE_KEY`.
+  Le manifeste `latest.json` est généré par `scripts/publish_release.py` puis
+  commité sur `main`. Procédure :
+  [DEVELOPMENT_AND_RELEASES §2bis](./DEVELOPMENT_AND_RELEASES.md#2bis-signature-des-mises-à-jour-updater-tauri).
 
 ## 5. Clôture