feat: phase 2 — audit config + update --rollback (closes #63 #64)

Axe 8 (sécurité) :
- am audit : checksums SHA-256 des configs (embarquée, utilisateur,
  locale) stockés dans state.json, croisement avec events.jsonl pour
  dater les changements, détection des modifications manuelles hors de
  am (statut MANUAL), rapport lisible + --json stable (contrat)
- backup automatique avant chaque am update (agent ou --all) : état +
  config utilisateur + répertoires d'installation + shims dans
  <state>/backups/<ts>/ avec manifest.json
- am update --rollback [point] : restaure le dernier backup (ou un id
  précis, préfixe accepté), arrête les agents concernés d'abord,
  événement EventKind::Rollback journalisé
- am update --rollback list : liste les points de restauration
- rétention settings.backups_keep (défaut 5) appliquée après chaque backup
- événements EventKind::Backup / EventKind::Rollback pour l'audit

REPL : commande audit + update --rollback (parse, complétion), help specs,
tip cheat sheet, man pages régénérées (50 pages). Version 0.4.6,
ROADMAP cases cochées, 272 tests verts.

src/config.rs

@@ -117,6 +117,10 @@ pub struct Settings {
     /// is attempted (issue #60, default 3600).
     #[serde(default)]
     pub catalog_cache_ttl_secs: Option<u64>,
+    /// How many pre-update backups 'am update --rollback' keeps
+    /// (issue #64, default 5).
+    #[serde(default)]
+    pub backups_keep: Option<u32>,
 }
 
 /// Policy controlling how aggressively 'am update' upgrades installed agents.
@@ -638,6 +642,9 @@ pub fn merge(base: &mut Config, overlay: Config) {
     if o.catalog_cache_ttl_secs.is_some() {
         s.catalog_cache_ttl_secs = o.catalog_cache_ttl_secs;
     }
+    if o.backups_keep.is_some() {
+        s.backups_keep = o.backups_keep;
+    }
     for (k, v) in o.hooks {
         s.hooks.insert(k, v);
     }