fix: A12–A24 — SSRF, auth routes legacy, uploads, N+1 et routes doublonnes (v7.3.3)

- A12 — `og_fetcher` : GET sans `follow_redirects`, `_is_public_host` revérifié à
  chaque saut (max 5) ; `POST /board/api/og/metadata` → 400 sur hôte privé/loopback
- A13 — router automations sous `Depends(_require_session)` (CRUD, run,
  press-button) + `created_by` sans fallback ; action `webhook` validée par
  `_is_public_host` avant POST (SSRF)
- A15 — webhooks sortants : `_require_admin` sur GET/POST/DELETE + `_is_public_host`
  sur l'URL en création
- A17 — router legacy `/api` sous `Depends(_require_session_or_bearer)` (session ou
  Bearer `/api/v1`), allowlist explicite `/api/health` + `/api/frontend-error`
- A22 — les 2 uploads locales : session exigée (`_require_user_id`) + `validate_upload`
  branché (taille + extension) + `FLOWDECK_DATA_DIR` au lieu de `/data` codé en dur
- A23 — N+1 : COUNT→`GROUP BY` (dashboard), cards→`executemany` (board sync),
  duplicata de propriétés→`executemany` + remap des ids par SELECT (collections)
- A24 — 2 routes écrasées supprimées : `GET /api/projects` (api.py) et
  `GET /workspace` (workspace.py) + test « aucun doublon méthode+chemin »
- Tests : +9 dans `tests/test_audit_p0_fixes.py` (SSRF, 401s, validate_upload,
  doublons de routes) ; tests OG sur hôtes résolubles (la garde fait du DNS)
- suite **1025/1025** · `ruff check app tests` OK

tests/test_v55.py

@@ -233,7 +233,7 @@ class TestOGParser:
             return httpx.Response(200, headers={"content-type": "text/html"}, text=_OG_HTML)
 
         transport = httpx.MockTransport(handler)
-        data = asyncio.run(fetch_og_metadata("https://flowdeck.example.com/page", transport=transport))
+        data = asyncio.run(fetch_og_metadata("https://example.com/page", transport=transport))
         assert data["title"] == "FlowDeck — Notion clone"
         assert data["site_name"] == "FlowDeck"
 
@@ -255,10 +255,10 @@ class TestOGParser:
             raise httpx.ConnectError("boom")
 
         data = asyncio.run(
-            fetch_og_metadata("https://unreachable.example.com", transport=httpx.MockTransport(handler))
+            fetch_og_metadata("https://example.com/unreachable", transport=httpx.MockTransport(handler))
         )
-        assert data["url"].startswith("https://unreachable.example.com")
-        assert data["title"] == "unreachable.example.com"
+        assert data["url"].startswith("https://example.com/unreachable")
+        assert data["title"] == "example.com"
 
 
 class TestOGMetadataEndpoint: