security(headers): ajoute les en-têtes HTTP de sécurité et refactorise les scripts inline pour CSP

- Ajoute .htaccess avec HSTS, CSP, X-Frame-Options, X-Content-Type-Options,
  Referrer-Policy et Permissions-Policy
- Déplace les scripts inline (thème, redirection de langue) vers des fichiers JS externes
- Remplace les onclick inline par des écouteurs d'événements dans main.js
- Configure Eleventy pour copier .htaccess à la racine du site

eleventy.config.js

@@ -20,6 +20,9 @@ module.exports = function(eleventyConfig) {
   eleventyConfig.addPassthroughCopy("src/robots.txt");
   eleventyConfig.addPassthroughCopy("src/sitemap.xml");
 
+  // Copy Apache security headers config to the site root
+  eleventyConfig.addPassthroughCopy({ "src/.htaccess": ".htaccess" });
+
   // Watch CSS files for changes
   eleventyConfig.addWatchTarget("src/assets/css/");