security(headers): ajoute les en-têtes HTTP de sécurité et refactorise les scripts inline pour CSP

- Ajoute .htaccess avec HSTS, CSP, X-Frame-Options, X-Content-Type-Options,
  Referrer-Policy et Permissions-Policy
- Déplace les scripts inline (thème, redirection de langue) vers des fichiers JS externes
- Remplace les onclick inline par des écouteurs d'événements dans main.js
- Configure Eleventy pour copier .htaccess à la racine du site

src/_includes/partials/faq.njk

@@ -8,7 +8,7 @@
         <div class="faq-container">
             {% for item in t.faq.items %}
             <div class="faq-item">
-                <button class="faq-question" onclick="this.parentElement.classList.toggle('active')">
+                <button class="faq-question">
                     <span>{{ item.question }}</span>
                     <span class="faq-icon">+</span>
                 </button>