security(headers): ajoute les en-têtes HTTP de sécurité et refactorise les scripts inline pour CSP

- Ajoute .htaccess avec HSTS, CSP, X-Frame-Options, X-Content-Type-Options,
  Referrer-Policy et Permissions-Policy
- Déplace les scripts inline (thème, redirection de langue) vers des fichiers JS externes
- Remplace les onclick inline par des écouteurs d'événements dans main.js
- Configure Eleventy pour copier .htaccess à la racine du site

src/_includes/partials/nav.njk

@@ -31,9 +31,9 @@
             {% endfor %}
         </ul>
         {% if locale == 'en' %}
-        <a href="#" class="lang-switch" onclick="localStorage.setItem('oki-lang-pref','fr'); switchLanguage('fr'); return false;">{{ t.ui.lang_switch_label }}</a>
+        <a href="#" class="lang-switch" data-lang="fr">{{ t.ui.lang_switch_label }}</a>
         {% else %}
-        <a href="#" class="lang-switch" onclick="localStorage.setItem('oki-lang-pref','en'); switchLanguage('en'); return false;">{{ t.ui.lang_switch_label }}</a>
+        <a href="#" class="lang-switch" data-lang="en">{{ t.ui.lang_switch_label }}</a>
         {% endif %}
         <button id="theme-toggle" class="theme-toggle" aria-label="{{ t.ui.theme_toggle }}" title="{{ t.ui.theme_toggle }}">
             <span class="theme-icon theme-icon-dark">🌙</span>