security(headers): ajoute les en-têtes HTTP de sécurité et refactorise les scripts inline pour CSP

- Ajoute .htaccess avec HSTS, CSP, X-Frame-Options, X-Content-Type-Options,
  Referrer-Policy et Permissions-Policy
- Déplace les scripts inline (thème, redirection de langue) vers des fichiers JS externes
- Remplace les onclick inline par des écouteurs d'événements dans main.js
- Configure Eleventy pour copier .htaccess à la racine du site

src/assets/js/theme.js

@@ -0,0 +1,17 @@
+(function() {
+    // Récupérer le thème stocké ou détecter le thème système
+    const storedTheme = localStorage.getItem('oki-theme');
+    const systemPrefersDark = window.matchMedia('(prefers-color-scheme: dark)').matches;
+
+    let theme = storedTheme;
+
+    // Si pas de préférence stockée, utiliser le thème système
+    if (!storedTheme) {
+        theme = systemPrefersDark ? 'dark' : 'light';
+    }
+
+    // Appliquer le thème immédiatement
+    if (theme === 'light') {
+        document.documentElement.classList.add('light-theme');
+    }
+})();