feat: support du déploiement sous sous-chemin (paths.base)

- Liens et assets via {base}, polices déplacées vers src/lib/assets (hachage Vite)
- Service worker base-aware, précache sur les pages prérendues
- CSP hash documentée : l'hôte ne doit pas fixer script-src
- Docs : déploiement Apache/YunoHost (DEPLOYMENT, APACHE_AUTOINDEX)

frontend/src/styles/fonts.css

@@ -2,13 +2,15 @@
  * Polices auto-hébergées, servies depuis notre domaine — jamais de Google
  * Fonts (doctrine §5.3 : performance, RGPD, souveraineté).
  * Budget : 2 fichiers WOFF2 maximum. Le gras du corps est synthétisé.
+ * Fichiers dans src/lib/assets/fonts : Vite les hache sous _app/immutable,
+ * l'URL reste donc correcte quel que soit paths.base.
  */
 @font-face {
   font-family: 'Atkinson Hyperlegible';
   font-style: normal;
   font-weight: 400;
   font-display: swap;
-  src: url('/fonts/atkinson-hyperlegible-latin-400-normal.woff2') format('woff2');
+  src: url('../lib/assets/fonts/atkinson-hyperlegible-latin-400-normal.woff2') format('woff2');
 }
 
 @font-face {
@@ -16,5 +18,5 @@
   font-style: normal;
   font-weight: 700;
   font-display: swap;
-  src: url('/fonts/fraunces-latin-700-normal.woff2') format('woff2');
+  src: url('../lib/assets/fonts/fraunces-latin-700-normal.woff2') format('woff2');
 }