feat(dev) : script npm run dev:local (SSO simulé + token factice, zéro config)

- DEV_USER=dev, ALERTS_TOKEN=dev-token-local, DATA_DIR=./data injectés
- README (racine et app/) : usage + exemple curl /api/alerts
- Vérifié : dashboard sans header, /registre 200, alerte 201 avec le token
  factice, 401 avec un mauvais token

app/README.md

@@ -4,10 +4,20 @@ Voir le [README racine](../README.md) pour la vue d'ensemble, le dev local et le
 
 ```bash
 npm ci
-npm run dev        # dev (DEV_USER=dev dans .env simule le SSO)
+npm run dev:local  # dev zéro config : DEV_USER=dev + ALERTS_TOKEN=dev-token-local + DATA_DIR=./data
+npm run dev        # dev nu (lit .env — voir .env.example)
 npm run check      # svelte-check — 0 erreur / 0 warning exigé
 npm run lint       # prettier + eslint
 npm run test       # vitest
 npm run build      # build adapter-node (BASE_PATH=/veille pour un sous-chemin)
 node build/index.js
 ```
+
+Test de `POST /api/alerts` en local (avec `dev:local`) :
+
+```bash
+curl -X POST http://localhost:5173/api/alerts \
+  -H "authorization: Bearer dev-token-local" \
+  -H "content-type: application/json" \
+  -d '{"type":"nouvelle_sortie","titre":"Test","resume":"Résumé test.","sources":["https://example.org"],"date":"2026-08-01"}'
+```