feat(app) : socle SvelteKit phase 0 — SSO, thème OKI, adapter-node

- Scaffold SvelteKit 2 + Svelte 5 (runes), TypeScript strict, adapter-node
- Auth SSO via header Ynh-User (hooks.server) ; accueil public minimal sans header,
  401 sur toute autre route ; DEV_USER en dev local uniquement
- Design system OKI : tokens, thème sombre par défaut, clair opt-in anti-FOUC,
  flag-bar, fonts Archivo/Inter self-hébergées, sprite icons.svg (zéro emoji)
- CSP via kit.csp (mode nonce) + en-têtes de sécurité ; paths.base configurable
  au build (BASE_PATH) pour le sous-chemin YunoHost, paths.relative = false
- i18n fr (structure prête gcf/en), pages : accueil public/privé, erreurs designées
- Tests vitest : résolution SSO + routes publiques (10 cas)
- Vérifié : check/lint/test/build verts, test fumée HTTP sur build (SSO, CSP,
  sous-chemin /veille), zéro emoji et zéro domaine tiers dans le build

app/.env.example

@@ -0,0 +1,17 @@
+# Configuration de veille-ia — copier en .env pour le dev local.
+# En production (YunoHost), ces variables sont posées par le service systemd / .env d'install.
+
+# Dossier de données persistant (YAML + dépôt git interne). Défaut dev : ./data
+# DATA_DIR=./data
+
+# Endpoint Ollama (optionnel : l'app fonctionne sans, en mode dégradé)
+# OLLAMA_URL=http://127.0.0.1:11434
+
+# Token Bearer protégeant POST /api/alerts (généré à l'install YunoHost — jamais commité)
+# ALERTS_TOKEN=
+
+# Nom du header HTTP injecté par le SSO (défaut : ynh-user, injecté par SSOwat)
+# SSO_HEADER=ynh-user
+
+# Dev local uniquement : simule un utilisateur SSO connecté (ignoré en production)
+DEV_USER=dev