docs: add Open Bastion meetup slide deck (doc/slides/)

[guimard]

Integrates the HTML meetup deck under doc/slides/ (deck + print version, brand.css, deck-stage.js, linagora.png, plus a short README; listed in the doc index).

Accuracy fix: the bastion→backend slide described the obsolete JWT-over-SendEnv transport (short-lived JWT verified against cached JWKS, ob-verify-jwt / ob-ssh-proxy), which was removed. Rewrote it as the current certificate vouching: the bastion mints a short-lived LLNG-signed SSH cert per hop, backends trust the LLNG SSH CA and pin source-address + allowed_bastions, via ob-ssh/ob-scp/ob-sftp + AuthorizedPrincipalsCommand. Also bumped the deck version (v0.1.1 → v0.5.1) and flagged Desktop SSO as early-alpha (shipped since the talk).

The source Open-Bastion.zip is not committed (only the extracted, corrected files).

[guimard]

Revue du 06/09/2026 — verdict : CHANGES_REQUESTED

[majeur] Régression de merge — la base de la branche date du 23/06 ; main a ajouté depuis l'entrée « Canonical names and paths (reference-paths.md) » dans la table Reference de doc/README.md (commit d88df1a, 05/09). La branche ne connaît pas cette ligne : un merge tel quel supprimerait silencieusement l'entrée reference-paths.md de l'index de doc.
→ Fix : rebase sur main et réinsérer la ligne dans la table reformatée.

[mineur] Drift (2,5 mois de branche) :

• doc/slides/Open-Bastion.html:627 — chemin des enregistrements périmé (/var/log/openbastion/sessions/ vs /var/lib/open-bastion/sessions/<user>/, cf. doc/reference-paths.md:55) ;
• doc/slides/Open-Bastion.html:690 — format comptes de service périmé (service-accounts.d/*.conf, public_key/sudo vs service-accounts.conf unique, key_fingerprint/sudo_allowed/sudo_nopasswd) ; l'exemple du slide (home = /var/lib/ansible) serait silencieusement rejeté par approved_home_prefixes = /home:/var/home ;
• doc/slides/Open-Bastion.html:495,523 — champ wire "action" vs "service" (cf. src/ob_client.c:1087) ;
• doc/slides/README.md:3 — « self-contained » faux : le deck charge Inter/Source Serif/JetBrains Mono depuis fonts.googleapis.com (exposition de l'IP des visiteurs pour un deck à audience sécurité) → vendorer les fonts ou retirer « self-contained ».

Bonnes nouvelles : la réécriture cert-vouching des slides est exacte, aucun résidu JWT/nscd, aucune info sensible. Le cadre « snapshot » du README rend le drift tolérable une fois le rebase fait et les faits corrigés.