feat: add SSO exception sync and KMS envelopes

[mawoole]

Ce qui change

• ajoute une API de synchronisation des exceptions protégée par l’identité SSO transmise par Sites ;
• partage automatiquement le registre entre les membres autorisés du site privé ;
• chiffre chaque exception avec une clé de données AES-256-GCM indépendante ;
• enveloppe les clés de données avec un secret Sites versionné ou une passerelle KMS HTTPS ;
• pseudonymise les acteurs et les identifiants avant stockage D1 ;
• ajoute une fusion optimiste qui préserve les révocations et évite les écrasements concurrents ;
• ajoute un journal borné des écritures, la rotation de clés et la migration D1 ;
• conserve le bundle chiffré comme solution hors ligne.

Impact sécurité

D1 ne contient aucun nom de serveur, motif, règle ou identifiant d’exception en clair. L’API refuse les requêtes non authentifiées, inter-origines ou surdimensionnées. Une ancienne clé peut rester disponible pendant une rotation bornée et les enregistrements sont réenveloppés automatiquement lors de leur prochaine synchronisation.

Validation

• npm run lint
• npm run test:unit — 88 tests réussis
• npm run build
• npm run test:rendered — 4 scénarios Worker réussis
• inspection de la migration D1 générée
• vérification que les enveloppes D1 ne contiennent aucune donnée métier en clair
• git diff --check