feat: enforce enterprise roles and critical approvals

[mawoole]

Ce qui change

• applique côté serveur les rôles reader, auditor et admin issus d’un secret de correspondance SSO ;
• refuse toute écriture d’un lecteur et réserve le rejet à l’administrateur ;
• maintient les exceptions critiques ouvertes jusqu’à deux approbations distinctes du demandeur ;
• ignore les approbations forgées par le client et impose une sévérité minimale par règle ;
• ajoute le workflow d’approbation à TrustMap Enterprise et expose le rôle effectif dans l’interface ;
• chiffre les décisions et leurs approbations dans les enveloppes D1 existantes ;
• actualise la documentation, l’exemple d’environnement et la carte sociale.

Impact sécurité

Les contrôles d’autorisation sont appliqués par l’API, pas par l’interface. Le demandeur ne peut pas approuver sa propre exception, un acteur ne peut pas voter deux fois et une exception critique en attente, rejetée, expirée ou révoquée ne supprime jamais le constat des exports ou de la CI.

Validation

• npm run lint
• npm run test:unit — 92 tests réussis
• npm run build
• npm run test:rendered — 4 scénarios Worker réussis
• git diff --check