passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP

Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur
nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0
intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée
sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur
status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul.

Corrige aussi une faille XSS dans la page de classe, la page /cours en
erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

kolla/config/prometheus/alertes.rules

@@ -28,6 +28,24 @@ groups:
           summary: "Un agent OpenStack est arrete"
           description: "Un agent Nova ou Neutron signale un etat different de UP depuis plus de 2 minutes."
 
+      - alert: CertificatExpireBientot
+        expr: (syllabus_certificat_expiration_timestamp - time()) < 14 * 86400
+        for: 1h
+        labels:
+          severite: critique
+        annotations:
+          summary: "Le certificat HTTPS de {{ $labels.domaine }} expire dans moins de 14 jours"
+          description: "Le renouvellement automatique (certbot.timer) a echoue : voir docs/runbooks/https.md."
+
+      - alert: CertificatNonMesure
+        expr: absent(syllabus_certificat_expiration_timestamp)
+        for: 2d
+        labels:
+          severite: avertissement
+        annotations:
+          summary: "L'expiration du certificat HTTPS n'est plus mesuree"
+          description: "Le fichier certificat.prom du collecteur textfile n'est plus produit : verifier le cron syllabus-expiration-certificat."
+
       - alert: SauvegardeAncienne
         expr: (time() - syllabus_derniere_sauvegarde_reussie_timestamp) > 26 * 3600
         for: 10m