ajoute l'API publique /api/v1 (bloc B, premier chantier)

Catalogue en lecture seule (labs, banque de quiz officielle, cours) -
choix d'Adam pour la première version, zéro donnée d'élève. Laravel
Sanctum, un jeton Bearer par développeur créé depuis /jetons-api (un
prof), portée catalogue:lire seulement. Quota par jeton (pas par
compte ni par IP) dans Redis via un limiteur nommé, 60 requêtes/minute.
Documentation : spécification OpenAPI 3.0 et page publique /api/docs.

Désactive /sanctum/csrf-cookie (config/sanctum.php) : l'API est en
jeton Bearer seulement, jamais en cookie de SPA.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

portail/app/Http/Controllers/TokenApiController.php

@@ -0,0 +1,45 @@
+<?php
+
+namespace App\Http\Controllers;
+
+use Illuminate\Http\RedirectResponse;
+use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Auth;
+use Illuminate\View\View;
+use Laravel\Sanctum\PersonalAccessToken;
+
+/**
+ * Jetons de l'API publique (bloc B, CLAUDE.md) : un prof en crée pour un
+ * usage développeur (le sien ou celui d'un tiers à qui il le transmet).
+ * Le jeton en clair n'est montré qu'une fois à la création — même règle
+ * que le code secret d'un élève (ClasseController).
+ */
+class TokenApiController extends Controller
+{
+    public function index(): View
+    {
+        $prof = Auth::guard('web')->user();
+
+        return view('jetons-api', ['jetons' => $prof->tokens()->latest()->get()]);
+    }
+
+    public function store(Request $request): RedirectResponse
+    {
+        $donnees = $request->validate(['nom' => ['required', 'string', 'max:80']]);
+
+        $prof = Auth::guard('web')->user();
+        $jeton = $prof->createToken($donnees['nom'], ['catalogue:lire']);
+
+        return redirect()->route('jetons-api.index')->with('jeton_cree', $jeton->plainTextToken);
+    }
+
+    public function destroy(PersonalAccessToken $jeton): RedirectResponse
+    {
+        $prof = Auth::guard('web')->user();
+        abort_if($jeton->tokenable_id !== $prof->id || $jeton->tokenable_type !== $prof::class, 403);
+
+        $jeton->delete();
+
+        return redirect()->route('jetons-api.index');
+    }
+}