Phase 3 : tripoli-api (auth, fichiers, PostgreSQL)

- axum + sqlx (requêtes runtime, pas les macros query! à vérification
  compile-time - évite d'exiger une base joignable à chaque build).
- Auth par session opaque côté serveur (cookie HttpOnly/Secure/SameSite,
  pas de JWT - révocation = suppression de ligne). Mots de passe
  Argon2.
- Fichiers : upload multipart streamé chunk par chunk vers le disque
  (jamais accumulé en mémoire - condition réelle d'une progression
  d'upload non simulée), download streamé, blobs nommés par UUID
  (le nom d'origine ne vit qu'en métadonnée).
- Stockage disque pour cette v1 (pas Object Storage - pas de bénéfice
  réel pour un unique VPS avec 55 Go libres, ajouté sans complexité
  inutile).
- PostgreSQL dans un conteneur Docker dédié, séparé de celui
  d'iot-alarm-system (pas de couplage entre projets sans rapport).
- Déployé en prod sous systemd (même utilisateur système que
  tripoli-edge), branché sur son upstream par défaut. Vérifié
  bout-en-bout via https://tripoli.cloud/api/... : inscription,
  connexion, upload, download, suppression, et les cas d'erreur
  (401 sans session, 409 email déjà pris, 401 mauvais mot de passe,
  404 double suppression).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

tripoli-api/deploy/tripoli-api.service

@@ -0,0 +1,25 @@
+[Unit]
+Description=tripoli-api - auth, fichiers, métadonnées PostgreSQL
+After=network.target docker.service
+Requires=docker.service
+
+[Service]
+Type=simple
+User=tripoli
+Group=tripoli
+ExecStart=/usr/local/bin/tripoli-api
+Restart=on-failure
+RestartSec=2
+EnvironmentFile=/opt/tripoli-api/.env
+Environment=RUST_LOG=info
+Environment=TRIPOLI_API_LISTEN=127.0.0.1:8081
+Environment=TRIPOLI_BLOB_DIR=/var/lib/tripoli-api/blobs
+
+NoNewPrivileges=true
+ProtectSystem=strict
+ProtectHome=true
+PrivateTmp=true
+ReadWritePaths=/var/lib/tripoli-api
+
+[Install]
+WantedBy=multi-user.target