Frontend et backend entièrement réels : plus aucune donnée simulée

À la demande explicite de l'utilisateur après avoir constaté que
tripoli.cloud affichait un 404 vide (le frontend n'avait jamais été
déployé) : déploiement du frontend, puis remplacement complet des
mocks par de vraies données, des deux côtés.

Backend (tripoli-api) :
- users.name, files.category (file/photo/backup), table notifications
  (migration 0002).
- POST /api/auth/guest : compte invité réel et réutilisé
  (invite@tripoli.local), pas une identité simulée côté frontend.
- GET /api/files?category=... , GET /api/notifications (+ read-all/
  {id}/read), GET /api/storage (used_bytes réel, available_bytes via
  statvfs - jamais un quota inventé).
- Notifications émises réellement sur upload/suppression.

Frontend (app/) :
- src/api/*.ts appellent réellement tripoli-api (plus de mockFetch).
- Upload réel (XHR, vraie progression), suppression avec bouton dédié,
  vraies miniatures photo (<img src="/api/files/:id">).
- Session restaurée au chargement (GET /api/auth/me), logout réel.
- Retiré plutôt que simulé : 2FA, clé de récupération, accès partagés,
  albums, dossiers, "4 appareils sauvegardés", chiffres marketing et
  claim AES-256 côté client sur la page de connexion (jamais vrai -
  remplacé par le vrai : HTTPS + Argon2).

Déploiement :
- Frontend construit et déployé sur le serveur (le build local échouait
  spécifiquement sur cette machine - rolldown/esbuild natif ne répondait
  plus, cause non résolue ; contourné en buildant sur le serveur, comme
  déjà fait pour les crates Rust).
- Caddy : /var/www/tripoli-cloud servi en statique pour tripoli.cloud,
  /api/*, /healthz, /metrics toujours proxyés vers tripoli-edge.
- Pipeline CI étendu : le job deploy construit et déploie maintenant
  aussi le frontend, via un script sudo dédié supplémentaire
  (tripoli-deploy-frontend.sh) sur le compte deploy sans privilège.
- Vérifié en navigateur réel (Chrome) : inscription, connexion, invité,
  upload avec progression, photos, sauvegardes, notifications,
  suppression, déconnexion - tous testés en conditions réelles.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/src/components/auth/AuthPanel.tsx

@@ -16,6 +16,7 @@ export function AuthPanel() {
     handleSubmit,
     continueAsGuest,
     loading,
+    error,
   } = useAuthForm();
 
   const isSignup = mode === 'signup';
@@ -29,7 +30,7 @@ export function AuthPanel() {
         {isSignup ? 'Créer votre espace' : 'Bon retour'}
       </h2>
       <p className="m-0 mb-6 text-[13.5px] text-white/55">
-        {isSignup ? 'Un coffre-fort chiffré, une seule clé : la vôtre.' : 'Déverrouillez votre coffre-fort.'}
+        {isSignup ? 'Créez votre compte en quelques secondes.' : 'Déverrouillez votre coffre-fort.'}
       </p>
 
       <div className="mb-6 flex gap-1 rounded-xl border border-white/8 bg-black/28 p-1">
@@ -54,6 +55,13 @@ export function AuthPanel() {
       </div>
 
       <form onSubmit={handleSubmit} className="flex flex-col gap-4">
+        {error && (
+          <div className="flex items-center gap-2 rounded-xl border border-danger/40 bg-danger/10 px-3.5 py-3 text-[13px] font-semibold text-danger">
+            <AlertCircle size={15} />
+            {error}
+          </div>
+        )}
+
         {isSignup && (
           <div className="flex flex-col gap-1.5">
             <label htmlFor="tc-name" className="text-[12.5px] font-semibold text-white/72">
@@ -155,7 +163,7 @@ export function AuthPanel() {
 
         <div className="mt-1.5 flex items-center gap-2.5 border-t border-white/10 pt-4 text-xs text-white/48">
           <ShieldCheck size={14} className="text-success" strokeWidth={2} />
-          Chiffrement AES-256 côté client — aucune donnée en clair sur le serveur.
+          Connexion chiffrée (HTTPS), mots de passe hachés (Argon2) — jamais stockés en clair.
         </div>
       </form>
     </div>