Frontend et backend entièrement réels : plus aucune donnée simulée

À la demande explicite de l'utilisateur après avoir constaté que
tripoli.cloud affichait un 404 vide (le frontend n'avait jamais été
déployé) : déploiement du frontend, puis remplacement complet des
mocks par de vraies données, des deux côtés.

Backend (tripoli-api) :
- users.name, files.category (file/photo/backup), table notifications
  (migration 0002).
- POST /api/auth/guest : compte invité réel et réutilisé
  (invite@tripoli.local), pas une identité simulée côté frontend.
- GET /api/files?category=... , GET /api/notifications (+ read-all/
  {id}/read), GET /api/storage (used_bytes réel, available_bytes via
  statvfs - jamais un quota inventé).
- Notifications émises réellement sur upload/suppression.

Frontend (app/) :
- src/api/*.ts appellent réellement tripoli-api (plus de mockFetch).
- Upload réel (XHR, vraie progression), suppression avec bouton dédié,
  vraies miniatures photo (<img src="/api/files/:id">).
- Session restaurée au chargement (GET /api/auth/me), logout réel.
- Retiré plutôt que simulé : 2FA, clé de récupération, accès partagés,
  albums, dossiers, "4 appareils sauvegardés", chiffres marketing et
  claim AES-256 côté client sur la page de connexion (jamais vrai -
  remplacé par le vrai : HTTPS + Argon2).

Déploiement :
- Frontend construit et déployé sur le serveur (le build local échouait
  spécifiquement sur cette machine - rolldown/esbuild natif ne répondait
  plus, cause non résolue ; contourné en buildant sur le serveur, comme
  déjà fait pour les crates Rust).
- Caddy : /var/www/tripoli-cloud servi en statique pour tripoli.cloud,
  /api/*, /healthz, /metrics toujours proxyés vers tripoli-edge.
- Pipeline CI étendu : le job deploy construit et déploie maintenant
  aussi le frontend, via un script sudo dédié supplémentaire
  (tripoli-deploy-frontend.sh) sur le compte deploy sans privilège.
- Vérifié en navigateur réel (Chrome) : inscription, connexion, invité,
  upload avec progression, photos, sauvegardes, notifications,
  suppression, déconnexion - tous testés en conditions réelles.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

tripoli-api/README.md

@@ -19,14 +19,19 @@ implémentations RustCrypto).
 | Route | Auth | Rôle |
 |---|---|---|
 | `GET /healthz` | non | ping PostgreSQL |
-| `POST /api/auth/register` | non | `{email, password}` -> crée le compte + session |
+| `POST /api/auth/register` | non | `{name, email, password}` -> crée le compte + session |
 | `POST /api/auth/login` | non | `{email, password}` -> session |
+| `POST /api/auth/guest` | non | connecte (crée si besoin) le compte invité réel `invite@tripoli.local` |
 | `POST /api/auth/logout` | oui | invalide la session |
 | `GET /api/auth/me` | oui | utilisateur courant |
-| `GET /api/files` | oui | fichiers de l'utilisateur courant |
-| `POST /api/files` | oui | upload multipart, champ `file` |
+| `GET /api/files` | oui | fichiers de l'utilisateur courant, `?category=file\|photo\|backup` |
+| `POST /api/files` | oui | upload multipart, champs `file` et `category` (optionnel) |
 | `GET /api/files/{id}` | oui | téléchargement (vérifie la propriété) |
 | `DELETE /api/files/{id}` | oui | suppression (vérifie la propriété) |
+| `GET /api/notifications` | oui | notifications de l'utilisateur (émises par upload/suppression) |
+| `POST /api/notifications/read-all` | oui | marque tout comme lu |
+| `POST /api/notifications/{id}/read` | oui | marque une notification comme lue |
+| `GET /api/storage` | oui | `used_bytes` (somme réelle des fichiers), `available_bytes` (`statvfs`) |
 
 ## Stockage
 
@@ -66,8 +71,18 @@ client - le corps de la requête part effectivement au fil de l'eau.
   jamais affiché dans un terminal).
 - tripoli-api tourne en systemd (`deploy/tripoli-api.service`) sous le même
   utilisateur système sans privilège `tripoli` que tripoli-edge.
-- Les migrations (`migrations/0001_init.sql`) s'appliquent automatiquement
-  au démarrage (`sqlx::migrate!`).
+- Les migrations (`migrations/*.sql`) s'appliquent automatiquement au
+  démarrage (`sqlx::migrate!`) - `0002_full_features.sql` ajoute `name`
+  aux utilisateurs, `category` aux fichiers, et la table
+  `notifications`.
+
+## Compte invité
+
+"Visiter en tant qu'invité" se connecte à un compte réel
+(`invite@tripoli.local`), créé une seule fois puis réutilisé - jamais
+une identité simulée côté frontend. Son mot de passe est un UUID
+aléatoire jamais communiqué : personne ne peut s'y connecter autrement
+qu'en passant par `POST /api/auth/guest`.
 
 ## Vérifié en production