Deploiement Hetzner : script de redeploiement et generation sure du .env

- deploy/deploy.sh : rsync + build distant + attente du healthcheck.
  Le build tourne sur le serveur, la machine de dev n'a pas besoin d'un
  JDK 21 et la difference d'architecture arm64/x86_64 disparait.

- .env.example : la procedure recommandait un `sed -i s/CHANGEME/.../`
  global. Le motif apparaissant aussi dans le commentaire au-dessus, le
  mot de passe genere s'y recopiait en clair. Remplace par un append
  cible sur la seule ligne DB_PASSWORD.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.example

@@ -1,5 +1,11 @@
-# Copier en .env et renseigner avant le premier demarrage :
-#   cp .env.example .env && sed -i "s/CHANGEME/$(openssl rand -hex 24)/" .env
+# Generer le .env avant le premier demarrage :
+#
+#   grep -v '^DB_PASSWORD=' .env.example > .env
+#   printf 'DB_PASSWORD=%s\n' "$(openssl rand -hex 24)" >> .env
+#   chmod 600 .env
+#
+# Ne pas faire un sed global sur CHANGEME : le motif apparait aussi dans ce
+# commentaire, et le mot de passe genere s'y retrouverait en clair.
 
 # Mot de passe PostgreSQL. Obligatoire : le compose refuse de demarrer sans.
 DB_PASSWORD=CHANGEME