Deploiement Hetzner : script de redeploiement et generation sure du .env

- deploy/deploy.sh : rsync + build distant + attente du healthcheck.
  Le build tourne sur le serveur, la machine de dev n'a pas besoin d'un
  JDK 21 et la difference d'architecture arm64/x86_64 disparait.

- .env.example : la procedure recommandait un `sed -i s/CHANGEME/.../`
  global. Le motif apparaissant aussi dans le commentaire au-dessus, le
  mot de passe genere s'y recopiait en clair. Remplace par un append
  cible sur la seule ligne DB_PASSWORD.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -219,8 +219,8 @@ marche sur la première requête.
 ### Tout en conteneurs
 
 ```bash
-cp .env.example .env
-sed -i '' "s/CHANGEME/$(openssl rand -hex 24)/" .env   # macOS ; sinon sed -i
+grep -v '^DB_PASSWORD=' .env.example > .env
+printf 'DB_PASSWORD=%s\n' "$(openssl rand -hex 24)" >> .env && chmod 600 .env
 
 docker compose up -d --build
 docker compose logs -f app