sec: retirer pip de l’image de production

[sayouba2]

L'image d'exécution héritait de pip 26.2.1 et de ses bibliothèques embarquées. Trivy détecte quatre vulnérabilités élevées dans msgpack 1.1.2, setuptools 70.3.0 et urllib3 2.7.0, alors que les dépendances de production du virtualenv sont installées dans une étape distincte.

Cette PR désinstalle pip et retire intégralement le bootstrap ensurepip de l'étape d'exécution. L'outillage reste disponible dans l'étape de construction, et les installations de production continuent d'utiliser uv.lock avec --locked --no-dev.

Closes #14

Validation

• Contrôles pre-commit applicables réussis, dont Gitleaks ; git diff --check réussi.
• Aucun changement de seuil, exclusion ou paramètre Trivy.
• CI du commit 531ac1e : construction de l'image et scan Trivy réussis ; démarrage de l'API et scan OWASP ZAP réussis. Ces vérifications ont été exécutées sur GitHub Actions, le socket Docker local étant inaccessible à cette session.
• Les contrôles Django, pip-audit, web, SAST, Gitleaks et nom de branche réussissent également.
• Seul l'audit npm mobile reste en échec. Au 11 octobre 2026, les avis braces et node-forge n'indiquent aucune version corrigée. Les correctifs proposés en amont (braces #87, forge #1152) ne sont pas encore fusionnés. Cette PR ne modifie pas les dépendances du mobile.

Vérifications de sécurité

• Aucun secret ajouté aux fichiers modifiés.
• Suppression complète des composants inutilisés, y compris leur code et leur bootstrap.
• Aucun contrôle CI ou pre-commit affaibli.
• Documentation d'architecture mise à jour.
• Scan Trivy réussi et API démarrée en CI ; scan OWASP ZAP réussi.
• CI complète verte.
• Relecture et approbation humaine.

Références : échec Trivy initial, bibliothèques embarquées dans pip 26.2.1.