v2 G3b · CSP bloquante après la mise en prod #300

Suite de #231 (G3, mergée dans la PR #298 : CSP en Report-Only sur le staging, violations remontées en source: csp vers /api/client-errors).

Décision du 12/10 : la prod part en Report-Only à la bascule (défaut de docker-compose.prod-v2.yml). Le mode bloquant se fait après la mise en prod, pour ne pas risquer de casser le jeu le jour J.

À faire (après la mise en prod)

• Une semaine sans violation csp dans Grafana en prod.
• Passer CSP_MODE=enforce dans .env.prod du VPS (et CSP_MODE: enforce dans docker-compose.staging.yml).
• Vérifier que le blind test fonctionne (lecture audio, pochettes, polices) une fois bloquante.

Terminé quand

La CSP est bloquante en prod, sans violation.

Part of #205