Sauvegardes : dump avant migration, fichiers en 077, chiffrement age avant envoi

deploy.sh sauvegarde la base dans $BACKUP_ROOT/pre-migration quand prisma migrate
status signale un écart, garde les 10 derniers dumps et s'arrête si pg_dump échoue.
backup.sh crée ses fichiers en umask 077 et, si BACKUP_AGE_RECIPIENT est renseigné,
n'envoie sur S3 que des copies chiffrées avec age. Commentaires sur les polices
du frontend mis à jour (deploy.sh, ci.yml).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.github/workflows/ci.yml

@@ -71,7 +71,7 @@ jobs:
       - name: Tests
         run: npm test
 
-      # Le build lit les polices dans ../frontend/src/assets, présentes dans le dépôt.
+      # Le build ne lit que landing/ : aucune police n'est prise dans ../frontend.
       - name: Build
         run: npm run build