ci(r0.13): déploiement continu Dokploy — instance siop2.apps.enset.top

- job deploy : webhook Dokploy appelé sur push main uniquement si les
  5 jobs CI sont verts ; skip explicite tant que DOKPLOY_WEBHOOK_URL
  n'est pas configuré
- runbook : instance de démonstration ENSET, checklist de déploiement
  manuel depuis GitHub (§3) et mise en place du CD (§4)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.github/workflows/ci.yml

@@ -155,3 +155,26 @@ jobs:
           name: playwright-report
           path: apps/web/playwright-report/
           retention-days: 7
+
+  # Déploiement continu (runbook §4) : Dokploy reconstruit et redéploie le
+  # compose UNIQUEMENT quand les 5 verrous sont verts sur main. Le webhook
+  # vit dans le secret DOKPLOY_WEBHOOK_URL (Dokploy → service compose →
+  # Deployments → Webhook URL) ; tant qu'il n'est pas configuré, le job
+  # se termine en « skip » sans faire échouer le pipeline.
+  deploy:
+    name: deploy (Dokploy — siop2.apps.enset.top)
+    if: github.event_name == 'push' && github.ref == 'refs/heads/main'
+    needs: [lint, contract, api, web, e2e]
+    runs-on: ubuntu-latest
+    environment: production
+    steps:
+      - name: Déclencher le déploiement Dokploy
+        env:
+          WEBHOOK_URL: ${{ secrets.DOKPLOY_WEBHOOK_URL }}
+        run: |
+          if [ -z "$WEBHOOK_URL" ]; then
+            echo "::notice::DOKPLOY_WEBHOOK_URL absent — déploiement sauté (configurer le secret pour activer le CD)."
+            exit 0
+          fi
+          curl -fsS -X POST "$WEBHOOK_URL"
+          echo "Déploiement déclenché — suivi : Dokploy → Deployments."