build(r0.13): Dockerfiles api/web + compose Dokploy + runbook — R0 prêt à déployer

- image api : multi-stage (pnpm deploy --legacy --prod), client Prisma
  régénéré dans l'arborescence déployée, binaryTargets explicites
  (debian/arm64 openssl-3), entrypoint migrate deploy → seed optionnel
  (SEED_ON_START, compilé dist/seed) → API ; non-root, healthcheck /health
- image web : nginx alpine, statique Vite, proxy /api résolu À LA REQUÊTE
  (resolver Docker + variable — nginx démarre sans l'API), fallback SPA,
  cache immuable /assets, healthcheck IPv4 (127.0.0.1)
- infra/docker-compose.dokploy.yml : 5 services préfixés siop2-, secrets
  exigés, seul siop2-web rejoint dokploy-network (API jamais exposée)
- runbook docs/06-production/runbook-dokploy.md : topologie, profils
  d'environnement, checklist première prod, rollback, répétition locale
- répétition locale validée de bout en bout : migrate+seed au boot,
  parcours demo-login → /users/me à travers nginx conteneurisé, conteneurs
  healthy ; le double verrou ADR-002 (DEMO_MODE sans I_KNOW en production)
  a refusé de démarrer — observé en situation réelle
- prisma passe en dépendance de production (migrations au boot)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

apps/web/Dockerfile

@@ -0,0 +1,25 @@
+# SIOP V2 — image web (React statique derrière nginx).
+# Contexte de build : RACINE du monorepo (docker build -f apps/web/Dockerfile .)
+
+FROM node:24-slim AS builder
+RUN corepack enable
+WORKDIR /repo
+
+COPY package.json pnpm-lock.yaml pnpm-workspace.yaml ./
+COPY packages/shared/package.json packages/shared/package.json
+COPY apps/web/package.json apps/web/package.json
+RUN pnpm install --frozen-lockfile --filter @siop/web --filter @siop/shared
+
+COPY packages/shared packages/shared
+COPY apps/web apps/web
+RUN pnpm --filter @siop/shared build && pnpm --filter @siop/web build
+
+FROM nginx:1.29-alpine
+# Cible du proxy /api — surchargée par le compose (réseau interne)
+ENV API_UPSTREAM=siop2-api:3000
+COPY apps/web/nginx/default.conf.template /etc/nginx/templates/default.conf.template
+COPY --from=builder /repo/apps/web/dist /usr/share/nginx/html
+EXPOSE 80
+# 127.0.0.1 et non localhost : busybox wget tente ::1 alors que nginx écoute en IPv4
+HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
+  CMD wget -q -O /dev/null http://127.0.0.1/ || exit 1