feat: Provisionner automatiquement un nouvel établissement

Lorsqu'un super-admin crée un établissement via l'interface, le système
doit automatiquement créer la base tenant, exécuter les migrations,
créer le premier utilisateur admin et envoyer l'invitation — le tout
de manière asynchrone pour ne pas bloquer la réponse HTTP.

Ce mécanisme rend chaque établissement opérationnel dès sa création
sans intervention manuelle sur l'infrastructure.

deploy/vps/Caddyfile

@@ -1,6 +1,16 @@
-{$APP_DOMAIN} {
+# Domaine principal et sous-domaines wildcard (multi-tenant)
+# Caddy provisionne automatiquement les certificats TLS via Let's Encrypt.
+# Le wildcard nécessite un DNS challenge : configurer CADDY_DNS_PROVIDER
+# et les credentials DNS dans les variables d'environnement.
+
+{$APP_DOMAIN}, *.{$APP_DOMAIN} {
     encode zstd gzip
 
+    # Le certificat wildcard nécessite un DNS challenge
+    tls {
+        dns {$CADDY_DNS_PROVIDER:cloudflare} {$CADDY_DNS_API_TOKEN}
+    }
+
     handle /api/* {
         reverse_proxy php:8000
     }