feat: Connexion utilisateur avec sécurité renforcée

Implémente la Story 1.4 du système d'authentification avec plusieurs
couches de protection contre les attaques par force brute.

Sécurité backend :
- Authentification JWT avec access token (15min) + refresh token (7j)
- Rotation automatique des refresh tokens avec détection de replay
- Rate limiting progressif par IP (délai Fibonacci après échecs)
- Intégration Cloudflare Turnstile CAPTCHA après 5 tentatives
- Alerte email à l'utilisateur après blocage temporaire
- Isolation multi-tenant (un utilisateur ne peut se connecter que sur
  son établissement)

Frontend :
- Page de connexion avec feedback visuel des délais et erreurs
- Composant TurnstileCaptcha réutilisable
- Gestion d'état auth avec stockage sécurisé des tokens
- Tests E2E Playwright pour login, tenant isolation, et activation

Infrastructure :
- Configuration Symfony Security avec json_login + jwt
- Cache pools séparés (filesystem en test, Redis en prod)
- NullLoginRateLimiter pour environnement de test (évite blocage CI)
- Génération des clés JWT en CI après démarrage du backend

backend/config/packages/cache.yaml

@@ -14,6 +14,16 @@ framework:
                 adapter: cache.adapter.filesystem
                 default_lifetime: 0 # Pas d'expiration
 
+            # Pool dédié aux refresh tokens (7 jours TTL max)
+            refresh_tokens.cache:
+                adapter: cache.adapter.filesystem
+                default_lifetime: 604800 # 7 jours
+
+            # Pool dédié au rate limiting (15 min TTL)
+            cache.rate_limiter:
+                adapter: cache.adapter.filesystem
+                default_lifetime: 900 # 15 minutes
+
 when@prod:
     framework:
         cache:
@@ -30,3 +40,11 @@ when@prod:
                     adapter: cache.adapter.redis
                     provider: '%env(REDIS_URL)%'
                     default_lifetime: 0 # Pas d'expiration
+                refresh_tokens.cache:
+                    adapter: cache.adapter.redis
+                    provider: '%env(REDIS_URL)%'
+                    default_lifetime: 604800 # 7 jours
+                cache.rate_limiter:
+                    adapter: cache.adapter.redis
+                    provider: '%env(REDIS_URL)%'
+                    default_lifetime: 900 # 15 minutes