feat: Connexion utilisateur avec sécurité renforcée

Implémente la Story 1.4 du système d'authentification avec plusieurs
couches de protection contre les attaques par force brute.

Sécurité backend :
- Authentification JWT avec access token (15min) + refresh token (7j)
- Rotation automatique des refresh tokens avec détection de replay
- Rate limiting progressif par IP (délai Fibonacci après échecs)
- Intégration Cloudflare Turnstile CAPTCHA après 5 tentatives
- Alerte email à l'utilisateur après blocage temporaire
- Isolation multi-tenant (un utilisateur ne peut se connecter que sur
  son établissement)

Frontend :
- Page de connexion avec feedback visuel des délais et erreurs
- Composant TurnstileCaptcha réutilisable
- Gestion d'état auth avec stockage sécurisé des tokens
- Tests E2E Playwright pour login, tenant isolation, et activation

Infrastructure :
- Configuration Symfony Security avec json_login + jwt
- Cache pools séparés (filesystem en test, Redis en prod)
- NullLoginRateLimiter pour environnement de test (évite blocage CI)
- Génération des clés JWT en CI après démarrage du backend

backend/src/Administration/Domain/Exception/TokenAlreadyRotatedException.php

@@ -0,0 +1,23 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Administration\Domain\Exception;
+
+use RuntimeException;
+
+/**
+ * Exception thrown when a refresh token has already been rotated but is still in grace period.
+ *
+ * This is a benign condition during multi-tab race conditions - the client should use
+ * the newer token. The cookie should NOT be cleared in this case.
+ *
+ * @see Story 1.4 - Connexion utilisateur
+ */
+final class TokenAlreadyRotatedException extends RuntimeException
+{
+    public function __construct()
+    {
+        parent::__construct('Token already rotated, use new token');
+    }
+}

backend/src/Administration/Domain/Exception/TokenReplayDetectedException.php

@@ -0,0 +1,33 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Administration\Domain\Exception;
+
+use App\Administration\Domain\Model\RefreshToken\TokenFamilyId;
+use RuntimeException;
+
+use function sprintf;
+
+/**
+ * Exception levée quand un replay attack sur un refresh token est détecté.
+ *
+ * Cette exception indique qu'un token déjà utilisé a été présenté à nouveau,
+ * suggérant que le token a été volé et utilisé par un attaquant.
+ *
+ * Quand cette exception est levée :
+ * - Toute la famille de tokens est invalidée
+ * - L'utilisateur doit se reconnecter
+ * - Un audit log doit être créé
+ * - Une alerte de sécurité peut être envoyée
+ */
+final class TokenReplayDetectedException extends RuntimeException
+{
+    public function __construct(
+        public readonly TokenFamilyId $familyId,
+    ) {
+        parent::__construct(
+            sprintf('Token replay attack detected for family %s. All tokens in family have been invalidated.', $familyId),
+        );
+    }
+}