feat(luz): prod tire les images du registre Gitea + auto-déploiement Watchtower

Remplace les images locales « localhost/luz-*:latest » (ex-deploy.sh SSH, supprimé)
par « git.goutailler-olivier.com/luz/luz-*:latest » et ajoute le label
com.centurylinklabs.watchtower.enable=true sur backend et webapp. La prod suit
désormais le tag :latest (publié par la CI sur push main), séparée de dev-luz
(:develop). Met à jour le bandeau de tête en conséquence.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

luz/docker-compose.yml

@@ -3,9 +3,15 @@
 #   Frontend  : https://luz.goutailler-olivier.com        → webapp (nginx :80)
 #   Backend   : https://luz.goutailler-olivier.com/api    → backend Spring (:8080)
 #
-# Déployé par le script Luz/script/deploy.sh prod (transfert direct des images en
-# SSH, sans registre). Les images sont buildées en local puis chargées sur le
-# serveur sous les tags « localhost/luz-*:latest » — d'où l'absence de « build ».
+# Images tirées du registre Gitea (git.goutailler-olivier.com/luz/luz-*:latest),
+# publiées par la CI (client/app/.gitea/workflows/images.yml) UNIQUEMENT sur un push
+# « main » — d'où la séparation avec dev-luz (qui suit le tag « develop »). Le
+# redéploiement est automatique : les conteneurs portent le label
+# watchtower.enable=true, donc Watchtower (../watchtower/) tire la nouvelle image et
+# les recrée. Plus de transfert SSH ni de deploy.sh.
+#
+# Prérequis : le serveur (root) doit être « docker login git.goutailler-olivier.com »
+# une fois, sinon Watchtower ne peut pas tirer les images privées de l'org luz.
 #
 # PAS de profil « dev » : Flyway applique les migrations, la base est PERSISTANTE
 # (bind sous ${DATA_PATH}/luz/db_data), les données ne sont jamais réinitialisées.
@@ -35,7 +41,7 @@ services:
       - luz-net
 
   backend:
-    image: localhost/luz-backend:latest
+    image: git.goutailler-olivier.com/luz/luz-backend:latest
     container_name: luz-backend
     restart: unless-stopped
     depends_on:
@@ -53,6 +59,7 @@ services:
       - luz-net
       - proxy
     labels:
+      - com.centurylinklabs.watchtower.enable=true
       - traefik.enable=true
       - traefik.http.routers.luz-backend.rule=Host(`luz.goutailler-olivier.com`) && PathPrefix(`/api`)
       - traefik.http.routers.luz-backend.entrypoints=websecure
@@ -61,7 +68,7 @@ services:
       - traefik.docker.network=proxy
 
   webapp:
-    image: localhost/luz-webapp:latest
+    image: git.goutailler-olivier.com/luz/luz-webapp:latest
     container_name: luz
     restart: unless-stopped
     depends_on:
@@ -71,6 +78,7 @@ services:
     networks:
       - proxy
     labels:
+      - com.centurylinklabs.watchtower.enable=true
       - traefik.enable=true
       - traefik.http.routers.luz.rule=Host(`luz.goutailler-olivier.com`)
       - traefik.http.routers.luz.entrypoints=websecure