Base de travail V7.8 reprise du répertoire de travail

Commit technique : reproduit à l'identique l'état non commité de la copie
de travail (sécurisation V7.8, CSP à nonce, Session, migration des droits)
afin que le travail d'ergonomie qui suit soit isolable.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docker-compose.yml

@@ -38,6 +38,9 @@ services:
       PTA_DB_NAME: ${DB_NAME:-pta}
       PTA_DB_USER: ${DB_USER:-pta}
       PTA_DB_PASS: ${DB_PASSWORD:-change_me}
+      # Aucun détail technique n'est renvoyé au navigateur tant que ce drapeau
+      # n'est pas explicitement passé à 1. Ne jamais l'activer en production.
+      PTA_DEBUG: ${PTA_DEBUG:-0}
       TZ: ${TZ:-Europe/Paris}
     depends_on:
       db:
@@ -66,12 +69,15 @@ services:
     environment:
       PMA_HOST: db
       PMA_PORT: 3306
-      PMA_USER: ${DB_USER:-pta}
-      PMA_PASSWORD: ${DB_PASSWORD:-change_me}
+      # PMA_USER / PMA_PASSWORD sont volontairement absents : leur présence fait
+      # basculer phpMyAdmin en auth_type=config, c'est-à-dire une session déjà
+      # authentifiée pour quiconque atteint le port. Sans eux, phpMyAdmin exige
+      # un identifiant et un mot de passe MariaDB à chaque connexion.
       UPLOAD_LIMIT: 64M
       TZ: ${TZ:-Europe/Paris}
     ports:
-      # Par défaut phpMyAdmin n'est accessible que depuis la machine hôte.
+      # phpMyAdmin n'écoute que sur la boucle locale. Pour y accéder à distance,
+      # passer par un tunnel SSH (voir README_DOCKER.md).
       - "${PMA_BIND:-127.0.0.1}:${PMA_PORT:-8081}:80"
     depends_on:
       db: