feat(api) : gérer les clés de l'API externe depuis Paramètres (#570)

Nouvel onglet Paramètres > API externe (admin) : état de l'API, adresse,
création d'une clé nommée par outil (affichée une seule fois), liste avec
dernière utilisation, révocation immédiate.

- table external_api_keys (empreinte SHA-256 uniquement), créée par
  migrations.production.ts et init.sql
- l'API accepte les clés de Paramètres et toujours celles de
  EXTERNAL_API_KEYS ; 503 seulement si aucune clé active
- routes /api/external-api/keys (session + admin)
- documentation et .env.example mis à jour

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JrRFddV2BaqDCxGY1j52UJ

.env.example

@@ -32,6 +32,7 @@ ENCRYPTION_KEY=
 EMERGENCY_SECRET=
 
 # API externe de rapprochement BL / factures (docs/API-RAPPROCHEMENT.md).
-# Une ou plusieurs clés séparées par des virgules ; vide = API désactivée.
+# Les clés se créent de préférence dans Paramètres > API externe. Optionnel :
+# une ou plusieurs clés supplémentaires ici, séparées par des virgules.
 # Générer une clé : node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
 EXTERNAL_API_KEYS=