feat(api): API externe de rapprochement BL / factures

Nouvelle API sous /api/ext/v1, authentifiée par clé (EXTERNAL_API_KEYS,
en-tête X-API-Key ou Authorization: Bearer), pour qu'un outil tiers
lise magasins, fournisseurs et livraisons livrées (n° BL) puis écrive
la référence, les montants et l'échéance de la facture, avec
validation/dévalidation optionnelle du rapprochement.

- normalizeDateString extrait dans server/dateUtils.ts pour être partagé
- /api/ext/ exempté du CSRF (pas de cookie de session)
- EXTERNAL_API_KEYS ajouté à .env.example et docker-compose.yml
- documentation : docs/API-RAPPROCHEMENT.md

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/security.ts

@@ -50,6 +50,7 @@ export function setupCsrfProtection(app: Express) {
     const csrfExemptPaths = [
       '/api/health',
       '/api/webhook', // External webhook callbacks
+      '/api/ext/', // API externe : authentifiée par clé d'API, sans cookie de session
     ];
 
     if (csrfExemptPaths.some(path => req.path.startsWith(path))) {