Façade Rust, lot 2 : interface, authentification et /api/ping

L'interface (index, marked, service worker, manifeste, polices) est
désormais servie par loki-rs, embarquée par build.rs depuis la même source
que le go:embed — les deux binaires d'un build servent la même UI. Mêmes
en-têtes de cache que le Go, gzip à la première demande puis gardé en
mémoire, jamais sur les polices ni en HEAD.

L'authentification de pilotage est portée à l'identique (requireWebAuth,
crossSiteReject, localHostName, Bearer en temps constant, mêmes messages,
mêmes codes) ; les cas de TestCrossSiteReject sont repris un pour un. La
clé est demandée à l'API interne du Go à chaque requête ; si elle ne
répond pas proprement, la façade ferme (503). /api/ping est la première
route authentifiée servie par Rust.

Le jeton de l'API interne est tiré au hasard à chaque démarrage et passé
au Go par l'environnement. La façade rend 404 sur /internal/* venu de
l'extérieur et efface X-Loki-Internal entrant avant tout relais.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

rust/loki-rs/src/lib.rs

@@ -1,9 +1,13 @@
-//! loki-rs — façade Rust de Loki (lot 1 de la migration Go → Rust).
+//! loki-rs — façade Rust de Loki (migration Go → Rust par lots).
 //!
 //! - `proxy` : façade HTTP/SSE/WebSocket devant le serveur Go ;
 //! - `child` : supervision du processus `loki web` (Go) ;
+//! - `ui` : UI web statique embarquée (lot 2) ;
+//! - `auth` : authentification de l'API de pilotage (lot 2) ;
 //! - `update` : mise à jour des binaires au démarrage du conteneur.
 
+pub mod auth;
 pub mod child;
 pub mod proxy;
+pub mod ui;
 pub mod update;