fix(deploy): make policy decisions server authoritative

[Tetrax]

Résumé

• traite uniquement FF2-01, FF2-04 et FF2-15 ;
• rend le backend autoritaire et fail-closed sur les décisions de policy ;
• conserve action, logs, NAT et profils jusqu’à la CLI ;
• crée exactement les services nommés lorsque le tuple observé est unique ;
• ajoute la matrice de régression backend ciblée.

Périmètre du commit

• app/web/lib/forticonfig.js
• app/web/public/app.js
• app/web/server.js
• app/web/test/backend-policy-decisions.test.js

Les modifications locales préexistantes suivantes sont volontairement exclues : app/web/public/style.css, le plan Hermes, drawer-layout.test.js et dynamic-service-compatibility.test.js.

Vérification

• 76/76 tests dans le checkout de validation ;
• 47/47 tests sur l’arbre exact du commit, sans fichiers exclus ;
• 76/76 tests dans l’image Docker de validation ;
• smoke HTTP nominal/global/range : 200 ;
• options/scope/range/interface forgés : 422 ;
• git diff --check et docker compose config --quiet : OK ;
• contre-review indépendante finale : PASS.

Hors périmètre / findings restant ouverts

• policy affinity source/destination/service ;
• XSS ;
• VDOM ;
• ECMP ;
• configuration tronquée ;
• limites d’upload.

Aucun déploiement n’est autorisé avant la fin de la CI et une validation séparée.