fix: auto-update corrige — tag, robustesse UpdateManager, .env securise

- Supprime .env du tracking git (token expose) + ajout .gitignore
- UpdateManager : timeout download 60s, validation root par version.json,
  erreur si fichiers requis manquants, drain response sur redirect,
  gestion redirects 3xx, protection double-clic, logging erreurs
- UpdateBanner : log erreur dans le .catch au lieu de silencieux
- release.sh : tag cree localement avant push pour eviter desync

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

release.sh

@@ -75,11 +75,13 @@ EOF
 fi
 
 ############################################
-# Commit + push
+# Commit + tag local + push
 ############################################
 git add package.json version.json
 git commit -m "chore: release ${TAG}" || true
+git tag -a "${TAG}" -m "Release ${TAG}"
 git push
+git push origin "${TAG}"
 
 ############################################
 # Build
@@ -151,4 +153,4 @@ done
 
 echo ""
 echo "==> Release publiee : ${GITEA_URL}/${OWNER}/${REPO}/releases"
-echo "Done!"
+echo "Done!"