fix: auto-update corrige — tag, robustesse UpdateManager, .env securise

- Supprime .env du tracking git (token expose) + ajout .gitignore
- UpdateManager : timeout download 60s, validation root par version.json,
  erreur si fichiers requis manquants, drain response sur redirect,
  gestion redirects 3xx, protection double-clic, logging erreurs
- UpdateBanner : log erreur dans le .catch au lieu de silencieux
- release.sh : tag cree localement avant push pour eviter desync

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

src/renderer/scripts/UpdateBanner.js

@@ -92,7 +92,9 @@ const UpdateBanner = {
         obj_btn_close.classList.add("d-none");
 
         window.api.apply_update(UpdateBanner.str_pending_tag)
-            .catch(() => {});
+            .catch((obj_err) => {
+                console.error("UpdateBanner: apply_update echoue :", obj_err);
+            });
     },
 
     _show_progress: (str_step, nb_percent) => {