Protéger les secrets Ansible avec Vault

Le mot de passe de la base est en clair dans ~/infra/group_vars/db/vars.yml (db_password: Pr0d!Db2026).

1. Déplacez-le dans group_vars/db/vault.yml sous le nom vault_db_password
2. Dans vars.yml, référencez-le : db_password: "{{ vault_db_password }}" (convention : on voit qu'une variable vient du coffre)
3. Chiffrez vault.yml : ansible-vault encrypt group_vars/db/vault.yml --vault-password-file ~/.vault_pass (depuis ~/infra)
4. ~/.vault_pass doit avoir les droits 600 et être ignoré par Git (.gitignore de ~/infra)