Sécuriser un pipeline CI/CD

L'audit du workflow ~/app/.github/workflows/deploy.yml relève plusieurs failles. Corrigez-les :

1. Le mot de passe du registre est en clair : utilisez ${{ secrets.REGISTRY_PASSWORD }} (et ${{ secrets.REGISTRY_USER }})
2. Une étape affiche le secret (echo) : supprimez-la
3. Le jeton a tous les droits : ajoutez permissions: contents: read au niveau du workflow
4. L'action tierce acme-tools/deploy-action@main suit une branche : épinglez-la sur le SHA 8f3c2a1b7e9d4f6a0c5b8e2d1f7a9c3b6e4d0f2a
5. Le déploiement doit utiliser l'environnement protégé production (environment: production)

Validez avec actionlint (depuis ~/app).