chore(security): harden .gitignore against secret leaks

review.md

@@ -144,6 +144,11 @@ En terminal interactif (VS Code), `migrate dev` fonctionne normalement (taper `y
 - Champs internes désormais masqués : `microsoftId`, timestamps, FK brutes, `numeroInventaire`/`numeroSerie`.
 - Vérifié au runtime sur `/me`, `/materiels`, `/mes-emprunts`.
 
+### Étape 18 — Durcissement du .gitignore (sécurité)
+- Trou comblé : `**/.env` ne couvrait pas les variantes (`.env.local`, `.env.production`...). Ajout de `**/.env.*` avec exception `!**/.env.example`.
+- Préventif : clés/certificats (`*.pem`, `*.key`, `*.crt`, `*.cert`, `*.pfx`, `*.p12`) pour Azure AD/TLS à venir ; dumps de base (`*.bak`, `*.dump`) ; `**/coverage/` ; `*.tsbuildinfo`.
+- Vérifié : aucun secret n'était déjà suivi ; les vrais `.env` restent ignorés ; `.env.example` (placeholders) reste versionné.
+
 ---
 
 ## Dette technique en attente
@@ -159,4 +164,4 @@ En terminal interactif (VS Code), `migrate dev` fonctionne normalement (taper `y
 
 ---
 
-*Dernière mise à jour : 2026-06-22 — DTO de sortie en place sur les 3 endpoints de lecture.*
+*Dernière mise à jour : 2026-06-22 — Durcissement .gitignore (sécurité secrets).*