Initial commit: MKV → AVI web app (Docker + Keycloak OIDC)

- App FastAPI : recherche dans un dossier média, download original ou
  conversion en AVI Xvid (tone-mapping HDR→SDR, audio FR auto, MP3 stéréo)
- Auth Keycloak OIDC (Authlib) optionnelle
- 3 composes : app seule, stack local (keycloak.local), production (NPM)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -0,0 +1,23 @@
+# Copier en .env et adapter :  cp .env.example .env
+
+# Dossiers
+MEDIA_DIR=/Volumes/data/films        # dossier des films (monté en lecture seule)
+OUTPUT_DIR=./output                  # où atterrissent les AVI convertis
+
+# --- Authentification Keycloak (OIDC) ---
+# Laisser OIDC_ISSUER vide pour DÉSACTIVER l'auth (dev local).
+# Issuer = URL du realm (sans slash final)
+OIDC_ISSUER=https://keycloak.mondomaine.fr/realms/mon-realm
+OIDC_CLIENT_ID=mkv2avi
+OIDC_CLIENT_SECRET=colle-le-secret-du-client-ici
+
+# Optionnel : forcer l'URL de callback (sinon déduite de la requête)
+# Doit être déclarée dans "Valid redirect URIs" du client Keycloak.
+OIDC_REDIRECT_URI=https://mkv2avi.mondomaine.fr/auth/callback
+# Optionnel : où revenir après déconnexion (à déclarer dans "Valid post logout redirect URIs")
+OIDC_POST_LOGOUT_REDIRECT_URI=https://mkv2avi.mondomaine.fr/
+
+# Secret de signature des cookies (générer : openssl rand -hex 32)
+SESSION_SECRET=change-moi-avec-openssl-rand-hex-32
+# Mettre true si l'app est servie en HTTPS (derrière Nginx Proxy Manager en TLS)
+SESSION_HTTPS_ONLY=true