Initial commit: MKV → AVI web app (Docker + Keycloak OIDC)

- App FastAPI : recherche dans un dossier média, download original ou
  conversion en AVI Xvid (tone-mapping HDR→SDR, audio FR auto, MP3 stéréo)
- Auth Keycloak OIDC (Authlib) optionnelle
- 3 composes : app seule, stack local (keycloak.local), production (NPM)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.prod.example

@@ -0,0 +1,27 @@
+# Config PRODUCTION — copier en .env.prod puis remplir, JAMAIS committer .env.prod
+#   cp .env.prod.example .env.prod
+#   docker compose --env-file .env.prod -f docker-compose.prod.yml up -d --build
+
+# --- Dossiers ---
+MEDIA_DIR=/mnt/pool-r440/films        # dataset des films (monté en lecture seule)
+OUTPUT_DIR=/mnt/pool-r440/mkv2avi-out # dataset de sortie des AVI
+
+# --- Ports publiés (ce que NPM va cibler sur l'IP de l'hôte) ---
+KC_HTTP_PORT=8080
+APP_HTTP_PORT=8090
+
+# --- Secrets à générer (openssl rand -hex 32) ---
+OIDC_CLIENT_SECRET=REMPLACER_par_le_secret_du_client_keycloak
+SESSION_SECRET=REMPLACER_par_openssl_rand_hex_32
+
+# --- Comptes Keycloak / base ---
+KC_ADMIN=admin
+KC_ADMIN_PASSWORD=REMPLACER_mot_de_passe_admin_fort
+KC_DB_PASSWORD=REMPLACER_mot_de_passe_postgres_fort
+
+# --- Conversion ---
+MAX_WORKERS=1
+
+# ⚠️ IMPORTANT : le secret du client dans keycloak/realm-mkv2avi.json ("secret")
+#    doit être identique à OIDC_CLIENT_SECRET ci-dessus. Change les deux ensemble
+#    (ou régénère le secret dans la console Keycloak après le 1er démarrage).