fix(cli): --fail-if-cer-above accepte une fraction (cohérent avec mean_cer)

feat(sprint-A16): build Docker reproductible (digest + lock file) — clôture M-2

fix(ci): pre-commit hooks + pip-audit (security scanner)

docs(audit): plan de remédiation 15 sprints vers niveau BnF/BL

docs(audit): ajout §9 — état de SPECS.md et README.md

docs(audit): rapport d'audit institutionnel BnF (mai 2026)