docs: documentation + gate de phase compose, fin Phase 2 (v0.14.0)

docs/need-review.md (cycle complet : états, sursis, gatekeeper, cron,
review, rollback). CHLOVA_PHASE dans .env.example + compose (défaut 1).
risk-tiers + README : application par phase. Compose revalidé, 45 tests,
0 vuln.

Palier de risque : n/a (doc + config).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -18,7 +18,9 @@ MCP_N8N_AUTH_TOKEN=                  # SECRET — auth du serveur MCP n8n
 # ── MCP Portainer (portainer/portainer-mcp) ────────────────────────────
 PORTAINER_URL=https://portainer:9443 # interne uniquement
 PORTAINER_MCP_AUTH_TOKEN=            # SECRET — token Portainer à portée RESTREINTE
-PORTAINER_READ_ONLY=true             # Phase 1 : LECTURE SEULE — ne pas passer à false
+# Phase 1 : DOIT rester true (le boot échoue sinon). Phase 2 : peut passer false
+# pour autoriser les écritures Portainer (sous gatekeeper + review).
+PORTAINER_READ_ONLY=true
 MCP_PORTAINER_URL=http://mcp-portainer:3000
 
 # ── Surface Telegram (Phase 1) ─────────────────────────────────────────
@@ -28,6 +30,9 @@ TELEGRAM_ALLOWED_USER_IDS=           # liste d'IDs autorisés, séparés par vir
 # ── Backend CHLOVA ─────────────────────────────────────────────────────
 CHLOVA_ENV=development               # development | production
 CHLOVA_LOG_LEVEL=info
-CHLOVA_DB_PATH=./data/chlova.db      # SQLite : table assets (need-review, P2+)
+# Gate de phase : 1 = lecture seule (défaut, fail-safe) ; 2 = écriture sous
+# gatekeeper + cycle need-review. Toute valeur autre que "2" retombe sur 1.
+CHLOVA_PHASE=1
+CHLOVA_DB_PATH=./data/chlova.db      # SQLite : table assets (need-review, Phase 2)
 # Phase 1 : aucun port publié (Telegram en long-polling). Renseigné en P3+ si API/UI.
 # CHLOVA_HTTP_PORT=8080