feat: squelette orchestrateur TS fail-closed (v0.5.0)

Bootstrap backend Phase 1 : config zod fail-closed (refuse de démarrer
sans secret ; verrou lecture seule Portainer ; secrets masqués), logger
pino + journal d'audit, Dockerfile multi-stage non-root base épinglée,
vitest. Deps épinglées, npm audit 0 vuln, typecheck vert.

Palier de risque : reversible (aucune écriture branchée).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

CHANGELOG.md

@@ -6,6 +6,15 @@ incompatibles. Chaque ligne renvoie à un commit dédié (un artefact = un commi
 
 ## [Unreleased]
 
+## [0.5.0] — 2026-06-23  — début Phase 1 (cerveau lecture seule)
+### Added
+- Squelette orchestrateur TS (Node 22, ESM strict, Fastify) : `config.ts`
+  fail-closed (zod, verrou `assertReadOnlyPhase`, `redactedConfig`),
+  `audit/log.ts` (pino + journal d'exécutions), `index.ts` (bootstrap +
+  healthcheck interne), `Dockerfile` multi-stage (base épinglée, user non-root),
+  `vitest.config.ts`, `orchestrator/README.md`.
+- Dépendances **épinglées**, `npm audit` à 0 vulnérabilité.
+
 ## [0.4.0] — 2026-06-23  — fin Phase 0 (socle)
 ### Added
 - `infra/docker-compose.yml` : stack CHLOVA — Ollama (proxy cloud, interne +