docs: fige le chemin endpoint MCP natif n8n /mcp-server/http (v0.15.1)

Confirme MCP_N8N_URL = .../mcp-server/http (hôte interne préféré, URL
publique TLS possible + egress du domaine). Note egress dans networks.md.

Palier de risque : n/a (doc).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

infra/networks.md

@@ -25,7 +25,8 @@
 ## Egress (pare-feu)
 - Politique par défaut : **deny**.
 - Autoriser : `ollama.com` (proxy cloud), et `api.telegram.org` quand la surface
-  Telegram est active.
+  Telegram est active. Si le MCP n8n est joint via son **domaine public** (au lieu
+  de l'hôte interne), autoriser aussi ce domaine (endpoint `/mcp-server/http`, TLS).
 - À appliquer au niveau hôte (iptables/nftables ou réseau Docker dédié) ; documenté
   ici, mis en œuvre côté infra serveur (hors dépôt si géré par l'hôte).