Sécurisation de l'API et refonte des tests backend

- helmet et express-rate-limit sur les routes d'authentification
- CORS restreint aux origines de FRONTEND_URL
- CSP désactivée uniquement sur /api-docs pour Swagger UI
- ajout du test de tirage et simplification du test e2e
- suppression de tests/setup.js devenu inutile

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

frontend/src/services/admin.js

@@ -41,7 +41,6 @@ export async function getEmailingContactsApi() {
 
 export async function getWinnerApi() {
   const res = await fetch('/api/admin/draw', { headers: authHeaders() })
-  if (res.status === 404) return null
   const data = await res.json()
   if (!res.ok) throw apiError(data.message || 'Erreur gagnant.', res.status)
   return data