TP — pipeline build + scan + push registry

Assembler une pipeline GitHub Actions complète qui build avec cache, scanne avec Trivy, signe avec cosign et publie sur GHCR.