feat(agent): activation zéro-config – config Headscale envoyée par le serveur

- Agent: URL serveur par défaut, node_id auto-généré, config Headscale vide par défaut
- Serveur: lors de l’activation, renvoie headscaleUrl + headscaleAuthKey
- Agent: sauvegarde la config reçue et démarre Tailscale automatiquement
- docker-compose.yml: passe HEADSCALE_URL et HEADSCALE_AUTH_KEY au service server
- Mise à jour du suivi avec le flow zéro-config

SUIVI_VPN_ONDEMAND.md

@@ -23,6 +23,11 @@
 5. **Instance WordPress démarrée avec succès**
    - Le resolver a renvoyé une 302 WordPress via `http://resolver:2020/`.
 
+6. **Activation zéro-config de l’agent (modèle commercialisable)**
+   - L’agent démarre sans `headscale_url` ni `headscale_auth_key`.
+   - L’utilisateur entre seulement un code d’activation.
+   - Le serveur envoie la config Headscale, l’agent la sauvegarde et démarre le VPN automatiquement.
+
 ## ✅ Blocage levé
 
 **Rate limit Let’s Encrypt pour `edudeploy.com` est levé.**  
@@ -181,27 +186,41 @@ cd /opt/studioe5-client-a/agent
 
 Le `build.sh` génère automatiquement `studioE5-agent-v0.3.0-windows.zip` et copie les binaires versionnés dans `server/public/`.
 
-### Configuration minimale Windows
+### Flow d’activation zéro-config (modèle commercialisable)
 
-1. Extraire `studioE5-agent-v0.3.0-windows.zip` dans `C:\studioE5-agent`.
-2. Créer le dossier `C:\studioE5-agent\data`.
-3. Créer `C:\studioE5-agent\data\studioE5-config.json` :
-   ```json
-   {
-     "server": "wss://studioe5.edudeploy.com/api/websocket",
-     "headscale_url": "https://headscale.studioe5.edudeploy.com",
-     "headscale_auth_key": "CLE_PREAUTH_ICI",
-     "node_id": "IDENTIFIANT_DU_POSTE",
-     "data_dir": "C:\\studioE5-agent\\data"
-   }
-   ```
-4. Lancer l’agent en mode console :
-   ```powershell
-   .\studioE5-agent.exe -no-tray -data-dir C:\studioE5-agent\data
-   ```
+L’élève/employé n’a **aucune configuration technique** à saisir :
+
+1. **Télécharger** l’agent Windows (`studioE5-agent-v0.3.0-windows.zip`).
+2. **Extraire** et **lancer** `studioE5-agent.exe`.
+3. **Entrer le code d’activation** à 6 caractères fourni par l’établissement (affiché dans l’UI locale `http://localhost:7070`).
+4. L’agent contacte le serveur, le serveur vérifie le code et renvoie **automatiquement** :
+   - l’identité de l’élève (`studentName`)
+   - l’URL Headscale
+   - la clé pré-auth Headscale
+5. L’agent sauvegarde ces informations localement et **démarre automatiquement le VPN**.
+6. L’agent est alors visible dans le dashboard et peut recevoir des instances.
+
+### Configuration manuelle (mode debug / admin)
+
+Si besoin, on peut toujours forcer une config via `data/studioE5-config.json` :
+
+```json
+{
+  "server": "wss://studioe5.edudeploy.com/api/websocket",
+  "headscale_url": "https://headscale.studioe5.edudeploy.com",
+  "headscale_auth_key": "CLE_PREAUTH_ICI",
+  "node_id": "IDENTIFIANT_DU_POSTE",
+  "data_dir": "C:\\studioE5-agent\\data"
+}
+```
 
 > ⚠️ `headscale_auth_key` doit être une clé pré-auth réutilisable valide pour le tailnet studioe5. Ne jamais commiter cette clé.
 
+Lancement :
+```powershell
+.\studioE5-agent.exe -no-tray -data-dir C:\studioE5-agent\data
+```
+
 ## 📋 Prochaines étapes à faire
 
 - [x] ~~Attendre la fin du rate limit Let’s Encrypt~~ (levé le 2026-06-23).