feat(agent): packaging Windows + téléchargement HTTPS

- Téléchargement des binaires Tailscale Windows via download-tailscale-bins.sh
- Build Windows/Linux via build.sh avec génération d’archive zip
- Caddyfile : serve les agents en HTTPS sous /studioE5-agent*
- .gitignore : ignore agent/tailscale-bin/
- Documentation du téléchargement dans SUIVI_VPN_ONDEMAND.md

SUIVI_VPN_ONDEMAND.md

@@ -155,6 +155,53 @@ Test réalisé le 2026-06-23 en utilisant le compte superadmin :
 
 Le flux `UI → API → WebSocket → agent → Docker → VPN → Caddy → HTTPS public` est fonctionnel.
 
+## 💻 Téléchargement de l’agent
+
+L’agent est servi par Caddy depuis le dossier `agent/` monté dans le conteneur Caddy (`./agent:/usr/share/caddy/agent`).
+
+### Binaires disponibles
+
+- **Windows (archive complète)** : `https://studioe5.edudeploy.com/studioE5-agent-v0.3.0-windows.zip`
+  - Contient `studioE5-agent.exe` + `tailscale-bin/windows/` (`tailscale.exe`, `tailscaled.exe`, `wintun.dll`) + `README-Windows.txt`.
+- **Windows (exécutable seul)** : `https://studioe5.edudeploy.com/studioE5-agent-v0.3.0.exe`
+  - Nécessite d’avoir installé Tailscale Windows séparément ou d’avoir les binaires dans `tailscale-bin/windows/`.
+- **Linux** : `https://studioe5.edudeploy.com/studioE5-agent-v0.3.0`
+
+### Builder / préparer les binaires
+
+```bash
+cd /opt/studioe5-client-a/agent
+
+# 1. Télécharger les binaires Tailscale Windows (nécessite msitools)
+./download-tailscale-bins.sh 1.98.4
+
+# 2. Builder l’agent pour Windows et Linux (macOS nécessite CGO)
+./build.sh
+```
+
+Le `build.sh` génère automatiquement `studioE5-agent-v0.3.0-windows.zip` et copie les binaires versionnés dans `server/public/`.
+
+### Configuration minimale Windows
+
+1. Extraire `studioE5-agent-v0.3.0-windows.zip` dans `C:\studioE5-agent`.
+2. Créer le dossier `C:\studioE5-agent\data`.
+3. Créer `C:\studioE5-agent\data\studioE5-config.json` :
+   ```json
+   {
+     "server": "wss://studioe5.edudeploy.com/api/websocket",
+     "headscale_url": "https://headscale.studioe5.edudeploy.com",
+     "headscale_auth_key": "CLE_PREAUTH_ICI",
+     "node_id": "IDENTIFIANT_DU_POSTE",
+     "data_dir": "C:\\studioE5-agent\\data"
+   }
+   ```
+4. Lancer l’agent en mode console :
+   ```powershell
+   .\studioE5-agent.exe -no-tray -data-dir C:\studioE5-agent\data
+   ```
+
+> ⚠️ `headscale_auth_key` doit être une clé pré-auth réutilisable valide pour le tailnet studioe5. Ne jamais commiter cette clé.
+
 ## 📋 Prochaines étapes à faire
 
 - [x] ~~Attendre la fin du rate limit Let’s Encrypt~~ (levé le 2026-06-23).
@@ -163,7 +210,7 @@ Le flux `UI → API → WebSocket → agent → Docker → VPN → Caddy → HTT
 - [x] ~~Tester le flux complet depuis l’interface web~~ → **OK** via l’API authentifiée (`POST /api/instances`), instance `cmqqgrur20001lw67t2bdgzkg` accessible en HTTPS public.
 - [ ] **Obtenir un certificat wildcard** pour `*.studioe5.edudeploy.com` (voir étude ci-dessous).
 - [ ] **Nettoyer les instances/agent de test** une fois le wildcard en place et le push effectué.
-- [ ] **Packager les binaires Tailscale pour Windows** dans `agent/tailscale-bin/windows/`.
+- [x] ~~Packager les binaires Tailscale pour Windows~~ → **OK**, `download-tailscale-bins.sh` + `studioE5-agent-v0.3.0-windows.zip` prêt.
 - [ ] **Nettoyer les anciens nodes/volumes Headscale** créés pendant les tests.
 - [ ] **Documenter la procédure de mise en production** pour le client A (config agent, clés Headscale, ports, etc.).