Pipeliner Client

Spec dev-ready (spec_ref posé). Proxy backend mince `owned_project` pour les SOUPs (appelle UNIQUEMENT l'aggregator ; gardes _normalize_* → 200 enveloppe vide jamais 500). Dépend de #42.

Proxy backend SOUPs implémenté (TDD) et passé en QA.

Deux routes `owned_project` minces sur le routeur projet, n'appelant QUE l'aggregator (`AGGREGATOR_URL`) — jamais DTracker/Trivy en direct :
- `GET /projects/{id}/soups` → proxifie `GET /api/projects/{key}/soups` (enveloppe : `risk_level, total_vulnerabilities, by_severity, components[top-10], top_3_critical, suppressions, generated_at, report_url`).
- `GET /projects/{id}/soups/report` → renvoie le rapport (CycloneDX SBOM / findings) en téléchargement, `Content-Type` + `Content-Disposition: attachment` transmis.

Garde de dégradation (gotcha #2) : `_normalize_soups` stampe la `key` demandée et défaute chaque champ (`risk_level="unknown"` — jamais un faux « down », gotcha #6 ; compteurs à 0 ; pas de composants) → `/soups` renvoie une enveloppe vide schéma-valide en 200, jamais un 500. `/soups/report` sur aggregator dégradé renvoie un 404 propre (sans corps), jamais un 500.

Gate vert via `api/.venv` : `pytest -q` 458 passed / 2 skipped (×2 sur pgvector éphémère + `alembic upgrade head`), `ruff check .` OK, `mypy src` OK.

Branche : `feat/43-soups-proxy`
PR (vers `dev`) : https://github.com/omdev-tech/PipeLiner-Client/pull/30

NB : le module frontend « SOUPs Management » est le ticket distinct #44.

Shipped en prod (dashboard master #66). Proxy backend owned_project `/api/projects/{id}/soups` + `/soups/report` (aggregator-only, dégradé→200 vide/404). Conteneurs prod recréés 23:14.