fix(audit): sécurité + perf + DB — 40 problèmes adressés

SÉCURITÉ (CRITIQUE):
- link-preview: auth() obligatoire + filtre IP privées (SSRF fix)
- metrics: !metricsToken → 401 au lieu d'etre ouvert si token absent
- contextual-ai-chat: DOMPurify.sanitize() sur dangerouslySetInnerHTML (XSS fix)

PERFORMANCE:
- graph/route.ts: take:500 + orderBy updatedAt desc (pas de full table scan)
- syncAllEmbeddings: batch parallèle Promise.allSettled × 5 (pas séquentiel)
- 80 console.log supprimés du code production

BASE DE DONNÉES:
- Note: index contentUpdatedAt + isPublic ajoutés au schema
- DocumentChunk: commentaire index vectoriel HNSW (à exécuter manuellement)

memento-note/app/api/metrics/route.ts

@@ -7,12 +7,13 @@ export const dynamic = 'force-dynamic'
 export async function GET(req: Request) {
   // Secure endpoint with bearer token (METRICS_TOKEN env var)
   const metricsToken = process.env.METRICS_TOKEN
-  if (metricsToken) {
-    const authHeader = req.headers.get('authorization') ?? ''
-    const token = authHeader.startsWith('Bearer ') ? authHeader.slice(7) : ''
-    if (token !== metricsToken) {
-      return new NextResponse('Unauthorized', { status: 401 })
-    }
+  if (!metricsToken) {
+    return new NextResponse('Unauthorized', { status: 401 })
+  }
+  const authHeader = req.headers.get('authorization') ?? ''
+  const token = authHeader.startsWith('Bearer ') ? authHeader.slice(7) : ''
+  if (token !== metricsToken) {
+    return new NextResponse('Unauthorized', { status: 401 })
   }
 
   const lines: string[] = []