fix(audit): sécurité + perf + DB — 40 problèmes adressés

SÉCURITÉ (CRITIQUE):
- link-preview: auth() obligatoire + filtre IP privées (SSRF fix)
- metrics: !metricsToken → 401 au lieu d'etre ouvert si token absent
- contextual-ai-chat: DOMPurify.sanitize() sur dangerouslySetInnerHTML (XSS fix)

PERFORMANCE:
- graph/route.ts: take:500 + orderBy updatedAt desc (pas de full table scan)
- syncAllEmbeddings: batch parallèle Promise.allSettled × 5 (pas séquentiel)
- 80 console.log supprimés du code production

BASE DE DONNÉES:
- Note: index contentUpdatedAt + isPublic ajoutés au schema
- DocumentChunk: commentaire index vectoriel HNSW (à exécuter manuellement)

memento-note/app/api/user/api-keys/verify/route.ts

@@ -45,7 +45,6 @@ export async function GET(request: NextRequest) {
   try {
     const result: FetchModelsResult = await fetchLiveModelsForProvider(provider, apiKey, baseUrl);
 
-    console.log(`[verify] ${provider}: fromApi=${result.fromApi}, models=${result.models.length}`, result.models);
 
     // Only consider key valid if we got models from the REAL API (not fallbacks)
     // Exception: Anthropic/Google/custom don't guarantee public /models endpoints, so we accept fallbacks for them