refactor(db): drop cleartext template refs, fix ghost columns + fresh-DB schema

Migration verified (0 unmigrated cleartext templates across both accounts)
before contracting:
- GET/POST/PUT/bulk no longer read or write the cleartext template column
  (only template_enc/iv); the PUT partial-update gate stays keyed on the
  'template' JSON key presence.
- Removed AddColumnIfMissing for template AND tags/title — those two had
  silently re-added the dropped columns as empty ghosts at every start.
- CREATE TABLE: removed site/username NOT NULL cleartext columns — a FRESH
  database rejected the very first INSERT (which no longer ships them).

User can now DROP COLUMN template (and re-drop the ghost tags/title).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

CLAUDE.md

@@ -465,9 +465,11 @@ la nouvelle clé (JS loop `ENCRYPTED_META_FIELDS` + UPDATE serveur).
 batch) — historiquement le serveur le préservait via `LHasTemplate` (clé
 absente). Pour garder ce contrat, `withEncryptedMeta` **skippe un champ absent
 de l'objet** (`if (!(f in obj)) continue`) au lieu de synthétiser un `_enc` vide
-qui ferait wiper le template stocké. La colonne clair `template` est **gardée**
-(fallback migration : `decryptEntryMeta` préfère `_enc`, retombe sur le clair)
-— pas encore DROP comme les 4 autres.
+qui ferait wiper le template stocké. La colonne clair `template` a été **DROP**
+comme les 4 autres (migration vérifiée 0 restant sur les 2 comptes, refs code
+retirées le 2026-07-11). Piège appris au passage : retirer aussi le
+`AddColumnIfMissing` de toute colonne droppée, sinon elle **revient vide** au
+prochain démarrage (c'était le cas de `tags`/`title`).
 **Le `?q=` serveur est neutralisé** (site+username chiffrés → LIKE inutile ;
 le front cherche côté client). **La validation « Site required » serveur est
 retirée** (site='' quand chiffré) — le client la fait. `folder` reste en clair