feat(sync): WebDAV sur l'APK, et le QR du poste qui le porte

Jeton "utilisateur:mot-de-passe" sur une URL ni Gitea ni GitHub = WebDAV,
authentification Basic. Fichier lu et ecrit tel quel ; l'ETag fait le sha
(If-None-Match, If-Match, 412 -> conflit). Clair autorise vers l'IP fixe du
poste seulement. Eprouve contre le WsgiDAV local : 304, PUT 204, puis
synchro du poste. Docs : CLAUDE.md, android-client/README.md (page eveillee
comprise).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

android-client/android-res/xml/network_security_config.xml

@@ -22,5 +22,9 @@
     <domain-config cleartextTrafficPermitted="true">
         <domain includeSubdomains="false">127.0.0.1</domain>
         <domain includeSubdomains="false">localhost</domain>
+        <!-- ponytail: WebDAV local du poste (IP fixe), en clair sur le Wi-Fi.
+             Le coffre reste chiffre ; le mot de passe WebDAV, lui, passe en
+             clair. A retirer quand le serveur parlera HTTPS. -->
+        <domain includeSubdomains="false">192.168.1.28</domain>
     </domain-config>
 </network-security-config>