feat(mod_reqin_log): fingerprinting HTTP/2 passif (Akamai format)

Ajoute un filtre d'entrée de connexion (AP_FTYPE_CONNECTION, APR_HOOK_LAST)
qui s'insère entre mod_ssl et mod_http2 pour lire de manière non-destructive
le preface HTTP/2 (RFC 9113 §3.4) et en extraire :

- h2_fingerprint    : fingerprint Akamai complet
                      ex. '1:65536,2:0,4:6291456,6:262144|15663105|0|m,a,s,p'
- h2_settings_fp    : entrées SETTINGS brutes  (ex. '1:65536,4:6291456')
- h2_window_update  : incrément WINDOW_UPDATE  (ex. '15663105')
- h2_pseudo_order   : ordre des pseudo-headers (ex. 'm,a,s,p' Chrome,
                                                     'm,p,s,a' Firefox)

Technique : lecture spéculative AP_MODE_SPECULATIVE (non-destructive)
de 512 octets — la donnée reste disponible pour mod_http2. Le filtre
se retire de la chaîne après la première invocation.

Stockage dans c->notes (H2_NOTE_*) puis émission JSON dans log_request().
ClickHouse : 4 nouvelles colonnes dans http_logs + JSONExtract dans mv_http_logs.
Migration pour déploiements existants : 04_http2_fields.sql.
14 tests unitaires (cmocka) couvrent Chrome/Firefox/HTTP1/troncature/HPACK.

Co-authored-by: Copilot <223556219+Copilot@users.noreply.github.com>

shared/clickhouse/04_mv_http_logs.sql

@@ -89,6 +89,12 @@ CREATE TABLE IF NOT EXISTS ja4_logs.http_logs
     `anubis_bot_action`   LowCardinality(String) DEFAULT '',
     `anubis_bot_category` LowCardinality(String) DEFAULT '',
 
+    -- Fingerprint HTTP/2 passif (mod_reqin_log connection filter)
+    `h2_fingerprint`   String                 CODEC(ZSTD(3)) DEFAULT '',
+    `h2_settings_fp`   String                 CODEC(ZSTD(3)) DEFAULT '',
+    `h2_window_update` UInt32                 DEFAULT 0,
+    `h2_pseudo_order`  LowCardinality(String) DEFAULT '',
+
     -- Index bloom_filter sur src_ip : les requêtes WHERE src_ip = X sautent
     -- les granules qui ne contiennent pas cette IP (~90% des granules en pratique).
     -- Taux de faux positifs 1% (0.01) : bon compromis taille / efficacité.
@@ -192,6 +198,12 @@ SELECT
         nullIf(dictGetOrDefault('ja4_processing.dict_anubis_ip', 'category', _ip, ''), ''),
         nullIf(dictGetOrDefault('ja4_processing.dict_anubis_asn', 'category', _asn, ''), ''),
         ''
-    ) AS anubis_bot_category
+    ) AS anubis_bot_category,
+
+    -- Fingerprint HTTP/2 passif : champs émis par mod_reqin_log si HTTP/2 détecté
+    coalesce(JSONExtractString(raw_json, 'h2_fingerprint'),  '') AS h2_fingerprint,
+    coalesce(JSONExtractString(raw_json, 'h2_settings_fp'),  '') AS h2_settings_fp,
+    toUInt32(coalesce(JSONExtractUInt(raw_json, 'h2_window_update'), 0)) AS h2_window_update,
+    coalesce(JSONExtractString(raw_json, 'h2_pseudo_order'), '') AS h2_pseudo_order
 
 FROM ja4_logs.http_logs_raw;