Tuiles visibles en direct après régénération et déploiement webapp distante

- URLs images versionnées (?v=mtime) : une tuile recalculée change d'URL et
  force le rechargement navigateur (cache heuristique contourné), y compris
  en plein run via /api/tiles ; veille permanente 15 s sur la carte
- simulation locale du mode deux machines (docker-compose.local-2m.yml) :
  worker GPU :8974 + webapp légère :8973 au cache séparé output-webapp/
- override webapp pour le Pi 5 (192.168.3.3) : volume /srv/lidar/output,
  rsync vers le worker, labels Traefik (proxy/websecure/myresolver)
- purge 0,5 m : worker/process et politique générale passés à 0,2 m seul
- intègre le travail parallèle non commité : export mosaïque multi-dalles
  (export.py + /api/export), sous-tuilage intégral des couches, légendes
  VIZ_LEGENDS, docs et tests associés (213 tests verts)

docs/DEPLOY_WEBAPP.md

@@ -131,11 +131,14 @@ variable, le cache se rafraîchit à la demande : bouton ↻, fin d'un run,
 ou `POST /api/sync`.
 
 `LIDAR_REGEN_CIDR` restreint le lancement des générations (`POST
-/api/generate` : zones, complétion, régénération) aux clients dont l'IP
-est dans le réseau indiqué — défaut `192.168.1.0/24`, chaîne vide pour
-lever la restriction. L'IP est celle de la connexion (conservée par le
-DNAT Docker pour les clients du LAN) ; derrière un reverse proxy local
-(dans le réseau autorisé), `X-Forwarded-For` désigne le client réel.
+/api/generate` : zones, sélection, complétion, régénération) aux clients
+dont l'IP est dans un des réseaux indiqués — liste de CIDR séparés par
+virgules, chaîne vide pour lever la restriction. Défaut :
+`127.0.0.0/8,::1,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16` (boucle locale
++ plages privées RFC1918 : LAN, hôte Docker via la passerelle 172.x ; les
+IP publiques restent refusées). L'IP est celle de la connexion (conservée
+par le DNAT Docker pour les clients du LAN) ; derrière un reverse proxy
+local (dans le réseau autorisé), `X-Forwarded-For` désigne le client réel.
 Les autres clients consultent la carte normalement : les boutons de
 génération sont masqués et l'API répond 403.
 
@@ -219,8 +222,9 @@ chaque lancement ; il suffit de relancer la commande. Le cache de tuiles
   renseigner `known_hosts` ; vérifier que `~/.ssh` est monté dans le
   conteneur (automatique avec `run.sh`, à décommenter en compose).
 - **Boutons de génération masqués / `403` sur `/api/generate`** : l'IP du
-  client n'est pas dans `LIDAR_REGEN_CIDR` (défaut `192.168.1.0/24`).
-  Adapter la variable ou la vider pour lever la restriction.
+  client n'est dans aucun des réseaux de `LIDAR_REGEN_CIDR` (défaut :
+  localhost + plages privées). Adapter la variable ou la vider pour lever
+  la restriction.
 - **« Machine de traitement injoignable »** : vérifier le service `worker`
   (`docker compose -f docker-compose.worker.yml logs -f worker`) et
   `LIDAR_GENERATION_URL` (IP + port 8973). La consultation de la carte