Convertit les endpoints de présence en POST (anti CSRF trivial)

GET /presence/{token}/arrivee et /depart modifiaient l'état (save_presence,
append_log) : c'est anti-pattern REST, CSRF-trivial via <img src="..."> si
le token fuite, et le token se retrouvait dans les logs reverse-proxy,
l'historique navigateur et les referrers.

Les deux routes passent en POST. C'est un breaking change pour les clients
Tasker actuels, mais Tasker supporte HTTP POST nativement et la doc
docs/notifications.md est mise à jour (Tasker : HTTP Request méthode POST ;
script NetworkManager : curl -X POST).

Les tests existants qui utilisaient client.get(...) sur ces routes passent
en client.post(...). Un nouveau test vérifie que le GET renvoie désormais
405 Method Not Allowed et que le POST continue de fonctionner.

💘 Generated with Crush

Assisted-by: Crush:glm-5.2

docs/notifications.md

@@ -32,10 +32,10 @@ contiennent un token secret, ne les partage pas.
    coupe la géolocalisation quand l'app n'est pas au premier plan).
 3. Crée un profil : **Trigger → Location** → renseigne l'adresse/coordonnées
    du bureau et un rayon (~100–150 m) → événement **Enter**.
-   Tâche associée : **Net → HTTP Request**, méthode `GET`, URL = ton lien
+   Tâche associée : **Net → HTTP Request**, méthode `POST`, URL = ton lien
    **Arrivée** (copié depuis `/settings`).
 4. Crée un second profil symétrique : même géofence, événement **Exit**,
-   tâche HTTP GET vers ton lien **Départ**.
+   tâche HTTP POST vers ton lien **Départ**.
 
 ### 3. Vérifier
 
@@ -86,10 +86,10 @@ current_ssid=$(nmcli -t -f active,ssid dev wifi | grep '^yes' | cut -d: -f2)
 
 case "$2" in
   up)
-    [ "$current_ssid" = "$BUREAU_SSID" ] && curl -fsS "$URL_ARRIVEE"
+    [ "$current_ssid" = "$BUREAU_SSID" ] && curl -fsS -X POST "$URL_ARRIVEE"
     ;;
   down)
-    [ "$current_ssid" != "$BUREAU_SSID" ] && curl -fsS "$URL_DEPART"
+    [ "$current_ssid" != "$BUREAU_SSID" ] && curl -fsS -X POST "$URL_DEPART"
     ;;
 esac
 ```