Durcissement ANSSI (module SécurixOS) sur toutes les machines de la flotte

- vendor modules/anssi/ depuis SécurixOS (DINUM), copy-paste explicitement
  supporté par son propre README, licence MIT
- hosts/common/base.nix: security.anssi.enable, level=intermediary,
  category=client -- remplace le bloc sysctl qui n'existait que sur le
  profil oreo (nixos_users), même valeurs, rien de plus fort
- garde systemd.coredump.enable=false + apparmor (pas couvert par le
  module ANSSI, exception R45 explicite côté Sécurix)
- ip_forward=0 (R12) n'affecte pas pxe-server, qui n'importe pas ce fichier

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

modules/anssi/README.md

@@ -0,0 +1,15 @@
+<!--
+SPDX-FileCopyrightText: 2026 Ryan Lahfa <ryan.lahfa@numerique.gouv.fr>
+
+SPDX-License-Identifier: MIT
+-->
+
+# ANSSI compliance module
+
+This is a self-contained NixOS implementation of <https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-relatives-un-systeme-gnulinux>.
+It can be copy-pasted outside of Sécurix for your own needs.
+
+> Vendored verbatim depuis [SécurixOS](https://github.com/cloud-gouv/securix)
+> (`modules/anssi/`, alpha) le 2026-09-09, tel que suggéré par ce README
+> ("can be copy-pasted outside of Sécurix"). Ne pas éditer ces fichiers
+> directement : en cas de correctif, le reprendre depuis Sécurix.