docs(prod-setup): ajoute KMS_MASTER_KEY (chiffrement enveloppe tenantCredentials)

Découvert par Alex lors du test E2E « Sauvegarder les credentials Uber Direct
sur test-t1 » → erreur Convex « KMS_MASTER_KEY is not set ». Variable
oubliée du setup dev initial. Set sur dev `impartial-goshawk-798`
(`openssl rand -base64 32`).

Doc PROD-SETUP étend la section Convex backend avec une rubrique dédiée
« Chiffrement enveloppe » signalant 3 choses critiques pour prod :
  1. La var est OBLIGATOIRE (sans elle, `setUberCredentials` et toute
     mutation qui touche `tenantCredentials` jette).
  2. La générer = `openssl rand -base64 32` (= AES-256, exactement 32
     bytes décodés).
  3. La rotation DÉTRUIT les credentials déjà chiffrés (puisque la clé
     déchiffrante change) → re-saisir chaque tenant via la page admin
     Uber Direct a posteriori.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

Author: alexpmichelet

docs/ops/PROD-SETUP-CHECKLIST.md

@@ -91,6 +91,12 @@ Setter via `npx convex env set <KEY> <VALUE>` depuis `packages/backend/`.
 | `STRIPE_SECRET_KEY`     | Secret key plateforme Stripe (server-side) | `sk_test_...`        | ⚠️ `sk_live_...`         |
 | `STRIPE_WEBHOOK_SECRET` | Signing secret du webhook Stripe → Convex  | ✅ set (`whsec_...`) | ⚠️ webhook prod distinct |
 
+### Chiffrement enveloppe (tenant credentials)
+
+| Variable         | Rôle                                                                                                                                                                 | Dev    | Prod                                                                                                                                                                                                       |
+| ---------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
+| `KMS_MASTER_KEY` | Master key AES-256 (base64, exactement 32 bytes) pour `lib/crypto.envelope`. Chiffre les `tenantCredentials` (Uber Direct creds aujourd'hui ; futurs PSP/POS aussi). | ✅ set | 🚨 **OBLIGATOIRE — REGÉNÉRER**. Sans elle, `setUberCredentials` jette `KMS_MASTER_KEY is not set`. Génération : `openssl rand -base64 32`. Rotation = perte des creds chiffrées (re-saisir chaque tenant). |
+
 ### Web push (VAPID)
 
 | Variable            | Rôle                                        | Dev                               | Prod                                       |