Sprint +18 #25 IV-9 — Rotation manuelle du secret HMAC d'un endpoint.

Sprint +18 #25 IV-9 — Rotation manuelle du secret HMAC d'un endpoint.

Génère un nouveau secret (`token_urlsafe(32)`), conserve l'ancien dans
`secret_previous` pour une **grace period** (le consumer signe encore
valid avec l'ancien jusqu'à la prochaine rotation). La prochaine
rotation programmée est planifiée à +90 jours (audit cyber PM-3).

Permission dédiée `webhooks:rotate_secret` (sub-agent #1 seed) — séparée
de `admin:settings` car action critique : rotater à mauvais escient
casse les intégrations consumer le temps qu'ils updatent leur config.
Step-up MFA ≤ 5 min obligatoire.

Réponse : `{secret: <new>, secret_rotated_at, next_rotation_due_at}`.
Le nouveau secret n'est retourné qu'une seule fois ici — l'admin DOIT
le copier maintenant (cf modèle WebhookEndpoint qui ne le réexpose plus).

R314 (audit iPaaS BUG-INT-7) — accepte `grace_hours` (body) pour
contrôler la fenêtre de validité du secret précédent (défaut 24h, max
168h = 7j). Réponse enrichie avec `secret_previous_expires_at`.

Permissions requises : webhooks:rotate_secret