Renouveler le bail vivant d'un runner

Authentifie le runner par le certificat et l'enveloppe Ed25519 signée du corps, puis exige messageType runner.lease.heartbeat, scopeType RUNNER, scopeId égal au runnerId authentifié et le scope commands.claim. Le payload suit RunnerHeartbeatPayload. La réponse est une enveloppe signée par le control plane, liée à la requête ; un bail expiré n'est jamais ranimé. Aucune authentification HTTP n'est utilisée.