Accès staging

Même identifiants que la protection Vercel (variables STAGING_BASIC_AUTH_*).

Vérifier /api/health · JSON sans cookie (smoke test)