Add make release (pre-release by default) and release signing key support (0.9.2)

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/specs/decisions.md

@@ -438,3 +438,9 @@ Les corrections et les dictées CE1/CE2 n'ont pas révélé d'autre problème ;
 **Son sur la version web (0.9.1)** : Godot 4.6 joue par défaut les sons du web en mode « échantillon » (Web Audio direct), qui ignore les bus créés à l'exécution (Music/Effects) et leurs volumes. Réglage `audio/general/default_playback_type.web = Stream` : le son passe par le moteur audio comme sur bureau. **Non vérifié** : aucun navigateur avec sortie audio dans l'environnement de développement ; à tester à la main (premier clic requis par le navigateur avant tout son).
 
 **Lancement de la version web (0.9.2)** : `make serve-web` (export puis serveur local sur 127.0.0.1, ouverture du navigateur) et, dans l'archive ChromeOS, `lancer-web.sh` / `lancer-web.bat` / `lancer-web.py`. Retour de test manuel de l'utilisateur : Linux, Android et web fonctionnent ; Windows, macOS et ChromeOS restent à tester. README, cahier des charges (public CE1 à CM2, 7–11 ans) et listes de contrôle mis à jour pour CM1/CM2.
+
+**Publication des versions (0.9.2)** — le dépôt est public (AGPL-3.0). Choix validé par l'utilisateur : cible `make release` (choix B), pas de CI pour l'instant.
+
+- **Release** : `tools/release.sh` exige la branche `main` à jour de `origin`, un arbre propre, un tag `vX.Y.Z` inexistant, `make check` vert, puis `make package`, vérifie `SHA256SUMS`, refuse un APK signé avec la clé de débogage Godot, crée le tag annoté et la Release **pre-release** (tant que les enseignants n'ont pas validé le contenu ; `STABLE=1` ensuite). `make release-dry-run` fait tout sauf tag et publication.
+- **Clé de publication Android** : générée localement (RSA 4096, validité 10000 jours, alias `aventuriers`), hors dépôt : `~/.local/share/aventuriers-des-mots/release.keystore` ; identifiants dans `~/.config/aventuriers-des-mots/release.env` (droits 600). **À sauvegarder hors de la machine** : une clé perdue ne se remplace pas, et changer de clé oblige les appareils à désinstaller avant de réinstaller. `make export-android` la lit automatiquement ; sans elle, repli sur la clé de débogage (essais locaux seulement).
+- **Contrôle des secrets avant ouverture** : historique complet relu (fichiers, motifs de clés/jetons/mots de passe, chemins personnels) : rien. Seule donnée personnelle : l'adresse e-mail de l'auteur dans les métadonnées des commits et dans ce fichier (décision de l'utilisateur).