chore: settle the public domain and move off port 3000

The application is published at horaires.ita-ito.com. One origin serves
both the panel and the browser, so the OIDC callback, the image URL the
device is handed and the documentation all follow from this single name.

Port 3000 is already taken by the facture_ocr stack on the development
machine, so the app listens on 3010 there and the reason is written next
to the setting rather than left to be rediscovered.

The fixtures and the frozen payload snapshot move to the real domain too:
a contract snapshot carrying a hostname that never existed is a small
puzzle left for whoever reads it next.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012cSY9pVhZmJUKNN7wf1Myd

.env.example

@@ -9,8 +9,10 @@
 # Nom de domaine public de l'app sur le VPS. Un seul domaine sert à la fois
 # l'écran et le navigateur : le callback OIDC, l'URL d'image envoyée au panneau
 # et les liens du README en dépendent tous. Doit rester cohérent avec AUTH_URL.
-APP_DOMAIN=horaires.loxi.ch
-# Port publié en local (dev). En production, Traefik s'en charge : aucun port publié.
+APP_DOMAIN=horaires.ita-ito.com
+# Port publié sur l'hôte. 3000 est déjà pris par la stack facture_ocr sur la
+# machine de développement, d'où 3010 ; en production Traefik s'en charge et
+# aucun port n'est publié.
 APP_PORT=3010
 APP_BIND=127.0.0.1
 TZ=Europe/Zurich
@@ -34,7 +36,7 @@ TEST_DATABASE_URL=
 #
 # URI de redirection à déclarer dans Authentik (correspondance stricte) :
 #   <AUTH_URL>/api/auth/callback/authentik
-AUTH_URL=https://horaires.loxi.ch
+AUTH_URL=https://horaires.ita-ito.com
 # Générer avec : openssl rand -base64 33
 AUTH_SECRET=