Corrige une faille d'isolation entre comptes et retire l'email des chemins de projet

Le rôle "admin" contournait entièrement l'isolation par projet
(core/auth_guard.py) : il pouvait ouvrir/modifier/supprimer le jeu de
n'importe quel autre compte en connaissant son slug, et la page d'accueil
listait sans filtrage tous les projets de tous les comptes.

- La propriété d'un projet se vérifie désormais sur le segment
  "propriétaire" du slug (id du compte), pour tous les rôles y compris
  admin — un slug "à plat" (sans compte associé) reste réservé à
  l'admin, comportement historique conservé pour ce cas précis.
- routes/games/index.py ne liste plus que les projets du compte connecté.
- Le dossier propriétaire d'un projet est maintenant l'id numérique du
  compte, plus jamais son email slugifié (visible en clair dans chaque
  URL auparavant) — script de migration fourni et déjà exécuté sur les
  données existantes.
- Changer d'email ne renomme plus aucun dossier (n'en dépend plus).
- Deux nouveaux tests de régression, fixtures corrigées en conséquence.
- README réécrit pour refléter l'état actuel du produit (jeu 2D
  uniquement, plus de traces de l'ancien éditeur "document").

tests/test_onboarding.py

@@ -132,7 +132,8 @@ def test_admin_can_create_several_games_via_onboarding(client):
         slug2 = resp2.headers["Location"].split("/game/", 1)[1].split("/", 1)[0]
         assert slug2 != slug1
 
-        slugs = {g["slug"] for g in db.list_games()}
+        import tests.conftest as conftest_module
+        slugs = {g["slug"] for g in db.list_games(str(conftest_module._TEST_ADMIN_ID))}
         assert slug1 in slugs
         assert slug2 in slugs
     finally: