Retire l'export exécutable (.exe) et la partie publique en ligne (/jouer)

Décision produit : seul l'export Web/SCORM (LMS) est pertinent — l'export
exécutable Windows autonome (publish/build_package.py, bouton "Publier")
et la partie publique par joueur (/jouer/<slug>, routes/public_play/,
"Publier en ligne") sont jugés redondants et retirés.

Conserve le mécanisme d'état "par joueur" (db/global_vars,
db/rows, per_player) : infrastructure générique déjà utilisée par
Score/Progression et testée indépendamment de toute route publique
(voir tests/test_player_state.py), aucune raison de la retirer.

_STATIC_ITEMS/_copy_characters (copie sélective des sprites CraftPix
réellement utilisés) migrent de build_package.py vers
build_scorm_package.py, seul appelant restant.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

core/auth_guard.py

@@ -19,20 +19,9 @@ from .flask_app import app
 # Endpoints accessibles SANS être connecté — tout le reste exige une
 # session valide. "static" (CSS/JS/images) doit rester public : la page
 # de connexion elle-même en a besoin pour s'afficher.
-#
-# game_play_public/runtime_payload_public/flow_node_run_data_public/
-# flow_node_run_variable_public (routes/public_play/) : la route PUBLIQUE
-# /jouer/<slug>, pour un vrai visiteur anonyme (état par joueur, Phase 1)
-# — chaque vue vérifie ELLE-MÊME db.is_public_played(slug) (404 sinon),
-# cette garde générique ne fait qu'autoriser l'accès sans connexion, elle
-# ne dispense d'aucune autre vérification.
 _PUBLIC_ENDPOINTS = {
     "static", "login", "login_2fa", "register", "register_2fa", "logout",
     "forgot_password", "reset_password",
-    "game_play_public", "runtime_payload_public",
-    "flow_node_run_data_public", "flow_node_run_variable_public",
-    "flow_node_run_score_public", "flow_node_run_status_public",
-    "flow_node_run_add_row_public",
 }
 
 # Endpoints de gestion de COMPTE (routes/auth/profile.py) — connexion