feat: zone locking — progression par arcs narratifs + arcs Égouts/Désert

Zones verrouillées: marais toujours ouvert, égouts après arc Marais,
désert après arc Égouts. Filtrage backend sur monstres ET boutique.

Arc "Les Égouts de la Cité" (4 quêtes, lv4-7, boss Roi des Rats)
Arc "Les Sables Brûlants" (3 quêtes, lv8-12, boss Sphinx)

GET /api/monsters/zones — retourne les zones avec statut unlocked.
Combat page: monstres groupés par zone, zones lockées avec icône cadenas.
Boutique: items filtrés par zones débloquées (potions toujours visibles).

frontend/src/api/endpoints.ts

@@ -24,6 +24,7 @@ export const characterApi = {
 
 // Combat
 export const combatApi = {
+  zones:     ()                                         => api.get<any[]>('/monsters/zones'),
   monsters:  ()                                         => api.get<Monster[]>('/monsters'),
   start:     (monsterId: string, attackType: string)    => api.post<CombatResult>('/combat/start', { monsterId, attackType }),
   history:   ()                                         => api.get<CombatLog[]>('/combat/history'),