move per-user plugin grants to the user's page

Granting was a checklist of every user on each plugin's page, so "what may
this person use?" meant opening every plugin in turn — and the answer lived
on N pages while the connector half of it already lived on one. Both grant
sections now sit together on #users/{id}: same row list, same disabled chip,
same replace-the-whole-set save. The plugin's own page keeps a read-only
roster of who holds it, linking back to each person.

- db: plugin_access::set_for_user, the per-user twin of set_for_user on
  mcp_catalog_access; set_access stays as the inverse read model
- PluginManager: list_grants_for_user / set_grants_for_user, which omit and
  reject manages_own_access plugins (a box that controls nothing is worse
  than no box)
- GET/PUT /api/users/{id}/plugins, mounted next to /users/{id}/connectors;
  PUT /api/plugins/{id}/access is gone, GET remains as the roster

No push after the write, unlike a connector grant: that one gates a runtime
snapshotted at login, while a plugin grant is re-read from plugin_access on
every request that depends on it (sidebar pages, /plugins/mine, and each
inbound channel message), so a revoke lands with no bus event.

Docs updated with where access is granted, and why mobile-connector is
absent from that list.

web/i18n/fr.js

@@ -882,9 +882,9 @@ export default {
   'plugin_page.loading':       'Chargement…',
   'plugin_page.unavailable':   'Page non disponible (plugin désactivé ou page non accordée).',
   'plugins.badge.user_page':   'page utilisateur',
-  'plugins.access.desc':       "Cochez qui peut voir et configurer ce plugin. L'enregistrement remplace toute la liste.",
-  'plugins.access.empty':      'Aucun utilisateur.',
-  'plugins.access.save':       'Enregistrer les accès',
+  'plugins.access.desc':       "Qui peut voir et utiliser ce plugin. L'accès se donne depuis la page de chaque personne, à côté de ses connecteurs. Les administrateurs y ont toujours accès.",
+  'plugins.access.nobody':     "Personne n'a encore accès à ce plugin.",
+  'plugins.access.manage':     'Gérer les accès depuis Utilisateurs',
   'plugins.error.required':    '« {field} » est requis.',
   'plugins.catalog.configure': 'Configurer',
   'plugins.health.ok':           'actif',
@@ -1052,6 +1052,7 @@ export default {
   'users.detail.back':                 'Utilisateurs',
   'users.detail.profile':              'Profil',
   'users.detail.connectors':           'Connecteurs',
+  'users.detail.plugins':              'Plugins',
   'users.detail.security':             'Sécurité',
   'users.detail.saved':                'Enregistré',
   'users.detail.delete_hint':          'Supprime cet utilisateur, sa base de données et tout l\'historique des conversations.',
@@ -1064,6 +1065,10 @@ export default {
   'users.conn.empty':                  'Aucun connecteur enregistré pour le moment.',
   'users.conn.disabled':               'désactivé',
 
+  'users.plug.hint':                   "Cochez les plugins que cet utilisateur peut voir et utiliser. Un plugin désactivé peut être accordé dès maintenant : il apparaîtra quand vous l'activerez.",
+  'users.plug.empty':                  'Aucun plugin disponible.',
+  'users.plug.admin_note':             "Les administrateurs peuvent utiliser tout plugin activé, quelles que soient les cases cochées ici.",
+
   'users.modal.create_title':          'Nouvel utilisateur',
   'users.modal.username':              'Nom d\'utilisateur',
   'users.modal.display_name':          'Nom d\'affichage',