stream: fallback only replays already-aired tracks

The fallback played the whole /cache directory, which at cold start holds
only the 2-3 tracks being pre-fetched — so it looped them until the
request.dynamic buffer filled. Restrict the fallback to tracks already
aired: the ingest daemon exposes them at GET /fallback.m3u (played_at set,
still on disk), and the stream fetches that into a local /tmp/fallback.m3u
that playlist watches. Cold start is now silent (assumed) instead of a tight
loop, and a mid-stream drain degrades across the whole listening history.

A local file (not a remote playlist URL) is used to avoid Liquidsoap's http
resolver mis-sniffing the response as text/html; mime_type is forced so an
empty header-only m3u still parses.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

stream/radio.liq

@@ -34,8 +34,8 @@ end
 main = request.dynamic(next_track, prefetch=1, retry_delay=1.0)
 
 # Filtre du secours : ne garder que les vrais fichiers audio et ignorer les
-# fichiers cachés (.gitkeep, téléchargements .part en cours). Évite que le
-# décodeur ne tente — et logue en erreur — des fichiers non-audio.
+# fichiers cachés (.gitkeep, téléchargements .part en cours). Ceinture et
+# bretelles : la m3u ne liste déjà que des fichiers audio réels.
 audio_ext = [".mp3", ".flac", ".ogg", ".opus", ".m4a", ".aac", ".wav"]
 def audio_only(r) =
   u = string.case(lower=true, request.uri(r))
@@ -44,9 +44,29 @@ def audio_only(r) =
   is_audio and not string.contains(prefix=".", base)
 end
 
-# Secours : le cache local, joué en aléatoire, rechargé quand il change.
+# Secours : uniquement les morceaux DÉJÀ passés à l'antenne. Le daemon les
+# expose en m3u (/fallback.m3u) ; on la récupère périodiquement dans un fichier
+# LOCAL que playlist surveille. Le buffer de préchargement (morceaux pas encore
+# diffusés) en est exclu : au démarrage à froid la liste est vide → silence
+# assumé plutôt qu'une boucle sur 2-3 titres.
+# Passer par un fichier local (plutôt qu'une URL directe dans playlist) évite la
+# détection de type hasardeuse du résolveur http, et garde la dernière liste
+# valide si l'ingest devient injoignable.
+fallback_url = "http://ingest:8080/fallback.m3u"
+fallback_file = "/tmp/fallback.m3u"
+file.write(data="#EXTM3U\n", atomic=true, fallback_file)  # amorce vide au boot
+
+def refresh_fallback() =
+  resp = http.get(fallback_url, timeout=5.0)
+  if resp.status_code == 200 then
+    file.write(data=resp, atomic=true, fallback_file)
+  end
+end
+thread.run(fast=false, every={30.}, refresh_fallback)
+
 backup = playlist(
-  mode="randomize", reload_mode="watch", check_next=audio_only, "/cache"
+  mode="randomize", reload_mode="watch", mime_type="audio/x-mpegurl",
+  check_next=audio_only, fallback_file
 )
 
 # fallback préfère la source principale et bascule sur le cache si elle n'a