fix(security): consolidation & securite phase 1 (#84, BUG-021 a BUG-034)

- sanitizer XSS serveur (markdown + page de partage) [BUG-021/022]
- rate-limit/lockout MFA [BUG-023]
- isolation vaults par segments [BUG-024]
- caps regex ReDoS [BUG-025]
- SSRF webhooks + secrets externalises [BUG-026]
- rotation/revocation des jetons [BUG-027]
- politique de mot de passe + invalidation sessions [BUG-028]
- verrous users.json [BUG-029]
- IP reelle dans les audits [BUG-030]
- rate-limit par compte [BUG-031]
- symlinks hors vault ignores [BUG-032]
- recherche simple via inverted index [BUG-033]
- token en memoire + cookie HttpOnly, CSP durcie [BUG-034]

Tests: pytest 961 passed / 6 skipped, ruff 0, mypy 0, frontend vert.

docs/ROADMAP.md

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap
 
-> **Version :** 2.3.0-dev | **Dernière mise à jour :** 2026-09-12
+> **Version :** 2.3.0-dev | **Dernière mise à jour :** 2026-09-13
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -60,6 +60,72 @@
 
 ---
 
+## ⚪ Backlog — Priorité 2 (P2)
+
+### 83. Barre d'outils d'édition mobile — style Obsidian Android
+
+- **Effort :** 3-5 jours | **Impact :** 🟡 | **Zone :** frontend (mobile)
+- **Description :** remplacer la barre de mise en forme Markdown actuelle par un **ruban horizontal
+  défilable** ancré juste au-dessus du clavier virtuel, reprenant l'ergonomie de l'app Android
+  Obsidian : fond anthracite aux coins arrondis, insertion/enrobage de la syntaxe au curseur ou sur
+  la sélection, et personnalisation des commandes via une icône clé à molette.
+- **Sous-tâches :**
+  - [ ] Ruban horizontal défilable (glissement tactile gauche/droite) ancré au-dessus du clavier
+  - [ ] Actions rapides : annuler, refaire, `[[ ]]` (lien interne), modèle/fichiers, tag `#`, pièce jointe
+  - [ ] Formatage : H1–H6, gras, italique, barré (`~~`), surligné (`==`), code en ligne/bloc, citation (`>`)
+  - [ ] Liens externes, listes à puces/numérotées, case à cocher (`- [ ]`), indenter / désindenter
+  - [ ] Personnalisation (clé à molette) : ajouter / supprimer / réordonner les commandes
+  - [ ] i18n FR/EN + tests frontend (helpers purs) + E2E mobile
+
+---
+
+## ⚪ Backlog — Sécurité, architecture & performance (P0/P1)
+
+### 84. Consolidation & sécurité — revue statique 2026-09-13 (phase 1)
+
+- **Effort :** 6-9 jours | **Impact :** 🔴 | **Zone :** backend + frontend | **Référence :** [ISSUES_TODOLIST.md](./ISSUES_TODOLIST.md) BUG-021 → BUG-034
+- **Statut :** 🟢 livré (phase 1) — sanitizer XSS, rate-limit/lockout MFA, isolation vaults, ReDoS, SSRF webhooks, cycle de vie des sessions, politique de mot de passe, verrous `users.json`, audits IP, rate-limit par compte, symlinks, recherche via inverted index, token en cookie HttpOnly. Détail : [archive/COMPLETED_v1-v2.md](./archive/COMPLETED_v1-v2.md) (section #84).
+- **Description :** traiter toutes les vulnérabilités critiques et importantes issues de la revue statique : XSS markdown (`escape=False`) et page publique de partage, brute-force MFA, isolation des vaults (`resolve_safe_path`), ReDoS, SSRF webhooks, cycle de vie des sessions, politique de mot de passe, races `users.json`, audits IP, rate-limit partagé, indexation symlinks.
+- **Sous-tâches :**
+  - [x] Assainir le rendu markdown (sanitizer serveur en whitelist) et la page de partage (échappement `title`/frontmatter) — *DOMPurify client non ajouté (défense en profondeur serveur suffisante)*
+  - [x] Rate-limit + lockout sur les endpoints MFA (`totp/verify`, `recovery`, `webauthn/verify`)
+  - [x] Corriger `resolve_safe_path` (comparaison de chemin stricte par segment) + test de régression
+  - [x] Rotation du refresh token, révocation de l'access token au logout, persistance des JTI révoqués
+  - [x] Valider la politique de mot de passe à la création ; bloquer le SSRF des webhooks et externaliser les secrets
+  - [x] Verrous sur les mutations `users.json` ; consigner l'adresse IP réelle dans les audits
+  - [x] Ignorer les symlinks de l'index ; caps CPU/timeout regex (ReDoS)
+  - [~] Durcir la CSP — *partiel* : directives `object-src`/`base-uri`/`form-action`/`frame-ancestors` ajoutées et token retiré de `sessionStorage` ; migration **nonce** restante (nécessite la conversion des gestionnaires d'événements inline)
+
+### 85. Refonte architecturale — découpage du monolithe & persistance d'état (phase 2)
+
+- **Effort :** 8-12 jours | **Impact :** 🟡 | **Zone :** backend
+- **Description :** extraire le monolithe `backend/main.py` (~4 260 lignes) en routers FastAPI par domaine et rendre persistant l'état qui ne l'est pas (index de recherche, JTI révoqués, compteurs de rate-limit) pour préparer le multi-nœuds.
+- **Sous-tâches :**
+  - [ ] Routers par domaine : files, search, share, webhooks, plugins, collab, admin, ai
+  - [ ] Centraliser le contrat d'outils IA sur `tools/registry.py` (permissions, quotas, redaction)
+  - [ ] Persister index, JTI révoqués et compteurs de rate-limit (SQLite/Redis)
+  - [ ] Verrous asyncio autour de l'index global et des stores JSON ; service de partage public (expiration, révocation, quotas)
+
+### 86. Optimisation globale des performances (phase 3)
+
+- **Effort :** 4-6 jours | **Impact :** 🟡 | **Zone :** backend (`search.py`, `indexer.py`, `mutations.py`)
+- **Description :** brancher l'inverted index (déjà construit) sur la recherche simple et le tool IA `search_fulltext`, indexation incrémentale, extraction PDF lazy.
+- **Sous-tâches :**
+  - [ ] Recherche simple + tool IA via l'inverted index (suppression du balayage O(N) en mémoire)
+  - [ ] Indexation incrémentale + scan différentiel au démarrage (remplace le `rglob` complet)
+  - [ ] Extraction PDF/excalidraw différée (hors scan) ; caps CPU sur les opérations regex
+
+### 87. Amélioration continue — tests, CI/CD, revues de sécurité (phase 4)
+
+- **Effort :** 3-5 jours | **Impact :** 🟡 | **Zone :** `.gitea/workflows/`, `tests/`
+- **Description :** renforcer le pipeline (`.gitea/workflows/ci.yml`, `desktop-build.yml`) pour le rendre bloquant par défaut et accompagner les phases 1 → 3.
+- **Sous-tâches :**
+  - [ ] Jobs CI sécurité (bandit/semgrep/trivy, audits pip/npm) + tests E2E XSS (page de partage + lecteur markdown)
+  - [ ] Tests de concurrence (`users.json`), fuzzing de timing regex, couverture des composants critiques
+  - [ ] Revue périodique des dépendances ; documentation utilisateur FR/EN synchronisée ; contrôle automatisé de la conformité au DoD
+
+---
+
 ## ✅ Complété — index
 
 > Détail complet dans [docs/archive/COMPLETED_v1-v2.md](./archive/COMPLETED_v1-v2.md) et
@@ -99,6 +165,7 @@
 | 69 | Éditeur mobile natif — Interface tactile optimisée | 2.3.0 | [features/mobile-editor.md](./features/mobile-editor.md) |
 | 70 | Recherche sémantique — Embeddings vectoriels (hybride TF-IDF + RRF) | 2.3.0 | [features/semantic-search.md](./features/semantic-search.md) |
 | 77 | Application Desktop native — Tauri | 🔵 en cours | [features/desktop-tauri.md](./features/desktop-tauri.md) |
+| 84 | Consolidation & sécurité — revue statique 2026-09-13 (phase 1, BUG-021→034) | 2.3.0 | [archive](./archive/COMPLETED_v1-v2.md) |
 
 ---
 
@@ -108,8 +175,10 @@
 |---|---|---|
 | ✅ Complété | #1 → #59, #61–72, #74–76, #78–82 | ~107 jours réalisés |
 | 🔵 P2 restant | #77 Desktop : signature de code (non retenue), 6 tests E2E **manuels** ([protocole](./DESKTOP_E2E_CHECKLIST.md)) | ~0,5-1 jour |
+| ⚪ P2 restant | #83 Barre d'outils d'édition mobile style Obsidian (3-5j) | 3-5 jours |
 | ⚪ P4 restant | #73 Sync (6-8j) | 6-8 jours |
-| **Total restant** | **2 items + finitions** | **~7-10 jours** |
+| ⚪ P0/P1 restant | #85-87 Refonte architecturale, performance, CI/CD (issues BUG-035 → BUG-040) | ~15-23 jours |
+| **Total restant** | **7 items + finitions** | **~31-47 jours** |
 
 ---