test: #87 T4 E2E XSS partage et lecteur + script serveur E2E avec progression

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.28.3**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.28.4**.
 
 ---
 
@@ -14,6 +14,10 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.28.4] — 2026-09-26
+
+---
+
 ## [2.28.3] — 2026-09-26
 
 ---
@@ -22,6 +26,13 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ### Ajouté
 
+- **#87 (T4) — E2E XSS et serveur E2E piloté.**
+  `tests/e2e/xss.spec.js` : page publique `/s/{token}` (titre/frontmatter
+  hostile échappé, JSON neutralisé, aucun JS exécuté) et lecteur markdown
+  (sanitizer, aucun `on*`/`javascript:` vivant) — 2/2 verts en local.
+  `scripts/e2e-server.ps1` : `start|stop|status|logs` avec progression
+  visible et fichier PID (fini les serveurs orphelins sur le port 2029).
+
 - **#87 (T3) — cookies `Secure` et CORS explicites.**
   Helper `is_secure_cookies()` centralisé (défaut `false` conservé pour ne
   pas casser les logins HTTP locaux) + avertissement au démarrage sur bind