feat(desktop): signature updater Tauri + wizard persistant + protocole E2E (#77)

- Signature des mises a jour Tauri : paire de cles minisign generee, cle publique dans tauri.conf.json, createUpdaterArtifacts actif, secrets CI exposes (repli build non signe si secret absent).

- Wizard 1er lancement : etat persistant wizard_done cote Rust (get_wizard_state/complete_wizard) pour ne plus reafficher la banniere, retro-compatible.

- Protocole des 6 tests E2E manuels : docs/DESKTOP_E2E_CHECKLIST.md.

- CI : desktop.test.mjs ajoute au job lint.

- Docs : ROADMAP, fiche desktop-tauri, CHANGELOG, README desktop, guide releases.

- fix(build): retirer les libs WeasyPrint inutiles du stage builder Docker.

docs/features/desktop-tauri.md

@@ -1,6 +1,6 @@
 # #77 — Application Desktop native — Tauri (Windows / Linux / macOS)
 
-> **Statut :** 🔵 En cours — livré : A/B/C/D/E/F ; reste signature de code (optionnel), wizard 1er lancement (optionnel), 6 tests E2E manuels
+> **Statut :** 🔵 En cours — livré : A/B/C/D/E/F ; reste la signature de code Windows (optionnelle, non retenue) et l'exécution des 6 tests E2E **manuels** ([protocole](../DESKTOP_E2E_CHECKLIST.md))
 > **Effort :** 8-12 jours | **Impact :** 🟡 | **Framework :** Tauri v2 (Rust + Webview)
 > **Références :** [Roadmap](../ROADMAP.md) · [Guide de build & releases](../DEVELOPMENT_AND_RELEASES.md)
 
@@ -57,7 +57,8 @@
   - [x] **Build Windows local** : `cargo build --release` vérifié (rustc 1.94.1) — `cargo tauri build --bundles msi` prêt
   - [x] **Build Linux local** : workflow CI couvre `.deb`, `.rpm`, `.AppImage`
   - [x] **Auto-update** : `tauri-plugin-updater` configuré → vérifie `https://git.dracodev.net/api/v1/repos/Projets/ObsiGate/releases/latest`
-  - [ ] **Signature de code** : configurer le certificat (optionnel mais recommandé pour Windows)
+  - [x] **Signature de l'updater Tauri** (gratuite, ≠ signature Windows) : paire de clés `minisign` générée, clé publique dans `plugins.updater.pubkey`, `bundle.createUpdaterArtifacts: true`, secrets Gitea `TAURI_SIGNING_PRIVATE_KEY` / `_PASSWORD` exposés au CI (build non signé en repli si le secret est absent). Reste : générer le manifeste `latest.json` pour que l'updater détecte les mises à jour ([guide](../DEVELOPMENT_AND_RELEASES.md#2bis-signature-des-mises-à-jour-updater-tauri))
+  - [ ] **Signature de code Windows** : non retenue (pas de certificat) — alternatives : livrer non signé, SignPath.io (OSS gratuit), Certum Open Source, Azure Trusted Signing, certificat EV
   - [x] **Page de release** : README desktop existe (`desktop/README.md`)
 
 ## E. Expérience utilisateur (1 jour) — ✅ COMPLÉTÉ
@@ -65,19 +66,18 @@
   - [x] Gestion des erreurs : backend crash → `showBackendCrashBanner()` appelé par le monitor loop toutes les 5s
   - [x] Sauvegarde des préférences desktop : position/taille fenêtre sauvées dans `%APPDATA%/ObsiGate/config.json` au close + restauration au startup
   - [x] Première expérience : config par défaut auto-créée au premier lancement (vault `~/voute_obsidian`, dir `~USERPROFILE`)
-  - [ ] Wizard interactif « Choisissez votre vault » au premier lancement (optionnel — config auto suffisante)
-  - [ ] Jumplist vaults récents dans le menu Démarrer (optionnel)
+  - [x] Bannière de premier lancement « Choisissez votre vault » (`frontend/js/desktop.js`) — non bloquante ; l'état est persisté côté Rust (`wizard_done` dans `config.json`) pour ne pas réapparaître après un choix ou un clic « Plus tard », même si le `localStorage` de la webview est vidé
+  - [x] Jumplist vaults récents dans le menu Démarrer (`desktop/src/jumplist.rs`, Windows)
 
 ## F. Tests (1 jour) — ✅ COMPLÉTÉ
-  - [x] 16 tests Rust unitaires : config roundtrip, JSON parsing (empty/partial/corrupted), vault dedup, dir remove, backend URL, paths, branding, edge cases
+  - [x] 24 tests Rust unitaires : config roundtrip, JSON parsing (empty/partial/corrupted/legacy), `wizard_done`, vault dedup, dir remove, backend URL, paths, branding, jumplist args, edge cases
   - [x] Build debug + release vérifié (rustc 1.94.1, tauri-cli 2.11.4)
   - [x] CI desktop workflow existant (desktop-build.yml)
-  - [ ] Test E2E : installation → premier lancement → wizard vault → ouverture fichier (manuel)
-  - [ ] Test E2E : tray icon → réduire → restaurer (manuel)
-  - [ ] Test E2E : notifications natives → fichier modifié → popup OS (manuel)
-  - [ ] Test E2E : association `.md` → double-clic → ouvre dans ObsiGate (manuel)
-  - [ ] Test E2E : auto-update → nouvelle version → install (manuel)
-  - [ ] Test E2E : désinstallation propre (manuel)
+  - [ ] **6 tests E2E manuels** — protocole détaillé (prérequis, étapes, résultat
+    attendu) dans [docs/DESKTOP_E2E_CHECKLIST.md](../DESKTOP_E2E_CHECKLIST.md) :
+    installation → 1er lancement → wizard → ouverture fichier ; tray ; notifications
+    natives ; association `.md` ; auto-update ; désinstallation propre. À exécuter
+    et cocher par un humain sur un build release.
 
 - **Prérequis techniques :**
   - Rust ≥ 1.75 (stable) — installé via `rustup`