feat: secrets masqués — couverture universelle clés API/mots de passe + clic pour copier (#188)

docs/GUIDES/AUTHENTIFICATION_SECURITE.md

@@ -174,7 +174,7 @@ et [`features/api-mcp-tokens-107.md`](../features/api-mcp-tokens-107.md).
 | **Rate limiting MFA** | Appliqué aux endpoints TOTP/WebAuthn/recovery |
 | **Audit log** | Écritures, suppressions, config dans `data/audit.log` (JSON lines, rotation 10 Mo) |
 | **Backup automatique** | Avant chaque modification/suppression dans `.obsigate-backup/` |
-| **Redaction** | Masquage des JWT, clés API, tokens dans les aperçus et retours d'outils |
+| **Redaction** | Masquage des JWT, mots de passe, clés API (OpenAI, GitHub, Google, AWS, Slack, Stripe…), tokens et connection strings dans les aperçus markdown et les retours d'outils — clic sur un masque = copie de la valeur |
 | **CSP** | `object-src`, `base-uri`, `form-action`, `frame-ancestors` restreints |
 | **Cookie HttpOnly** | Jeton retiré de `sessionStorage`, porté par cookie HTTP-only |
 | **Utilisateur non-root** | Conteneur sous `obsigate` (UID 1000) |
@@ -187,6 +187,30 @@ et [`features/api-mcp-tokens-107.md`](../features/api-mcp-tokens-107.md).
 Une politique minimale est validée à la création d'un compte. Choisissez des mots
 de passe longs et uniques ; activez le MFA pour les comptes admin.
 
+### Secrets masqués dans les aperçus
+
+Quand une note contient un secret, l'aperçu markdown le remplace par un masque
+— `[CLÉ API MASQUÉE]`, `[MOT DE PASSE MASQUÉ]`, `[JWT MASQUÉ]`,
+`[CONNECTION_STRING MASQUÉE]` — au lieu de la valeur :
+
+- **Détectés automatiquement** : mots de passe (`password=`, `"passwd": "…"`,
+  `db_password=…`, toute longueur), affectations `api_key=` / `token=` /
+  `secret=`, JWT, clés privées, connection strings, hex en contexte secret,
+  et les formats de clés les plus répandus — OpenAI/Anthropic/OpenRouter
+  (`sk-`), GitHub (`ghp_`, `github_pat_`), Google (`AIza…`, `ya29.`), AWS
+  (`AKIA…`/`ASIA…`), Slack (`xoxb-`), Stripe (`sk_live_`, `whsec_`), GitLab
+  (`glpat-`), Hugging Face (`hf_`), npm, Docker, SendGrid, Resend, Square,
+  Atlassian, Discord, Telegram, jetons `Bearer …`.
+- **Clic = copie** : dans l'application (aperçu authentifié), cliquer sur un
+  masque copie la valeur réelle dans le presse-papiers (infobulle « Cliquer
+  pour copier la valeur »). La valeur n'apparaît jamais en clair à l'écran.
+- **Jamais exposé à l'extérieur** : partages publics (`/s/{token}`), exports
+  PDF et contexte envoyé à l'IA / au serveur MCP ne reçoivent que le libellé,
+  jamais la valeur derrière le masque.
+- **Hors périmètre** : la vue « source » (fichier brut) et les aperçus de
+  fichiers non-markdown ne sont pas masqués — c'est le fichier lui-même qui
+  est affiché.
+
 ---
 
 ## 7. Variables d'environnement

docs/ROADMAP.md

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap
 
-> **Version :** 2.54.0 | **Dernière mise à jour :** 2026-10-08
+> **Version :** 2.55.0 | **Dernière mise à jour :** 2026-10-08
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -494,6 +494,40 @@
 
 ---
 
+## ✅ Terminé — Secrets masqués
+
+### 188. Secrets masqués — couverture universelle des clés API & mots de passe + clic pour copier
+
+- **Effort :** 1 jour | **Impact :** 🟡
+- **Statut :** ✅ **livré le 2026-10-08** — ouvert le 2026-10-08
+- **Fiche :** [features/secret-mask-188.md](./features/secret-mask-188.md)
+- **Description :** le redacteur (`secret_redactor.py`) ne couvrait que les
+  JWT, clés `sk-`/`AKIA`/`ghp_`, connection strings et affectations
+  `key=value` de 20+ caractères — la plupart des clés API réelles et **tous
+  les mots de passe courts** passaient en clair dans l'aperçu markdown, et
+  un masque affiché n'était pas récupérable sans ouvrir la source. #188
+  couvre la majorité des formats de clés, masque les mots de passe quelle
+  que soit leur longueur et rend chaque masque **cliquable** dans l'aperçu
+  authentifié (copie dans le presse-papiers) sans jamais exposer la valeur
+  à l'extérieur (partages, PDF, IA/MCP).
+- **Sous-tâches :**
+  - [x] **A1** Détection universelle : table de formats fournisseur (OpenAI,
+        Stripe, GitLab, GitHub, Google, AWS, Slack, SendGrid, Hugging Face,
+        npm, Docker, Resend, Square, Atlassian, Discord, Telegram,
+        `Bearer …`) + plancher des affectations génériques 20 → 8 caractères
+  - [x] **A2** Mots de passe : `[MOT DE PASSE MASQUÉ]` toute longueur /
+        quote (`password=`, `"passwd":`, `db_password=`, `mot de passe=`) ;
+        `PWD=` shell épargné
+  - [x] **A3** Clic → copie : placeholders markdown-safe (blocs de code
+        compris) réécrits en `<span class="secret-mask" data-secret>`
+        côté aperçu authentifié (listener délégué, toast + infobulle
+        i18n FR/EN) ; libellé seul pour partages / PDF / IA / MCP ;
+        code masqué non re-coloré (highlight.js perdrait le badge)
+  - [x] **A4** Guide in-app FR/EN, `GUIDES/AUTHENTIFICATION_SECURITE.md`,
+        README FR/EN, tests `TestSecretRedactor` (+33)
+
+---
+
 ## ⚪ Backlog — Priorité 4 (P4)
 
 ### 73. Synchronisation multi-appareils — Obsidian Sync compatible
@@ -686,6 +720,7 @@
 | 184 | Tableur — peinture de format complète, multi-lignes/colonnes, grille A → Z × 1000 (croissance par blocs) | 2.54.0 | [features/xlsx-sheet-input-181.md](./features/xlsx-sheet-input-181.md) |
 | 185 | Tableur — barre de menus Google Sheets (10 menus), ruban Sheets, grille unie | 2.54.0 | [features/xlsx-menus-185.md](./features/xlsx-menus-185.md) |
 | 186 | Création d'un fichier Excel (`.xlsx`) depuis la modale « Créer un fichier » | 2.54.0 | [features/create-file-xlsx-186.md](./features/create-file-xlsx-186.md) |
+| 188 | Secrets — détection universelle des clés API & mots de passe, masque cliquable (clic = copie) | Unreleased | [features/secret-mask-188.md](./features/secret-mask-188.md) |
 | 159 | Desktop — gestion des vaults & dossiers : retrait par menu contextuel + section Configuration (ajout vault/dossier racine) | 2.50.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
 | 160 | Desktop — premier lancement professionnel (répertoire `%USERPROFILE%\ObsiGate` + `Prise en main.md`) et section Configuration harmonisée | 2.51.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
 | BUG-047 | Versionnage — source unique `VERSION` + bump SemVer automatique au commit (hooks + tag) | 2.3.0 | [DEVELOPMENT_AND_RELEASES.md](./DEVELOPMENT_AND_RELEASES.md) |

docs/features/secret-mask-188.md

@@ -0,0 +1,57 @@
+# Fiche — #188 · Secrets masqués : couverture universelle + clic pour copier
+
+- **Statut** : ✅ livré le 2026-10-08 (ouvert le 2026-10-08)
+- **Effort** : ~1 jour · **Impact** : 🟡
+- **Zones** : `backend/secret_redactor.py`, `backend/render.py`,
+  `backend/routers/files_read.py`, `frontend/js/viewer.js`,
+  `frontend/style.css`, `frontend/locales/{fr,en}.json`
+
+## Problème
+
+Le redacteur (`secret_redactor.py`) ne masquait que les JWT, les clés
+`sk-`/`pk-`/`rk-`, `AKIA…`, `ghp_…`, les connection strings et les
+affectations `api_key=`/`token=`/`secret=` de **20 caractères ou plus**.
+Résultat : la majorité des clés API réelles (Google, Slack, Stripe, GitLab,
+Hugging Face, npm…) et **tous les mots de passe courts** passaient en clair
+dans l'aperçu markdown, et un masque affiché (`[CLÉ API MASQUÉE]`) n'était
+pas récupérable : il fallait ouvrir la source pour relire la valeur.
+
+## Solution
+
+1. **Détection universelle** — une alternation unique de formats
+   fournisseur (OpenAI/Anthropic `sk-`, Stripe `sk_live_`/`whsec_`, GitLab
+   `glpat-`, GitHub `ghp_`/`github_pat_`, Google `AIza…`/`ya29.`, AWS
+   `AKIA`/`ASIA`, Slack `xoxb-`, SendGrid `SG.`, Hugging Face `hf_`, npm,
+   Docker, Resend, Square, Atlassian, Discord, Telegram, `Bearer …`) en
+   plus des motifs déjà présents ; le plancher des affectations génériques
+   passe de 20 à 8 caractères.
+2. **Mots de passe** — motif dédié (`[MOT DE PASSE MASQUÉ]`) valable toute
+   longueur et toute quote (`password=`, `"passwd": "…"`, `db_password=`,
+   `passphrase=`, `mot de passe=`), qualificateur inclus. `PWD=` (dossier de
+   travail shell) reste épargné : `pwd` n'est reconnu que qualifié.
+3. **Clic → copie** — le pipeline de rendu passe par des
+   **placeholders** (`\uE000n\uE001`) qui survivent à la conversion markdown
+   (un `<span>` littéral dans un bloc de code serait affiché tel quel), puis
+   `restore_masks()` les réécrit après le rendu :
+   - **aperçu authentifié** (`GET /api/file/…`, `click_to_copy=True`) :
+     `<span class="secret-mask" data-secret="valeur">[CLÉ API MASQUÉE]</span>` —
+     la valeur n'est jamais affichée, un clic la copie (listener délégué
+     unique sur la zone de contenu, toast i18n FR/EN, infobulle) ;
+   - **partages publics, exports PDF, contexte IA / MCP** : libellé seul,
+     la valeur ne quitte pas le serveur.
+   Les blocs `<pre><code>` portant un masque ne sont pas re-colorés
+   (highlight.js reconstruirait le markup et perdrait le badge).
+
+## Hors périmètre (volontaire)
+
+- La vue « source » (fichier brut) et les aperçus de fichiers
+  **non-markdown** ne sont pas masqués : c'est le fichier lui-même qui est
+  affiché, le redacteur ne s'y appliquait jamais.
+- Le serveur MCP / l'assistant IA continuent de recevoir les libellés seuls
+  (inchangé).
+
+## Tests
+
+`tests/test_api_main.py::TestSecretRedactor` : formats fournisseurs
+(paramétrés), mots de passe (paramétrés), `PWD=` non masqué, round-trip
+placeholder → span cliquable, rendu markdown cliquable vs libellé seul.