feat: intégration TikTak #197-200 + scoped tokens, webhooks filtrés, listes mtime/size ; fix e2e-server BUG-112

backend/main.py

@@ -486,6 +486,13 @@ app.add_middleware(SSESafeGZipMiddleware, minimum_size=1000)
 # Security headers on all responses
 app.add_middleware(SecurityHeadersMiddleware)
 
+# Scoped API tokens (#199) : les clés à portée "files" sont confinées à la
+# surface fichiers côté REST (403 hors périmètre). Placé avant CORS pour que
+# le refus s'applique aussi aux requêtes out-of-scope.
+from backend.auth.scope import TokenScopeMiddleware
+
+app.add_middleware(TokenScopeMiddleware)
+
 # Explicit same-origin CORS policy (#87 T8 — finit BUG-034).
 # `allow_origins=[]` : le navigateur n'émet aucun `Access-Control-Allow-*`,
 # donc toute lecture cross-origin est refusée (défense explicite, plus