feat: intégration TikTak #197-200 + scoped tokens, webhooks filtrés, listes mtime/size ; fix e2e-server BUG-112

docs/GUIDES/MCP.md

@@ -19,6 +19,10 @@ Cline, tout client compatible MCP) via un serveur **Streamable HTTP** monté sur
    (`Authorization: Bearer <token>`). Une seule clé fonctionne pour l'API REST
    **et** le MCP. Créez-la depuis l'interface (Configurations → 🔑 Clés API & MCP)
    ou via `POST /api/auth/tokens` — voir [API REST §2.2](./API_REST.md#22-clés-api-longue-durée-recommandé-pour-scripts--mcp).
+   Pour une intégration limitée aux fichiers (ex. TikTak), créez une clé
+   `{"vaults":["TikTak"],"scope":"files"}` ([API REST §2.3](./API_REST.md#23-clés-à-portée-limitée-synchronisation-externe-ex-tiktak)) :
+   les outils hors fichiers sont refusés (`token_scope_denied`) et masqués du
+   `list_tools`, et les autres vaults répondent en erreur d'accès.
 3. Si l'authentification est désactivée (`OBSIGATE_AUTH_ENABLED=false`), le
    serveur MCP accepte un utilisateur anonyme disposant de tous les vaults.