Merge pull request 'ObsiGate 2.86.1 — barre v0.6.0 : entrée « Administration » du menu compte (fusion #142)' (#72) from menu-compte-admin-v060 into main

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.85.1**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.86.1**.
 
 ---
 
@@ -14,6 +14,18 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.86.1] — 2026-11-06
+
+- **Barre commune v0.6.0 — entrée « Administration » du menu compte** (fusion #142, demande de Bruno) : barre re-vendangée **verbatim** depuis dracodev-commons (PR commons #14) — `frontend/draco-barre.js` et `frontend/draco-barre.css`. Le menu compte gagne un cinquième lien Hub, « Administration » → `<hub>/admin` (le Hub redirige vers `/admin/utilisateurs`), après le séparateur et avant « Déconnexion », à **visibilité conditionnelle** : l'entrée n'apparaît que si l'hôte affirme que le compte courant est administrateur de suite (`DRACO_BAR.setAdmin`). Branchement hôte : `frontend/index.html` affirme le statut depuis la réponse de `/api/auth/me` déjà chargée pour l'avatar — `setAdmin(u.role === "admin")`. Le rôle global du compte chez ObsiGate est la définition même de l'administrateur de suite (c'est lui que la garde `/admin/*` du Hub vérifie, via ce même endpoint) : ObsiGate le connaît nativement. Tout autre rôle, ou échec de l'appel : aucune affirmation, l'entrée reste masquée. Garde : `tests/test_draco_barre.py` (`test_barre_v060_entree_administration`).
+
+---
+
+## [2.86.0] — 2026-11-06
+
+- **BUG-122 — Déconnexion globale navigable : `GET /sso/logout`** (fusion #141) : le bouton « Déconnexion » du menu compte de la barre commune ne faisait rien dans les applications sœurs — la barre relaie l'action à l'hôte, et la déconnexion globale d'ObsiGate (ACC-3.1, #216) n'était appelable qu'en same-origin depuis l'interface d'ObsiGate (`POST /api/auth/logout`). Nouvelle route `GET /sso/logout?return_to=`, symétrique de `/sso/authorize` : elle exécute la déconnexion globale — logique extraite dans `apply_global_logout()` (`backend/auth/router.py`), désormais partagée par les deux entrées (jetons natifs refresh/access révoqués, `jti` du cookie `draco_session` révoqué, cookie effacé sur le domaine parent) — puis redirige vers le `return_to` validé par la liste blanche existante (`validate_return_to` : https + `*.dracodev.net`, repli « / »). Idempotente sans session. Les applications sœurs branchent leur action `deconnexion` sur cette route (leur session locale est détruite d'abord chez celles qui en ont une) — et la barre d'ObsiGate elle-même aussi (`frontend/index.html`, retour à sa racine). Tests : `tests/test_draco_session.py` (+3 : révocation et redirection, liste blanche, idempotence), `tests/test_draco_barre.py` (+1 : branchement de la barre d'ObsiGate). Fiche : `docs/features/deconnexion-globale-bug-122.md`.
+
+---
+
 ## [2.85.1] — 2026-11-06
 
 - **HUB-19 — Propagation des rôles du Hub à ObsiGate (suite du pilote ShaarIt, fusion Hub v2 §2.2, décision D3(a), #228)** : ObsiGate, à la fois émettrice et consommatrice du SSO, consomme à son tour le registre des rôles du Hub. Nouveau client `backend/hub_roles.py` : à l'ouverture de session draco (validation locale `draco_session.user_for_draco`), consultation de `GET {hub}/api/roles/obsigate` (en-tête Cookie complet relayé, `Accept: application/json`, délai 2 s), cache mémoire 60 s par `sub` sur le patron du pilote (horodatage posé avant l'appel : un échec conserve l'ancien cache, pas de rafale) ; URL du Hub résolue comme la barre commune (`draco_config.app_url("hub")` : `DRACO_HUB_URL` explicite, dérivation par l'hôte sœur, défaut officiel — jamais d'URL dev figée). **Effets, sessions établies par draco seulement** : niveau connu `aucun` → session draco refusée, `require_auth` répond 403 avec un message explicite en français (l'authentification native d'ObsiGate — l'émettrice, son accès propre est le secours — n'est jamais touchée) ; routes d'administration `/api/auth/admin/*` : nouvelle garde `require_admin_hub` — canal draco + rôle connu ⇒ niveau `administrateur` du registre exigé, sessions natives et rôle inconnu (Hub injoignable ou en erreur) ⇒ règles actuelles inchangées, aucun verrouillage nouveau, et le registre n'élève aucun privilège local. Validation locale du jeton, émission, révocations et renouvellement inchangés ; aucun rôle dans le jeton. Aucun impact frontend (pas d'i18n). Fiche : `docs/features/hub-roles-obsigate-228.md`. Tests : `tests/test_hub_roles.py` (client : parsing/cache/repli/résolution d'URL ; intégration : refus draco, garde admin). **Hypothèse de version** : branche depuis le main 2.84.1, cible 2.85.1 — rebasée sur la 2.85.0 (PR « API sessions HUB-22 » fusionnée d'abord) avant fusion.

README.fr.md

@@ -4,7 +4,7 @@
 
 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.
 
-[![Version](https://img.shields.io/badge/Version-2.85.1-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.86.1-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -977,8 +977,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l
 
 ## 📝 Changelog
 
-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.85.1).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.86.1).
 
 ---
 
-*Projet : ObsiGate | Version : 2.85.1 | Dernière mise à jour : Septembre 2026*
+*Projet : ObsiGate | Version : 2.86.1 | Dernière mise à jour : Septembre 2026*

README.md

@@ -2,7 +2,7 @@
 
 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.
 
-[![Version](https://img.shields.io/badge/Version-2.85.1-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.86.1-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -1152,8 +1152,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)
 
 ## 📝 Changelog
 
-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.85.1).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.86.1).
 
 ---
 
-*Project: ObsiGate | Version: 2.85.1 | Last updated: September 2026*
+*Project: ObsiGate | Version: 2.86.1 | Last updated: September 2026*

VERSION

@@ -1 +1 @@
-2.85.1
+2.86.1

backend/auth/router.py

@@ -375,12 +375,15 @@ async def refresh_token_endpoint(request: Request, response: Response):
     }
 
 
-@router.post("/logout")
-async def logout(
-    request: Request,
-    response: Response,
-):
-    """Logout: revoke refresh and access tokens, then delete cookies."""
+def apply_global_logout(request: Request, response: Response) -> None:
+    """Déconnexion globale (Fusion ACC-3.1, #216) appliquée à ``response``.
+
+    Révoque les jetons natifs (refresh + access, BUG-027), révoque le
+    ``jti`` du cookie partagé ``draco_session`` et efface les cookies.
+    Partagée entre ``POST /api/auth/logout`` (réponse JSON) et
+    ``GET /sso/logout`` (redirection, BUG-122) : les deux entrées
+    terminent exactement la même session, celle de la suite entière.
+    """
     refresh_tok = request.cookies.get("refresh_token")
     if refresh_tok:
         payload = decode_token(refresh_tok)
@@ -421,6 +424,15 @@ async def logout(
     response.delete_cookie("refresh_token", path="/api/auth/refresh")
     response.delete_cookie("access_token", path="/")
     response.delete_cookie("access_token", path="/api")  # just in case
+
+
+@router.post("/logout")
+async def logout(
+    request: Request,
+    response: Response,
+):
+    """Logout: revoke refresh and access tokens, then delete cookies."""
+    apply_global_logout(request, response)
     return {"message": "Deconnecte avec succes"}
 
 

backend/routers/sso.py

@@ -11,6 +11,14 @@
 # GET /api/sso/revocations : liste des jti révoqués, réservée aux
 # autres applications (clé machine DRACO_SSO_MACHINE_KEY, en-tête
 # X-Draco-Machine-Key) qui la mettent en cache 60 s (design §5.2).
+#
+# GET /sso/logout?return_to=<url> : symétrique de /sso/authorize —
+# point d'entrée navigable de la déconnexion globale (BUG-122,
+# fusion #141). Les autres applications y naviguent depuis leur menu
+# compte ; la déconnexion exécutée est celle de POST /api/auth/logout
+# (logique partagée : jetons natifs révoqués, jti draco révoqué,
+# cookie effacé sur le domaine parent), puis redirection vers le
+# return_to validé (même liste blanche ; repli « / »).
 
 from __future__ import annotations
 
@@ -21,6 +29,7 @@ from fastapi import APIRouter, HTTPException, Request
 from fastapi.responses import RedirectResponse
 
 from backend import draco_session
+from backend.auth.router import apply_global_logout
 
 router = APIRouter(tags=["SSO"])
 
@@ -34,6 +43,14 @@ async def sso_authorize(return_to: str = ""):
     return RedirectResponse(url="/", status_code=302)
 
 
+@router.get("/sso/logout")
+async def sso_logout(request: Request, return_to: str = ""):
+    target = draco_session.validate_return_to(return_to)
+    response = RedirectResponse(url=target or "/", status_code=302)
+    apply_global_logout(request, response)
+    return response
+
+
 @router.get("/api/sso/revocations")
 async def sso_revocations(request: Request):
     machine_key = os.environ.get("DRACO_SSO_MACHINE_KEY", "")

desktop/Cargo.lock

@@ -2626,7 +2626,7 @@ dependencies = [
 
 [[package]]
 name = "obsigate-desktop"
-version = "2.85.1"
+version = "2.86.1"
 dependencies = [
  "chrono",
  "env_logger",

desktop/Cargo.toml

@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.85.1"
+version = "2.86.1"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"

desktop/tauri.conf.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
   "productName": "ObsiGate",
-  "version": "2.85.1",
+  "version": "2.86.1",
   "identifier": "com.obsigate.desktop",
   "build": {
     "frontendDist": "../frontend",

docs/ISSUES_TODOLIST.md

@@ -227,6 +227,7 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-117* | Drag & drop des fichiers dans la sidebar : le déplacement d'un répertoire à un autre ne fait plus rien, sans message | 🟢 corrigé | P1 | 📱 frontend / sidebar | IA | `frontend/js/dragdrop.js` (`onDrop`) | Glisser un fichier sur un dossier : aucune requête `/api/move`, aucun toast | La détection `isExternalFiles` dans `onDrop` (`items.length > 0`, ajoutée par #89) comptait aussi les formats string du drag interne (`tree:vault/path/type` posés par `setData` au `dragstart`) : tout déplacement partait dans la branche upload où rien ne passe le filtre `kind === 'file'` → drop avalé silencieusement. Corrigé à la racine : `dragState` (interne) prioritaire + items réellement fichiers. Livré avec #201 : menu contextuel Déplacer/Dupliquer réutilisant `promptTargetFolder`, emplacement actuel pré-sélectionné | Vérifié Playwright instance E2E : glisser `note1.md` → `d1` = toast « Moved file to d1 » + chemin déplacé ; 4 tests `TestDuplicateApi` |
 | *BUG-119* | Panneau Spark : le « mode console » (surimpression iframe de la console du service d'agents) est bloqué par le navigateur (« This content is blocked ») | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/main.py` (`SecurityHeadersMiddleware`) | Panneau Spark → « Console ⤢ » : l'iframe reste sur la page d'erreur du navigateur | `frame-src 'self' blob: https://agent.dracodev.net` dans la CSP servie ; test `tests/test_security_headers.py::test_csp_frame_src_allows_agent_console` | Cause : `frame-src` n'autorisait pas l'origine du service d'agents, pourtant déjà présente dans `connect-src` (le panneau texte fonctionnait). Aucune autre directive modifiée. Redéploiement Docker requis |
 | *BUG-120* | Menu inter-apps : sur l'environnement dev, les URL sœurs servies (`window.DRACO_URLS` : ObsiGate, Flowdeck, TikTak, Kanbante) restent en noms **prod** alors que l'URL de l'agent est bien en `-dev` | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/draco_config.py` (`app_url`, `_suffixe_environnement`) | Sur og-dev : `window.DRACO_URLS` donne `agent: https://agent-dev.dracodev.net` mais `tiktak: https://tiktak.dracodev.net` (prod) — le `.env` dev ne déclare pas les quatre `DRACO_<APP>_URL` | `backend/draco_config.py` : résolution sœur en 3 temps — explicite, puis **dérivation d'environnement** depuis l'hôte de `agent_url()` (`agent<SUFFIXE>.dracodev.net` → `https://<slug><SUFFIXE>.dracodev.net`, slugs `og`/`flowdeck`/`tiktak`/`kanbante` ; hors motif → rien), puis défaut officiel ; Gitea exclue. Tests `tests/test_draco_config.py` (+9 : dérivation `-dev` via `AGENT_EVENEMENTS_URL` et via `DRACO_AGENT_URL`, priorité de l'explicite, 5 hôtes hors motif, suffixe vide, injection) | Suite de #223 : seule l'URL de l'agent avait une dérivation de repli (`AGENT_EVENEMENTS_URL`) ; les sœurs retombaient sur les défauts officiels. Correctif de code demandé par Bruno : l'environnement se déduit de l'agent déjà configuré, sans variable supplémentaire. Redéploiement Docker requis |
+| *BUG-122* | Déconnexion du menu compte inerte dans les applications sœurs : la barre commune relaie `deconnexion` à l'hôte, mais la déconnexion globale d'ObsiGate (ACC-3.1) n'est appelable qu'en same-origin (`POST /api/auth/logout`) — aucun point d'entrée navigable pour les autres hôtes | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/routers/sso.py` (`GET /sso/logout`), `backend/auth/router.py` (`apply_global_logout`) | Depuis la console Spark (ou Flowdeck/TikTak/ShaarIt/Hub) : menu compte → « Déconnexion » → rien ne se passe, la session draco reste vivante (vérifié en navigateur réel : cookie présent, `/api/v1/me` toujours 200) | Nouvelle route `GET /sso/logout?return_to=` : exécute la déconnexion globale (logique partagée `apply_global_logout` : jetons natifs refresh/access révoqués, `jti` draco révoqué, cookie effacé sur le domaine parent) puis redirige vers le `return_to` validé (liste blanche https + *.dracodev.net, repli `/`). Tests `tests/test_draco_session.py` (+3) | Signalé par Bruno le 2026-11-06 (capture console), carte fusion #141 ; les hôtes branchent leur action `deconnexion` sur cette route (PR sœurs). BUG-121 reste réservé au bug de couleur « Secrets » du vault Spark (proposé, non ordonné). Redéploiement Docker requis |
 
 | # | Titre | Statut | Priorité | Scope | Assigné | Zone (fichier) | Cmd de repro | Correctif / Commit | Notes |
 |---|---|---|---|---|---|---|---|---|---|
@@ -361,6 +362,7 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-10-09 | #194 | Correction (isolation) | `backend/auth/middleware.py`, `backend/services/recent.py`, `backend/services/search.py`, `backend/routers/search.py`, `backend/routers/config.py`, `backend/routers/conflicts.py`, `backend/routers/files_read.py`, `backend/routers/history.py`, `backend/push.py`, `backend/user_home.py`, `tests/test_user_home.py`, `tests/test_auth_api.py`, `docs/features/user-home-194.md`, `CHANGELOG.md` | **#194 — l'admin voyait le home de chaque utilisateur** (retour utilisateur) : `vaults: ["*"]` ouvrait **tous** les vaults, donc `home-<user>` compris. Correctif à la racine : `check_vault_access` exige un octroi **explicite** pour tout vault `home-*` (nouveau `is_home_vault()`), et les filtres « * » écrits en dur dans les routes ont été remplacés par cet appel unique — dashboard (`routers/config.py`), conflits, liens retour, favoris, abonnements push (`/api/search/replace` utilisait déjà `is_vault_allowed`). `/api/search` filtre désormais les bruts **avant** pagination via `search_vaults(is_allowed=…)` (sinon notes personnelles d'un autre compte dans les résultats). `_grant` n'écarte plus les comptes « * » → l'admin reçoit son propre `home-admin` (auto-réparé au démarrage). Vérifié : `test_user_home.py` 12→**14/14** (dont « * » sans homes + filtrage recherche), `test_auth_api.py` 2/2 (admin ne voit **plus** `home-alice`, alice voit le sien), suite **1705 passed / 2 skipped**, ruff backend 0, mypy 114 fichiers 0, **live Playwright instance 2020** : arborescence admin = `home-admin, TestDir, TestVault` (plus de `home-bruno`), `svg.lucide-home` rendu. Reste ouvert (fuite pré-existante, hors périmètre) : `/api/search/advanced`, `/api/tags`, `/api/tags/suggest`, `/api/tree-search`, `/api/suggest` ne filtrent pas par vault accessible | ✅ livré (en attente vérif utilisateur) |
 | 2026-10-23 | BUG-119 | Correction | `backend/main.py`, `tests/test_security_headers.py`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md`, `docs/ROADMAP.md` | **BUG-119 — le « mode console » du panneau Spark V3 (#222) était bloqué par le navigateur** (« This content is blocked ») : la console du service d'agents s'affiche dans une iframe `https://agent.dracodev.net`, mais la CSP servie par `SecurityHeadersMiddleware` limitait `frame-src` à `'self' blob:` — seul le panneau texte passait (`connect-src` autorisait déjà l'origine). Correctif strict : `frame-src 'self' blob: https://agent.dracodev.net`, toutes les autres directives inchangées à l'identique. Test de non-régression `test_csp_frame_src_allows_agent_console` (la CSP servie est analysée et la liste exacte des sources `frame-src` verrouillée). Vérifié : 100 passed (security_headers + csp_nonce + security_hardening + draco_barre + version), ruff propre sur les fichiers touchés (51 erreurs préexistantes ailleurs, inchangées), mypy 0 (120 fichiers) | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-10-25 | BUG-120 (suite #223) | Correction | `backend/draco_config.py`, `tests/test_draco_config.py`, `.env.example`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md`, `docs/ROADMAP.md`, `docs/features/devprod-urls-config-223.md` | **BUG-120 — le menu inter-apps de la dev pointait la prod** : `window.DRACO_URLS` servait l'agent en `-dev` mais les quatre sœurs en noms officiels, le `.env` dev ne déclarant pas les `DRACO_<APP>_URL`. Correctif dans `draco_config.app_url()` : après l'explicite, **dérivation d'environnement** — hôte de `agent_url()` de la forme `agent<SUFFIXE>.dracodev.net` sans port → sœur en `<slug><SUFFIXE>.dracodev.net` ; hors motif (autre domaine, LAN, IP, port) aucune dérivation ; Gitea jamais dérivée. Vérifié : `test_draco_config.py` 16 passed, suite complète **1668 passed / 9 skipped**, ruff 0 et mypy 0 sur les fichiers touchés (51 erreurs ruff préexistantes ailleurs, inchangées) | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-11-06 | BUG-122 (fusion #141) | Correction | `backend/routers/sso.py`, `backend/auth/router.py`, `tests/test_draco_session.py`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md`, `docs/features/deconnexion-globale-bug-122.md`, `VERSION` (+ dérivés) | **BUG-122 — la déconnexion du menu compte ne terminait rien hors ObsiGate** : ajout de `GET /sso/logout`, point d'entrée navigable de la déconnexion globale (logique partagée avec `POST /api/auth/logout`). Vérifié : `test_draco_session.py` 34 passed, ruff 0 et mypy 0 sur les fichiers touchés | 🟢 corrigé (en attente vérif utilisateur) |
 
 ---
 

docs/ROADMAP.md

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap
 
-> **Version :** 2.85.1 | **Dernière mise à jour :** 2026-11-06
+> **Version :** 2.86.1 | **Dernière mise à jour :** 2026-11-06
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**

docs/features/deconnexion-globale-bug-122.md

@@ -0,0 +1,59 @@
+# BUG-122 — Déconnexion globale navigable : `GET /sso/logout`
+
+**Carte :** fusion #141 (signalement de Bruno, 2026-11-06, capture
+depuis la console Spark). **Version :** 2.86.0. **Prérequis :** ACC-3.1
+(#216) — la déconnexion globale existe déjà dans
+`POST /api/auth/logout`.
+
+## Constat
+
+Le bouton « Déconnexion » du menu compte de la barre commune
+(dracodev-commons) est une **action relayée à l'hôte** (`cfg.onAction`,
+sinon événement `draco:bar`) : la barre ne déconnecte jamais
+elle-même. Or :
+
+- console Spark, ObsiGate, Flowdeck, TikTak, ShaarIt et Hub ne
+  branchaient **aucune** action `deconnexion` (clic sans effet,
+  reproduit en navigateur réel sur la console : session draco intacte
+  après le clic) ;
+- Kanbante, seul branché, ne détruisait que sa session locale — la
+  session SSO survivait ;
+- et de toute façon, aucun hôte n'aurait pu terminer la session
+  globale : `POST /api/auth/logout` n'est appelable qu'en same-origin
+  depuis l'interface d'ObsiGate. Il manquait le point d'entrée
+  navigable, symétrique de `GET /sso/authorize`.
+
+## Livraison (cette PR, côté émettrice)
+
+| Méthode | Chemin | Effet |
+|---|---|---|
+| GET | `/sso/logout?return_to=<url>` | Déconnexion globale, puis redirection 302 vers le `return_to` validé (repli « / ») |
+
+- La logique de `POST /api/auth/logout` est extraite dans
+  `apply_global_logout(request, response)` (`backend/auth/router.py`)
+  et partagée par les deux entrées : révocation des jetons natifs
+  refresh/access, révocation du `jti` du cookie `draco_session`,
+  effacement des cookies (dont `draco_session` sur le domaine parent).
+- `return_to` passe par la liste blanche existante
+  (`draco_session.validate_return_to` : https + `dracodev.net` ou
+  sous-domaine) — aucun relais ouvert.
+- Idempotente : sans session, la route redirige quand même (les hôtes
+  y naviguent même si leur session a déjà expiré).
+- La barre d'ObsiGate elle-même branche son action `deconnexion` sur
+  cette route (`frontend/index.html`, retour à sa racine) — garde :
+  `tests/test_draco_barre.py::test_barre_deconnexion_branchee`.
+
+## Côté hôtes (PR sœurs, carte fusion #141)
+
+Chaque hôte branche son action `deconnexion` : destruction de sa
+session locale d'abord (Flowdeck, TikTak, Kanbante, ShaarIt), puis
+navigation vers `<émettrice>/sso/logout?return_to=<sa base>`. La
+console et le Hub (session draco seule) naviguent directement.
+Après le parcours complet, « Déconnexion » termine **la session de la
+suite entière** et la session locale de l'hôte courant.
+
+## Tests
+
+`tests/test_draco_session.py` (+3) : révocation du `jti` + redirection
+vers le `return_to` + cookie effacé (`Max-Age=0`), liste blanche
+(relais refusé, repli « / »), idempotence sans session.

frontend/draco-barre.css

@@ -101,6 +101,11 @@
   text-decoration: none; cursor: pointer;
 }
 .draco-menu-item:hover, .draco-menu-item:focus-visible { background: var(--surface-2); }
+/* Item conditionnel masqué (v0.6.0 : « Administration » tant que
+   l'hôte n'a pas affirmé le statut d'administrateur) — le
+   display:flex ci-dessus écraserait l'attribut hidden sans cette
+   règle, même patron que .draco-compte-menu[hidden]. */
+.draco-menu-item[hidden] { display: none; }
 /* Icônes monoline du menu compte (v0.4.0) : appendues après le
    libellé dans le DOM, replacées à gauche par order: -1. */
 .draco-menu-icone {

frontend/draco-barre.js

@@ -42,6 +42,22 @@
  * l'ouverture par le mécanisme data-theme des hôtes, avec cache
  * local court et repli intégral sur le comportement actuel de
  * l'hôte si le Hub ne répond pas. Voir « Thème commun » plus bas.
+ * v0.6.0 (demande de Bruno, 2026-11-06) : le menu compte gagne un
+ * cinquième lien Hub, « Administration » → <hub>/admin (le Hub y
+ * redirige vers /admin/utilisateurs), placé après le séparateur,
+ * avant « Déconnexion », avec son icône monoline (curseurs de
+ * réglage). AFFICHAGE CONDITIONNEL : l'entrée n'apparaît que si
+ * l'hôte AFFIRME que le compte courant est administrateur de
+ * suite — cfg.admin === true à la configuration, ou
+ * DRACO_BAR.setAdmin(true) quand l'hôte l'apprend après coup
+ * (patron setUrls). L'hôte ne passe le drapeau que s'il l'a établi
+ * depuis SA source d'autorité (rôle global du compte chez
+ * ObsiGate, niveau du registre des rôles du Hub pour son app…) ;
+ * à défaut de certitude, pas de drapeau et l'entrée reste masquée.
+ * La barre ne devine jamais : le jeton draco ne porte aucun rôle
+ * (claims minimaux, par design). La vraie protection reste la
+ * garde serveur du Hub (/admin/*), pas ce masquage d'affichage.
+ * Voir le README, « Administration » — contrat de visibilité.
  *
  * Aucun gestionnaire inline : un seul écouteur délégué sur le document
  * (patron validé par le prototype — les onclick du HTML généré sont
@@ -54,6 +70,11 @@
  *     counts: { tiktak: 3, kanbante: 3, alertes: 3, spark: 0 },
  *     user: "Bruno",                          // nom affiché (v0.1.6) ;
  *       // ou { display_name: "Bruno", username: "bruno" }
+ *     admin: true,                            // (v0.6.0, optionnel)
+ *       // administrateur de suite ÉTABLI par l'hôte : démasque
+ *       // l'entrée « Administration » du menu compte. Absent ou
+ *       // non-strictement-true → entrée masquée. Peut aussi être
+ *       // posé après coup via DRACO_BAR.setAdmin(true).
  *     urls: {                                 // bases des applications
  *       obsigate: "https://og.dracodev.net/",
  *       flowdeck: "https://flowdeck.dracodev.net/",
@@ -653,6 +674,18 @@
       ["path", { d: "M20 21v-2a4 4 0 0 0-4-4H8a4 4 0 0 0-4 4v2" }],
       ["circle", { cx: "12", cy: "7", r: "4" }]
     ],
+    /* Curseurs de réglage (trois axes, trois boutons) — v0.6.0. */
+    "admin": [
+      ["line", { x1: "4", y1: "21", x2: "4", y2: "14" }],
+      ["line", { x1: "4", y1: "10", x2: "4", y2: "3" }],
+      ["line", { x1: "12", y1: "21", x2: "12", y2: "12" }],
+      ["line", { x1: "12", y1: "8", x2: "12", y2: "3" }],
+      ["line", { x1: "20", y1: "21", x2: "20", y2: "16" }],
+      ["line", { x1: "20", y1: "12", x2: "20", y2: "3" }],
+      ["line", { x1: "1", y1: "14", x2: "7", y2: "14" }],
+      ["line", { x1: "9", y1: "8", x2: "15", y2: "8" }],
+      ["line", { x1: "17", y1: "16", x2: "23", y2: "16" }]
+    ],
     /* Flèche sortant d'un cadre (porte). */
     "deconnexion": [
       ["path", { d: "M9 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h4" }],
@@ -687,6 +720,15 @@
     return span;
   }
 
+  /* Visibilité de l'entrée « Administration » (v0.6.0) : vraie
+   * seulement si l'hôte l'a AFFIRMÉE — cfg.admin === true à la
+   * configuration, ou DRACO_BAR.setAdmin(true) après coup. La
+   * barre ne déduit jamais ce statut (le jeton draco ne porte
+   * aucun rôle) ; à défaut, l'entrée reste masquée et la garde
+   * serveur du Hub reste la vraie protection. */
+  var compteAdmin = cfg.admin === true;
+  var adminItem = null;
+
   /* Menu compte (v0.1.6 ; v0.3.0 pour les liens) — en-tête
    * d'identité, puis les liens du Hub (Télécharger, À Propos,
    * Aides, Profil — vrais <a href>, même patron que le menu des
@@ -719,6 +761,22 @@
     sep.className = "draco-menu-sep";
     sep.setAttribute("aria-hidden", "true");
     compteMenu.appendChild(sep);
+    /* « Administration » (v0.6.0) : cinquième lien Hub
+     * (<hub>/admin, où le Hub redirige vers /admin/utilisateurs).
+     * data-hub-link="admin" : son href est resynchronisé par
+     * refreshCompteHrefs / setUrls comme les quatre autres liens.
+     * Toujours construit ; masqué tant que l'hôte n'a pas affirmé
+     * le statut d'administrateur (compteAdmin). */
+    var adm = document.createElement("a");
+    adm.className = "draco-menu-item";
+    adm.href = hubHref("admin");
+    adm.setAttribute("data-hub-link", "admin");
+    adm.setAttribute("role", "menuitem");
+    adm.textContent = "Administration";
+    adm.appendChild(menuIcone("admin"));
+    adm.hidden = !compteAdmin;
+    compteMenu.appendChild(adm);
+    adminItem = adm;
     var b = document.createElement("button");
     b.type = "button";
     b.className = "draco-menu-item";
@@ -734,6 +792,7 @@
     var head = compteMenu.querySelector(".draco-compte-nom");
     var name = displayName();
     if (head) head.textContent = name || "Compte";
+    if (adminItem) adminItem.hidden = !compteAdmin;
     refreshCompteHrefs();
   }
   function toggleCompteMenu(force) {
@@ -835,6 +894,14 @@
       window.DRACO_BAR.urls = resolvedUrls;
       applyUrls(resolvedUrls);
       refreshCompteHrefs();
+    },
+    /* Administration (v0.6.0) : l'hôte pose le drapeau quand il a
+     * ÉTABLI que le compte courant est administrateur de suite
+     * (sa source d'autorité — voir l'en-tête et le README). Toute
+     * valeur autre que le booléen true masque l'entrée. */
+    setAdmin: function (v) {
+      compteAdmin = v === true;
+      if (adminItem) adminItem.hidden = !compteAdmin;
     }
   };
 

frontend/index.html

@@ -410,6 +410,7 @@
                         return;
                     }
                     if (act === "palette") { location.href = "/recherche"; return; }
+                    if (act === "deconnexion") { location.href = "/sso/logout?return_to=" + encodeURIComponent(location.origin + "/"); return; }
                     /* Correctif fusion #70 : relais "menu" supprimé avec le bouton trois points de la barre (la console agent est dans le menu de la marque, entrée « Console Spark »). Le bouton natif #header-menu-btn d'ObsiGate lui-même est inchangé et reste utilisable depuis l'en-tête ObsiGate. */
                     if (act === "alertes") { if (window.DRACO_ALERTES) { window.DRACO_ALERTES.open(); } else { dire("Alertes unifiées : le module n'a pas pu se charger."); } return; }
                     if (act === "spark") {
@@ -438,6 +439,17 @@
                           var av = document.getElementById("draco-avatar");
                           if (av) { av.textContent = nom.charAt(0).toUpperCase(); av.title = nom; }
                       }
+                      /* Barre v0.6.0 (commons) : entrée « Administration »
+                         du menu compte. Le rôle global du compte chez
+                         ObsiGate EST la définition de l'administrateur
+                         de suite (c'est lui que la garde /admin/* du Hub
+                         vérifie, via ce même /api/auth/me) — ObsiGate le
+                         connaît nativement, il l'affirme à la barre.
+                         Tout autre rôle (ou échec) : pas d'affirmation,
+                         l'entrée reste masquée. */
+                      if (u && window.DRACO_BAR && window.DRACO_BAR.setAdmin) {
+                          window.DRACO_BAR.setAdmin(u.role === "admin");
+                      }
                   }).catch(function () { /* avatar générique conservé */ });
             });
         </script>

frontend/js/auth.js

@@ -386,6 +386,12 @@ const AuthManager = {
     const section = document.getElementById("sidebar-user");
     if (!user || !this._authEnabled) {
       if (section) section.hidden = true;
+      // Barre commune v0.6.0 (fusion #142) : sans identité
+      // établie, l'entrée « Administration » du menu compte
+      // reste masquée.
+      if (window.DRACO_BAR && window.DRACO_BAR.setAdmin) {
+        window.DRACO_BAR.setAdmin(false);
+      }
       return;
     }
     if (!section) return;
@@ -427,6 +433,19 @@ const AuthManager = {
       });
     }
 
+    // Barre commune v0.6.0 (fusion #142) : l'entrée
+    // « Administration » du menu compte suit le rôle natif du
+    // compte — la définition même de l'administrateur de suite
+    // (garde /admin/* du Hub), même source que la rangée
+    // d'administration native ci-dessous. renderUserSection()
+    // est appelée par showApp() pour toutes les sessions
+    // établies (connexion, restauration, renouvellement
+    // silencieux) ; le fetch d'amorçage d'index.html ne couvre
+    // que les sessions déjà présentes au chargement de la page.
+    if (window.DRACO_BAR && window.DRACO_BAR.setAdmin) {
+      window.DRACO_BAR.setAdmin(user.role === "admin");
+    }
+
     const adminRow = document.getElementById("admin-menu-row");
     if (adminRow) {
       if (user.role === "admin") {

package.json

@@ -1,6 +1,6 @@
 {
   "name": "obsigate",
-  "version": "2.85.1",
+  "version": "2.86.1",
   "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
   "main": "patch.js",
   "directories": {

tests/test_draco_barre.py

@@ -101,6 +101,38 @@ def test_barre_v030_liens_hub_menu_compte():
     assert "v0.3.0" in html
 
 
+def test_barre_v060_entree_administration():
+    # Barre v0.6.0 (dracodev-commons, demande de Bruno du
+    # 2026-11-06) : entrée « Administration » du menu compte —
+    # lien Hub <hub>/admin à visibilité conditionnelle. Le JS
+    # vendangé la construit (data-hub-link="admin"), masquée tant
+    # que l'hôte n'affirme pas le statut d'administrateur
+    # (cfg.admin / DRACO_BAR.setAdmin) ; le CSS porte la règle
+    # [hidden] qui la masque malgré le display:flex des items.
+    # Branchement hôte : index.html affirme le statut depuis le
+    # rôle global de /api/auth/me — la définition même de
+    # l'administrateur de suite (garde /admin/* du Hub).
+    js = (FRONTEND / "draco-barre.js").read_text(encoding="utf-8")
+    assert 'data-hub-link", "admin"' in js
+    assert '"Administration"' in js
+    assert "setAdmin" in js
+    assert "compteAdmin = cfg.admin === true" in js
+    css = _css()
+    assert ".draco-menu-item[hidden]" in css
+    html = _index()
+    assert 'window.DRACO_BAR.setAdmin(u.role === "admin")' in html
+    # Le fetch d'amorçage d'index.html tourne avant toute
+    # connexion : le branchement qui couvre la connexion par le
+    # formulaire vit dans renderUserSection() (js/auth.js — le
+    # frontend servi est en modules ES ; le app.js monolithique
+    # à la racine n'est plus chargé), appelée par showApp() pour
+    # toutes les sessions établies, au même endroit que la
+    # rangée d'administration native.
+    auth_js = (FRONTEND / "js" / "auth.js").read_text(encoding="utf-8")
+    assert "window.DRACO_BAR.setAdmin(user.role === \"admin\")" in auth_js
+    assert "window.DRACO_BAR.setAdmin(false)" in auth_js
+
+
 def test_panneau_spark_integre_218():
     # #218 : le bouton Spark de la barre ouvre le panneau de l'agent
     # commun (mêmes assets partagés que TikTak / Flowdeck / Kanbante).
@@ -184,6 +216,16 @@ def test_urls_ecosysteme_via_injection_hote_223():
     assert "DRACO_URLS[a.dataset.app]" in html
 
 
+def test_barre_deconnexion_branchee():
+    # BUG-122 (fusion #141) : la barre d'ObsiGate elle-même branche
+    # l'action « deconnexion » sur son point d'entrée de déconnexion
+    # globale (GET /sso/logout, retour à la racine) — avant, le clic
+    # ne faisait rien ici non plus.
+    html = _index()
+    assert 'act === "deconnexion"' in html
+    assert '"/sso/logout?return_to="' in html
+
+
 def test_rail_mobile_vers_le_vrai_hamburger():
     html = _index()
     assert 'matchMedia("(max-width: 768px)")' in html

tests/test_draco_session.py

@@ -189,6 +189,44 @@ def test_sso_authorize_liste_blanche(client):
     assert r.headers["location"] == "/"                   # refusé, pas de relais
 
 
+# ── Déconnexion globale navigable (BUG-122, fusion #141) ────────────────
+
+def test_sso_logout_revoque_et_redirige(admin_client):
+    token = _token_depuis_login(admin_client)
+    assert draco_session.verify_token(token)
+    r = admin_client.get(
+        "/sso/logout",
+        params={"return_to": "https://tiktak.dracodev.net/"},
+        headers={"Cookie": f"draco_session={token}"},
+        follow_redirects=False)
+    assert r.status_code == 302
+    assert r.headers["location"] == "https://tiktak.dracodev.net/"
+    assert draco_session.verify_token(token) is None      # jti révoqué
+    cookie = _draco_cookie(r)                             # cookie effacé
+    assert cookie is not None and "Max-Age=0" in cookie
+
+
+def test_sso_logout_liste_blanche(admin_client):
+    r = admin_client.get("/sso/logout",
+                         params={"return_to": "https://evil.com/phish"},
+                         follow_redirects=False)
+    assert r.status_code == 302
+    assert r.headers["location"] == "/"                   # refusé, pas de relais
+    r = admin_client.get("/sso/logout", follow_redirects=False)
+    assert r.status_code == 302
+    assert r.headers["location"] == "/"                   # sans return_to
+
+
+def test_sso_logout_sans_session_idempotent(client):
+    # Aucun cookie : la route reste une redirection propre (les autres
+    # applications y naviguent même si la session a déjà expiré).
+    r = client.get("/sso/logout",
+                   params={"return_to": "https://hub.dracodev.net/"},
+                   follow_redirects=False)
+    assert r.status_code == 302
+    assert r.headers["location"] == "https://hub.dracodev.net/"
+
+
 # ── Validation locale (ACC-3.2, #9) ──────────────────────────────────────
 
 def test_me_avec_cookie_draco_seul(admin_client):