fix: viewer PDF (TOC, largeur) et plein ecran assistant (BUG-061 a BUG-063)

.env.example

@@ -7,6 +7,11 @@ OBSIGATE_AUTH_ENABLED=true
 OBSIGATE_ADMIN_USER=admin
 OBSIGATE_ADMIN_PASSWORD=chab30
 
+# DANGER : si OBSIGATE_AUTH_ENABLED=false, toute requête devient un admin
+# anonyme. Le serveur REFUSE de démarrer sur une adresse non-loopback
+# (ex. 0.0.0.0) sauf si l'on force l'opt-in ci-dessous. À réserver au local.
+# OBSIGATE_ALLOW_INSECURE=false
+
 # Sécurité des cookies (activer si derrière HTTPS)
 # OBSIGATE_SECURE_COOKIES=false
 

.gitea/workflows/ci.yml

@@ -38,6 +38,7 @@ jobs:
       - name: Frontend unit tests
         run: |
           node tests/frontend/unit.test.mjs
+          node tests/frontend/pdf-viewer.test.mjs
           node tests/frontend/forge-completion.test.mjs
 
       - name: Frontend JSDOM tests (PaneManager + Excalidraw + Plugins + AI + SW + Collab + Mobile + Semantic + Desktop + Inline edition)
@@ -196,6 +197,7 @@ jobs:
             -e DIR_1_NAME=TestDir \
             -e DIR_1_PATH=/vaults/TestDir \
             -e OBSIGATE_AUTH_ENABLED=false \
+            -e OBSIGATE_ALLOW_INSECURE=true \
             obsigate:ci
           # Docker-in-docker : le bind mount $(pwd)/... pointe sur un chemin
           # du job container, inexistant sur l'hôte → montage vide. Les -v

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.11.0**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.11.4**.
 
 ---
 
@@ -14,6 +14,98 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.11.4] — 2026-09-17
+
+### Corrigé
+
+- **BUG-061 — Assistant IA : le bouton « Plein écran » n'agrandissait plus le panneau** : la
+  largeur du panneau est écrite en style inline par la poignée de redimensionnement (et par la
+  largeur persistée en `localStorage`) ; cet inline l'emportait sur la règle
+  `.bookslm-panel.fullscreen { width: 100vw }`, donc le panneau restait à sa largeur courante.
+  La règle plein écran est désormais prioritaire (`!important`). Fichier : `frontend/style.css`.
+- **BUG-062 — Viewer PDF : largeur incomplète quand la navigation est masquée** : la règle de
+  colonne de lecture centrée (`.sidebar.hidden … { max-width: 1200px }`) s'appliquait aussi aux
+  viewers plein cadre. Les conteneurs PDF et image sont maintenant exemptés
+  (`:has(.pdf-viewer-container)` / `:has(.image-viewer-container)` → `max-width: none`). Fichier :
+  `frontend/style.css`.
+- **BUG-063 — Viewer PDF : la table des matières ne naviguait pas** : les liens faisaient
+  `contentWindow.location.hash = 'page=N'`, mais le lecteur PDF natif vit dans une fenêtre
+  `about:blank` et l'affectation n'atteignait jamais le document. Nouveau helper
+  `navigatePdfToPage()` qui recharge l'iframe avec le fragment `#page=N` ; les entrées portent un
+  `data-page` et sont câblées par des écouteurs (plus d'`onclick` inline). Fichiers :
+  `frontend/js/viewer.js`, `frontend/style.css`.
+- **Tests** : `tests/frontend/ai.test.mjs` (+1), `tests/frontend/pdf-viewer.test.mjs` (TOC, plein
+  largeur), `tests/e2e/pdf-viewer.spec.js` (TOC `#page=N`, largeur, fixture
+  `test_vault/sample-pdf-toc.pdf`).
+
+---
+
+## [2.11.3] — 2026-09-17
+
+### Corrigé
+
+- **BUG-035 — `secret_redactor` : faux positifs sur les hashs hex** : la règle qui masquait
+  tout jeton hexadécimal de 40 à 64 caractères mutilait les hashs git/SHA légitimes des notes.
+  Le masquage des chaînes hexadécimales n'a désormais lieu que si un mot-clé de secret
+  (`secret`, `token`, `key`, `password`, `bearer`…) figure dans les 60 caractères précédents ;
+  un contexte de hash (`commit`, `sha256`, `hash`, `checksum`, `git`, `etag`…) exempte
+  explicitement la chaîne. Fichier : `backend/secret_redactor.py`.
+- **BUG-036 — Collaboration WebSocket : jeton accepté en query string** : le JWT n'est plus lu
+  depuis `?token=` (URLs journalisées par les proxies et l'historique navigateur). Le cookie
+  HttpOnly `access_token`, envoyé automatiquement par le navigateur lors du handshake
+  same-origin, est le seul transport supporté ; les trames brutes dépassant
+  `MAX_MESSAGE_CHARS` (16 Mio) sont rejetées avant analyse. Fichier : `backend/collab.py`.
+- **BUG-037 — Mode sans authentification** : au démarrage, un avertissement explicite est
+  journalisé quand `OBSIGATE_AUTH_ENABLED=false`. Le serveur **refuse désormais de démarrer**
+  s'il est lié à une adresse non-loopback sans l'opt-in explicite `OBSIGATE_ALLOW_INSECURE=true`,
+  pour empêcher l'exposition publique d'une instance sans authentification (admin anonyme).
+  Fichiers : `backend/auth/middleware.py`, `backend/main.py`.
+- **BUG-038 — Argon2 : coût mémoire recalibré** : `memory_cost` passe de 64 Mio à 19 Mio
+  (`m=19456 Kio, t=2, p=1`, recommandation OWASP actuelle) pour supprimer le risque
+  d'épuisement mémoire sous connexions simultanées ; les anciens hachages restent valides et
+  sont migrés automatiquement (`needs_rehash`). Fichier : `backend/auth/password.py`.
+- **BUG-039 — Énumération de comptes au login** : les comptes inconnus, désactivés, verrouillés
+  et limités par le budget par compte répondent tous un `401 Identifiants invalides` avec un
+  temps équivalent (hachage factice), au lieu d'un `429`/`403` distinctif ; seul le rate-limit
+  par IP (non lié à un compte) conserve le `429`. Fichier : `backend/auth/router.py`.
+- **BUG-040 — Extraction PDF différée au scan** : `_scan_vault` ne lit plus que les métadonnées
+  des PDF ; l'extraction de texte intégrale (100 kio) est déléguée à `enrich_pdf_texts()`,
+  exécutée après la construction de l'index/inverted index (démarrage) et après chaque
+  réindexation. Un vault contenant de nombreux/gros PDF démarre sans être bloqué ; le texte
+  reste recherchable une fois l'enrichissement terminé. Fichiers : `backend/indexer.py`,
+  `backend/main.py`.
+- **Tests** : `tests/test_api_main.py` (redactor hex), `tests/test_auth.py` (coût Argon2,
+  garde-fou d'instance non authentifiée), `tests/test_auth_api.py` (login uniforme),
+  `tests/test_collab.py` (jeton query rejeté, trame surdimensionnée), `tests/test_pdf.py`
+  (scan différé + enrichissement).
+
+---
+
+## [2.11.2] — 2026-09-17
+
+### Modifié
+
+- **Tests E2E PDF (BUG-060)** : le helper d'ouverture de fichier de
+  `tests/e2e/pdf-viewer.spec.js` étend désormais le vault dans l'arborescence s'il est replié
+  (cas d'une instance avec authentification activée) au lieu de supposer le vault déjà déplié.
+
+---
+
+## [2.11.1] — 2026-09-17
+
+### Corrigé
+
+- **BUG-060 — Viewer PDF : l'affichage des pages ne fonctionnait pas** : au clic sur un fichier
+  `.pdf`, seule la barre d'outils « PDF — N pages » s'affichait, le corps restant vide. La CSP
+  durcie en BUG-034 pose `object-src 'none'`, directive qui gouverne `<embed>`/`<object>`, alors
+  que le viewer rendait le PDF via `<embed type="application/pdf">` : le lecteur natif était
+  bloqué. Le rendu passe désormais par une `<iframe>` (autorisée par `frame-src 'self'`, le stream
+  `/api/file/{vault}/pdf/stream` étant same-origin) ; `object-src 'none'` est conservé. Fichiers :
+  `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs` (nouveau),
+  `tests/e2e/pdf-viewer.spec.js` (nouveau, fixture `test_vault/sample-pdf.pdf`).
+
+---
+
 ## [2.11.0] — 2026-09-17
 
 ### Ajouté

README.fr.md

@@ -4,7 +4,7 @@
 
 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.
 
-[![Version](https://img.shields.io/badge/Version-2.11.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.11.4-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -926,8 +926,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l
 
 ## 📝 Changelog
 
-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.11.0).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.11.4).
 
 ---
 
-*Projet : ObsiGate | Version : 2.11.0 | Dernière mise à jour : Juin 2026*
+*Projet : ObsiGate | Version : 2.11.4 | Dernière mise à jour : Juin 2026*

README.md

@@ -2,7 +2,7 @@
 
 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.
 
-[![Version](https://img.shields.io/badge/Version-2.11.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.11.4-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -1095,8 +1095,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)
 
 ## 📝 Changelog
 
-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.11.0).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.11.4).
 
 ---
 
-*Project: ObsiGate | Version: 2.11.0 | Last updated: May 2026*
+*Project: ObsiGate | Version: 2.11.4 | Last updated: May 2026*

VERSION

@@ -1 +1 @@
-2.11.0
+2.11.4

backend/auth/middleware.py

@@ -4,6 +4,7 @@
 
 import logging
 import os
+import sys
 
 from fastapi import Depends, HTTPException, Request
 from fastapi.security import HTTPAuthorizationCredentials, HTTPBearer
@@ -17,6 +18,9 @@ logger = logging.getLogger("obsigate.auth.middleware")
 
 security = HTTPBearer(auto_error=False)
 
+#: Hosts considered safe to bind without authentication (loopback only).
+_LOOPBACK_HOSTS = {"127.0.0.1", "::1", "localhost", "0:0:0:0:0:0:0:1"}
+
 
 def is_auth_enabled() -> bool:
     """Check if authentication is enabled via environment variable.
@@ -26,6 +30,34 @@ def is_auth_enabled() -> bool:
     return os.environ.get("OBSIGATE_AUTH_ENABLED", "true").lower() != "false"
 
 
+def is_insecure_mode_allowed() -> bool:
+    """True when the operator explicitly accepts running without auth (BUG-037)."""
+    return os.environ.get("OBSIGATE_ALLOW_INSECURE", "false").lower() in ("1", "true", "yes", "on")
+
+
+def bind_host_from_argv(argv: list[str] | None = None) -> str | None:
+    """Extract the ``--host`` value from the process arguments (uvicorn), if any.
+
+    Returns ``None`` when no explicit host is passed (uvicorn then defaults to
+    loopback ``127.0.0.1``).
+    """
+    args = sys.argv if argv is None else argv
+    for i, arg in enumerate(args):
+        if arg == "--host" and i + 1 < len(args):
+            return args[i + 1]
+        if arg.startswith("--host="):
+            return arg.split("=", 1)[1]
+    return None
+
+
+def is_loopback_host(host: str | None) -> bool:
+    """True when *host* is a loopback address (or unset → uvicorn default)."""
+    if not host:
+        return True
+    normalized = host.strip().strip("[]").lower()
+    return normalized in _LOOPBACK_HOSTS
+
+
 def get_current_user(
     request: Request,
     credentials: HTTPAuthorizationCredentials | None = Depends(security),

backend/auth/password.py

@@ -1,14 +1,21 @@
 # backend/auth/password.py
 # Argon2id password hashing — OWASP 2024 recommended algorithm.
-# Parameters: time_cost=2, memory_cost=64MB, parallelism=2
+# Parameters (BUG-038): time_cost=2, memory_cost=19 MiB, parallelism=1
+# (OWASP current recommendation for Argon2id). The previous 64 MiB setting
+# allowed memory exhaustion under concurrent login attempts.
 
 from argon2 import PasswordHasher
 from argon2.exceptions import VerificationError, VerifyMismatchError
 
+#: Argon2id cost parameters (OWASP 2024: m=19456 KiB, t=2, p=1).
+ARGON2_TIME_COST = 2
+ARGON2_MEMORY_COST_KIB = 19456  # 19 MiB
+ARGON2_PARALLELISM = 1
+
 ph = PasswordHasher(
-    time_cost=2,
+    time_cost=ARGON2_TIME_COST,
-    memory_cost=65536,  # 64 MB
+    memory_cost=ARGON2_MEMORY_COST_KIB,
-    parallelism=2,
+    parallelism=ARGON2_PARALLELISM,
     hash_len=32,
     salt_len=16,
 )

backend/auth/router.py

@@ -124,31 +124,32 @@ async def auth_status():
 async def login(body: LoginRequest, response: Response, request: Request):
     """Authenticate a user. Returns access token and sets refresh cookie.
 
-    Implements timing-safe responses to prevent user enumeration:
+    Implements timing-safe responses to prevent user enumeration: a failed
-    a failed login with an unknown user takes the same time as one
+    login with an unknown user takes the same time as one with a known user
-    with a known user (dummy hash is computed).
+    (dummy hash is computed). BUG-039: unknown, inactive, locked and
+    per-account rate-limited accounts all answer the same ``401`` so the HTTP
+    status can never reveal whether an account exists.
     """
+    client_ip = get_client_ip(request)
+
+    # IP-based rate limiting (10 failures / 15 min per IP). It is not
+    # account-specific, so a 429 here cannot be used to enumerate accounts.
+    if is_rate_limited(client_ip):
+        raise HTTPException(429, "Trop de tentatives depuis cette adresse IP (15min)")
+
     user = get_user(body.username)
 
-    if not user:
+    # BUG-039: uniform 401 + equivalent timing for every account-state outcome.
+    if not user or not user.get("active"):
         # Timing-safe: simulate hash computation to prevent user enumeration
         hash_password("dummy_timing_protection")
         raise HTTPException(401, "Identifiants invalides")
 
-    if not user.get("active"):
-        raise HTTPException(403, "Compte désactivé")
-
-    # IP-based rate limiting (10 failures / 15 min per IP)
-    client_ip = get_client_ip(request)
-    if is_rate_limited(client_ip):
-        raise HTTPException(429, "Trop de tentatives depuis cette adresse IP (15min)")
-
     # BUG-031: per-account budget still applies when the attacker rotates IPs.
-    if is_account_rate_limited(body.username):
+    # Kept indistinguishable from a wrong password (BUG-039).
-        raise HTTPException(429, "Trop de tentatives sur ce compte (15min)")
+    if is_account_rate_limited(body.username) or is_locked(body.username):
-
+        hash_password("dummy_timing_protection")
-    if is_locked(body.username):
+        raise HTTPException(401, "Identifiants invalides")
-        raise HTTPException(429, "Compte temporairement verrouillé (15min)")
 
     if not verify_password(body.password, user["password_hash"]):
         attempts = record_login_failure(body.username)

backend/collab.py

@@ -44,6 +44,9 @@ MAX_UPDATE_BYTES = 8 * 1024 * 1024
 #: Taille maximale d'un snapshot texte (protection anti-abus).
 MAX_TEXT_CHARS = 8 * 1024 * 1024
 
+#: Taille maximale d'un message brut reçu (protection anti-abus, BUG-036).
+MAX_MESSAGE_CHARS = 16 * 1024 * 1024
+
 #: Palette de couleurs attribuées aux utilisateurs (curseurs + avatars).
 PEER_COLORS = [
     "#e6194b", "#3cb44b", "#4363d8", "#f58231", "#911eb4",
@@ -68,9 +71,13 @@ def authenticate_websocket(websocket: WebSocket) -> dict[str, Any] | None:
     """Authenticate a WebSocket connection.
 
     Mirrors :func:`backend.auth.middleware.get_current_user` but works on the
-    WebSocket scope: the JWT is read from the ``access_token`` cookie (sent
+    WebSocket scope: the JWT is read from the ``access_token`` cookie, which
-    automatically by same-origin browsers during the handshake) or, as a
+    same-origin browsers send automatically during the handshake.
-    fallback, from the ``token`` query parameter.
+
+    BUG-036: the token is **never** accepted from the query string anymore —
+    URLs end up in access logs, proxies and browser history. Browsers cannot
+    set custom headers on a WebSocket handshake, so the HttpOnly cookie set at
+    login is the only supported transport.
 
     Returns the user dict, or ``None`` if authentication fails.
     """
@@ -88,7 +95,7 @@ def authenticate_websocket(websocket: WebSocket) -> dict[str, Any] | None:
             "_token_vaults": ["*"],
         }
 
-    token = websocket.query_params.get("token") or websocket.cookies.get("access_token")
+    token = websocket.cookies.get("access_token")
     if not token:
         return None
 
@@ -274,6 +281,9 @@ class CollabManager:
 
     # -- message handling ---------------------------------------------------
     async def _on_message(self, room: CollabRoom, client: CollabClient, raw: str) -> None:
+        # BUG-036: drop oversized frames before parsing them.
+        if not isinstance(raw, str) or len(raw) > MAX_MESSAGE_CHARS:
+            return
         try:
             message = json.loads(raw)
         except (ValueError, TypeError):

backend/indexer.py

@@ -481,12 +481,18 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
 
                 # PDF handling — special path (binary, uses pdf_reader)
                 tags: list[str] = []
+                pdf_text_pending = False
                 if ext == ".pdf":
-                    from backend.pdf_reader import extract_pdf_metadata, extract_pdf_text
+                    from backend.pdf_reader import extract_pdf_metadata
-                    raw = extract_pdf_text(fpath, max_chars=100000)
+                    # BUG-040: only the (cheap) metadata is read during the
+                    # scan. Full-text extraction is deferred to a background
+                    # pass (``enrich_pdf_texts``) so a vault with many/large
+                    # PDFs no longer blocks startup and index rebuilds.
                     pdf_meta = extract_pdf_metadata(fpath)
                     title = pdf_meta.get("title") or fpath.stem.replace("-", " ").replace("_", " ")
-                    content_preview = raw[:200].strip()
+                    raw = ""
+                    content_preview = ""
+                    pdf_text_pending = True
                 elif ext == ".excalidraw" or fpath.name.lower().endswith(".excalidraw.md"):
                     raw = fpath.read_text(encoding="utf-8", errors="replace")
                     raw = extract_excalidraw_indexable(raw)
@@ -510,7 +516,7 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                             title, post.content
                         )
 
-                files.append({
+                file_info = {
                     "path": str(relative).replace("\\", "/"),
                     "title": title,
                     "tags": tags,
@@ -519,7 +525,10 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                     "size": stat.st_size,
                     "modified": modified,
                     "extension": ext,
-                })
+                }
+                if pdf_text_pending:
+                    file_info["pdf_text_pending"] = True
+                files.append(file_info)
 
                 for tag in tags:
                     tag_counts[tag] = tag_counts.get(tag, 0) + 1
@@ -535,6 +544,60 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
     return {"files": files, "tags": tag_counts, "path": vault_path, "paths": paths, "config": {}}
 
 
+async def enrich_pdf_texts(vault_name: str | None = None) -> int:
+    """Extract text from PDFs whose extraction was deferred during the scan (BUG-040).
+
+    ``_scan_vault`` only reads PDF metadata so a vault with many or large PDFs
+    starts serving immediately. This coroutine runs *after* the index (and the
+    inverted index) is ready, extracts the missing text off the event loop and
+    updates the in-memory entry plus the incremental index hooks.
+
+    Args:
+        vault_name: Restrict the pass to a single vault; ``None`` covers every
+            indexed vault.
+
+    Returns:
+        Number of deferred PDFs whose text extraction was attempted.
+    """
+    from backend.pdf_reader import extract_pdf_text
+
+    pending: list[tuple[str, dict[str, Any], Path]] = []
+    with _index_lock:
+        for name, vault_data in index.items():
+            if vault_name is not None and name != vault_name:
+                continue
+            vault_root = Path(vault_data.get("path", ""))
+            for file_info in vault_data.get("files", []):
+                if file_info.get("pdf_text_pending"):
+                    pending.append((name, file_info, vault_root / file_info["path"]))
+
+    if not pending:
+        return 0
+
+    loop = asyncio.get_running_loop()
+    enriched = 0
+    for name, file_info, file_path in pending:
+        try:
+            raw = await loop.run_in_executor(None, extract_pdf_text, file_path, 100000)
+        except Exception as exc:  # pragma: no cover - defensive
+            logger.warning("PDF enrichment failed for %s: %s", file_path, exc)
+            raw = ""
+        file_info["content"] = raw[:SEARCH_CONTENT_LIMIT]
+        file_info["content_preview"] = raw[:200].strip()
+        file_info.pop("pdf_text_pending", None)
+        enriched += 1
+        if _on_index_change:
+            try:
+                _on_index_change("add", name, file_info["path"], file_info)
+            except Exception as exc:  # pragma: no cover - defensive
+                logger.warning(
+                    "Index hook failed after PDF enrichment for %s: %s", file_path, exc
+                )
+
+    logger.info("PDF enrichment: extracted text for %d deferred PDF(s)", enriched)
+    return enriched
+
+
 async def build_index(progress_callback=None) -> None:
     """Build the full in-memory index for all configured vaults.
 
@@ -632,6 +695,8 @@ async def reload_index() -> dict[str, Any]:
         Dict mapping vault names to their file/tag counts.
     """
     await build_index()
+    # BUG-040: complete the deferred PDF extraction for the rebuilt index.
+    await enrich_pdf_texts()
     stats = {}
     for name, data in index.items():
         stats[name] = {"file_count": len(data["files"]), "tag_count": len(data["tags"])}
@@ -695,7 +760,10 @@ async def reload_single_vault(vault_name: str) -> dict[str, Any]:
     # Rebuild attachment index for this vault only
     from backend.attachment_indexer import build_attachment_index
     await build_attachment_index({vault_name: config})
-    
+
+    # BUG-040: complete the deferred PDF extraction for this vault.
+    await enrich_pdf_texts(vault_name)
+
     stats = {"file_count": len(vault_data["files"]), "tag_count": len(vault_data["tags"])}
     logger.info(f"Vault '{vault_name}' reindexed: {stats['file_count']} files, {stats['tag_count']} tags")
     return stats

backend/main.py

@@ -722,12 +722,56 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
         return response
 
 
+def _guard_insecure_auth() -> None:
+    """Warn or refuse to start when authentication is disabled (BUG-037).
+
+    With ``OBSIGATE_AUTH_ENABLED=false`` every request is served as an
+    anonymous admin. That is convenient for local use but dangerous when the
+    process is reachable from a network. Binding to a non-loopback host
+    without the explicit ``OBSIGATE_ALLOW_INSECURE=true`` opt-in is refused.
+    """
+    from backend.auth.middleware import (
+        bind_host_from_argv,
+        is_auth_enabled,
+        is_insecure_mode_allowed,
+        is_loopback_host,
+    )
+
+    if is_auth_enabled():
+        return
+
+    if is_insecure_mode_allowed():
+        logger.warning(
+            "Authentication is DISABLED and OBSIGATE_ALLOW_INSECURE=true: every request "
+            "is treated as an anonymous administrator. Do not expose this instance."
+        )
+        return
+
+    host = bind_host_from_argv()
+    if not is_loopback_host(host):
+        raise RuntimeError(
+            "Refusing to start: authentication is disabled (OBSIGATE_AUTH_ENABLED=false) "
+            f"while binding to a non-loopback address ('{host}'). This would expose an "
+            "unauthenticated instance with admin access. Enable authentication, or set "
+            "OBSIGATE_ALLOW_INSECURE=true if you really know what you are doing."
+        )
+
+    logger.warning(
+        "Authentication is DISABLED (OBSIGATE_AUTH_ENABLED=false): every request is "
+        "treated as an anonymous administrator. This is only safe on a trusted, "
+        "loopback-only deployment."
+    )
+
+
 @asynccontextmanager
 async def lifespan(app: FastAPI):
     """Application lifespan: build index on startup, cleanup on shutdown."""
     global _search_executor, _vault_watcher
     _search_executor = ThreadPoolExecutor(max_workers=2, thread_name_prefix="search")
-    
+
+    # BUG-037: refuse to expose an unauthenticated instance on a public bind.
+    _guard_insecure_auth()
+
     # Bootstrap admin account if needed
     bootstrap_admin()
 
@@ -748,6 +792,11 @@ async def lifespan(app: FastAPI):
         # Build the semantic (embedding) index in the same background thread pool.
         await loop.run_in_executor(_search_executor, init_semantic_index)
 
+        # BUG-040: extract the PDF text deferred during the scan now that the
+        # index and inverted index are queryable (keeps startup non-blocking).
+        from backend.indexer import enrich_pdf_texts
+        await enrich_pdf_texts()
+
         # Scan for plugins in all vaults
         logger.info("Scanning for plugins...")
         from backend.indexer import vault_config

backend/secret_redactor.py

@@ -34,7 +34,7 @@ _PATTERNS = [
     (re.compile(r'(?:api[_-]?key|apikey|secret|token|password|passwd|auth[_-]?token)\s*[:=]\s*[\'"]?([^\s\'"]{20,})[\'"]?', re.IGNORECASE),
      lambda m: f'{m.group(0).split("=")[0].split(":")[0]}=[MASQUÉ]' if "=" in m.group(0) or ":" in m.group(0) else '[MASQUÉ]'),
     
-    # Generic long hex/base64 strings that look like secrets (40+ chars)
+    # Prefixed API keys (sk-..., pk-..., rk-...)
     (re.compile(r'(?:sk|pk|rk)-[a-zA-Z0-9]{20,}'), '[CLÉ API MASQUÉE]'),
     
     # AWS access keys
@@ -43,10 +43,50 @@ _PATTERNS = [
     # GitHub tokens (ghp_, gho_, ghu_, ghs_, ghr_)
     (re.compile(r'gh[pousr]_[a-zA-Z0-9]{36,}'), '[GITHUB_TOKEN MASQUÉ]'),
     
-    # Generic long random-looking strings (40+ hex chars)
-    (re.compile(r'\b[a-fA-F0-9]{40,64}\b'), '[HEX_KEY MASQUÉ]'),
 ]
 
+# BUG-035: bare 40–64 char hex strings used to be redacted unconditionally,
+# which mangled legitimate git commit SHAs, checksums and hashes in notes.
+# They are now only redacted when a secret-ish keyword sits in the immediate
+# context; hash/commit keywords explicitly exempt them.
+_HEX_RE = re.compile(r'\b[a-fA-F0-9]{40,64}\b')
+_SECRET_CONTEXT_RE = re.compile(
+    r'(?i)\b(?:secret|token|key|apikey|api[_-]?key|password|passwd|auth|bearer|'
+    r'credential|x-api-key|x-auth-token)\b'
+)
+_HASH_CONTEXT_RE = re.compile(
+    r'(?i)\b(?:commit|sha\d*|hash|md5|blob|git|checksum|digest|integrity|'
+    r'revision|rev|etag|fingerprint)\b'
+)
+#: How far before the hex string a keyword may appear to count as context.
+_HEX_CONTEXT_WINDOW = 60
+
+
+def _redact_bare_hex_secrets(text: str) -> tuple:
+    """Redact 40–64 char hex strings only when a secret keyword is nearby.
+
+    Git/SHA/checksum contexts are left untouched (BUG-035).
+
+    Args:
+        text: Text to scan.
+
+    Returns:
+        (redacted_text, redaction_count) tuple.
+    """
+    count = 0
+
+    def _replace(match: re.Match) -> str:
+        nonlocal count
+        window = text[max(0, match.start() - _HEX_CONTEXT_WINDOW):match.start()]
+        if _HASH_CONTEXT_RE.search(window):
+            return match.group(0)
+        if _SECRET_CONTEXT_RE.search(window):
+            count += 1
+            return '[HEX_KEY MASQUÉ]'
+        return match.group(0)
+
+    return _HEX_RE.sub(_replace, text), count
+
 
 def redact(text: str) -> tuple:
     """Redact sensitive patterns from text.
@@ -66,6 +106,8 @@ def redact(text: str) -> tuple:
             new_result, n = pattern.subn(str(replacement), result)
         count += n
         result = new_result
+    result, hex_count = _redact_bare_hex_secrets(result)
+    count += hex_count
     if count > 0:
         logger.info(f"Redacted {count} secret(s) from content")
     return result, count

desktop/Cargo.lock

@@ -2626,7 +2626,7 @@ dependencies = [
 
 [[package]]
 name = "obsigate-desktop"
-version = "2.11.0"
+version = "2.11.4"
 dependencies = [
  "chrono",
  "env_logger",

desktop/Cargo.toml

@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.11.0"
+version = "2.11.4"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"

desktop/tauri.conf.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
   "productName": "ObsiGate",
-  "version": "2.11.0",
+  "version": "2.11.4",
   "identifier": "com.obsigate.desktop",
   "build": {
     "frontendDist": "../frontend",

docs/ISSUES_TODOLIST.md

@@ -144,12 +144,12 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-032* | [🟡 IMPORTANT] Indexation : symlinks suivis (contenu hors vault indexé) + scan initial coûteux | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/indexer.py` | Placer un symlink dans le vault vers un dossier externe puis relancer l'index | `_scan_vault` réécrit avec `os.walk(followlinks=False)` + refus des symlinks sortant de la racine ; test `TestSymlinkIndexing` | Scan incrémental/index persistant : voir #86 (phase 3) |
 | *BUG-033* | [🟡 IMPORTANT] Recherche classique et tool IA `search_fulltext` en O(N) sans inverted index | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/search.py`, `backend/tools/service.py` | `GET /api/search` sur un vault de 50 000 fichiers | `search()` récupère les candidats via l'inverted index (intersection des termes + expansion de préfixes), repli sur le scan pendant la construction | `search_fulltext` en bénéficie automatiquement |
 | *BUG-034* | [🟡 IMPORTANT] CSP affaiblie (`'unsafe-inline'` + CDN distants) et token d'accès en sessionStorage | 🟢 corrigé | P1 | 🔐 sécurité | IA | `backend/main.py`, `frontend/js/auth.js`, `frontend/js/admin.js`, `frontend/js/sync.js` | Inspecter les en-têtes CSP ; lire sessionStorage en console | Token en mémoire + cookie HttpOnly (plus de `sessionStorage`) ; CSP durcie (`object-src 'none'`, `base-uri`, `form-action`, `frame-ancestors`). *Reste : migration nonce* | `'unsafe-inline'` conservé tant que les gestionnaires inline n'ont pas été convertis (résidu documenté) |
-| *BUG-035* | [🔵 MINEUR] `secret_redactor` : faux positifs sur les hashs hex (git, SHA) | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/secret_redactor.py` | Lire une note contenant un commit git (40 caractères hexadécimaux) | Restreindre le périmètre de détection (contexte clé/token) + whitelist | Contenus mutilés dans les lectures et réponses IA |
+| *BUG-035* | [🔵 MINEUR] `secret_redactor` : faux positifs sur les hashs hex (git, SHA) | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/secret_redactor.py` | Lire une note contenant un commit git (40 caractères hexadécimaux) | Masquage hex conditionné au contexte (`_redact_bare_hex_secrets`) : secret exigé dans les 60 caractères précédents, exemption explicite pour `commit`/`sha*`/`hash`/`checksum`/`git`/`etag`. Tests : `tests/test_api_main.py::TestSecretRedactor` (+4) | Contenus mutilés dans les lectures et réponses IA |
-| *BUG-036* | [🔵 MINEUR] Collab WebSocket : token en query string | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/collab.py` | Observer l'URL du websocket dans le trafic réseau | Passer le token en header / étape d'authentification initiale ; borner la taille des messages | Jeton visible dans les logs/proxys |
+| *BUG-036* | [🔵 MINEUR] Collab WebSocket : token en query string | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/collab.py` | Observer l'URL du websocket dans le trafic réseau | `authenticate_websocket` ne lit plus `?token=` : cookie HttpOnly `access_token` uniquement ; rejet des trames > `MAX_MESSAGE_CHARS` (16 Mio) avant analyse. Tests : `tests/test_collab.py` (+3) | Jeton visible dans les logs/proxys |
-| *BUG-037* | [🔵 MINEUR] Compte « anonymous » administrateur si auth désactivée | 🔴 ouvert | P2 | 🔐 sécurité | IA | `backend/auth/middleware.py` | Démarrer avec l'authentification désactivée | Avertissement explicite au démarrage + refus de déploiement public sans auth | Comportement par conception mais risqué si mal configuré |
+| *BUG-037* | [🔵 MINEUR] Compte « anonymous » administrateur si auth désactivée | 🟢 corrigé | P2 | 🔐 sécurité | IA | `backend/auth/middleware.py`, `backend/main.py` | Démarrer avec l'authentification désactivée | `_guard_insecure_auth()` : avertissement explicite + refus de démarrage sur bind non-loopback sans `OBSIGATE_ALLOW_INSECURE=true`. Tests : `tests/test_auth.py::TestInsecureAuthGuard` (+6) | Comportement par conception mais risqué si mal configuré |
-| *BUG-038* | [🔵 MINEUR] Argon2 à 64 MB par vérification : risque d'épuisement mémoire | 🔴 ouvert | P2 | 🔐 sécurité | IA | `backend/auth/password.py:8` | Lancer de nombreux `POST /api/auth/login` simultanés | Recalibrer (~19 MB, t=2, p=1, norme OWASP actuelle) + maintien du rate-limit | DoS mémoire possible sur les petites instances |
+| *BUG-038* | [🔵 MINEUR] Argon2 à 64 MB par vérification : risque d'épuisement mémoire | 🟢 corrigé | P2 | 🔐 sécurité | IA | `backend/auth/password.py` | Lancer de nombreux `POST /api/auth/login` simultanés | Recalibré à `m=19456 Kio (19 Mio), t=2, p=1` (OWASP) ; anciens hachages valides + rehash auto. Test : `tests/test_auth.py::TestPasswordHashing::test_argon2_memory_recalibrated` | DoS mémoire possible sur les petites instances |
-| *BUG-039* | [🔵 MINEUR] Enumération de comptes : 429 (verrouillé) vs 401 (inconnu) | 🔴 ouvert | P3 | 🔐 sécurité | IA | `backend/auth/router.py:120` | Tenter un login sur un compte verrouillé puis un nom inconnu | Répondre 401 uniforme avec un timing équivalent | Le statut HTTP distingue l'existence d'un compte |
+| *BUG-039* | [🔵 MINEUR] Enumération de comptes : 429 (verrouillé) vs 401 (inconnu) | 🟢 corrigé | P3 | 🔐 sécurité | IA | `backend/auth/router.py` | Tenter un login sur un compte verrouillé puis un nom inconnu | Login uniforme : inconnu / désactivé / verrouillé / rate-limit par compte → `401 Identifiants invalides` + hachage factice (timing équivalent) ; seul le rate-limit IP reste `429`. Tests : `tests/test_auth_api.py` (+3) | Le statut HTTP distinguait l'existence d'un compte |
-| *BUG-040* | [🔵 MINEUR] Extraction PDF intégrale (100 ko) au scan de démarrage | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/indexer.py:465` | Démarrer sur un vault contenant de nombreux PDF | Analyser les PDF en tâche de fond / à la demande (lazy) | Ralentit fortement le démarrage et le rebuild d'index |
+| *BUG-040* | [🔵 MINEUR] Extraction PDF intégrale (100 ko) au scan de démarrage | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/indexer.py`, `backend/main.py` | Démarrer sur un vault contenant de nombreux PDF | `_scan_vault` ne lit que les métadonnées ; `enrich_pdf_texts()` extrait le texte après l'index (démarrage) et après chaque réindexation. Tests : `tests/test_pdf.py` (+3) | Ralentit fortement le démarrage et le rebuild d'index |
 | *BUG-041* | [🟡 IMPORTANT] Assistant IA : échec sur un répertoire vide (« Aucun fichier markdown trouvé dans ce dossier ») au lieu de répondre | 🟢 corrigé | P1 | 📱 frontend + ⚙️ backend | IA | `backend/bookslm_routes.py`, `backend/bookslm.py`, `frontend/js/bookslm.js` | Ouvrir l'assistant sur un dossier vide puis envoyer une question | `_resolve_system_prompt` dégrade vers le prompt Général + bloc « Dossier vide » (plus de 404) ; contexte applicatif `app_context` enrichi (documents ouverts, répertoire, recherche, fichiers récents) | Le 404 bloquait toute la requête. Feature #88, fiche `docs/features/ai-app-context.md`. Tests : `tests/test_bookslm.py` (+3), `tests/frontend/ai.test.mjs` |
 | *BUG-042* | [🟡 IMPORTANT] Assistant IA : liens de fichiers non fiables (« File not found: ») — pas de règle déterministe nom / dossier / chemin | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/bookslm.js` | Cliquer les liens de fichiers/dossiers dans une réponse de l'assistant (noms avec espaces et/ou accents, chemin préfixé par le nom du vault) | `_classifyPath` distingue `name` (copie presse-papiers) / `dir` (révélation arborescence) / `file` (ouverture) ; `_activatePath()` résout le chemin contre l'index du vault (exact → suffixe → basename unique) avant d'agir ; espaces + accents pris en charge (classes Unicode `\p{L}\p{N}\p{M}`, comparaison normalisée NFC, markdown `<…>`/`%20`, code inline, mentions brutes confirmées par l'index) ; `_splitVaultPrefix` retire un préfixe `Vault/…` et ouvre dans ce vault (`_fetchPathsForVault`) | Les liens morts ouvraient un fichier inexistant. Feature #88. Tests : `tests/frontend/ai.test.mjs` (+11) |
 | *BUG-043* | [🟡 IMPORTANT] Assistant IA : la liste des fournisseurs de la barre latérale ne suit pas les ajouts/retraits de clés API dans la configuration du projet | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/ai.js`, `frontend/js/bookslm.js`, `frontend/js/config.js` | Ajouter (ou supprimer) une clé de fournisseur AI dans la configuration puis observer le menu Fournisseur de l'assistant sans recharger la page | Le picker lit `/api/ai/status` **une seule fois**, à sa construction, et le panneau de l'assistant est un singleton monté pour toute la session → liste figée. Nouveau `refreshAIPickers()` (exporté par `ai.js`) qui reconstruit chaque picker monté dans son emplacement `.ai-picker-slot` (conservé même sans fournisseur configuré, donc un premier fournisseur s'y monte aussi) ; appelé après `saveAIKeys()` et `deleteAIKey()` (`config.js`) ; une sélection dont le fournisseur n'est plus configuré est purgée de `obsigate_ai_picker` (retour au défaut + modèle effacé au lieu d'un nom fantôme) | Il fallait recharger la page pour voir un nouveau fournisseur (ou en voir disparaître un). Feature #82. Tests : `tests/frontend/ai.test.mjs` (+4) |
@@ -168,6 +168,10 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-056* | [🟡 IMPORTANT] Éditeur Forge en plein écran : l'Assistant IA s'ouvre en arrière-plan et reste invisible | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/editor-poc.html`, `frontend/js/sync.js`, `tests/frontend/forge-completion.test.mjs`, `tests/frontend/editor-inline.test.mjs` | Forge : passer en plein écran puis cliquer le bouton « Assistant IA » (ou `Ctrl+J`) — le panneau s'ouvre dans le document parent, masqué par l'iframe plein écran | Sortie du plein écran **avant** d'ouvrir le panneau, des deux côtés : côté iframe (`openAssistant` → `document.exitFullscreen()` puis `postMessage` à la résolution) **et** côté parent (`sync.js` sur `forge-open-ai` → `document.exitFullscreen()` puis `openForCurrentContext()`), car le plein écran peut être détenu par le document parent et non par l'iframe (dans ce cas `document.fullscreenElement` est nul dans l'iframe et sa sortie échoue). Tests : `forge-completion.test.mjs` (+1), `editor-inline.test.mjs` (+1) | Le panneau assistant est monté dans `document.body` du parent : l'API Fullscreen ne rend que l'élément plein écran et ses descendants, donc il ne peut pas s'afficher au-dessus de l'iframe Forge en plein écran. La sortie côté iframe seule ne suffisait pas quand le parent détient le plein écran |
 | *BUG-057* | [🟡 IMPORTANT] Assistant IA : le bouton « Ajouter » est inopérant dans l'éditeur Forge (fonctionne seulement dans « Editer ») | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/bookslm.js`, `frontend/editor-poc.html` | Ouvrir un document dans Forge, demander une réponse à l'assistant puis cliquer « Ajouter » | `_insertIntoEditor()` cible Forge (`#forge-iframe`) : `postMessage({ type: 'parent-insert', text })` ; `editor-poc.html` insère au curseur (`insertAtCursor`) et marque le tampon modifié. Repli textarea inclus. Tests : `tests/frontend/ai.test.mjs` (+3), `tests/frontend/editor-inline.test.mjs` (+1) | `state.editorView` (CodeMirror) est nul en Forge : le clic affichait « Aucun document ouvert dans l'éditeur » |
 | *BUG-058* | [🔵 MINEUR] Éditeur « Editer » : la barre de numérotation de ligne ne suit pas la couleur du thème (gutter clair `#f5f5f5` en thème sombre) | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css` | Ouvrir un document → Editer en thème sombre : la colonne des numéros de ligne reste gris clair alors que le fond de l'éditeur est sombre | Thème du gutter CodeMirror via les variables CSS (`color-mix(var(--text-primary) …)` pour le fond, `--text-secondary` pour les numéros, `--border` pour la séparation, `--text-primary` pour la ligne active) au lieu des valeurs codées en dur de CodeMirror ; test de non-régression dans `tests/frontend/editor-inline.test.mjs`. Vérifié Playwright (instance de test) : sombre `color(srgb 0.90 0.93 0.95 / 0.05)` + bordure `#21262d`, clair `color(srgb 0.12 0.14 0.16 / 0.05)` + bordure `#d0d7de` | CodeMirror applique `background:#f5f5f5` par défaut, indépendamment du thème ObsiGate ; en mode sombre le fond de l'éditeur suit `--bg-secondary` mais pas le gutter |
+| *BUG-060* | [🟡 IMPORTANT] Viewer PDF : l'affichage des pages ne fonctionne pas — seule la barre d'outils « PDF — N pages » s'affiche, le contenu reste vide | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs` (nouveau), `tests/e2e/pdf-viewer.spec.js` (nouveau) | Cliquer un fichier `.pdf` dans l'arborescence | `frontend/js/viewer.js` : le rendu PDF passe de `<embed type="application/pdf">` à `<iframe>` (autorisée par `frame-src 'self'`, le stream étant same-origin). Tests : `tests/frontend/pdf-viewer.test.mjs` (+6) et `tests/e2e/pdf-viewer.spec.js` (fixture `test_vault/sample-pdf.pdf`) | Cause : la CSP durcie en BUG-034 pose `object-src 'none'`, directive qui gouverne `<embed>`/`<object>` → le lecteur PDF natif était bloqué (barre d'outils rendue, corps vide). Le test E2E échoue bien avec l'ancien `<embed>`. `object-src 'none'` conservé (le correctif ne désarme pas la CSP) |
+| *BUG-061* | [🟡 IMPORTANT] Assistant IA : le bouton « Plein écran » n'agrandit plus le panneau | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css`, `tests/frontend/ai.test.mjs` | Ouvrir l'assistant, redimensionner le panneau, puis cliquer « Plein écran » | La largeur du panneau est écrite en ligne par la poignée de redimensionnement / la largeur persistée (`localStorage`) ; l'inline l'emportait sur `.bookslm-panel.fullscreen { width: 100vw }`. Ajout de `!important` sur la règle plein écran. Tests : `ai.test.mjs` (+1 : classe basculée + règle CSS). Vérifié Playwright : 640 px → 1400 px (viewport) |
+| *BUG-062* | [🟡 IMPORTANT] Viewer PDF : le document ne prend pas toute la largeur quand la navigation est masquée | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js` | Ouvrir un PDF puis masquer la barre de navigation gauche | La règle `.sidebar.hidden ~ .content-wrapper .content-area { max-width: 1200px }` (colonne de lecture centrée) s'appliquait aussi aux viewers plein cadre. Ajout de `.content-area:has(.pdf-viewer-container)` (et `.image-viewer-container`) avec `max-width: none; margin: 0`. Test E2E : `max-width` calculé = `none`, conteneur = largeur du contenu |
+| *BUG-063* | [🟡 IMPORTANT] Viewer PDF : la table des matières s'affiche mais ne navigue pas | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js` (fixture `test_vault/sample-pdf-toc.pdf`) | Ouvrir un PDF avec signets, puis cliquer une entrée de la TOC | Les liens faisaient `contentWindow.location.hash='page=N'` : le lecteur PDF natif vit dans une fenêtre `about:blank`, l'affectation n'atteint jamais le document. Nouveau `navigatePdfToPage()` (liens `data-page` + listeners, plus d'`onclick` inline) qui recharge l'iframe avec `#page=N`. Test E2E : `src` se termine par `#page=3` | Le hash du `contentWindow` restait sur `about:blank#page=N` sans effet |
 |  | | | | | | | | | | |
 
 ### TODOs techniques (améliorations / nouvelles tâches)
@@ -230,6 +234,9 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-09-17 | BUG-057, #102 | Correction + feature | `frontend/js/bookslm.js`, `frontend/editor-poc.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/ai.test.mjs`, `tests/frontend/editor-inline.test.mjs`, `docs/archive/COMPLETED_v1-v2.md`, `docs/ROADMAP.md`, `CHANGELOG.md` | **BUG-057** : le bouton « Ajouter » de l'assistant ne ciblait que `state.editorView` (CodeMirror) ; en Forge il affichait « Aucun document ouvert dans l'éditeur ». `_insertIntoEditor()` gère désormais les trois surfaces : CodeMirror, l'iframe Forge (`postMessage({ type: 'parent-insert', text })` → `insertAtCursor` dans `editor-poc.html`) et le textarea de repli. **#102** : chaque bloc de code d'une réponse reçoit un bouton « Ajouter la section » (`.bookslm-code-insert`, révélé au survol) qui insère le contenu du bloc sans les délimiteurs ` ``` `. Vérifié : `ai.test.mjs` 91/91 (+3), `editor-inline.test.mjs` 43/43 (+1), `forge-completion.test.mjs` 32/32, unit 9/9, validate-imports 38 modules, pytest 1101 passed / 6 skipped, ruff 0, mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-17 | BUG-058 | Correction | `frontend/style.css`, `tests/frontend/editor-inline.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-058** : la barre de numérotation de ligne de l'éditeur « Editer » ne suivait pas le thème — CodeMirror peint `.cm-gutters` avec des valeurs claires codées en dur (`#f5f5f5`, bordure `#ddd`), visibles en thème sombre. Correctif : le gutter dérive des variables CSS ObsiGate (`background: color-mix(in srgb, var(--text-primary) 5%, transparent)`, `color: var(--text-secondary)`, `border-right: 1px solid var(--border)`, ligne active `color-mix(… 10% …)` / `--text-primary`), donc il suit les 15 thèmes et les 4 modes. Vérifié : `editor-inline.test.mjs` 44/44 (+1), unit 9/9, validate-imports 38 modules, pytest 1101 passed / 6 skipped, ruff 0, mypy 0, et Playwright sur l'instance de test (route `style.css` remplacée par le fichier local) — sombre `color(srgb 0.90 0.93 0.95 / 0.05)` + bordure `#21262d`, clair `color(srgb 0.12 0.14 0.16 / 0.05)` + bordure `#d0d7de`, plus de `rgb(245,245,245)`. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-17 | BUG-059 | Correction | `frontend/js/bookslm.js`, `tests/frontend/ai.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-059** : dans une conversation ouverte (post ancré en haut), **tout clic** dans la fenêtre de messages — lien de fichier, étapes, sélection de texte — faisait sauter toute la conversation au bas de la fenêtre. Cause : le gestionnaire `mousedown` de dépintage (prévu pour la molette/tactile/poignée de scroll) se déclenchait aussi sur un simple clic, et le retrait du padding d'ancre (`paddingBottom`) bornait le `scrollTop` à la nouvelle hauteur max → saut au bas. Correctif : helper pur `isScrollbarPress(target, clientX, container)` — un appui ne dépine que s'il vise la **poignée de scroll** (cible = conteneur + zone de gouttière droite) ; molette et tactile conservent leur comportement. Vérifié : `ai.test.mjs` 92/92 (+1), unit 9/9, validate-imports 38 modules, pytest / ruff / mypy inchangés côté backend. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-060 | Correction | `frontend/js/viewer.js`, `.gitea/workflows/ci.yml`, `tests/frontend/pdf-viewer.test.mjs` (nouveau), `tests/e2e/pdf-viewer.spec.js` (nouveau), `test_vault/sample-pdf.pdf` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-060** : l'ouverture d'un PDF n'affichait aucune page (barre d'outils « PDF — N pages » présente, corps vide). Cause : la CSP durcie en BUG-034 pose `object-src 'none'` — directive qui gouverne `<embed>`/`<object>` — alors que le viewer rendait le PDF via `<embed type="application/pdf">` : le lecteur natif était bloqué. Correctif : rendu dans une `<iframe>` (autorisée par `frame-src 'self'`, le stream `/api/file/{vault}/pdf/stream` étant same-origin) ; `object-src 'none'` conservé. Tests : `pdf-viewer.test.mjs` 6/6 (statique : pas d'`<embed>`, CSP `frame-src 'self'`, iframe pleine hauteur), `pdf-viewer.spec.js` (E2E : iframe + stream `application/pdf` 200/206 + zéro violation CSP ; échoue bien avec l'ancien `<embed>`). Vérifié : pytest 1184 passed / 6 skipped, frontend 14 suites JSDOM vertes, validate-imports 38 modules, ruff/mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-035, BUG-036, BUG-037, BUG-038, BUG-039, BUG-040 | Correction | `backend/secret_redactor.py`, `backend/collab.py`, `backend/auth/{middleware,password,router}.py`, `backend/indexer.py`, `backend/main.py`, `tests/test_api_main.py`, `tests/test_auth.py`, `tests/test_auth_api.py`, `tests/test_collab.py`, `tests/test_pdf.py`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **Lot de 6 bugs mineurs (P2/P3)** : BUG-035 masquage hex conditionné au contexte (git/SHA épargnés) ; BUG-036 jeton WebSocket cookie-only (plus de `?token=`) + plafond de trame 16 Mio ; BUG-037 garde-fou au démarrage (refus d'un bind public sans auth sauf `OBSIGATE_ALLOW_INSECURE=true`) ; BUG-038 Argon2 recalibré 19 Mio/t=2/p=1 ; BUG-039 login uniforme 401 (fini 429/403 distinctifs) ; BUG-040 extraction PDF différée via `enrich_pdf_texts()`. Vérifié : pytest 1204 passed / 6 skipped, ruff 0, mypy 0 (77 fichiers), frontend validate-imports 38 modules + unit 9/9. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-061, BUG-062, BUG-063 | Correction | `frontend/style.css`, `frontend/js/viewer.js`, `tests/frontend/ai.test.mjs`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js`, `test_vault/sample-pdf-toc.pdf` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **Viewer PDF & assistant IA** : BUG-061 le bouton plein écran du panneau assistant l'emportait mal sur la largeur inline (redimensionnement/persistée) → `width: 100vw !important` ; BUG-062 le plafond de lecture 1200 px s'appliquait au PDF quand la navigation était masquée → `:has(.pdf-viewer-container)` en `max-width:none` ; BUG-063 la TOC PDF ne naviguait pas (`contentWindow` = `about:blank`) → `navigatePdfToPage()` recharge l'iframe avec `#page=N`, liens `data-page` sans `onclick` inline. Vérifié : `ai.test.mjs` 93/93, `pdf-viewer.test.mjs` 8/8, validate-imports 38 modules (311 exports), unit 9/9, E2E `pdf-viewer.spec.js` 3/3, et Playwright sur l'instance de test (plein écran 640→1400 px, `src` → `#page=3`, `max-width:none`). | 🟢 corrigé (en attente vérif utilisateur) |
 
 ---
 

docs/ROADMAP.md

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap
 
-> **Version :** 2.11.0 | **Dernière mise à jour :** 2026-09-17
+> **Version :** 2.11.4 | **Dernière mise à jour :** 2026-09-17
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -196,7 +196,7 @@
 | ✅ Complété | #1 → #59, #61–72, #74–76, #78–84, #88–93, #94–100, #102, #92 | ~114 jours réalisés |
 | 🔵 P2 restant | #77 Desktop : signature de code (non retenue), 6 tests E2E **manuels** ([protocole](./DESKTOP_E2E_CHECKLIST.md)) | ~0,5-1 jour |
 | ⚪ P4 restant | #73 Sync (6-8j) | 6-8 jours |
-| ⚪ P0/P1 restant | #85-87 Refonte architecturale, performance, CI/CD (issues BUG-035 → BUG-040) | ~15-23 jours |
+| ⚪ P0/P1 restant | #85-87 Refonte architecturale, performance, CI/CD (BUG-035 → BUG-040 corrigés) | ~15-23 jours |
 | **Total restant** | **7 items + finitions** | **~27-42 jours** |
 
 ---

docs/features/collaboration.md

@@ -109,11 +109,14 @@ Serveur → client :
 
 ## Sécurité
 
-- Authentification obligatoire si `OBSIGATE_AUTH_ENABLED=true` (cookie ou `?token=`).
+- Authentification obligatoire si `OBSIGATE_AUTH_ENABLED=true` : le jeton est lu depuis le cookie
+  HttpOnly `access_token` (envoyé lors du handshake same-origin). Le jeton en query string
+  (`?token=`) n'est **plus accepté** (BUG-036 : URLs journalisées par les proxies).
 - Vérification `check_vault_access()` par connexion (un utilisateur ne peut pas rejoindre une room
   d'une vault non autorisée).
 - `resolve_safe_path()` empêche toute traversée de chemin (`../../`).
-- Bornes anti-abus : `MAX_UPDATE_BYTES` (8 Mo) par mise à jour, `MAX_TEXT_CHARS` (8 Mio) par snapshot.
+- Bornes anti-abus : `MAX_UPDATE_BYTES` (8 Mo) par mise à jour, `MAX_TEXT_CHARS` (8 Mio) par snapshot,
+  `MAX_MESSAGE_CHARS` (16 Mio) par trame brute.
 - Le serveur ne décode pas le binaire Yjs : il le stocke et le relaie tel quel (pas de surface
   d'attaque supplémentaire côté parsing).
 

docs/features/pdf.md

@@ -8,6 +8,7 @@
 
 - **Implémentation réelle (vérifiée 2026-09-07) :**
   - **Bugs corrigés (2026-09) :** `api_pdf_stream` crashait en 500 (`NameError: current_user` jamais injecté) ; l'indexation incrémentale du watcher faisait `read_text()` sur les PDFs (garbage) ; Range/206 et `pdf/info` absents malgré le texte ci-dessous.
+  - **BUG-060 (2026-09-17) :** l'affichage inline ne fonctionnait plus — la CSP durcie en BUG-034 (`object-src 'none'`) bloquait l'`<embed>` du viewer (barre d'outils rendue, corps vide). Le rendu passe par une `<iframe>` (autorisée par `frame-src 'self'`), conforme à E1. Tests : `tests/frontend/pdf-viewer.test.mjs` + `tests/e2e/pdf-viewer.spec.js`.
   - `GET /api/file/{vault}/pdf/info` — métadonnées seules sans transférer le document (C3)
   - Stream avec `Accept-Ranges` + 206 Partial Content (single range, suffix-range, 416) (C2)
   - `OBSIGATE_PDF_MAX_SIZE_MB` (50) + `OBSIGATE_PDF_EXTRACT_TIMEOUT` (30s via thread-pool) (B4/G3)

frontend/js/viewer.js

@@ -518,6 +518,25 @@ function applyPrettyHighlight(codeEl, lang, text) {
   }
 }
 
+/**
+ * Jump the inline PDF viewer to a specific page.
+ *
+ * The browser's built-in PDF viewer lives in an ``about:blank`` content window,
+ * so assigning ``contentWindow.location.hash`` never reaches the document (the
+ * TOC links used to do exactly that and did nothing). Reloading the iframe with
+ * the ``#page=N`` fragment is the supported way to target a page.
+ *
+ * @param {HTMLElement} area - Content area containing the ``.pdf-iframe``.
+ * @param {string|number} page - 1-based page number from the PDF outline.
+ */
+export function navigatePdfToPage(area, page) {
+  const iframe = area && area.querySelector('.pdf-iframe');
+  if (!iframe || page === null || page === undefined || page === '') return;
+  const base = iframe.getAttribute('data-pdf-url') || iframe.src.split('#')[0];
+  iframe.setAttribute('data-pdf-url', base);
+  iframe.src = `${base}#page=${page}`;
+}
+
 export function renderFile(data) {
   // #93 — An inline edition session (#editor-container mounted in the content
   // area) is destroyed by this very re-render: release it first so the editor
@@ -537,7 +556,7 @@ export function renderFile(data) {
       tocHtml = '<div class="pdf-toc"><h3>Table des matières</h3><ul>';
       for (const item of toc) {
         const indent = (item.level - 1) * 16;
-        tocHtml += `<li style="padding-left:${indent}px"><a href="#" onclick="document.querySelector('.pdf-iframe').contentWindow.location.hash='page=${item.page}';return false">${escapeHtml(item.title)}</a> <span class="toc-page">p.${item.page}</span></li>`;
+        tocHtml += `<li style="padding-left:${indent}px"><a href="#" data-page="${item.page}">${escapeHtml(item.title)}</a> <span class="toc-page">p.${item.page}</span></li>`;
       }
       tocHtml += '</ul></div>';
     }
@@ -555,9 +574,15 @@ export function renderFile(data) {
         </div>
         <div class="pdf-body">
           ${tocHtml}
-          <embed src="${pdfUrl}" class="pdf-iframe" type="application/pdf" title="${escapeHtml(data.title)}"></embed>
+          <iframe src="${pdfUrl}" data-pdf-url="${pdfUrl}" class="pdf-iframe" title="${escapeHtml(data.title)}"></iframe>
         </div>
       </div>`;
+    area.querySelectorAll('.pdf-toc a[data-page]').forEach((link) => {
+      link.addEventListener('click', (e) => {
+        e.preventDefault();
+        navigatePdfToPage(area, link.getAttribute('data-page'));
+      });
+    });
     lucide.createIcons();
     return;
   }

frontend/style.css

@@ -1473,6 +1473,14 @@ select {
   margin: 0 auto;
   max-width: 1200px;
 }
+
+/* Full-bleed viewers (PDF, images) must use the whole width when the
+   navigation sidebar is hidden instead of the centered reading column. */
+.sidebar.hidden ~ .content-wrapper .content-area:has(.pdf-viewer-container),
+.sidebar.hidden ~ .content-wrapper .content-area:has(.image-viewer-container) {
+  margin: 0;
+  max-width: none;
+}
 .content-area::-webkit-scrollbar {
   width: 8px;
 }
@@ -9492,7 +9500,9 @@ body.popup-mode .content-area {
 .bookslm-toolbar .ai-picker { margin-left: 0; padding-left: 0; border-left: none;
   flex-wrap: wrap; row-gap: 4px; }
 .bookslm-toolbar .ai-picker select { max-width: 220px; }
-.bookslm-panel.fullscreen { width: 100vw; }
+/* `!important` is required: the panel width is also written inline by the
+   resize handle / persisted width, and an inline style would otherwise win. */
+.bookslm-panel.fullscreen { width: 100vw !important; }
 .bookslm-status { padding: 6px 16px; font-size: 12px; color: var(--text-secondary);
   border-bottom: 1px solid var(--border); display: flex; gap: 12px; align-items: center; }
 .bookslm-status .bookslm-status-text { overflow: hidden; text-overflow: ellipsis; white-space: nowrap; }

package.json

@@ -1,6 +1,6 @@
 {
   "name": "obsigate",
-  "version": "2.11.0",
+  "version": "2.11.4",
   "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
   "main": "patch.js",
   "directories": {

test_vault/sample-pdf-toc.pdf

@@ -0,0 +1,130 @@
+%PDF-1.3
+%“Œ‹ž ReportLab Generated PDF document (opensource)
+1 0 obj
+<<
+/F1 2 0 R
+>>
+endobj
+2 0 obj
+<<
+/BaseFont /Helvetica /Encoding /WinAnsiEncoding /Name /F1 /Subtype /Type1 /Type /Font
+>>
+endobj
+3 0 obj
+<<
+/Contents 13 0 R /MediaBox [ 0 0 612 792 ] /Parent 12 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+4 0 obj
+<<
+/Contents 14 0 R /MediaBox [ 0 0 612 792 ] /Parent 12 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+5 0 obj
+<<
+/Contents 15 0 R /MediaBox [ 0 0 612 792 ] /Parent 12 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+6 0 obj
+<<
+/Outlines 8 0 R /PageMode /UseNone /Pages 12 0 R /Type /Catalog
+>>
+endobj
+7 0 obj
+<<
+/Author (anonymous) /CreationDate (D:20260917204040-04'00') /Creator (anonymous) /Keywords () /ModDate (D:20260917204040-04'00') /Producer (ReportLab PDF Library - \(opensource\)) 
+  /Subject (unspecified) /Title (untitled) /Trapped /False
+>>
+endobj
+8 0 obj
+<<
+/Count 3 /First 9 0 R /Last 11 0 R /Type /Outlines
+>>
+endobj
+9 0 obj
+<<
+/Dest [ 3 0 R /Fit ] /Next 10 0 R /Parent 8 0 R /Title (Page One)
+>>
+endobj
+10 0 obj
+<<
+/Dest [ 4 0 R /Fit ] /Next 11 0 R /Parent 8 0 R /Prev 9 0 R /Title (Page Two)
+>>
+endobj
+11 0 obj
+<<
+/Dest [ 5 0 R /Fit ] /Parent 8 0 R /Prev 10 0 R /Title (Page Three)
+>>
+endobj
+12 0 obj
+<<
+/Count 3 /Kids [ 3 0 R 4 0 R 5 0 R ] /Type /Pages
+>>
+endobj
+13 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 122
+>>
+stream
+Gap@Db6gL2'Lh3!@LZ0U8'7>U;'tH2cm;<+UO9dKg:K5pXY%ILno7bT=/&<K"<EU]9[SSm*P9LuAr1A`Y./=ub]S+JZn3-Xqn.)>^t)3an^%I4h`&g_Y!<hT~>endstream
+endobj
+14 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 124
+>>
+stream
+GapQh0E=F,0U\H3T\pNYT^QKk?tc>IP,;W#U1^23ihPEM_?CW4KISi<![7`#OB_qus.nXJpV`4oKb/`HKs]']P1$(("^Qh6`:R"4,>ElR/;4WeODY4S!3T'6Jc~>endstream
+endobj
+15 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 124
+>>
+stream
+GapQh0E=F,0U\H3T\pNYT^QKk?tc>IP,;W#U1^23ihPEM_?CW4KISi<![7`#OB_qus.nXJpV`4oKb/`HKs]']P1$(("^Qh6`:R"4@nhZ=/;4WeODY4S!3TQDK)~>endstream
+endobj
+xref
+0 16
+0000000000 65535 f 
+0000000061 00000 n 
+0000000092 00000 n 
+0000000199 00000 n 
+0000000394 00000 n 
+0000000589 00000 n 
+0000000784 00000 n 
+0000000869 00000 n 
+0000001130 00000 n 
+0000001202 00000 n 
+0000001289 00000 n 
+0000001389 00000 n 
+0000001479 00000 n 
+0000001551 00000 n 
+0000001764 00000 n 
+0000001979 00000 n 
+trailer
+<<
+/ID 
+[<6132df6a3beacba675b566627d60fb2e><6132df6a3beacba675b566627d60fb2e>]
+% ReportLab generated PDF document -- digest (opensource)
+
+/Info 7 0 R
+/Root 6 0 R
+/Size 16
+>>
+startxref
+2194
+%%EOF

test_vault/sample-pdf.pdf

@@ -0,0 +1,106 @@
+%PDF-1.3
+%“Œ‹ž ReportLab Generated PDF document (opensource)
+1 0 obj
+<<
+/F1 2 0 R
+>>
+endobj
+2 0 obj
+<<
+/BaseFont /Helvetica /Encoding /WinAnsiEncoding /Name /F1 /Subtype /Type1 /Type /Font
+>>
+endobj
+3 0 obj
+<<
+/Contents 9 0 R /MediaBox [ 0 0 612 792 ] /Parent 8 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+4 0 obj
+<<
+/Contents 10 0 R /MediaBox [ 0 0 612 792 ] /Parent 8 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+5 0 obj
+<<
+/Contents 11 0 R /MediaBox [ 0 0 612 792 ] /Parent 8 0 R /Resources <<
+/Font 1 0 R /ProcSet [ /PDF /Text /ImageB /ImageC /ImageI ]
+>> /Rotate 0 /Trans <<
+
+>> 
+  /Type /Page
+>>
+endobj
+6 0 obj
+<<
+/PageMode /UseNone /Pages 8 0 R /Type /Catalog
+>>
+endobj
+7 0 obj
+<<
+/Author (anonymous) /CreationDate (D:20260917153218-04'00') /Creator (anonymous) /Keywords () /ModDate (D:20260917153218-04'00') /Producer (ReportLab PDF Library - \(opensource\)) 
+  /Subject (unspecified) /Title (untitled) /Trapped /False
+>>
+endobj
+8 0 obj
+<<
+/Count 3 /Kids [ 3 0 R 4 0 R 5 0 R ] /Type /Pages
+>>
+endobj
+9 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 135
+>>
+stream
+GapQh0E=F,0U\H3T\pNYT^QKk?tc>IP,;W#U1^23ihPEM_?CU^!/VX4lBrg6%A?7Y)Zc(P6:e82L4<*@VL)cDW^;5oRmL:j77h2jWe.B?6"5/?Jt]&.8<uSu(.bn9(BF;Q*M*~>endstream
+endobj
+10 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 135
+>>
+stream
+GapQh0E=F,0U\H3T\pNYT^QKk?tc>IP,;W#U1^23ihPEM_?CU^!/VX4lBrg6%A?7Y)Zc(P6:e82L4<*@VL)cDW^;5oRmL:j77h2jWe.B?6"5/?Jruos8<uSu(.bn9(BF;_*M3~>endstream
+endobj
+11 0 obj
+<<
+/Filter [ /ASCII85Decode /FlateDecode ] /Length 135
+>>
+stream
+GapQh0E=F,0U\H3T\pNYT^QKk?tc>IP,;W#U1^23ihPEM_?CU^!/VX4lBrg6%A?7Y)Zc(P6:e82L4<*@VL)cDW^;5oRmL:j77h2jWe.B?6"5/?K!D1>8<uSu(.bn9(BF;m*M<~>endstream
+endobj
+xref
+0 12
+0000000000 65535 f 
+0000000061 00000 n 
+0000000092 00000 n 
+0000000199 00000 n 
+0000000392 00000 n 
+0000000586 00000 n 
+0000000780 00000 n 
+0000000848 00000 n 
+0000001109 00000 n 
+0000001180 00000 n 
+0000001405 00000 n 
+0000001631 00000 n 
+trailer
+<<
+/ID 
+[<464fc7cfdf793a5b6d29e3d0d043c5a7><464fc7cfdf793a5b6d29e3d0d043c5a7>]
+% ReportLab generated PDF document -- digest (opensource)
+
+/Info 7 0 R
+/Root 6 0 R
+/Size 12
+>>
+startxref
+1857
+%%EOF

tests/e2e/pdf-viewer.spec.js

@@ -0,0 +1,137 @@
+/**
+ * E2E tests for ObsiGate PDF inline viewer (BUG-060).
+ *
+ * Regression : la CSP posée par BUG-034 (`object-src 'none'`) bloque l'élément
+ * `<embed>` qui servait le PDF. Le viewer doit rendre le stream dans une
+ * `<iframe>` (autorisée par `frame-src 'self'`).
+ *
+ * Fixtures : `test_vault/sample-pdf.pdf` (3 pages, texte simple).
+ *
+ * Run (local):
+ *   BASE_URL=http://localhost:2029 npx playwright test tests/e2e/pdf-viewer.spec.js
+ *   BASE_URL=http://localhost:2029 npx playwright test tests/e2e/pdf-viewer.spec.js --headed
+ */
+
+import { test, expect } from '@playwright/test';
+
+const BASE = process.env.BASE_URL || 'http://localhost:2029';
+
+const CREDS = {
+  username: process.env.OBSIGATE_USER || 'admin',
+  password: process.env.OBSIGATE_PASS || 'test123',
+};
+
+async function login(page) {
+  await page.goto(BASE);
+  const loginForm = page.locator('#login-screen');
+  await expect(loginForm).toBeVisible({ timeout: 5000 }).catch(() => {});
+  if (await loginForm.isVisible()) {
+    await page.fill('#login-username', CREDS.username);
+    await page.fill('#login-password', CREDS.password);
+    await page.click('#login-btn');
+  }
+  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+}
+
+async function openFile(page, vault, filePath) {
+  const treeItem = page.locator(`.tree-item[data-vault="${vault}"][data-path="${filePath}"]`);
+  // Le vault peut être replié (auth activée) : l'étendre avant de chercher le fichier.
+  if (!(await treeItem.count())) {
+    await page.locator(`.tree-item.vault-item[data-vault="${vault}"]`).first().click();
+    await treeItem.waitFor({ state: 'attached', timeout: 8000 });
+  }
+  await treeItem.dblclick({ timeout: 5000 });
+  await page.waitForTimeout(500);
+}
+
+test.describe('PDF viewer — affichage inline (BUG-060)', () => {
+
+  test('ouvre un PDF dans une iframe (pas d\'<embed>) et le stream charge sans violation CSP', async ({ page }) => {
+    const cspViolations = [];
+    page.on('console', (msg) => {
+      const text = msg.text();
+      if (text.includes('Content Security Policy') && (text.includes('object-src') || text.includes('Refused'))) {
+        cspViolations.push(text);
+      }
+    });
+
+    await login(page);
+
+    // Le stream est demandé au moment où le viewer monte l'iframe : enregistrer
+    // l'écoute AVANT d'ouvrir le fichier (sinon la réponse est déjà passée).
+    const streamResponsePromise = page.waitForResponse(
+      (r) => r.url().includes('/pdf/stream') && (r.status() === 200 || r.status() === 206),
+      { timeout: 15000 },
+    );
+
+    await openFile(page, 'TestVault', 'sample-pdf.pdf');
+
+    const iframe = page.locator('#content-area .pdf-iframe');
+    await expect(iframe).toBeVisible({ timeout: 15000 });
+    await expect(iframe).toHaveAttribute('src', /\/api\/file\/TestVault\/pdf\/stream\?path=/);
+
+    // La balise doit être une iframe (le <embed>/<object> serait bloqué par CSP)
+    const tagName = await iframe.evaluate((el) => el.tagName);
+    expect(tagName).toBe('IFRAME');
+    expect(await page.locator('#content-area embed, #content-area object').count()).toBe(0);
+
+    // La barre d'outils indique le nombre de pages du PDF
+    await expect(page.locator('.pdf-info')).toContainText('3 pages');
+
+    // Le stream est bien servi en application/pdf (200 ou 206 Range)
+    const streamResp = await streamResponsePromise;
+    expect(streamResp.headers()['content-type'] || '').toContain('application/pdf');
+
+    // Le cadre embarque réellement le document PDF (navigateur natif)
+    const pdfFrame = await iframe.contentFrame();
+    expect(pdfFrame).not.toBeNull();
+
+    // Aucune violation CSP liée à object-src pendant l'ouverture
+    expect(cspViolations).toEqual([]);
+  });
+});
+
+test.describe('PDF viewer — TOC & plein largeur', () => {
+
+  test('les entrées de la TOC rechargent l\'iframe sur la page ciblée (#page=N)', async ({ page }) => {
+    await login(page);
+    await openFile(page, 'TestVault', 'sample-pdf-toc.pdf');
+
+    const tocLinks = page.locator('#content-area .pdf-toc a[data-page]');
+    await expect(tocLinks).toHaveCount(3, { timeout: 10000 });
+
+    await page.locator('#content-area .pdf-toc a[data-page="3"]').click();
+    await expect(page.locator('#content-area .pdf-iframe')).toHaveAttribute(
+      'src',
+      /\/pdf\/stream\?path=.*#page=3$/,
+      { timeout: 5000 },
+    );
+  });
+
+  test('le PDF occupe toute la largeur quand la navigation est masquée', async ({ page }) => {
+    await login(page);
+    await openFile(page, 'TestVault', 'sample-pdf-toc.pdf');
+    await expect(page.locator('#content-area .pdf-viewer-container')).toBeVisible({ timeout: 10000 });
+
+    // Masquer la barre de navigation (bouton réel).
+    await page.locator('#sidebar-toggle-btn').click();
+    await expect(page.locator('#sidebar')).toHaveClass(/hidden/);
+
+    const widths = await page.evaluate(() => {
+      const area = document.getElementById('content-area');
+      const cs = getComputedStyle(area);
+      const container = document.querySelector('.pdf-viewer-container');
+      const contentWidth =
+        area.clientWidth - parseFloat(cs.paddingLeft) - parseFloat(cs.paddingRight);
+      return {
+        container: container.getBoundingClientRect().width,
+        contentWidth,
+        maxWidth: cs.maxWidth,
+      };
+    });
+
+    // Le plafond de lecture (1200px) ne doit plus s'appliquer au viewer PDF.
+    expect(widths.maxWidth).toBe('none');
+    expect(Math.abs(widths.container - widths.contentWidth)).toBeLessThan(2);
+  });
+});

tests/frontend/ai.test.mjs

@@ -786,6 +786,29 @@ async function main() {
     panel.remove();
   });
 
+  // ── 10b. Fullscreen toggle must beat the persisted inline width ──
+  await test("fullscreen button toggles the panel and CSS lifts the inline width", async () => {
+    const { readFileSync } = await import("node:fs");
+    const css = readFileSync(path.resolve(JS_DIR, "..", "style.css"), "utf-8");
+    assert.match(
+      css,
+      /\.bookslm-panel\.fullscreen\s*\{\s*width:\s*100vw\s*!important;/,
+      "the fullscreen width must override the inline width written by the resize handle",
+    );
+
+    const b = new BooksLM();
+    const panel = b._render();
+    document.body.appendChild(panel);
+    const btn = panel.querySelector(".bookslm-btn-fullscreen");
+    btn.click();
+    assert.ok(panel.classList.contains("fullscreen"), "fullscreen class added on first click");
+    assert.equal(b._isFullscreen, true);
+    btn.click();
+    assert.ok(!panel.classList.contains("fullscreen"), "fullscreen class removed on second click");
+    assert.equal(b._isFullscreen, false);
+    panel.remove();
+  });
+
   // ── 11. Formatted markdown rendering ──
   await test("_renderMarkdown renders headings, lists, code and tables", () => {
     const b = new BooksLM();

tests/frontend/pdf-viewer.test.mjs

@@ -0,0 +1,120 @@
+#!/usr/bin/env node
+/**
+ * ObsiGate — Viewer PDF non-regression tests (BUG-060).
+ *
+ * Static checks on the source of the PDF inline viewer:
+ *  - BUG-060 : the CSP set by BUG-034 puts `object-src 'none'`, which blocks
+ *    `<embed>`/`<object>`. The PDF body was therefore never rendered (blank
+ *    pages). The viewer must now use an `<iframe>` — permitted by
+ *    `frame-src 'self'` since the PDF stream URL is same-origin.
+ *
+ * Usage: node tests/frontend/pdf-viewer.test.mjs
+ */
+
+import { strict as assert } from "node:assert";
+import { readFileSync } from "node:fs";
+import path from "node:path";
+import { fileURLToPath } from "node:url";
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+const ROOT = path.join(__dirname, "..", "..");
+
+const viewer = readFileSync(path.join(ROOT, "frontend", "js", "viewer.js"), "utf8");
+const main = readFileSync(path.join(ROOT, "backend", "main.py"), "utf8");
+const css = readFileSync(path.join(ROOT, "frontend", "style.css"), "utf8");
+
+function test(label, fn) {
+  try {
+    fn();
+    console.log("  \u2713 " + label);
+  } catch (err) {
+    console.error("  \u2717 " + label + "\n    " + err.message);
+    process.exitCode = 1;
+  }
+}
+
+// ── viewer.js : le rendu PDF passe par une iframe ─────────────────────────
+test("viewer.js — PDF branch renders the stream in an <iframe class=pdf-iframe>", () => {
+  const block = viewer.match(/if \(data\.is_pdf\) \{([\s\S]*?)\n  \}/);
+  assert.ok(block, "PDF render block not found");
+  assert.match(
+    block[1],
+    /<iframe src="\$\{pdfUrl\}" data-pdf-url="\$\{pdfUrl\}" class="pdf-iframe"/,
+    "PDF must use <iframe>, not <embed>/<object> (CSP object-src 'none' otherwise blocks it)",
+  );
+  assert.match(
+    block[1],
+    /<iframe src="\$\{pdfUrl\}"/,
+    "iframe src must come from the /pdf/stream URL",
+  );
+});
+
+test("viewer.js — no <embed>/<object> left in the source", () => {
+  assert.doesNotMatch(viewer, /<embed\b/i, "<embed> is blocked by CSP object-src 'none'");
+  assert.doesNotMatch(viewer, /<object\b/i, "<object> is blocked by CSP object-src 'none'");
+});
+
+test("viewer.js — TOC links carry a data-page and never poke contentWindow", () => {
+  assert.match(
+    viewer,
+    /<a href="#" data-page="\$\{item\.page\}">/,
+    "TOC links must expose the target page via data-page",
+  );
+  assert.doesNotMatch(
+    viewer,
+    /contentWindow\.location\.hash\s*=/,
+    "contentWindow is about:blank in the native PDF viewer: hash navigation never reaches the document",
+  );
+});
+
+test("viewer.js — navigatePdfToPage reloads the iframe with the #page fragment", () => {
+  const fn = viewer.match(/export function navigatePdfToPage\(area, page\) \{([\s\S]*?)\n\}/);
+  assert.ok(fn, "navigatePdfToPage helper not found");
+  assert.match(fn[1], /data-pdf-url/, "the base URL must be preserved without the fragment");
+  assert.match(fn[1], /iframe\.src = `\$\{base\}#page=\$\{page\}`/, "the iframe must be reloaded with #page=N");
+});
+
+test("style.css — full-bleed viewers ignore the centered reading width", () => {
+  assert.match(
+    css,
+    /\.sidebar\.hidden ~ \.content-wrapper \.content-area:has\(\.pdf-viewer-container\)/,
+    "PDF viewer must fill the width when the navigation sidebar is hidden",
+  );
+  const rule = css.match(
+    /\.content-area:has\(\.pdf-viewer-container\)[\s\S]*?\{([^}]*)\}/,
+  );
+  assert.ok(rule, "full-bleed rule not found");
+  assert.match(rule[1], /max-width:\s*none/, "the 1200px reading cap must be lifted");
+});
+
+// ── backend : la CSP autorise le cadre same-origin ─────────────────────────
+test("backend CSP — frame-src 'self' allows same-origin iframes", () => {
+  const csp = main.match(/frame-src ([^";]+);/);
+  assert.ok(csp, "CSP frame-src directive not found");
+  assert.ok(
+    csp[1].includes("'self'"),
+    `frame-src must allow 'self' (found: ${csp[1]}) — otherwise the PDF iframe is blocked`,
+  );
+});
+
+test("backend CSP — object-src 'none' stays in place (no defusing)", () => {
+  assert.match(
+    main,
+    /object-src 'none';/,
+    "object-src must stay locked to 'none': the fix is moving to <iframe>, not weakening CSP",
+  );
+});
+
+// ── style.css : l'iframe garde une hauteur utile ───────────────────────────
+test("style.css — .pdf-iframe fills the viewer body", () => {
+  const rule = css.match(/\.pdf-iframe\s*\{([^}]*)\}/);
+  assert.ok(rule, ".pdf-iframe rule not found");
+  assert.match(rule[1], /flex:\s*1/, "iframe must stretch to fill the available height");
+  assert.match(rule[1], /min-height/, "iframe must keep its minimum height");
+});
+
+if (process.exitCode) {
+  console.error("\nPDF viewer tests FAILED");
+} else {
+  console.log("\nAll PDF viewer tests passed.");
+}

tests/test_api_main.py

@@ -743,6 +743,33 @@ class TestSecretRedactor:
         result = redact_file_content("hello world this is safe")
         assert result == "hello world this is safe"
 
+    def test_git_sha_not_redacted(self):
+        """BUG-035: a bare git commit SHA must not be mangled."""
+        from backend.secret_redactor import redact_file_content
+        sha = "a1b2c3d4e5f60718293a4b5c6d7e8f9012345678"
+        text = f"commit {sha}\nMerge: {sha}"
+        assert redact_file_content(text) == text
+
+    def test_sha256_checksum_not_redacted(self):
+        from backend.secret_redactor import redact_file_content
+        digest = "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"
+        text = f"sha256:{digest}  file.tar.gz"
+        assert redact_file_content(text) == text
+
+    def test_hex_secret_in_context_is_redacted(self):
+        from backend.secret_redactor import redact_file_content
+        secret = "0123456789abcdef0123456789abcdef01234567"
+        result = redact_file_content(f"api_key={secret}")
+        assert secret not in result
+        assert "MASQUÉ" in result
+
+    def test_ambiguous_bare_hex_left_intact(self):
+        """A 40-char hex with no secret/hash keyword stays untouched."""
+        from backend.secret_redactor import redact_file_content
+        blob = "deadbeefdeadbeefdeadbeefdeadbeefdeadbeef"
+        text = f"value {blob} end"
+        assert redact_file_content(text) == text
+
 
 # ═══════════════════════════════════════════════════════════════════
 # Static / PWA caching (Cloudflare / mobile freshness)

tests/test_auth.py

@@ -44,6 +44,22 @@ class TestPasswordHashing:
         result = hash_password("ab")
         assert result is not None
 
+    def test_argon2_memory_recalibrated(self):
+        """BUG-038: memory cost must stay at the OWASP 19 MiB recommendation."""
+        from backend.auth.password import (
+            ARGON2_MEMORY_COST_KIB,
+            ARGON2_PARALLELISM,
+            ARGON2_TIME_COST,
+            ph,
+        )
+
+        assert ARGON2_MEMORY_COST_KIB == 19456
+        assert ARGON2_TIME_COST == 2
+        assert ARGON2_PARALLELISM == 1
+        assert ph.memory_cost == 19456
+        assert ph.time_cost == 2
+        assert ph.parallelism == 1
+
 
 # ═══════════════════════════════════════════════════════════════════
 # JWT Handler
@@ -279,3 +295,61 @@ class TestMiddleware:
         assert check_vault_access("Vault1", user) is True
         assert check_vault_access("Vault3", user) is False
         assert check_vault_access("Vault1", nobody) is False
+
+
+# ═══════════════════════════════════════════════════════════════════
+# Insecure (auth-disabled) deployment guard — BUG-037
+# ═══════════════════════════════════════════════════════════════════
+
+class TestInsecureAuthGuard:
+    def test_is_loopback_host(self):
+        from backend.auth.middleware import is_loopback_host
+
+        assert is_loopback_host(None) is True
+        assert is_loopback_host("127.0.0.1") is True
+        assert is_loopback_host("::1") is True
+        assert is_loopback_host("[::1]") is True
+        assert is_loopback_host("localhost") is True
+        assert is_loopback_host("0.0.0.0") is False
+        assert is_loopback_host("192.168.1.10") is False
+
+    def test_bind_host_from_argv(self):
+        from backend.auth.middleware import bind_host_from_argv
+
+        assert bind_host_from_argv(
+            ["uvicorn", "backend.main:app", "--host", "0.0.0.0", "--port", "8080"]
+        ) == "0.0.0.0"
+        assert bind_host_from_argv(["uvicorn", "app", "--host=127.0.0.1"]) == "127.0.0.1"
+        assert bind_host_from_argv(["uvicorn", "app"]) is None
+
+    def test_guard_refuses_public_bind_without_optin(self, monkeypatch):
+        from backend import main
+
+        monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "false")
+        monkeypatch.delenv("OBSIGATE_ALLOW_INSECURE", raising=False)
+        monkeypatch.setattr("sys.argv", ["uvicorn", "backend.main:app", "--host", "0.0.0.0"])
+        with pytest.raises(RuntimeError):
+            main._guard_insecure_auth()
+
+    def test_guard_allows_loopback(self, monkeypatch):
+        from backend import main
+
+        monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "false")
+        monkeypatch.delenv("OBSIGATE_ALLOW_INSECURE", raising=False)
+        monkeypatch.setattr("sys.argv", ["uvicorn", "backend.main:app", "--host", "127.0.0.1"])
+        main._guard_insecure_auth()  # must not raise
+
+    def test_guard_allows_explicit_optin(self, monkeypatch):
+        from backend import main
+
+        monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "false")
+        monkeypatch.setenv("OBSIGATE_ALLOW_INSECURE", "true")
+        monkeypatch.setattr("sys.argv", ["uvicorn", "backend.main:app", "--host", "0.0.0.0"])
+        main._guard_insecure_auth()  # must not raise
+
+    def test_guard_noop_when_auth_enabled(self, monkeypatch):
+        from backend import main
+
+        monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "true")
+        monkeypatch.setattr("sys.argv", ["uvicorn", "backend.main:app", "--host", "0.0.0.0"])
+        main._guard_insecure_auth()  # must not raise

tests/test_auth_api.py

@@ -137,6 +137,42 @@ class TestLogin:
         })
         assert resp.status_code == 401
 
+    def test_locked_account_returns_401_not_429(self, auth_client, monkeypatch):
+        """BUG-039: a locked account must be indistinguishable from an unknown one."""
+        import backend.auth.router as auth_router
+
+        monkeypatch.setattr(auth_router, "is_locked", lambda username: True)
+        resp = auth_client.post("/api/auth/login", json={
+            "username": "admin",
+            "password": "chab30",
+        })
+        assert resp.status_code == 401
+        assert "verrouill" not in resp.json()["detail"].lower()
+
+    def test_account_rate_limited_returns_401(self, auth_client, monkeypatch):
+        """BUG-039: per-account throttling must not reveal the account exists."""
+        import backend.auth.router as auth_router
+
+        monkeypatch.setattr(auth_router, "is_account_rate_limited", lambda username: True)
+        resp = auth_client.post("/api/auth/login", json={
+            "username": "admin",
+            "password": "chab30",
+        })
+        assert resp.status_code == 401
+
+    def test_inactive_account_returns_401(self, auth_client, monkeypatch):
+        """BUG-039: a disabled account answers like an unknown user."""
+        import backend.auth.router as auth_router
+
+        monkeypatch.setattr(auth_router, "get_user", lambda username: {
+            "username": username, "active": False, "password_hash": "x",
+        })
+        resp = auth_client.post("/api/auth/login", json={
+            "username": "admin",
+            "password": "chab30",
+        })
+        assert resp.status_code == 401
+
     def test_login_remember_me(self, auth_client):
         resp = auth_client.post("/api/auth/login", json={
             "username": "admin",

tests/test_collab.py

@@ -73,6 +73,36 @@ def test_authenticate_websocket_invalid_token_returns_none(monkeypatch):
     assert authenticate_websocket(_StubWebSocket(cookies={"access_token": "garbage"})) is None
 
 
+def test_authenticate_websocket_query_token_rejected(monkeypatch):
+    """BUG-036: the access token must never be accepted from the query string."""
+    monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "true")
+    from backend.auth.jwt_handler import create_access_token
+
+    token = create_access_token({
+        "username": "u", "role": "user", "vaults": ["*"], "display_name": "U",
+    })
+    ws = _StubWebSocket(query={"token": token})
+    assert authenticate_websocket(ws) is None
+
+
+def test_authenticate_websocket_cookie_token_accepted(monkeypatch):
+    """The HttpOnly access_token cookie remains the supported transport."""
+    monkeypatch.setenv("OBSIGATE_AUTH_ENABLED", "true")
+    import backend.auth.user_store as user_store
+    from backend.auth.jwt_handler import create_access_token
+
+    token = create_access_token({
+        "username": "u", "role": "user", "vaults": ["*"], "display_name": "U",
+    })
+    monkeypatch.setattr(user_store, "get_user", lambda username: {
+        "username": username, "role": "user", "vaults": ["*"],
+        "display_name": "U", "active": True,
+    })
+    user = authenticate_websocket(_StubWebSocket(cookies={"access_token": token}))
+    assert user is not None
+    assert user["username"] == "u"
+
+
 # ---------------------------------------------------------------------------
 # Manager unit tests (no WebSocket transport)
 # ---------------------------------------------------------------------------
@@ -127,6 +157,27 @@ async def test_on_message_rejects_oversized_update(tmp_path: Path):
     assert room.updates == []
 
 
+@pytest.mark.asyncio
+async def test_on_message_rejects_oversized_raw(tmp_path: Path):
+    """BUG-036: oversized raw frames are dropped before parsing."""
+    target = tmp_path / "note.md"
+    target.write_text("x", encoding="utf-8")
+    manager = _make_manager(tmp_path)
+    room = CollabRoom(vault="V", path="note.md", file_path=target)
+    client = _FakeClient(conn_id=1)
+
+    import backend.collab as collab_mod
+
+    original = collab_mod.MAX_MESSAGE_CHARS
+    try:
+        collab_mod.MAX_MESSAGE_CHARS = 10
+        await manager._on_message(room, client, json.dumps({"type": "text", "text": "hello"}))
+    finally:
+        collab_mod.MAX_MESSAGE_CHARS = original
+
+    assert room.pending_text is None
+
+
 class _FakeWebSocket:
     def __init__(self):
         self.sent: list[dict] = []

tests/test_pdf.py

@@ -275,6 +275,7 @@ class TestPdfIndexing:
         """When a vault directory is scanned with .pdf files, they appear in files list.
 
         Uses the public _scan_vault() helper directly — no global state needed.
+        BUG-040: text extraction is deferred, so the scan only carries metadata.
         """
         from backend.indexer import _scan_vault
 
@@ -286,10 +287,96 @@ class TestPdfIndexing:
         names = {f["path"] for f in result["files"]}
         assert "a.pdf" in names
         assert "b.pdf" in names
-        # The PDF content should have been extracted.
+        # The scan defers the expensive text extraction.
         a_file = next(f for f in result["files"] if f["path"] == "a.pdf")
-        assert "ObsiGate test PDF" in (a_file.get("content") or "")
+        assert a_file["content"] == ""
-        assert "uniqueword0" in (a_file.get("content") or "")
+        assert a_file["pdf_text_pending"] is True
+
+
+class TestPdfLazyEnrichment:
+    """BUG-040: PDF text is extracted in a deferred background pass."""
+
+    def test_scan_defers_pdf_text_extraction(self, pdf_dir: Path, tmp_path: Path):
+        from backend.indexer import _scan_vault
+
+        vault_root = tmp_path / "vault"
+        vault_root.mkdir()
+        shutil.copy2(pdf_dir / "simple.pdf", vault_root / "a.pdf")
+        result = _scan_vault("v", str(vault_root), {})
+        a_file = next(f for f in result["files"] if f["path"] == "a.pdf")
+        assert a_file["content"] == ""
+        assert a_file["content_preview"] == ""
+        assert a_file["pdf_text_pending"] is True
+
+    @pytest.mark.asyncio
+    async def test_enrich_pdf_texts_fills_content_and_clears_flag(
+        self, pdf_dir: Path, tmp_path: Path
+    ):
+        import backend.indexer as idx
+
+        vault_root = tmp_path / "vault"
+        vault_root.mkdir()
+        shutil.copy2(pdf_dir / "simple.pdf", vault_root / "a.pdf")
+        file_info = {
+            "path": "a.pdf",
+            "title": "a",
+            "tags": [],
+            "content": "",
+            "content_preview": "",
+            "size": 0,
+            "modified": "",
+            "extension": ".pdf",
+            "pdf_text_pending": True,
+        }
+        with idx._index_lock:
+            idx.index["LazyV"] = {
+                "files": [file_info],
+                "tags": {},
+                "path": str(vault_root),
+                "paths": [],
+            }
+        try:
+            count = await idx.enrich_pdf_texts("LazyV")
+            assert count == 1
+            assert "ObsiGate test PDF" in file_info["content"]
+            assert "uniqueword0" in file_info["content"]
+            assert file_info["content_preview"]
+            assert "pdf_text_pending" not in file_info
+        finally:
+            with idx._index_lock:
+                idx.index.pop("LazyV", None)
+
+    @pytest.mark.asyncio
+    async def test_enrich_pdf_texts_skips_other_vaults(self, pdf_dir: Path, tmp_path: Path):
+        import backend.indexer as idx
+
+        vault_root = tmp_path / "vault"
+        vault_root.mkdir()
+        shutil.copy2(pdf_dir / "simple.pdf", vault_root / "a.pdf")
+        file_info = {
+            "path": "a.pdf",
+            "title": "a",
+            "tags": [],
+            "content": "",
+            "content_preview": "",
+            "size": 0,
+            "modified": "",
+            "extension": ".pdf",
+            "pdf_text_pending": True,
+        }
+        with idx._index_lock:
+            idx.index["OtherV"] = {
+                "files": [file_info],
+                "tags": {},
+                "path": str(vault_root),
+                "paths": [],
+            }
+        try:
+            assert await idx.enrich_pdf_texts("LazyV") == 0
+            assert file_info["content"] == ""
+        finally:
+            with idx._index_lock:
+                idx.index.pop("OtherV", None)
 
 
 # ── Search filter `ext:` ───────────────────────────────────────────────────