feat: premier lancement ObsiGate + section Configuration harmonisée (#160 )

- Premier lancement : %USERPROFILE%\ObsiGate créé et monté comme vault de démarrage « ObsiGate » (remplace voute_obsidian), vault_path dessus, racine home nommée d'après son dernier segment (fin du « bruno » codé en dur), champs de fenêtre préservés. - Document « Prise en main.md » embarqué dans le binaire (include_str!) et écrit dans ce répertoire si absent — jamais écrasé. - Section « 🖥️ Vaults & dossiers (Desktop) » refondue : markup à classes (zéro style inline), bloc CSS desktop-roots-* sur variables (motif webauthn-key-item), boutons .config-btn-sm primaire/secondaire, cibles tactiles 44px en mobile. - Tests : test_default_first_run_config, test_welcome_doc_embedded (cargo test 28 passed), suites frontend vertes, E2E 123/123.
fix: drag & drop de fichiers — fenêtre créée sans le handler Tauri (BUG-107)
2026-10-03 10:02:16 -04:00 · 2026-10-02 23:42:01 -04:00 · 2026-10-02 22:04:25 -04:00 · 2026-10-02 21:04:17 -04:00 · 2026-10-02 20:17:20 -04:00 · 2026-10-02 15:46:05 -04:00
35 changed files with 925 additions and 86 deletions
@@ -39,6 +39,7 @@ jobs:
        run: |
          node tests/frontend/unit.test.mjs
          node tests/frontend/navfacets.test.mjs
+          node tests/frontend/desktop-roots.test.mjs
          node tests/frontend/image-viewer.test.mjs
          node tests/frontend/pdf-viewer.test.mjs
          node tests/frontend/forge-completion.test.mjs
@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.49.0**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.51.0**.

 ---

@@ -14,6 +14,98 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 ---

+## [2.51.0] — 2026-10-03
+
+### Ajouté
+
+- **#160 — Premier lancement professionnel + section Configuration harmonisée**
+  - **Premier lancement** : `%USERPROFILE%\ObsiGate` est créé et monté comme
+    vault de démarrage (nom « ObsiGate », remplace `voute_obsidian`), le
+    contexte initial s'ouvre dessus, le dossier home reste une racine nommée
+    d'après son chemin (fin du « bruno » codé en dur), et le document
+    **`Prise en main.md`** (contenu embarqué) y est écrit une seule fois —
+    jamais écrasé.
+  - **Section « 🖥️ Vaults & dossiers (Desktop) »** refondue : lignes au motif
+    des cartes de la configuration (icône, nom, chemin tronqué), boutons
+    Retirer/Ajouter en `.config-btn-sm` secondaire/ primaire, zéro style
+    inline, variables CSS uniquement, cibles tactiles 44px en mobile.
+
+---
+
+## [2.50.2] — 2026-10-02
+
+---
+
+## [2.50.1] — 2026-10-02
+
+### Corrigé
+
+- **BUG-106 — page blanche sur `/docs`** : la CSP `script-src` sans
+  `unsafe-inline` (#87 T5c) refusait le script inline d'init de Swagger UI,
+  généré par FastAPI et jamais noncé — `SecurityHeadersMiddleware` injecte
+  désormais le nonce dans le HTML de `/docs` et `/redoc` (helper existant
+  `inject_csp_nonce`, corps ré-encodé gzip), avec 3 tests de non-régression.
+- **BUG-107 — drag & drop de fichiers inutilisable sur desktop** : Tauri/wry
+  remplaçait le gestionnaire de drag & drop du WebView2 par le sien (aucun
+  événement natif écouté) — les dépôts depuis l'Explorateur n'atteignaient
+  jamais la page. La fenêtre est désormais créée en code (`create: false`) avec
+  `disable_drag_drop_handler()` : le HTML5 drag & drop (#89) fonctionne comme
+  sur le web, avec un garde-fou de test.
+
+---
+
+## [2.50.0] — 2026-10-02
+
+### Ajouté
+
+- **#159 — Gestion desktop des vaults & dossiers** : retrait d'un vault ou dossier
+  racine par menu contextuel (« Retirer de l'application », desktop uniquement,
+  confirmation — déregistration locale, aucun fichier supprimé) et nouvelle section
+  Configuration « 🖥️ Vaults & dossiers (Desktop) » avec listes, retrait par ligne et
+  ajout de vault / dossier racine (nouvelle commande `pick_folder`, sélecteur natif
+  sans effet de bord). La jump list des raccourcis suit les ajouts et retraits de
+  vaults.
+
+---
+
+## [2.49.4] — 2026-10-02
+
+### Corrigé
+
+- **BUG-104 — commandes desktop bloquées par l'ACL Tauri** : la fenêtre desktop sert
+  sa page depuis `http://127.0.0.1` (origine *remote*) et aucune commande applicative
+  n'était déclarée — toutes étaient rejetées « not allowed by ACL », erreurs avalées
+  par `desktop.js:invoke()`. Nouveau manifeste `desktop/permissions/commands.toml`
+  (`allow-app-commands`, 19 commandes) référencé par la capability, avec un test
+  garde-fou (`test_frontend_invokes_are_acl_allowed`). Le bouton « Choisir mon
+  dossier » du wizard et toute la gestion vaults/dossiers desktop fonctionnent.
+- **BUG-105 — crash du desktop à l'ouverture (heap corruption `c0000374`)** : le
+  setter de titre du menu contextuel des raccourcis (#77) confiait un `PROPVARIANT
+  VT_LPWSTR` sur un buffer heap Rust au property store du shell, qui le libérait avec
+  l'allocateur Windows — l'application se fermait 2 à 15 s après le lancement. Fonction
+  supprimée (libellé assuré par `SetDescription`).
+
+---
+
+## [2.49.2] — 2026-10-02
+
+### Corrigé
+
+- Tests : `mobileBlockContaining` ignore les commentaires CSS — un sélecteur cité dans
+  une annotation ne faisait plus trouver le bon bloc mobile (CI #842).
+
+---
+
+## [2.49.1] — 2026-10-02
+
+### Corrigé
+
+- **Mobile (BUG-103)** : le bas du sidebar de navigation n'est plus masqué par la barre
+  d'outils du bas — `z-index` du sidebar mobile `200` → `950` (au-dessus de
+  `.mobile-toolbar`, `900`).
+
+---
+
 ## [2.49.0] — 2026-10-02

 ### Ajouté
@@ -4,7 +4,7 @@

 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.

-[![Version](https://img.shields.io/badge/Version-2.49.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.51.0-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -976,8 +976,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l

 ## 📝 Changelog

-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.49.0).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.51.0).

 ---

-*Projet : ObsiGate | Version : 2.49.0 | Dernière mise à jour : Septembre 2026*
+*Projet : ObsiGate | Version : 2.51.0 | Dernière mise à jour : Septembre 2026*
@@ -2,7 +2,7 @@

 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.

-[![Version](https://img.shields.io/badge/Version-2.49.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.51.0-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -1151,8 +1151,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)

 ## 📝 Changelog

-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.49.0).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.51.0).

 ---

-*Project: ObsiGate | Version: 2.49.0 | Last updated: September 2026*
+*Project: ObsiGate | Version: 2.51.0 | Last updated: September 2026*
@@ -1 +1 @@
-2.49.0
+2.51.0
@@ -167,7 +167,7 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
    """Add security headers to all HTTP responses."""

    async def dispatch(self, request, call_next):
-        from backend.csp import new_nonce
+        from backend.csp import inject_csp_nonce, new_nonce

        # Nonce CSP frais par réponse (#87 T5b) : injecté dans script-src et
        # dans le balisage HTML par les routes (backend.csp.inject_csp_nonce).
@@ -200,6 +200,30 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
                "form-action 'self'; "
                "frame-ancestors 'self';"
            )
+            # BUG-106 : /docs et /redoc sont générés par FastAPI, hors de nos
+            # routes qui appellent inject_csp_nonce — leur balisage inline
+            # restait sans nonce et était bloqué par script-src (page blanche).
+            # On injecte ici avec le même helper, seul le HTML est retouché.
+            if request.url.path.startswith(("/docs", "/redoc")) and "text/html" in (
+                response.headers.get("Content-Type") or ""
+            ):
+                import gzip
+
+                # La compression (GZipMiddleware) est plus proche de la route :
+                # le corps arrive déjà gunzippé, on recomprime à l'identique.
+                raw = b"".join([chunk async for chunk in response.body_iterator])
+                is_gz = "gzip" in (response.headers.get("Content-Encoding") or "")
+                if is_gz:
+                    raw = gzip.decompress(raw)
+                patched = inject_csp_nonce(raw.decode("utf-8", "replace"), nonce).encode("utf-8")
+                if is_gz:
+                    patched = gzip.compress(patched)
+                response.headers["Content-Length"] = str(len(patched))
+
+                async def _docs_body():
+                    yield patched
+
+                response.body_iterator = _docs_body()
        # Static assets are NOT content-hashed, so they must revalidate:
        # ``immutable``/long max-age made Cloudflare and mobile browsers serve
        # a stale build for a year (the service worker cache compounded it).
@@ -2626,7 +2626,7 @@ dependencies = [

 [[package]]
 name = "obsigate-desktop"
-version = "2.49.0"
+version = "2.51.0"
 dependencies = [
 "chrono",
 "env_logger",
@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.49.0"
+version = "2.51.0"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"
@@ -38,5 +38,7 @@ fn main() {
    println!("cargo:rerun-if-changed=.git/refs/heads/main");
    println!("cargo:rerun-if-changed=.git/refs/tags");

+    println!("cargo:rerun-if-changed=permissions");
+
    tauri_build::build()
 }
@@ -7,6 +7,7 @@
  },
  "permissions": [
    "core:default",
+    "allow-app-commands",
    "shell:allow-open",
    "shell:allow-execute",
    "dialog:default",
@@ -1 +1 @@
-{"default":{"identifier":"default","description":"Default capabilities for ObsiGate Desktop","remote":{"urls":["http://127.0.0.1:*","http://localhost:*"]},"local":true,"windows":["main"],"permissions":["core:default","shell:allow-open","shell:allow-execute","dialog:default","notification:default","fs:default","process:default","store:default"]}}
+{"default":{"identifier":"default","description":"Default capabilities for ObsiGate Desktop","remote":{"urls":["http://127.0.0.1:*","http://localhost:*"]},"local":true,"windows":["main"],"permissions":["core:default","allow-app-commands","shell:allow-open","shell:allow-execute","dialog:default","notification:default","fs:default","process:default","store:default"]}}
@@ -2210,6 +2210,12 @@
    "Identifier": {
      "description": "Permission identifier",
      "oneOf": [
+        {
+          "description": "Commandes de l'application ObsiGate appelées depuis la page backend (http://127.0.0.1).",
+          "type": "string",
+          "const": "allow-app-commands",
+          "markdownDescription": "Commandes de l'application ObsiGate appelées depuis la page backend (http://127.0.0.1)."
+        },
        {
          "description": "Default core plugins set.\n#### This default permission set includes:\n\n- `core:path:default`\n- `core:event:default`\n- `core:window:default`\n- `core:webview:default`\n- `core:app:default`\n- `core:image:default`\n- `core:resources:default`\n- `core:menu:default`\n- `core:tray:default`",
          "type": "string",
@@ -2210,6 +2210,12 @@
    "Identifier": {
      "description": "Permission identifier",
      "oneOf": [
+        {
+          "description": "Commandes de l'application ObsiGate appelées depuis la page backend (http://127.0.0.1).",
+          "type": "string",
+          "const": "allow-app-commands",
+          "markdownDescription": "Commandes de l'application ObsiGate appelées depuis la page backend (http://127.0.0.1)."
+        },
        {
          "description": "Default core plugins set.\n#### This default permission set includes:\n\n- `core:path:default`\n- `core:event:default`\n- `core:window:default`\n- `core:webview:default`\n- `core:app:default`\n- `core:image:default`\n- `core:resources:default`\n- `core:menu:default`\n- `core:tray:default`",
          "type": "string",
@@ -0,0 +1,36 @@
+# Commandes applicatives ObsiGate — autorisées depuis l'origine distante.
+#
+# La fenêtre Tauri redirige vers http://127.0.0.1:<port> (page servie par le
+# backend Python). Pour Tauri v2 c'est une origine *remote* : sans entrée ACL
+# explicite, TOUTE commande de l'app (invoke_handler) est rejetée avec
+# "Command ... not allowed by ACL" — le bouton « Choisir mon dossier » et le
+# wizard ne faisaient alors rien (erreurs avalées par desktop.js:invoke()).
+#
+# Auto-généré en… non : édité à la main. Liste = tauri::generate_handler![…]
+# dans src/main.rs — ajouter toute nouvelle commande ici.
+
+[[permission]]
+identifier = "allow-app-commands"
+description = "Commandes de l'application ObsiGate appelées depuis la page backend (http://127.0.0.1)."
+commands.allow = [
+  "get_backend_url",
+  "get_version",
+  "get_config",
+  "save_vault_path",
+  "get_vault_path",
+  "get_wizard_state",
+  "complete_wizard",
+  "pick_vault_folder",
+  "pick_folder",
+  "get_system_theme",
+  "restart_backend",
+  "check_backend_health",
+  "save_window_state",
+  "get_window_state",
+  "add_vault",
+  "remove_vault",
+  "list_vaults",
+  "add_dir",
+  "remove_dir",
+  "list_dirs",
+]
@@ -10,48 +10,23 @@ use log::{info, warn};

 #[cfg(target_os = "windows")]
 mod imp {
-    use super::*;
-    use std::os::windows::ffi::OsStrExt;
-    use windows::core::{Interface, HSTRING, PCWSTR};
-    use windows::Win32::Foundation::PROPERTYKEY;
-    use windows::Win32::System::Com::{
-        CoCreateInstance, CoInitializeEx, CLSCTX_INPROC_SERVER, COINIT_APARTMENTTHREADED,
-    };
-    use windows::Win32::System::Com::StructuredStorage::PROPVARIANT;
-    use windows::Win32::System::Variant::VT_LPWSTR;
-    use windows::Win32::UI::Shell::{
-        ICustomDestinationList, IShellLinkW, SetCurrentProcessExplicitAppUserModelID,
-        DestinationList, EnumerableObjectCollection, ShellLink,
-    };
-    use windows::Win32::UI::Shell::Common::IObjectCollection;
-    use windows::Win32::UI::Shell::PropertiesSystem::IPropertyStore;
+use super::*;
+use std::os::windows::ffi::OsStrExt;
+use windows::core::{Interface, HSTRING, PCWSTR};
+use windows::Win32::System::Com::{
+    CoCreateInstance, CoInitializeEx, CLSCTX_INPROC_SERVER, COINIT_APARTMENTTHREADED,
+};
+use windows::Win32::UI::Shell::{
+    ICustomDestinationList, IShellLinkW, SetCurrentProcessExplicitAppUserModelID,
+    DestinationList, EnumerableObjectCollection, ShellLink,
+};
+use windows::Win32::UI::Shell::Common::IObjectCollection;

-    const APP_ID: &str = "com.obsigate.desktop";
+const APP_ID: &str = "com.obsigate.desktop";

-    // PKEY_Title (System.Title): {F29F85E0-4FF9-1068-AB91-08002B27B3D9}, pid 2
-    const PKEY_TITLE: PROPERTYKEY = PROPERTYKEY {
-        fmtid: windows::core::GUID::from_u128(0xF29F85E0_4FF9_1068_AB91_08002B27B3D9),
-        pid: 2,
-    };
-
-    fn wide_null_terminated(s: &str) -> Vec<u16> {
-        std::ffi::OsStr::new(s).encode_wide().chain(std::iter::once(0)).collect()
-    }
-
-    /// Set the jump-list display title via the shell link's property store.
-    fn set_link_title(link: &IShellLinkW, title: &str) -> windows::core::Result<()> {
-        let store: IPropertyStore = link.cast()?;
-        let mut wide = wide_null_terminated(title);
-        let mut pv: PROPVARIANT = unsafe { std::mem::zeroed() };
-        unsafe {
-            let inner = &mut *pv.Anonymous.Anonymous;
-            inner.vt = VT_LPWSTR;
-            inner.Anonymous.pwszVal = windows::core::PWSTR(wide.as_mut_ptr());
-            store.SetValue(&PKEY_TITLE, &pv)?;
-            store.Commit()?;
-        }
-        Ok(())
-    }
+fn wide_null_terminated(s: &str) -> Vec<u16> {
+    std::ffi::OsStr::new(s).encode_wide().chain(std::iter::once(0)).collect()
+}

    /// Build one shell link for a vault. `arg` is the command-line argument the
    /// app expects to open that vault (see file associations / single-instance).
@@ -70,9 +45,10 @@ mod imp {
            }
            link.SetDescription(&HSTRING::from(name))?;
        }
-        // Title (display name) is best-effort — a missing title only means the
-        // jump-list entry falls back to the executable name.
-        let _ = set_link_title(&link, name);
+        // Title (display name): the raw PROPVARIANT setter that used to live
+        // here corrupted the process heap (STATUS_HEAP_CORRUPTION c0000374 —
+        // the shell property store freed our Rust-allocated VT_LPWSTR buffer).
+        // SetDescription below already gives jump-list entries their label.
        Ok(link)
    }

@@ -48,6 +48,7 @@ fn pick_free_port() -> u16 {
 #[cfg(target_os = "windows")]
 use std::os::windows::process::CommandExt;
 use tauri::Manager;
+use tauri::webview::WebviewWindowBuilder;

 // ── State ───────────────────────────────────────────────────────────────────

@@ -160,6 +161,39 @@ fn save_config(config: &AppConfig) {
    }
 }

+// ── Premier lancement (#160) ───────────────────────────────────────────────
+
+/// Répertoire de démarrage monté comme vault au premier lancement.
+const STARTER_VAULT_NAME: &str = "ObsiGate";
+/// Document d'accueil écrit (si absent) dans le répertoire de démarrage.
+const WELCOME_DOC_NAME: &str = "Prise en main.md";
+const WELCOME_DOC: &str = include_str!("prise_en_main.md");
+
+/// Config par défaut au premier lancement — pure, sans I/O (testable).
+/// `<home>/ObsiGate` est monté comme vault ET comme contexte initial ; le
+/// dossier home reste une racine, nommée d'après son dernier segment
+/// (fin du « bruno » codé en dur, #160).
+fn default_first_run_config(home: &str) -> AppConfig {
+    let home_path = std::path::Path::new(home);
+    let vault_dir = home_path.join("ObsiGate");
+    let vault_path = vault_dir.to_string_lossy().to_string();
+    AppConfig {
+        vault_path: Some(vault_path.clone()),
+        vaults: vec![VaultConfig {
+            name: STARTER_VAULT_NAME.to_string(),
+            path: vault_path,
+        }],
+        dirs: vec![DirConfig {
+            name: home_path
+                .file_name()
+                .map(|s| s.to_string_lossy().to_string())
+                .unwrap_or_else(|| home.to_string()),
+            path: home.to_string(),
+        }],
+        ..AppConfig::default()
+    }
+}
+
 // ── Backend lifecycle ───────────────────────────────────────────────────────

 fn spawn_backend(exe_dir: &PathBuf) -> Result<Child, String> {
@@ -320,6 +354,18 @@ async fn pick_vault_folder(app: tauri::AppHandle) -> Result<String, String> {
    }
 }

+/// Sélecteur de dossier générique, sans effet de bord (contrairement à
+/// `pick_vault_folder` qui écrit `vault_path` + `wizard_done` pour le wizard).
+/// Sert à l'ajout d'un dossier racine depuis la section Configuration (#159).
+#[tauri::command]
+async fn pick_folder(app: tauri::AppHandle) -> Result<String, String> {
+    use tauri_plugin_dialog::DialogExt;
+    match app.dialog().file().blocking_pick_folder() {
+        Some(p) => Ok(p.to_string()),
+        None => Err("No folder selected".to_string()),
+    }
+}
+
 #[tauri::command]
 fn get_wizard_state() -> bool {
    load_config().wizard_done
@@ -343,6 +389,13 @@ fn get_system_theme(app: tauri::AppHandle) -> String {
    }
 }

+/// La jump list des raccourcis suit les vaults : à rafraîchir après tout
+/// ajout/retrait de vault (#159). Best-effort — `update_jumplist` logge et n'échoue jamais.
+fn refresh_jumplist() {
+    let vaults = load_config().vaults;
+    jumplist::update_jumplist(&jumplist::build_vault_args(&vaults));
+}
+
 #[tauri::command]
 fn add_vault(name: String, path: String) -> Result<(), String> {
    let mut config = load_config();
@@ -350,6 +403,7 @@ fn add_vault(name: String, path: String) -> Result<(), String> {
    config.vaults.retain(|v| v.name != name);
    config.vaults.push(VaultConfig { name: name.clone(), path });
    save_config(&config);
+    refresh_jumplist();
    info!("Vault added: {} — restart backend to apply", name);
    Ok(())
 }
@@ -359,6 +413,7 @@ fn remove_vault(name: String) -> Result<(), String> {
    let mut config = load_config();
    config.vaults.retain(|v| v.name != name);
    save_config(&config);
+    refresh_jumplist();
    info!("Vault removed: {} — restart backend to apply", name);
    Ok(())
 }
@@ -513,7 +568,7 @@ fn main() {
    // Load config for window state
    let mut config = load_config();

-    // First run: create sensible defaults per platform
+    // First run: create sensible defaults per platform (#160)
    if config.vaults.is_empty() {
        info!("First run — creating default vault configuration");
        #[cfg(target_os = "windows")]
@@ -521,25 +576,28 @@ fn main() {
        #[cfg(not(target_os = "windows"))]
        let home = std::env::var("HOME").unwrap_or_else(|_| "/home/bruno".to_string());

-        let vault_dir = std::path::PathBuf::from(&home).join("voute_obsidian");
-        // Create the vault directory if it doesn't exist
-        if !vault_dir.exists() {
-            if let Err(e) = fs::create_dir_all(&vault_dir) {
-                error!("Failed to create default vault dir {}: {}", vault_dir.display(), e);
-            } else {
-                info!("Created default vault dir: {}", vault_dir.display());
+        // Montage du répertoire de démarrage (vault + contexte initial) sans
+        // toucher aux autres champs (taille/position de fenêtre) de la config.
+        let defaults = default_first_run_config(&home);
+        config.dirs = defaults.dirs;
+        config.vaults = defaults.vaults;
+        config.vault_path = defaults.vault_path;
+
+        let vault_dir = std::path::PathBuf::from(config.vaults[0].path.clone());
+        if let Err(e) = fs::create_dir_all(&vault_dir) {
+            error!("Failed to create default vault dir {}: {}", vault_dir.display(), e);
+        } else {
+            info!("Created default vault dir: {}", vault_dir.display());
+        }
+        // Document d'accueil : écrit une seule fois, jamais écrasé (#160).
+        let welcome = vault_dir.join(WELCOME_DOC_NAME);
+        if !welcome.exists() {
+            match fs::write(&welcome, WELCOME_DOC) {
+                Ok(()) => info!("Welcome document written: {}", welcome.display()),
+                Err(e) => error!("Failed to write {}: {}", welcome.display(), e),
            }
        }
-        config.dirs = vec![
-            DirConfig { name: "bruno".to_string(), path: home.clone() },
-        ];
-        config.vaults = vec![
-            VaultConfig {
-                name: "Obsidian".to_string(),
-                path: vault_dir.to_string_lossy().to_string(),
-            },
-        ];
-        config.vault_path = Some(home);
+
        save_config(&config);
        info!("Default vault config saved");
    }
@@ -589,6 +647,7 @@ fn main() {
            get_wizard_state,
            complete_wizard,
            pick_vault_folder,
+            pick_folder,
            get_system_theme,
            restart_backend,
            check_backend_health,
@@ -602,6 +661,19 @@ fn main() {
            list_dirs,
        ])
        .setup(move |app| {
+            // BUG-107 / #89 — HTML5 drag & drop des fichiers : Tauri installe
+            // son propre IDropTarget par-dessus celui du WebView2 (wry :
+            // « find the WebView2 window and override! ») et aucun événement
+            // natif n'est écouté ici → les glisser-déposer depuis
+            // l'Explorateur n'atteignaient jamais la page. La fenêtre est donc
+            // créée manuellement (`create: false` dans tauri.conf.json) avec
+            // le handler désactivé : la page reçoit les drops comme sur le web.
+            let window_config = app.config().app.windows[0].clone();
+            WebviewWindowBuilder::from_config(app, &window_config)
+                .expect("fenêtre principale (tauri.conf.json)")
+                .disable_drag_drop_handler()
+                .build()?;
+
            // Build native menu bar (File / Edit / Help)
            let _ = build_native_menu(app);

@@ -1122,4 +1194,116 @@ mod tests {
        let dbg = format!("{:?}", d);
        assert!(dbg.contains("x"));
    }
+
+    /// Guardrail ACL : toute commande Tauri invoquée par le frontend doit
+    /// figurer dans desktop/permissions/commands.toml. La page servie par le
+    /// backend (http://127.0.0.1) est une origine *remote* pour Tauri v2 :
+    /// sans cette entrée, la commande est rejetée « not allowed by ACL » et
+    /// desktop.js:invoke() avale l'erreur → bouton silencieusement mort
+    /// (bouton « Choisir mon dossier » du wizard, BUG-104).
+    #[test]
+    fn test_frontend_invokes_are_acl_allowed() {
+        let dir = std::path::Path::new(env!("CARGO_MANIFEST_DIR"));
+        let perms = fs::read_to_string(dir.join("permissions/commands.toml"))
+            .expect("desktop/permissions/commands.toml manquant");
+        let main_src = fs::read_to_string(dir.join("src/main.rs")).unwrap();
+
+        // Commandes déclarées dans le manifeste de permissions.
+        let allow_list = perms
+            .split("commands.allow")
+            .nth(1)
+            .and_then(|s| s.split(']').next())
+            .unwrap_or("");
+        let allowed: Vec<String> = allow_list
+            .split('"')
+            .skip(1)
+            .step_by(2)
+            .map(|s| s.to_string())
+            .collect();
+        assert!(!allowed.is_empty(), "commands.allow vide dans commands.toml");
+
+        // Chaque permission doit correspondre à une commande réellement
+        // enregistrée (faute de frappe → permission morte).
+        for cmd in &allowed {
+            assert!(
+                main_src.contains(&format!("fn {cmd}(")),
+                "permission allow pour la commande inconnue {cmd}"
+            );
+        }
+
+        // Toute commande invoke('…') du frontend doit être autorisée.
+        let js_dir = dir.join("../frontend/js");
+        let mut seen = 0usize;
+        for entry in fs::read_dir(&js_dir).unwrap() {
+            let path = entry.unwrap().path();
+            if path.extension().and_then(|e| e.to_str()) != Some("js") { continue; }
+            let src = fs::read_to_string(&path).unwrap();
+            let mut rest = src.as_str();
+            while let Some(pos) = rest.find("invoke('") {
+                rest = &rest[pos + "invoke('".len()..];
+                let name: String = rest.chars().take_while(|c| c.is_ascii_alphanumeric() || *c == '_').collect();
+                if !name.is_empty() {
+                    seen += 1;
+                    assert!(
+                        allowed.contains(&name),
+                        "commande {name} invoquée par {} absente de permissions/commands.toml",
+                        path.file_name().unwrap().to_string_lossy()
+                    );
+                }
+                rest = &rest[rest.find('\'').map(|i| i + 1).unwrap_or(rest.len())..];
+            }
+        }
+        assert!(seen > 0, "aucun invoke('…') trouvé dans frontend/js");
+    }
+
+    /// BUG-107 : la fenêtre est créée en code (`create: false`) avec le
+    /// handler de drag & drop de Tauri désactivé. Si l'un des deux manque,
+    /// wry réinstalle son IDropTarget par-dessus celui du WebView2 et les
+    /// glisser-déposer de fichiers depuis l'Explorateur n'atteignent plus la
+    /// page (#89 fonctionnait uniquement sur le web).
+    #[test]
+    fn test_window_created_without_tauri_drag_drop_handler() {
+        let dir = std::path::Path::new(env!("CARGO_MANIFEST_DIR"));
+        let conf = fs::read_to_string(dir.join("tauri.conf.json")).unwrap();
+        assert!(
+            conf.contains("\"create\": false"),
+            "tauri.conf.json : la fenêtre doit être créée en code (create: false)"
+        );
+        let main_src = fs::read_to_string(dir.join("src/main.rs")).unwrap();
+        assert!(
+            main_src.contains("disable_drag_drop_handler()"),
+            "main.rs : disable_drag_drop_handler() manquant — drag & drop bloqué"
+        );
+    }
+
+    /// #160 — premier lancement : `<home>/ObsiGate` monté comme vault et
+    /// comme contexte initial, racine home nommée d'après son chemin.
+    #[test]
+    fn test_default_first_run_config() {
+        #[cfg(target_os = "windows")]
+        let home = r"C:\Users\alice";
+        #[cfg(not(target_os = "windows"))]
+        let home = "/home/alice";
+
+        let c = default_first_run_config(home);
+        assert_eq!(c.vaults.len(), 1);
+        assert_eq!(c.vaults[0].name, STARTER_VAULT_NAME);
+        assert!(c.vaults[0].path.ends_with("ObsiGate"), "{}", c.vaults[0].path);
+        assert_eq!(c.vault_path.as_deref(), Some(c.vaults[0].path.as_str()));
+        assert_eq!(c.dirs.len(), 1);
+        assert_eq!(c.dirs[0].name, "alice", "nom de racine dérivé du chemin");
+        assert_eq!(c.dirs[0].path, home);
+        assert!(!c.wizard_done);
+    }
+
+    /// #160 — le document d'accueil est embarqué dans le binaire : non vide,
+    /// Markdown, et nom de fichier stable (écrit une seule fois sur le disque).
+    #[test]
+    fn test_welcome_doc_embedded() {
+        assert!(WELCOME_DOC.len() > 500, "document d'accueil trop court");
+        assert!(WELCOME_DOC.starts_with('#'), "attendu : titre Markdown");
+        assert!(WELCOME_DOC.contains("ObsiGate"));
+        assert!(WELCOME_DOC.contains("Ctrl+Espace"));
+        assert_eq!(WELCOME_DOC_NAME, "Prise en main.md");
+    }
 }
@@ -0,0 +1,41 @@
+# 🟢 Bienvenue sur ObsiGate — Prise en main
+
+Ce dossier `%USERPROFILE%\ObsiGate` est votre **espace de départ** : il est
+monté automatiquement comme vault **ObsiGate** au premier lancement. Vous
+pouvez y écrire librement, puis brancher vos vrais vaults Obsidian quand vous
+êtes prêt.
+
+## ObsiGate en 30 secondes
+
+ObsiGate est une porte d'entrée locale vers vos notes : index en mémoire,
+recherche instantanée, lecture Markdown avec liens `[[wikilinks]]`, images,
+PDF, tableurs Excel, Excalidraw, Mermaid et assistant IA — sans base de
+données, sans modification de vos fichiers, tout reste sur votre machine.
+
+## Premiers pas (application desktop)
+
+1. **Ce document** s'affiche dans la visionneuse : c'est votre première note,
+   modifiez-la ou supprimez-la quand vous n'en avez plus besoin.
+2. **Ajouter vos vaults** : Configuration → « 🖥️ Vaults & dossiers (Desktop) »
+   → *Ajouter un vault* (sélecteur de dossier natif). Depuis la sidebar,
+   clic droit sur une racine → « Retirer de l'application » la désiste
+   (aucun fichier n'est supprimé).
+3. **Naviguer** : la sidebar liste vos racines et leur arbre ; l'onglet
+   Navigation parcourt un dossier sous forme de vues répertoire.
+4. **Rechercher** : `Ctrl+Espace` (palette de fichiers),
+   `Ctrl+Alt+Espace` (palette de commandes), `Ctrl+F` dans un document.
+5. **Onglets** : `Ctrl+W` ferme l'onglet, `Ctrl+Tab` bascule ; le mode split
+   divise l'écran en panneaux.
+6. **Guide complet** : bouton d'aide de l'en-tête — sommaire, raccourcis,
+   architecture, et téléchargement du guide en Markdown/PDF.
+
+## Le saviez-vous ?
+
+- Le **glisser-déposer** de fichiers depuis l'Explorateur est pris en charge :
+  déposez-les sur la fenêtre pour les importer.
+- Le **clic droit** est partout : menus contextuels de fichier, dossier et
+  vault (avec renommage, création, suppression, vue graphique).
+- Le **watcher** surveille vos vaults : une note modifiée dans Obsidian
+  apparaît immédiatement ici.
+
+— *Ce fichier vous appartient.*
@@ -1,7 +1,7 @@
 {
  "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
  "productName": "ObsiGate",
-  "version": "2.49.0",
+  "version": "2.51.0",
  "identifier": "com.obsigate.desktop",
  "build": {
    "frontendDist": "../frontend",
@@ -13,6 +13,7 @@
    "withGlobalTauri": true,
    "windows": [
      {
+        "create": false,
        "title": "ObsiGate",
        "width": 1200,
        "height": 800,
@@ -23,6 +23,32 @@ commande**.
 | Icône de barre des tâches (tray) | ❌ | ✅ |
 | Auto-update | ❌ | ✅ (vérifie les releases Gitea) |
 | Mode hors-ligne | Limité | Complet (backend local) |
+| Gestion vaults & dossiers | Fichiers de config serveur | ✅ UI dédiée + menu contextuel |
+
+### Gestion des vaults et dossiers (#159)
+
+Deux surfaces, réservées à l'application desktop :
+
+- **Menu contextuel** : clic droit sur un vault ou un dossier racine dans la
+  sidebar → « Retirer de l'application » (confirmation, déregistration de la
+  configuration locale — **aucun fichier n'est supprimé**), puis
+  redémarrage automatique du backend.
+- **Configuration** : section « 🖥️ Vaults & dossiers (Desktop) » listant les
+  vaults et dossiers chargés, avec boutons « Ajouter un vault » (sélecteur de
+  dossier natif) et « Ajouter un dossier ».
+
+### Premier lancement (#160)
+
+Au tout premier démarrage (aucun vault configuré), l'application :
+
+1. crée et monte **`%USERPROFILE%\ObsiGate`** comme vault de démarrage
+   (« ObsiGate ») et ouvre l'interface dessus ;
+2. y écrit le document **`Prise en main.md`** — présentation, premières
+   étapes, raccourcis (`Ctrl+Espace`, `Ctrl+Alt+Espace`, `Ctrl+F`,
+   `Ctrl+W`/`Ctrl+Tab`) et accès au guide complet (bouton d'aide de l'en-tête).
+   Le fichier n'est jamais réécrit : modifiez-le ou supprimez-le librement ;
+3. ajoute votre dossier personnel comme seconde racine (nommée d'après son
+   chemin).

 ---

@@ -210,6 +210,11 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-100* | Retour à l'accueil incomplet : le clic sur le titre perd la section « Raccourcis & Astuces » et laisse la recherche globale ainsi que le filtre de la sidebar actifs | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/viewer.js` (`showWelcome`), `frontend/js/legacy.js` (`goHome`) | Ouvrir un fichier (le dashboard est détruit), puis cliquer le titre ObsiGate | `viewer.js` : `#quick-help` capturé au chargement du module et réinjecté dans le template reconstruit de `showWelcome()` ; `legacy.js::goHome` clique `#search-clear-btn` (chips + barre de résultats) et `#sidebar-filter-clear-btn` avant d'afficher l'accueil | **Cause racine :** `showWelcome()` reconstruit `#dashboard-home` depuis un template qui n'embarque pas le bloc `#quick-help` présent dans `index.html` — il ne disparaissait qu'après la première reconstruction (ouverture de fichier, puis retour). Livré avec #158 A3 |
 | *BUG-101* | Raccourcis d'onglets déclarés deux fois : un seul `Ctrl+W` fermait deux onglets (le second fermait celui ré-activé par la fermeture précédente) et `Ctrl+Tab` sautait un onglet | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/ui.js` (bloc « Keyboard shortcuts for tabs » dupliqué en fin de fichier) | Ouvrir deux onglets puis `Ctrl+W` une fois | Suppression du second bloc `document.addEventListener("keydown", …)` dupliqué (fin de `ui.js`) — un seul listener reste | Exposé par #158 : le second onglet n'était plus jamais vide auparavant (la 2ᵉ fermeture tombait sur `_activeTabId === null` et devenait sans effet). Vérifié : repro Playwright (`closes: ["fichier", "nav"]` avant → `["fichier"]` après) + suite E2E |
 | *BUG-102* | Menu contextuel qui se referme ~10 ms après son ouverture : la reflow des icônes (remplacement `<i>` → `<svg>` par lucide) déclenche un événement `scroll` capturé par `ContextMenuManager` qui referme le menu | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/js/ui.js` (`ContextMenuManager.init/show`) | Clic droit sur un fichier de la page de navigation (ou de l'arbre) juste après un rendu d'icônes | `show()` mémorise `_shownAt` ; le listener `scroll` (capture) ignore un déclenchement dans les 250 ms suivant l'ouverture | Exposé par #158 A5 (test E2E `nav-tab.spec.js` : menu résolu « hidden » alors que 6 items étaient construits). Vérifié : instrumentation Playwright (display block conservé après le scroll) + suite E2E |
+| *BUG-103* | Mobile : le bas du sidebar de navigation est masqué par la barre d'outils du bas (`z-index` 200 < 900) | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css` (règle `.sidebar` du bloc `@media (max-width: 768px)`) | Vue mobile (≤768 px), sidebar ouvert depuis « Explorateur » | Passé à `z-index: 950` (au-dessus de `.mobile-toolbar`, 900) | Exposé après #158 (retour utilisateur). Vérifié : `elementFromPoint` Playwright (393×851) + test source `mobile sidebar over toolbar` (`unit.test.mjs`) |
+| *BUG-104* | Desktop : toutes les commandes Tauri invoquées depuis la page backend (`http://127.0.0.1`) rejetées « not allowed by ACL » — le bouton « Choisir mon dossier » du wizard ne fait rien | 🟢 corrigé | P1 | 🖥️ desktop | IA | `desktop/permissions/commands.toml` (nouveau), `desktop/capabilities/default.json`, `desktop/build.rs` | Installeur 2.49.2 : clic sur « Choisir mon dossier » → aucune fenêtre ; console `[desktop] invoke(pick_vault_folder) failed: Command … not allowed by ACL` (capturée via CDP, WebView2 `--remote-debugging-port`) | Manifeste de permissions applicatives créé (`allow-app-commands`, 19 commandes) et référencé par la capability : Tauri v2 ACL gate toute commande invoquée depuis une origine *remote*, y compris celles de l'`invoke_handler` | `cargo test` 25 passed (nouveau garde-fou `test_frontend_invokes_are_acl_allowed`) + vérif live CDP : `get_version`→2.49.2, clic → fenêtre native « Select Folder », parcours complet ajout de vault terminé |
+| *BUG-105* | Desktop : crash 2-15 s après l'ouverture de la fenêtre (`APPCRASH c0000374`, heap corruption détectée dans ntdll) — absent de v2.0.0, apparu en 2.49.2 | 🟢 corrigé | P1 | 🖥️ desktop | IA | `desktop/src/jumplist.rs` (`set_link_title`) | Installeur 2.49.2 : fenêtre visible quelques secondes puis fermeture (3/3), Event Log Windows `APPCRASH obsigate-desktop.exe … c0000374`, rien dans stderr | `set_link_title` (#77) construisait un `PROPVARIANT VT_LPWSTR` pointant un buffer heap Rust et le confiait au property store du shell, qui le libère avec l'allocateur Windows → corruption du tas ; fonction supprimée (`SetDescription` fournit déjà le libellé) | Bisect 3 états (jumplist off = stable, titre off = stable, d'origine = crash) ; run 9 min sans crash + sortie propre `EXIT=0`, zéro événement WER (avant : 3 crashes ≤20 s) |
+| *BUG-106* | Page blanche sur `/docs` (Swagger UI) : la CSP `script-src` sans `unsafe-inline` (#87 T5c) refuse le script inline d'init de FastAPI, jamais noncé | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/main.py` (`SecurityHeadersMiddleware`) | Ouvrir `https://og.dracodev.net/docs` : HTML servi (200) mais aucune UI, console `Refused to execute inline script … Content Security Policy` | Injection du nonce dans le HTML de `/docs` et `/redoc` depuis le middleware, via le helper existant `inject_csp_nonce` ; corps décompressé/recompressé (GZipMiddleware est plus proche de la route) | `pytest tests/test_csp_nonce.py` (3 tests ajoutés : nonce sur `/docs`, `/redoc` sans injection, regex sur bundle externe) + 45 passed sur les 3 suites sécurité ; ruff/mypy 0 |
+| *BUG-107* | Drag & drop de fichiers depuis l'Explorateur inutilisable sur desktop : Tauri/wry pose son propre `IDropTarget` par-dessus de celui du WebView2 et aucun événement natif n'est écouté — #89 ne fonctionnait que sur le web | 🟢 corrigé | P1 | 🖥️ desktop | IA | `desktop/tauri.conf.json` (`create: false`), `desktop/src/main.rs` (`WebviewWindowBuilder::…disable_drag_drop_handler`) | App desktop : glisser un fichier de l'Explorateur sur la fenêtre → aucun survol, aucun dépôt — les gestionnaires HTML5 de `dragdrop.js` ne sont jamais déclenchés | Création manuelle de la fenêtre avec `disable_drag_drop_handler()` (doc Tauri : « required to use HTML5 drag and drop APIs on the frontend on Windows ») ; `create: false` évite la double création par la boucle Tauri | `cargo test` 26 passed (nouveau garde-fou `test_window_created_without_tauri_drag_drop_handler`) + lancement OK (fenêtre unique, boot normal) ; dépôt réel à valider par l'utilisateur |
 |  | | | | | | | | | |
 ### TODOs techniques (améliorations / nouvelles tâches)

@@ -316,6 +321,11 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-10-02 | #158 (A4-A6) | Fonctionnalité | `frontend/js/vaulthome.js`, `frontend/js/ui.js`, `frontend/js/pane-manager.js`, `frontend/js/legacy.js`, `frontend/js/sidebar.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/e2e/nav-tab.spec.js` (nouveau), `CHANGELOG.md`, `docs/ROADMAP.md`, `docs/features/navigation-tab-158.md` | **A4** : `TabManager.openHome()` — le clic sur le titre ouvre la page d'accueil dans un **onglet Accueil** (icône Maison, `common.home` FR/EN) remonté en position 0 à chaque fois ; `deactivate()` conserve cet onglet actif, `pane-manager.js` a son propre `openHome` pour le split. **A5** : menus contextuels répertoires **et** fichiers de la page de navigation via `ContextMenuManager.show()` (avec `stopPropagation()`, le handler global referme sinon le menu) — listes vérifiées identiques à la sidebar ; la ligne d'un vault rouvre la page de navigation. **A6** : icône des répertoires à `var(--accent)` (couleur de l'arbre). **Correctif annexé** : l'effacement du filtre sidebar au retour à l'accueil n'est déclenché que s'il était actif (sinon `restoreSidebarTree()` repliait l'arbre). Vérifié : Playwright jetable 16/16, `nav-tab.spec.js` 4 tests, validate-imports/unit/i18n parity verts. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-10-02 | BUG-101 | Correction | `frontend/js/ui.js` | **BUG-101 — le bloc « Keyboard shortcuts for tabs » existait en double dans `ui.js`** (fin de fichier) : un seul `Ctrl+W` déclenchait **deux** `close()`, le second refermant l'onglet ré-activé par le premier — observé avec #158 quand un onglet navigation survit à la fermeture du fichier ; `Ctrl+Tab` sautait également un onglet. Bloc dupliqué supprimé (un seul listener). Vérifié : repro Playwright (`close()` appelé 2× puis 1×) et suite E2E. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-10-02 | BUG-102 | Correction | `frontend/js/ui.js` | **BUG-102 — menu contextuel refermé par sa propre ouverture** : la reflow des icônes lucide à l'affichage déclenche un `scroll` capturé qui refermait le menu ~10 ms après son apparition (constaté sur les fichiers de la page de navigation, #158 A5). `show()` mémorise `_shownAt` et le listener `scroll` ignore un déclenchement dans les 250 ms. Vérifié : instrumentation Playwright + suite E2E (`nav-tab.spec.js`). | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-10-02 | BUG-103 | Correction | `frontend/style.css` | **BUG-103 — sidebar mobile sous la barre d'outils du bas** : en mobile le `.sidebar` (`z-index: 200`) passait sous `.mobile-toolbar` (`z-index: 900`, 64 px de haut), masquant les dernières entrées de l'arbre ; passé à `950`. Vérifié : `elementFromPoint` Playwright (393×851) + test source `mobile sidebar over toolbar` (`unit.test.mjs`). | 🟢 corrigé |
+| 2026-10-02 | BUG-104 | Correction | `desktop/permissions/commands.toml` (nouveau), `desktop/capabilities/default.json`, `desktop/build.rs` | **BUG-104 — commandes Tauri rejetées par l'ACL depuis la page backend** : la fenêtre redirige vers `http://127.0.0.1:<port>`, origine *remote* pour Tauri v2, et aucune commande applicative n'était déclarée → `Command … not allowed by ACL` sur `pick_vault_folder`, `get_wizard_state`, etc. ; les erreurs sont avalées par `desktop.js:invoke()` → bouton du wizard silencieusement inopérant depuis #77. Correctif : manifeste `desktop/permissions/commands.toml` (`allow-app-commands`, 19 commandes) référencé par la capability + `rerun-if-changed=permissions` dans `build.rs`. Vérifié : `cargo test` 25 passed (nouveau garde-fou ACL), CDP live : `get_version` OK, clic → fenêtre native « Select Folder », ajout de vault complété de bout en bout. | 🟢 corrigé |
+| 2026-10-02 | BUG-105 | Correction | `desktop/src/jumplist.rs` | **BUG-105 — crash heap (c0000374) à l'ouverture du desktop** : `set_link_title` (#77) passait un `PROPVARIANT VT_LPWSTR` pointant un buffer heap Rust au property store du shell, qui le libère avec l'allocateur Windows → `STATUS_HEAP_CORRUPTION` détectée dans ntdll ≤20 s après le lancement (3/3, Event Log WER, même empreinte de pile). Fonction supprimée : le libellé des entrées vient de `SetDescription`. Vérifié : bisect sur 3 états de build, run 9 min `EXIT=0`, zéro événement WER. | 🟢 corrigé |
+| 2026-10-02 | BUG-106 | Correction | `backend/main.py`, `tests/test_csp_nonce.py` | **BUG-106 — page blanche sur /docs** : la CSP `#87 T5c` (`script-src` sans `unsafe-inline`, nonce frais par réponse) s'applique aussi aux pages générées par FastAPI (`/docs`, `/redoc`) dont le balisage n'est jamais passé par `inject_csp_nonce` → le navigateur refusait le script inline `SwaggerUIBundle(…)`, la div restait vide. `SecurityHeadersMiddleware` injecte désormais le nonce dans ce HTML avec le helper existant ; le corps est décompressé/recompressé car `SSESafeGZipMiddleware` est plus proche de la route (les réponses arrivent gunzippées). `/redoc` n'a aucun script inline (bundle jsdelivr seul, couvert par `script-src`) — vérifié tel quel. Vérifié : `test_docs_inline_script_nonced`, `test_redoc_served_with_csp`, `test_docs_external_bundle_not_nonced` + 45 passed sur les 3 suites sécurité, ruff/mypy 0. | 🟢 corrigé |
+| 2026-10-02 | BUG-107 | Correction | `desktop/tauri.conf.json`, `desktop/src/main.rs` | **BUG-107 — drag & drop de fichiers inutilisable sur desktop** : Tauri/wry installe son propre `IDropTarget` par-dessus de celui du WebView2 (source wry : « Enumerate child windows to find the WebView2 window and override! ») et aucun événement natif n'était écouté → les glisser-déposer depuis l'Explorateur n'atteignaient jamais les gestionnaires HTML5 de `dragdrop.js` (#89 marchait donc uniquement sur le web). Correctif : la doc Tauri est explicite — `disable_drag_drop_handler()` « is required to use HTML5 drag and drop APIs on the frontend on Windows » ; la fenêtre est créée en code (`create: false` dans `tauri.conf.json`, boucle Tauri qui saute les fenêtres non auto-créées) via `WebviewWindowBuilder::from_config(...).disable_drag_drop_handler()`. Vérifié : `cargo test` 26 passed (nouveau garde-fou `test_window_created_without_tauri_drag_drop_handler` : les deux marqueurs obligatoires), lancement de l'app OK (fenêtre unique, boot log normal) ; glisser-déposer réel à valider par l'utilisateur. | 🟢 corrigé |

 ---

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap

-> **Version :** 2.49.0 | **Dernière mise à jour :** 2026-10-02
+> **Version :** 2.51.0 | **Dernière mise à jour :** 2026-10-03
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -40,6 +40,26 @@
  - [ ] **Signature de code Windows** : **non retenue — décision confirmée le 2026-09-26** : livraison non signée + documentation SmartScreen (« Exécuter quand même »). Alternatives écartées sauf retour utilisateur : SignPath.io (OSS gratuit), Certum OSS, Azure Trusted Signing, certificat EV
  - [ ] Exécuter les 6 tests E2E **manuels** — protocole documenté : [DESKTOP_E2E_CHECKLIST.md](./DESKTOP_E2E_CHECKLIST.md)

+### 159. Gestion desktop des vaults & dossiers — retrait par menu contextuel + ajout en configuration
+
+- **Effort :** 0,5-1 jour | **Impact :** 🟢 | **Framework :** commandes Rust existantes (`add/remove/list_vaults|dirs`) + `ContextMenuManager`
+- **Statut :** ✅ livré le 2026-10-02 (v2.50.0) — ouvert le 2026-10-02 (prérequis : BUG-104/BUG-105 livrés)
+- **Reste à faire :**
+  - [x] Retrait d'un vault **ou dossier racine** par menu contextuel (entrée « Retirer de l'application », desktop uniquement, confirmation, déregistration seule)
+  - [x] Section Configuration : liste des vaults/dossiers desktop + ajout (bouton vault existant `pickAndAddVault` + nouveau sélecteur `pick_folder` sans effet de bord pour les dossiers)
+  - [x] Rafraîchissement de la jump list après chaque ajout/retrait
+  - [x] i18n FR/EN, tests (garde-fou ACL + unit), E2E, fiche features, release
+
+### 160. Premier lancement professionnel + section Configuration harmonisée
+
+- **Effort :** 0,5-1 jour | **Impact :** 🟢 | **Framework :** config Rust + CSS classes existantes
+- **Statut :** ✅ livré le 2026-10-02 (v2.51.0) — ouvert le 2026-10-02
+- **Reste à faire :**
+  - [x] Premier lancement : monter `%USERPROFILE%\ObsiGate` comme vault par défaut (remplace `voute_obsidian`), `vault_path` dessus, nom de dossier racine home dérivé du chemin (fin du hardcode « bruno »)
+  - [x] Document `Prise en main.md` (contenu embarqué `include_str!`) écrit dans ce dossier si absent — jamais d'écrasement
+  - [x] Refonte visuelle de la section « 🖥️ Vaults & dossiers (Desktop) » : classes CSS (motif `webauthn-key-item`), boutons `.config-btn-sm`, zéro style inline, override mobile 44px
+  - [x] Tests Rust (config par défaut + doc embarqué), suites frontend, E2E, docs, release
+
 ---

 ## 🔵 En cours — Visionneuse & édition Excel (P0/P1/P2)
@@ -271,6 +291,8 @@
 | 154 | Tableur — Refonte UI/UX (ruban groupé, onglets permanents, badges d'état, inspecteur droit, undo/redo) | 2.40.0→2.43.1 | [features/xlsx-ui-redesign.md](./features/xlsx-ui-redesign.md) |
 | 155 | Tableur — Menu contextuel (clic droit / appui long) & sélection type Excel | 2.44.0 | [features/xlsx-context-menu.md](./features/xlsx-context-menu.md) |
 | 156 | Tableur — Complétude éditeur : presse-papiers/clavier (A5-A7), mise en forme (A8), décision calcul (A9), undo unifié (A10), export + recherche multi-feuilles (A11), concurrence optimiste (A12), cache méta (A13), outils IA `.xlsm`/`.csv` (A14) + BUG-096 → BUG-099 | 2.45.0 | [features/xlsx-editor-completeness.md](./features/xlsx-editor-completeness.md) |
+| 159 | Desktop — gestion des vaults & dossiers : retrait par menu contextuel + section Configuration (ajout vault/dossier racine) | 2.50.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
+| 160 | Desktop — premier lancement professionnel (répertoire `%USERPROFILE%\ObsiGate` + `Prise en main.md`) et section Configuration harmonisée | 2.51.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
 | BUG-047 | Versionnage — source unique `VERSION` + bump SemVer automatique au commit (hooks + tag) | 2.3.0 | [DEVELOPMENT_AND_RELEASES.md](./DEVELOPMENT_AND_RELEASES.md) |
 | 90 | Barre d'actions du document — regroupement fonctionnel + spacers | 2.3.0 | [archive](./archive/COMPLETED_v1-v2.md) |
 | 89 | Drag & drop complet de fichiers/dossiers & intégration Assistant IA | 2.3.0 | [features/drag-and-drop-ai.md](./features/drag-and-drop-ai.md) |
@@ -86,3 +86,40 @@
  - Python 3.11 embed — téléchargé depuis python.org
  - NSIS (Windows) — pour le générateur d'installateur `.exe`
  - AppImageKit (Linux) — pour le packaging portable
+
+## G. Gestion des vaults & dossiers — #159 — ✅ livré (2026-10-02, v2.50.0)
+
+- [x] Retrait vault/dossier racine par menu contextuel (`ContextMenuManager`,
+  branche `vault`, gate `isTauriEnv()`) → `removeRoot()` dans `desktop.js` :
+  résolution vault/dossier via `list_vaults`/`list_dirs`, confirmation i18n,
+  `remove_vault`/`remove_dir` + `restart_backend` + reload — déregistration
+  seule, zéro suppression disque.
+- [x] Section Configuration `cfg-desktop-roots` (+ entrée TOC i18n FR/EN) :
+  liste des roots injectés, retrait par ligne, ajout vault
+  (`pickAndAddVault`, existant) et ajout dossier (nouvelle commande Rust
+  `pick_folder` — sélecteur sans effet de bord, contrairement à
+  `pick_vault_folder` réservé au wizard). Section masquée hors desktop.
+- [x] Jump list rafraîchie après chaque ajout/retrait de vault
+  (`refresh_jumplist()`).
+- [x] i18n FR/EN (7 clés `config.*`/`desktop.*`), garde-fou ACL automatique
+  (`test_frontend_invokes_are_acl_allowed` : toute commande invoquée par le
+  frontend doit figurer dans `permissions/commands.toml`).
+- [x] Tests : `tests/frontend/desktop-roots.test.mjs` (4 — helpers purs +
+  gating hors desktop), inscrit au CI ; suites frontend/JSDOM vertes,
+  `cargo test` 25 passed.
+
+## H. Premier lancement & section Configuration harmonisée — #160 — ✅ livré (2026-10-02, v2.51.0)
+
+- [x] `default_first_run_config(home)` (pure, testée) : `<home>/ObsiGate`
+  monté comme vault « ObsiGate » ET comme `vault_path`, racine home nommée
+  d'après son dernier segment — remplace `voute_obsidian` + le « bruno »
+  codé en dur ; les champs fenêtre de la config existante sont préservés.
+- [x] `Prise en main.md` : contenu embarqué (`include_str!("prise_en_main.md")`),
+  écrit au premier lancement **si absent** (jamais d'écrasement).
+- [x] Section `cfg-desktop-roots` refondue : markup à classes (zéro style
+  inline), bloc CSS `#160` sur variables (`desktop-roots-*`, motif
+  `webauthn-key-item`), boutons `.config-btn-sm` (primaire/secondaire),
+  override mobile 44px dans le bloc `#config-modal`.
+- [x] Tests : `test_default_first_run_config`, `test_welcome_doc_embedded`
+  — `cargo test` 28 passed ; suites frontend vertes (validate-imports,
+  unit, config-mobile, desktop-roots, settings-order) + E2E locale.
@@ -1587,6 +1587,7 @@
 <li><a href="#cfg-recent" class="help-nav-link" data-i18n="config.section_recent"></a></li>
 <li><a href="#cfg-tags" class="help-nav-link" data-i18n="config.section_tags"></a></li>
 <li><a href="#cfg-hidden-files" class="help-nav-link" data-i18n="config.section_hidden"></a></li>
+<li><a href="#cfg-desktop-roots" class="help-nav-link" data-i18n="config.section_desktop"></a></li>
 <li><a href="#cfg-sync" class="help-nav-link" data-i18n="settings.sync"></a></li>
 <li><a href="#cfg-backend-settings" class="help-nav-link" data-i18n="config.section_backend"></a></li>
 <li><a href="#cfg-diags" class="help-nav-link" data-i18n="settings.diagnostics"></a></li>
@@ -1950,6 +1951,45 @@
                                </div>
                            </section>

+                            <!-- Desktop vaults & root directories (#159, #160) -->
+                            <section
+                                id="cfg-desktop-roots"
+                                class="config-section help-section"
+                            >
+                                <h2 data-i18n="config.section_desktop">🖥️ Vaults &amp; dossiers (Desktop)</h2>
+                                <p
+                                    class="config-description"
+                                    data-i18n="config.desktop_roots_desc"
+                                >
+                                    Ajoutez ou retirez les vaults et dossiers
+                                    racine chargés par l'application desktop.
+                                </p>
+
+                                <div
+                                    id="desktop-roots-list"
+                                    class="desktop-roots-list"
+                                >
+                                    <!-- Racines injectées par renderDesktopRoots() -->
+                                </div>
+
+                                <div class="config-actions-row desktop-roots-actions">
+                                    <button
+                                        class="config-btn-primary config-btn-sm"
+                                        id="cfg-desktop-add-vault"
+                                        data-i18n="desktop.add_vault"
+                                    >
+                                        📁 Ajouter un vault
+                                    </button>
+                                    <button
+                                        class="config-btn-secondary config-btn-sm"
+                                        id="cfg-desktop-add-dir"
+                                        data-i18n="desktop.add_dir"
+                                    >
+                                        📂 Ajouter un dossier
+                                    </button>
+                                </div>
+                            </section>
+
                            <!-- Watcher / Synchronisation -->
                            <section
                                class="config-section help-section"
@@ -7,6 +7,7 @@ import {  escapeHtml, safeCreateIcons } from './utils.js';
 import { showToast, closeHeaderMenu, closeMobileSidebar } from './ui.js';
 import { t, setLocale, getLocale } from './i18n.js';
 import { getModelCapabilities, renderCapabilityBadges, refreshAIPickers } from './ai.js';
+import { isTauriEnv, invoke, pickAndAddVault, pickAndAddDir, removeRoot } from './desktop.js';

 let _recentTimestampTimer = null;
 let _recentFilesCache = [];
@@ -776,6 +777,52 @@ function closeHelpModal() {
  if (modal) modal.classList.remove("active");
 }

+// ── Vaults & root directories — desktop only (#159) ──────────────────────
+// Lists the roots the Tauri shell injects into the backend (vaults +
+// directories) and offers add/remove. The whole section — including its TOC
+// entry — is hidden outside the desktop app.
+async function renderDesktopRoots() {
+  const section = document.getElementById("cfg-desktop-roots");
+  const navLink = document.querySelector('#config-nav a[href="#cfg-desktop-roots"]');
+  if (!section) return;
+  if (!isTauriEnv()) {
+    section.style.display = "none";
+    if (navLink && navLink.parentElement) navLink.parentElement.style.display = "none";
+    return;
+  }
+  section.style.display = "";
+  if (navLink && navLink.parentElement) navLink.parentElement.style.display = "";
+  const vaults = (await invoke("list_vaults")) || [];
+  const dirs = (await invoke("list_dirs")) || [];
+  const list = document.getElementById("desktop-roots-list");
+  if (!list) return;
+  const row = (name, path, kind) =>
+    '<div class="desktop-roots-item">' +
+    `<i data-lucide="${kind === "vault" ? "vault" : "folder"}" class="desktop-roots-icon"></i>` +
+    '<div class="desktop-roots-text">' +
+    `<span class="desktop-roots-name">${escapeHtml(name)}</span>` +
+    `<span class="desktop-roots-path" title="${escapeHtml(path)}">${escapeHtml(path)}</span>` +
+    "</div>" +
+    `<button class="config-btn-secondary config-btn-sm" data-root="${escapeHtml(name)}">` +
+    `<i data-lucide="folder-minus" class="desktop-roots-btn-icon"></i>${escapeHtml(t("desktop.remove_root"))}</button>` +
+    "</div>";
+  if (!vaults.length && !dirs.length) {
+    list.innerHTML = `<div class="desktop-roots-empty">${escapeHtml(t("desktop.roots_empty"))}</div>`;
+  } else {
+    list.innerHTML = vaults.map((v) => row(v.name, v.path, "vault")).join("") +
+                     dirs.map((d) => row(d.name, d.path, "dir")).join("");
+    for (const btn of list.querySelectorAll("button[data-root]")) {
+      // onclick (not addEventListener): the modal re-renders on every open.
+      btn.onclick = () => removeRoot(btn.dataset.root, t("desktop.remove_root_confirm", { name: btn.dataset.root }));
+    }
+  }
+  const addVaultBtn = document.getElementById("cfg-desktop-add-vault");
+  const addDirBtn = document.getElementById("cfg-desktop-add-dir");
+  if (addVaultBtn) addVaultBtn.onclick = () => pickAndAddVault();
+  if (addDirBtn) addDirBtn.onclick = () => pickAndAddDir();
+  safeCreateIcons();
+}
+
 function initConfigModal() {
  const openBtn = document.getElementById("config-open-btn");
  const closeBtn = document.getElementById("config-close");
@@ -806,6 +853,7 @@ function initConfigModal() {
    loadTokensUI();
    loadSharesUI();
    loadToolKeys();
+    renderDesktopRoots();
    safeCreateIcons();
  });

@@ -163,14 +163,64 @@ export async function pickAndAddVault() {
  if (!path) return undefined;

  // Derive a display name from the final path segment.
-  const segments = path.replace(/[\\/]+$/, '').split(/[\\/]/);
-  const name = segments[segments.length - 1] || 'Vault';
+  const name = lastPathSegment(path) || 'Vault';

  await invoke('add_vault', { name: name, path: path });
  await invoke('restart_backend');
  return path;
 }

+// ── Vault & root-directory management (#159) ────────────────────────────
+// The Tauri shell injects vaults (VAULT_N_*) and root directories (DIR_N_*)
+// into the backend as environment variables. These helpers unregister them
+// from the desktop config, restart the backend and reload the page.
+
+// Pure: classify a root name against the desktop config lists.
+// Returns 'vault' | 'dir' | null.
+export function resolveRootKind(vaults, dirs, name) {
+  if ((vaults || []).some((v) => v.name === name)) return 'vault';
+  if ((dirs || []).some((d) => d.name === name)) return 'dir';
+  return null;
+}
+
+// Pure: last path segment, Windows or POSIX separators, trailing
+// separators ignored ('' for root-ish inputs).
+export function lastPathSegment(path) {
+  const segments = String(path).replace(/[\\/]+$/, '').split(/[\\/]/);
+  return segments[segments.length - 1] || '';
+}
+
+// Remove a vault or a root directory from the desktop config. `confirmMsg`
+// (already translated) gates the destructive step; nothing on disk is
+// deleted. Returns 'vault' | 'dir', or undefined when not on desktop,
+// cancelled, unknown root, or a command failed.
+export async function removeRoot(name, confirmMsg) {
+  if (!isTauriEnv() || !name) return undefined;
+  if (confirmMsg && !window.confirm(confirmMsg)) return undefined;
+  const vaults = (await invoke('list_vaults')) || [];
+  const dirs = (await invoke('list_dirs')) || [];
+  const kind = resolveRootKind(vaults, dirs, name);
+  if (!kind) return undefined;
+  const res = await invoke(kind === 'vault' ? 'remove_vault' : 'remove_dir', { name: name });
+  if (res === undefined) return undefined; // command failed (see invoke wrapper)
+  await invoke('restart_backend');
+  window.location.reload();
+  return kind;
+}
+
+// Add a root directory: side-effect-free native folder picker, register it,
+// restart the backend and reload. Mirrors pickAndAddVault.
+export async function pickAndAddDir() {
+  if (!isTauriEnv()) return undefined;
+  const path = await invoke('pick_folder');
+  if (typeof path !== 'string' || !path) return undefined;
+  const name = lastPathSegment(path) || 'Dossier';
+  await invoke('add_dir', { name: name, path: path });
+  await invoke('restart_backend');
+  window.location.reload();
+  return path;
+}
+
 // ── First-run wizard (DOM) ─────────────────────────────────────────────────
 // Shows a dismissible welcome banner on first desktop launch offering to pick
 // the user's Obsidian vault folder. Non-blocking; the default vault created
@@ -8,6 +8,7 @@ import { GraphViewManager } from './graph.js';
 import { DashboardConflictsWidget } from './dashboard.js';
 import { t, tr } from './i18n.js';
 import { toggleThemeMode } from './themes.js';
+import { isTauriEnv, removeRoot } from './desktop.js';
 // ---------------------------------------------------------------------------
 // Right Sidebar Manager
 // ---------------------------------------------------------------------------
@@ -1806,6 +1807,15 @@ export const ContextMenuManager = {
      this._addItem('file-plus', 'Nouveau fichier', () => this._createFile(), isReadonly);
      this._addSeparator();
      this._addItem('brain', '🧠 BooksLM', () => { import('./bookslm.js').then(m => m.default.open(this._targetVault, '')); }, false);
+      // #159 — retrait d'un vault ou dossier racine : desktop uniquement,
+      // déregistration seule (aucun fichier supprimé), confirmation exigée.
+      if (isTauriEnv()) {
+        this._addSeparator();
+        this._addItem('folder-minus', t('desktop.remove_root'), () => {
+          const name = this._targetVault;
+          if (name) removeRoot(name, t('desktop.remove_root_confirm', { name: name }));
+        }, false);
+      }
    } else if (type === 'directory') {
      this._addItem('folder-plus', 'Nouveau sous-dossier', () => this._createDirectory(), isReadonly);
      this._addItem('file-plus', 'Nouveau fichier ici', () => this._createFile(), isReadonly);
@@ -512,6 +512,13 @@
  "config.section_format-du-payload": "Format du payload",
  "config.section_gestion-des-onglets": "📑 Gestion des onglets",
  "config.section_hidden": "🗂️ Hidden files",
+  "config.section_desktop": "🖥️ Vaults & folders (Desktop)",
+  "config.desktop_roots_desc": "Add or remove the vaults and root folders loaded by the desktop application (local config removal only — no file is deleted).",
+  "desktop.remove_root": "Remove from app",
+  "desktop.remove_root_confirm": "Remove “{name}” from ObsiGate Desktop? No files will be deleted.",
+  "desktop.add_vault": "📁 Add a vault",
+  "desktop.add_dir": "📂 Add a folder",
+  "desktop.roots_empty": "No vault or folder configured.",
  "config.section_historique-recent-redemarrage-non-requis": "📋 Recent History\n                                    No restart required",
  "config.section_indicateurs-visuels": "Indicateurs visuels",
  "config.section_intelligence-artificielle-dans-l-editeur": "🤖 AI in the Editor",
@@ -512,6 +512,13 @@
  "config.section_format-du-payload": "Format du payload",
  "config.section_gestion-des-onglets": "📑 Gestion des onglets",
  "config.section_hidden": "🗂️ Fichiers cachés",
+  "config.section_desktop": "🖥️ Vaults & dossiers (Desktop)",
+  "config.desktop_roots_desc": "Ajoutez ou retirez les vaults et dossiers racine chargés par l'application desktop (retrait local de la configuration, aucun fichier supprimé).",
+  "desktop.remove_root": "Retirer de l'application",
+  "desktop.remove_root_confirm": "Retirer « {name} » de l'application ObsiGate Desktop ? Les fichiers ne seront pas supprimés.",
+  "desktop.add_vault": "📁 Ajouter un vault",
+  "desktop.add_dir": "📂 Ajouter un dossier",
+  "desktop.roots_empty": "Aucun vault ou dossier configuré.",
  "config.section_historique-recent-redemarrage-non-requis": "📋 Historique récent\n                                    Redémarrage non requis",
  "config.section_indicateurs-visuels": "Indicateurs visuels",
  "config.section_intelligence-artificielle-dans-l-editeur": "🤖 Intelligence Artificielle dans l'Éditeur",
@@ -4038,7 +4038,9 @@ body.resizing-v {
    top: 0;
    left: 0;
    bottom: 0;
-    z-index: 200;
+    /* Par-dessus la barre d'outils mobile (.mobile-toolbar, z-index 900)
+       pour ne pas masquer le bas du sidebar — BUG-103 */
+    z-index: 950;
    width: 280px !important;
    min-width: 280px !important;
    max-width: 85vw !important;
@@ -5039,6 +5041,15 @@ body.resizing-v {
    min-height: 44px;
    min-width: 44px;
  }
+  #config-modal .desktop-roots-item {
+    flex-wrap: wrap;
+  }
+  #config-modal .desktop-roots-item .config-btn-sm {
+    min-height: 44px;
+  }
+  #config-modal .desktop-roots-actions {
+    flex-wrap: wrap;
+  }
  #config-modal .hidden-files-add-row {
    flex-wrap: wrap;
  }
@@ -11961,6 +11972,79 @@ mark {
 .webauthn-key-meta { font-size: 0.75rem; color: var(--text-muted, #888); }
 .config-btn-sm { padding: 4px 10px; font-size: 0.78rem; }

+/* ── #160 : Section Configuration — Vaults & dossiers (Desktop) ──────────── */
+.desktop-roots-list {
+  display: flex;
+  flex-direction: column;
+  gap: 8px;
+}
+.desktop-roots-item {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  padding: 8px 10px;
+  background: var(--surface2, #1a1a2e);
+  border: 1px solid var(--border, transparent);
+  border-radius: 6px;
+  transition: border-color 150ms;
+}
+.desktop-roots-item:hover {
+  border-color: var(--accent);
+}
+.desktop-roots-icon {
+  width: 16px;
+  height: 16px;
+  flex-shrink: 0;
+  color: var(--accent);
+}
+.desktop-roots-text {
+  flex: 1;
+  min-width: 0;
+  display: flex;
+  flex-direction: column;
+  gap: 2px;
+}
+.desktop-roots-name {
+  font-size: 0.9rem;
+  font-weight: 600;
+  color: var(--text, #fff);
+}
+.desktop-roots-path {
+  font-size: 0.75rem;
+  color: var(--text-muted, #888);
+  white-space: nowrap;
+  overflow: hidden;
+  text-overflow: ellipsis;
+}
+.desktop-roots-item .config-btn-sm {
+  display: inline-flex;
+  align-items: center;
+  gap: 6px;
+  flex-shrink: 0;
+  white-space: nowrap;
+}
+.desktop-roots-btn-icon {
+  width: 14px;
+  height: 14px;
+}
+.desktop-roots-empty {
+  padding: 12px;
+  font-size: 0.85rem;
+  color: var(--text-muted, #888);
+  background: var(--surface2, #1a1a2e);
+  border-radius: 6px;
+}
+.desktop-roots-actions {
+  display: flex;
+  justify-content: flex-end;
+  gap: 8px;
+}
+.desktop-roots-actions .config-btn-sm {
+  display: inline-flex;
+  align-items: center;
+  gap: 6px;
+}
+
 /* MFA Disable card */
 .mfa-disable-card {
  padding: 16px; border-radius: 10px;
@@ -1,6 +1,6 @@
 {
  "name": "obsigate",
-  "version": "2.49.0",
+  "version": "2.51.0",
  "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
  "main": "patch.js",
  "directories": {
@@ -0,0 +1,75 @@
+// Tests unitaires — gestion desktop des vaults & dossiers (#159)
+// Helpers purs de frontend/js/desktop.js (module sans import, importable en Node).
+//
+// Usage: node tests/frontend/desktop-roots.test.mjs
+import { strict as assert } from 'assert';
+import {
+  resolveRootKind,
+  lastPathSegment,
+  removeRoot,
+  pickAndAddDir,
+} from '../../frontend/js/desktop.js';
+
+const vaults = [
+  { name: 'Obsidian', path: 'C:/Users/x/voute_obsidian' },
+  { name: 'Work', path: 'D:/work' },
+];
+const dirs = [{ name: 'Bruno-Download', path: 'C:/Users/x/Downloads' }];
+
+function testResolveRootKind() {
+  assert.equal(resolveRootKind(vaults, dirs, 'Obsidian'), 'vault');
+  assert.equal(resolveRootKind(vaults, dirs, 'Bruno-Download'), 'dir');
+  assert.equal(resolveRootKind(vaults, dirs, 'inconnu'), null);
+  // Listes absentes (invoke en échec → undefined) : pas de crash.
+  assert.equal(resolveRootKind(undefined, undefined, 'Obsidian'), null);
+  // Un nom ne peut être que vault OU dir (les deux listes sont disjointes).
+  assert.equal(resolveRootKind(vaults, dirs, 'Work'), 'vault');
+  console.log('  ✓ resolveRootKind');
+}
+
+function testLastPathSegment() {
+  assert.equal(lastPathSegment('C:\\Obsidian_doc\\Obsidian-Sandbox'), 'Obsidian-Sandbox');
+  assert.equal(lastPathSegment('C:/vaults/perso/'), 'perso');
+  assert.equal(lastPathSegment('/home/bruno/vault'), 'vault');
+  assert.equal(lastPathSegment('/'), '');
+  assert.equal(lastPathSegment('C:\\'), 'C:');
+  console.log('  ✓ lastPathSegment');
+}
+
+async function testDesktopGating() {
+  // Hors desktop (pas de window.__TAURI__) : tout est un no-op silencieux —
+  // c'est ce qui protège l'app web (Docker) où la section est masquée.
+  assert.equal(await removeRoot('Obsidian', 'confirmer ?'), undefined);
+  assert.equal(await pickAndAddDir(), undefined);
+  assert.equal(await removeRoot('', 'x'), undefined);
+  console.log('  ✓ gating hors desktop');
+}
+
+// Le nom dérivé par pickAndAddDir/pickAndAddVault doit être un segment simple
+// (jamais un chemin complet) : réutilisé telle quelle par add_dir/add_vault.
+function testDerivedNameIsBasename() {
+  for (const p of ['C:\\Obsidian_doc\\Obsidian-Sandbox', '/home/bruno/Downloads/']) {
+    const name = lastPathSegment(p) || 'Dossier';
+    assert.ok(!name.includes('/') && !name.includes('\\'), `basename expected for ${p}`);
+  }
+  console.log('  ✓ derived name is a basename');
+}
+
+const tests = [
+  testResolveRootKind,
+  testLastPathSegment,
+  testDesktopGating,
+  testDerivedNameIsBasename,
+];
+
+let failed = 0;
+for (const fn of tests) {
+  try {
+    await fn();
+  } catch (e) {
+    failed++;
+    console.error(`  ✗ ${fn.name}: ${e.message}`);
+  }
+}
+console.log(failed === 0 ? `${tests.length} passed, 0 failed` : `${tests.length - failed} passed, ${failed} failed`);
+process.exit(failed === 0 ? 0 : 1);
@@ -42,19 +42,23 @@ function test(label, fn) {
 /** Body of the first @media (max-width: 768px) block whose body contains `needle`. */
 function mobileBlockContaining(needle) {
  const marker = "@media (max-width: 768px)";
+  // Les commentaires sont ignorés : un sélecteur cité dans une annotation
+  // (ex. « .mobile-toolbar » dans un commentaire de style.css) ne doit pas
+  // faire rétrograder ce helper sur le mauvais bloc mobile (BUG-103/CI #842).
+  const source = css.replace(/\/\*[\s\S]*?\*\//g, "");
  let idx = 0;
-  while ((idx = css.indexOf(marker, idx)) !== -1) {
-    const open = css.indexOf("{", idx);
+  while ((idx = source.indexOf(marker, idx)) !== -1) {
+    const open = source.indexOf("{", idx);
    let depth = 0;
    let end = open;
-    for (; end < css.length; end++) {
-      if (css[end] === "{") depth++;
-      else if (css[end] === "}") {
+    for (; end < source.length; end++) {
+      if (source[end] === "{") depth++;
+      else if (source[end] === "}") {
        depth--;
        if (depth === 0) break;
      }
    }
-    const body = css.slice(open + 1, end);
+    const body = source.slice(open + 1, end);
    if (body.includes(needle)) return body;
    idx = end + 1;
  }
@@ -307,6 +307,22 @@ function testSyntaxHighlightTheme() {
  console.log('  ✓ syntax highlighting follows the theme mode (BUG-078)');
 }

+// ── Test mobile : le sidebar passe par-dessus la barre d'outils du bas (BUG-103) ──
+function testMobileSidebarOverToolbar() {
+  const css = readFileSync(join(JS_DIR, '..', 'style.css'), 'utf-8');
+  const zOf = (selector) => {
+    const blocks = css.match(new RegExp('\\' + selector + ' \\{[^}]*\\}', 'g')) || [];
+    return Math.max(0, ...blocks.map((b) => Number((b.match(/z-index: (\d+)/) || [])[1] || 0)));
+  };
+  const sidebarZ = zOf('.sidebar');
+  const toolbarZ = zOf('.mobile-toolbar');
+  assert.ok(
+    sidebarZ > toolbarZ,
+    `.sidebar z-index (${sidebarZ}) doit être supérieur à .mobile-toolbar (${toolbarZ})`,
+  );
+  console.log('  ✓ mobile sidebar over toolbar');
+}
+
 // ── Run all tests ──────────────────────────────────────────────────────────
 async function main() {
  let passed = 0, failed = 0;
@@ -324,6 +340,7 @@ async function main() {
    ['config TOC icons', testConfigTocIcons],
    ['sidebar user section', testSidebarUserSection],
    ['syntax highlight theme', testSyntaxHighlightTheme],
+    ['mobile sidebar over toolbar', testMobileSidebarOverToolbar],
  ];

  for (const [name, fn] of tests) {
@@ -80,3 +80,35 @@ def test_nonce_matches_injected_html(client):
        nonce = _nonce_of(resp.headers.get("content-security-policy"))
        assert nonce, path
        assert f'nonce="{nonce}"' in resp.text, path
+
+
+def test_docs_inline_script_nonced(client):
+    """BUG-106 : /docs (script inline d'init Swagger) porte le nonce de son
+    en-tête — sinon script-src sans 'unsafe-inline' rend la page blanche."""
+    resp = client.get("/docs")
+    assert resp.status_code == 200
+    nonce = _nonce_of(resp.headers.get("content-security-policy"))
+    assert nonce
+    assert f'nonce="{nonce}"' in resp.text, "/docs : script inline sans nonce"
+    # Le bundle externe (jsdelivr) reste tel quel, couvert par script-src.
+    assert "<script src=" in resp.text
+
+
+def test_redoc_served_with_csp(client):
+    """/redoc n'a aucun script inline (bundle externe seul) : il est servi
+    avec sa CSP sans aucune injection nécessaire."""
+    resp = client.get("/redoc")
+    assert resp.status_code == 200
+    assert _nonce_of(resp.headers.get("content-security-policy"))
+    assert "<script src=" in resp.text
+    assert "<script nonce=" not in resp.text
+
+
+def test_docs_external_bundle_not_nonced(client):
+    """L'injection ne touche que les balises <script> exécutables sans src."""
+    from backend.csp import inject_csp_nonce
+
+    html = '<script src="https://cdn.jsdelivr.net/npm/swagger-ui-dist@5/x.js"></script><script>init()</script>'
+    out = inject_csp_nonce(html, NONCE)
+    assert out.count(f'nonce="{NONCE}"') == 1
+    assert '<script src="https://cdn.jsdelivr.net/npm/swagger-ui-dist@5/x.js">' in out
Author	SHA1	Message	Date
bruno	fe9f7b49f7	feat: premier lancement ObsiGate + section Configuration harmonisée (#160 ) CI / lint (push) Successful in 2m50s Details CI / security (push) Successful in 2m1s Details CI / test (push) Successful in 4m44s Details CI / build (push) Successful in 1m54s Details CI / e2e (push) Successful in 16m25s Details - Premier lancement : %USERPROFILE%\ObsiGate créé et monté comme vault de démarrage « ObsiGate » (remplace voute_obsidian), vault_path dessus, racine home nommée d'après son dernier segment (fin du « bruno » codé en dur), champs de fenêtre préservés. - Document « Prise en main.md » embarqué dans le binaire (include_str!) et écrit dans ce répertoire si absent — jamais écrasé. - Section « 🖥️ Vaults & dossiers (Desktop) » refondue : markup à classes (zéro style inline), bloc CSS desktop-roots-* sur variables (motif webauthn-key-item), boutons .config-btn-sm primaire/secondaire, cibles tactiles 44px en mobile. - Tests : test_default_first_run_config, test_welcome_doc_embedded (cargo test 28 passed), suites frontend vertes, E2E 123/123.	2026-10-03 10:02:16 -04:00
bruno	649f965c52	fix: drag & drop de fichiers — fenêtre créée sans le handler Tauri (BUG-107) CI / lint (push) Successful in 2m46s Details CI / security (push) Successful in 2m0s Details CI / test (push) Successful in 4m40s Details CI / build (push) Successful in 1m52s Details CI / e2e (push) Successful in 16m25s Details	2026-10-02 23:42:01 -04:00
bruno	d6fa8c7bb1	fix: injecte le nonce CSP dans les pages /docs et /redoc générées par FastAPI (BUG-106) CI / lint (push) Successful in 2m46s Details CI / security (push) Successful in 2m1s Details CI / test (push) Successful in 4m40s Details CI / build (push) Successful in 1m52s Details CI / e2e (push) Successful in 15m57s Details	2026-10-02 22:04:25 -04:00
bruno	d2734dc8ce	feat: gestion desktop des vaults & dossiers — retrait par menu contextuel et ajout en configuration #159 CI / lint (push) Successful in 3m2s Details CI / security (push) Successful in 2m2s Details CI / test (push) Successful in 4m42s Details CI / build (push) Successful in 1m52s Details CI / e2e (push) Successful in 15m54s Details	2026-10-02 21:04:17 -04:00
bruno	bab272bb5c	fix: desktop — commandes Tauri bloquées par l'ACL et crash heap à l'ouverture (BUG-104, BUG-105) CI / lint (push) Successful in 2m45s Details CI / security (push) Successful in 1m59s Details CI / test (push) Successful in 4m44s Details CI / build (push) Successful in 1m52s Details CI / e2e (push) Successful in 16m16s Details	2026-10-02 20:17:20 -04:00
bruno	34428ea7b3	test: mobileBlockContaining ignore les commentaires CSS (CI #842 ) CI / lint (push) Successful in 2m45s Details CI / security (push) Successful in 1m58s Details CI / test (push) Successful in 4m41s Details CI / build (push) Successful in 1m52s Details CI / e2e (push) Successful in 16m32s Details - le helper choisissait le premier bloc media contenant la chaine 'mobile-toolbar' ; un commentaire citant ce selecteur (correctif BUG-103) le faisait retomber sur le mauvais bloc, sans la clearance .main-body (BUG-073) - les commentaires sont maintenant retires avant la recherche de bloc	2026-10-02 15:46:05 -04:00
bruno	83e6a951dd	fix: sidebar mobile passe au-dessus de la barre d outils du bas (BUG-103) CI / lint (push) Failing after 2m11s Details CI / test (push) Skipped Details CI / build (push) Skipped Details CI / e2e (push) Skipped Details CI / security (push) Successful in 1m58s Details - en mobile le sidebar de navigation (z-index 200) passait sous .mobile-toolbar (900, 64 px) : les dernieres entrees de l'arbre etaient masquees - regle mobile .sidebar : z-index 200 -> 950 ; test de non-regression 'mobile sidebar over toolbar' dans unit.test.mjs	2026-10-02 15:34:35 -04:00
bruno	3d618eb660	ci: relance du workflow apres annulation des runs 839 et 840 CI / lint (push) Successful in 2m44s Details CI / security (push) Successful in 1m57s Details CI / test (push) Successful in 4m37s Details CI / build (push) Successful in 1m51s Details CI / e2e (push) Successful in 15m58s Details	2026-10-02 14:42:18 -04:00
@@ -1 +1 @@
 .49.0
 .51.0