fix: un dossier perso n'est plus visible par les autres comptes #194

L'admin (vaults: ["*"]) voyait le home de chaque utilisateur dans sa barre latérale : "*" ouvrait tous les vaults, home-* compris. - backend/auth/middleware.py : check_vault_access exige un octroi explicite pour tout vault home-* (nouveau is_home_vault()). - Filtres « * » en dur remplacés par check_vault_access : dashboard, conflits, liens retour, favoris, abonnements push. - /api/search : search_vaults(is_allowed=…) filtre les bruts avant pagination (total et page restent justes). - backend/user_home.py : _grant n'écarte plus les comptes « * » — l'admin reçoit son propre home-admin (auto-réparé au démarrage). - Tests : test_user_home.py +2, assertion API inversée dans test_auth_api.py (admin ne voit plus home-alice).
feat: dossier perso (#194 ) — vaults home-* en tête de l'arborescence, icône maison, compose de test
2026-10-10 16:42:00 -04:00 · 2026-10-10 16:09:59 -04:00 · 2026-10-10 00:40:35 -04:00 · 2026-10-09 15:48:04 -04:00 · 2026-10-09 11:53:26 -04:00 · 2026-10-08 23:28:08 -04:00
46 changed files with 2233 additions and 111 deletions
@@ -44,6 +44,7 @@ test_dir/video/
 test_vault/images/
 test_vault/markdown/
 test_vault/budget.xlsx
+test_home/

 # Tauri updater signing keys (private key — never commit)
 desktop/*.key
@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.60.0**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.65.1**.

 ---

@@ -14,6 +14,171 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 ---

+## [2.65.1] — 2026-10-10
+
+---
+
+## [2.65.0] — 2026-10-10
+
+### Ajouté
+
+- **#194 (UI) — Dossier personnel visible dans l'arborescence**
+  - Les vaults `home-<user>` s'affichent **en premier** dans l'arborescence de
+    la barre latérale (tri stable appliqué à la source, `frontend/js/sidebar.js`,
+    donc aussi les sélecteurs de vault).
+  - Icône **maison** lucide (`data-lucide="home"`, même style/`stroke:
+    currentColor` que les autres icônes) via `getVaultIcon()` —
+    `frontend/js/viewer.js`.
+  - `docker-compose.test-win.yml` : montage `test_home:/vaults/Home` +
+    `OBSIGATE_HOME_ROOT=/vaults/Home` pour tester la feature en local
+    (dossier `test_home/` ignoré par git).
+  - Tests : `sidebar-filters.test.mjs` +2 (icône maison pour `home-*`,
+    gemme violette inchangée ailleurs).
+
+### Corrigé
+
+- **#194 — Un dossier perso n'est plus visible par les autres comptes**
+  - `check_vault_access` (`backend/auth/middleware.py`) refuse désormais tout
+    vault `home-*` qui n'est pas **explicitement** octroyé au compte : le
+    `vaults: ["*"]` de l'admin ne couvre plus les dossiers persos (avant,
+    l'admin voyait `home-<user>` de chaque utilisateur dans sa barre latérale).
+  - Les filtres `« * »` écrits en dur dans les routes ont été remplacés par
+    cet appel unique — dashboard, conflits, liens retour, favoris,
+    abonnements push : partout la même règle.
+  - `/api/search` filtre les résultats par vault accessible **avant**
+    pagination (`search_vaults(is_allowed=…)`), sinon les notes personnelles
+    d'un autre pouvait apparaître dans les résultats.
+  - `_grant` octroie désormais le home aussi aux comptes `« * »` : l'admin
+    voit **son** `home-admin`, réparé au démarrage pour les comptes existants.
+  - Tests : `test_user_home.py` +2 (`« * »` sans homes, filtrage de la
+    recherche), assertion API inversée dans `test_auth_api.py`.
+
+---
+
+## [2.64.0] — 2026-10-10
+
+### Ajouté
+
+- **#194 — Dossier personnel par utilisateur**
+  - Chaque utilisateur créé reçoit `<OBSIGATE_HOME_ROOT>/<username>` (ex.
+    `/NFS/OBSIDIAN_DOC/Home/<user>` côté hôte) monté comme un vault propre
+    `home-<user>` : l'isolation utilise l'**ACL par vault existante**
+    (`check_vault_access`), sans nouvelle ACL par chemin.
+  - `backend/user_home.py` : `ensure_user_home()` idempotent (mkdir + registre
+    vault + watcher + octroi dans `user.vaults`), appelé à la création d'un
+    compte (`POST /api/auth/admin/users`) **et** au démarrage
+    (`ensure_all_user_homes()` : migration des users existants + réparation
+    d'un dossier ou d'un registre perdu).
+  - **Registre persistant des vaults dynamiques** `data/vaults.json`
+    (`load_vault_config()` le fusionne avec les env `VAULT_N_*`) : auparavant,
+    tout vault ajouté à la volée (`/api/vaults/add`) disparaissait au premier
+    reindex complet et au redémarrage.
+  - Suppression d'un compte → vault refermé (index/watcher/registre) mais
+    **dossier conservé** (aucune perte de données).
+  - Correctif : `reload_single_vault` remet la config du vault après
+    `remove_vault_from_index` (sinon le vault disparaissait de
+    `vault_config` jusqu'au rechargement complet).
+  - Déploiement : montage unique `/NFS/OBSIDIAN_DOC/Home:/vaults/Home` +
+    variable `OBSIGATE_HOME_ROOT` (fonctionnalité inactive sans cette
+    variable — dev, tests, desktop inchangés).
+  - Tests : `tests/test_user_home.py` (10) + 2 tests API dans
+    `test_auth_api.py` (provisionnement, isolation, retrait).
+
+---
+
+## [2.63.0] — 2026-10-09
+
+### Ajouté
+
+- **#193 — Chat : un post s'affiche comme un document markdown**
+  - Le rendu vient du **serveur** : `backend/file_chat.py` ajoute un champ
+    `html` à chaque message en réutilisant le pipeline des documents
+    (`backend/render.py::_render_markdown` → mistune + wikilinks + masquage des
+    secrets + **sanitizer BUG-021**). Pas de second moteur markdown côté client,
+    donc pas de nouvelle surface XSS.
+  - Titres, listes, tableaux, citations, notes, listes de tâches et **blocs de
+    code colorés** : le front injecte le HTML dans un `.md-content` puis passe
+    `safeHighlight()` (highlight.js + alias de langages) sur chaque `pre code`,
+    exactement comme la visionneuse de documents.
+  - Le `html` est calculé **à la lecture** (et à l'ajout, pour l'écho SSE) :
+    rien n'est persisté dans `data/chats/*.json`, un message reste du texte.
+  - Repli conservé : sans `html`, le texte brut + liens cliquables s'affichent
+    comme avant ; un échec de rendu n'emporte jamais le message.
+  - CSS : `.file-chat-md` annule le `pre-wrap` de la bulle (sinon les retours à
+    la ligne du HTML source devenaient des lignes vides) et compacte
+    `.md-content` (tailles, `pre`/`table` défilants) pour une bulle de chat.
+  - Tests : pytest `TestMarkdownRendering` +7 (54 → **61** dans
+    `test_file_chat.py`), JSDOM `filechat.test.mjs` +2 (25 → **27**).
+
+---
+
+## [2.62.0] — 2026-10-09
+
+### Modifié
+
+- **BUG-110 — Chat : refonte visuelle des posts et des indicateurs**
+  - **Pièces jointes image** : boutons **icônes seules** (24 px, `aria-label`)
+    rangés **sous l'image**, alignés à droite — télécharger, ouvrir.
+  - **Clic sur une image = onglet de l'app** : le clic (ou le bouton « ouvrir »)
+    affiche la pièce jointe dans un **onglet**, avec le même visualiseur que les
+    images de vault (zoom/pan/plein écran/lightbox) — plus d'ouverture dans un
+    onglet du navigateur. `TabManager.openChatImage()` + branche `chatImage` de
+    `activate()` ; `renderImageViewer()` accepte une `url` directe (une pièce
+    jointe de chat ne vit pas dans un vault).
+  - **Indicateur de non-lus** : point de couleur pulsant sur l'icône « Chat » de
+    la sidebar tant qu'il reste des messages non lus, en plus du badge chiffré.
+  - **Notification OS** : quand l'app n'est pas au premier plan (`document.hidden`
+    ou hors focus), un message entrant déclenche une notification navigateur
+    (titre « Nouveau message de {user} », aperçu du texte, clic → retour sur
+    l'app). Permission demandée au premier clic d'ouverture du chat.
+  - **Suppression réellement annulable** : le `DELETE` est **différé de 10 s** ;
+    la ligne passe à « Ce message a été supprimé » avec un bouton « Annuler » qui
+    réarme le message, et un échec réseau le rend. (L'ancien « Annuler »
+    restaurait une copie DOM d'un message déjà détruit côté serveur.)
+  - i18n FR/EN : `chat.deleted_message`, `chat.undo`, `chat.download_image`,
+    `chat.view_image` — clés mortes retirées (`chat.undo_success`,
+    `chat.undo_error`, `chat.new_messages_indicator`).
+  - Tests : `tests/frontend/filechat.test.mjs` 19 → **25** (6 tests #110).
+
+---
+
+## [2.61.0] — 2026-10-08
+
+### Ajouté
+
+- **#192 - Chat : boîte de saisie auto-agrandissante + accusé de réception**
+  - **Saisie auto-agrandissante** : la boîte d'envoi (panneau document +
+    sidebar) est un `textarea` dont la hauteur suit le contenu (plafond
+    160 px puis défilement) — on relit son message entier avant l'envoi.
+    `Entrée` envoie, `Maj+Entrée` saute une ligne, la hauteur repasse à une
+    ligne après l'envoi.
+  - **Accusé de réception** : chaque conversation stocke
+    `{utilisateur: dernier_ts_de_lecture}` ; l'expéditeur voit **✓ envoyé**
+    puis **✓✓ lu** sur ses propres messages (un message est lu dès qu'un
+    *autre* participant ouvre la conversation). Le `GET` d'historique renvoie
+    la carte de lecture, `POST /api/chat/read` la met à jour et la diffuse
+    en SSE (`chat_read`) — les indicateurs basculent en direct.
+  - **Notification** : quand un message passe à ✓✓, l'expéditeur reçoit le
+    toast « {user} a lu votre message » (FR/EN) ; un message reçu pendant
+    l'affichage du canal accuse réception aussitôt.
+  - Verrou global sur le read-modify-write du store de chat (une lecture ne
+    peut plus faire disparaître un message).
+  - Tests : pytest `TestReadReceipts` (7) + JSDOM `filechat.test.mjs` +3
+    (19).
+
+### Corrigé
+
+- **BUG-109 - Tuile de lien : l'image de la carte ne s'affichait jamais** —
+  la CSP (`img-src 'self' data: blob:`) bloque toute `og:image` distante et
+  les images relatives étaient résolues contre l'origine d'ObsiGate (404).
+  La vignette est désormais téléversée à l'envoi dans `chat_uploads`
+  (`/api/chat/attachment/<uuid>`, même origine, garde SSRF + plafond 2 Mo +
+  allow-list d'extensions) ; échec du téléchargement → carte conservée sans
+  vignette. Les cartes déjà publiées gardent leur ancien lien (elles
+  étaient déjà muettes).
+
+---
+
 ## [2.60.0] — 2026-10-08

 ---
@@ -4,7 +4,7 @@

 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.

-[![Version](https://img.shields.io/badge/Version-2.60.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.65.1-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -222,6 +222,7 @@ Les vaults sont configurées par paires `VAULT_N_NAME` / `VAULT_N_PATH` (N = 1,
 | `VAULT_1_PATH` | Chemin dans le conteneur | `/vaults/Obsidian-RECETTES` |
 | `VAULT_1_ATTACHMENTS_PATH` | Dossier d'attachements (optionnel) | `06_Boite_a_Outils/6.2_Attachments` |
 | `VAULT_1_SCAN_ATTACHMENTS` | Scan d'images au démarrage (défaut : true) | `true` |
+| `OBSIGATE_HOME_ROOT` | Racine des dossiers personnels (un vault `home-<user>` par compte). Absente = fonctionnalité désactivée. | `/vaults/Home` |

 **Règles de nommage :** lettres, chiffres et tirets uniquement ; pas d'espaces ; le nom doit correspondre au chemin dans le conteneur.

@@ -976,8 +977,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l

 ## 📝 Changelog

-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.60.0).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.65.1).

 ---

-*Projet : ObsiGate | Version : 2.60.0 | Dernière mise à jour : Septembre 2026*
+*Projet : ObsiGate | Version : 2.65.1 | Dernière mise à jour : Septembre 2026*
@@ -2,7 +2,7 @@

 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.

-[![Version](https://img.shields.io/badge/Version-2.60.0-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.65.1-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -238,6 +238,7 @@ Vaults are configured using pairs of `VAULT_N_NAME` / `VAULT_N_PATH` variables (
 | `VAULT_1_SCAN_ATTACHMENTS` | Enable image scanning on startup (optional, default: true) | `true` |
 | `VAULT_2_NAME` | Display name of the vault | `IT` |
 | `VAULT_2_PATH` | Path inside the container | `/vaults/Obsidian_IT` |
+| `OBSIGATE_HOME_ROOT` | Root folder for per-user home directories (one `home-<user>` vault per account). Unset = feature disabled. | `/vaults/Home` |

 **Naming rules:**
 - Use only letters, numbers, and hyphens
@@ -1151,8 +1152,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)

 ## 📝 Changelog

-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.60.0).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.65.1).

 ---

-*Project: ObsiGate | Version: 2.60.0 | Last updated: September 2026*
+*Project: ObsiGate | Version: 2.65.1 | Last updated: September 2026*
@@ -1 +1 @@
-2.60.0
+2.65.1
@@ -142,6 +142,11 @@ def require_admin(current_user=Depends(require_auth)):
    return current_user


+def is_home_vault(vault_name: str) -> bool:
+    """Un dossier personnel (#194) : vault « home-<user> »."""
+    return vault_name.startswith("home-")
+
+
 def check_vault_access(vault_name: str, user: dict) -> bool:
    """Check if a user has access to a specific vault.

@@ -149,8 +154,13 @@ def check_vault_access(vault_name: str, user: dict) -> bool:
    - vaults == ["*"] → full access (admin default)
    - vault_name in vaults → access granted
    - otherwise → denied
+
+    #194 : un dossier personnel n'est **jamais** couvert par ``*`` — sinon
+    un admin (``vaults: ["*"]``) verrait le dossier de chaque utilisateur.
    """
    vaults = user.get("_token_vaults") or user.get("vaults", [])
+    if is_home_vault(vault_name):
+        return vault_name in vaults
    if "*" in vaults:
        return True
    return vault_name in vaults
@@ -946,9 +946,20 @@ async def create_user_endpoint(
        user = create_user(
            req.username, req.password, req.role, req.vaults, req.display_name
        )
-        return user
    except ValueError as e:
        raise HTTPException(400, str(e))
+    # #194 : dossier perso — best effort, réparé au démarrage si le disque
+    # (NFS) est indisponible (ensure_user_home journalise l'erreur).
+    from backend.auth.user_store import get_user
+    from backend.user_home import ensure_user_home
+
+    await ensure_user_home(req.username)
+    # La réponse doit refléter l'octroi du vault perso (#194) : create_user a
+    # renvoyé un instantané construit avant l'octroi.
+    fresh = get_user(req.username)
+    if fresh:
+        user["vaults"] = fresh.get("vaults", [])
+    return user


@router.patch("/admin/users/{username}")
@@ -975,9 +986,13 @@ async def delete_user_endpoint(
        raise HTTPException(400, "Impossible de supprimer son propre compte")
    try:
        delete_user(username)
-        return {"message": f"Utilisateur '{username}' supprimé"}
    except ValueError as e:
        raise HTTPException(404, str(e))
+    # #194 : fermer le vault du dossier perso (le dossier est conservé).
+    from backend.user_home import release_user_home
+
+    await release_user_home(username)
+    return {"message": f"Utilisateur '{username}' supprimé"}


 # ── API / MCP tokens (feature #107) ──────────────────────────────────
@@ -20,19 +20,28 @@ import json
 import logging
 import re
 import shutil
+import threading
 import time
 import uuid
 from pathlib import Path
 from typing import Any
+from urllib.parse import urljoin, urlparse

 import httpx

+from backend.render import _render_markdown
+
 logger = logging.getLogger("obsigate.file_chat")

 CHAT_DIR = Path("data/chats")
 MAX_MESSAGES = 500  # retention ceiling per file (oldest dropped first)
 MAX_TEXT = 4000  # characters per message

+# ponytail: global lock over read-modify-write — chat writes are HTTP-only and
+# serialized anyway, this just makes losing a message to a future thread (or a
+# watcher hook) impossible; per-file locks if it ever becomes contended.
+_LOCK = threading.RLock()
+
 # #190 — general (non file-bound) conversation, stored like any other one.
 GLOBAL_VAULT = "__global__"
 GLOBAL_PATH = "general"
@@ -53,6 +62,7 @@ ALLOWED_ATTACH_EXT = {
 # #191 — link preview fetch budget
 PREVIEW_TIMEOUT = 5.0  # seconds
 PREVIEW_MAX_BYTES = 512 * 1024  # only the head of the page is parsed
+PREVIEW_IMAGE_MAX = 2 * 1024 * 1024  # ponytail: 2 MB ceiling on a thumbnail


 def _chat_file(vault: str, path: str) -> Path:
@@ -88,8 +98,28 @@ def _write(file: Path, doc: dict[str, Any]) -> None:


 def get_messages(vault: str, path: str) -> list[dict[str, Any]]:
-    """Return the chat history for *(vault, path)* (chronological)."""
-    return list(_read(vault, path).get("messages", []))
+    """Return the chat history for *(vault, path)* (chronological).
+
+    Every message carries its rendered ``html`` (#193): same markdown pipeline
+    as a document (mistune + sanitizer), computed on read so a template change
+    applies to the whole history without rewriting the JSON store.
+    """
+    return [_decorate(m, vault) for m in _read(vault, path).get("messages", [])]
+
+
+def _decorate(msg: dict[str, Any], vault: str) -> dict[str, Any]:
+    """Return a copy of *msg* with its sanitized markdown ``html`` (#193).
+
+    The stored message is left untouched (``html`` is never persisted). A
+    rendering failure must never break the chat: the message goes out with an
+    empty ``html`` and the client falls back to plain text.
+    """
+    try:
+        html = _render_markdown(msg.get("text", ""), vault)
+    except Exception as e:  # pragma: no cover - defensive
+        logger.warning("chat markdown rendering failed: %s", e)
+        html = ""
+    return {**msg, "html": html}


 def add_message(
@@ -117,24 +147,54 @@ def add_message(
        msg["attachment"] = attachment
    if preview:
        msg["preview"] = preview
-    doc = _read(vault, path)
-    return _append(vault, path, doc, msg)
+    return _append(vault, path, msg)


 def _append(
    vault: str,
    path: str,
-    doc: dict[str, Any],
    msg: dict[str, Any],
 ) -> dict[str, Any]:
-    """Cap, persist and return *msg* (shared by file and global chats)."""
-    messages = list(doc.get("messages", []))
-    messages.append(msg)
-    if len(messages) > MAX_MESSAGES:
-        messages = messages[-MAX_MESSAGES:]
-    doc["messages"] = messages
-    _write(_chat_file(vault, path), doc)
-    return msg
+    """Cap, persist and return *msg* (shared by file, global and DM chats).
+
+    The read-modify-write of the whole document happens under ``_LOCK`` so a
+    concurrent writer can never drop a message (same class of bug as
+    BUG-029 on ``users.json``).
+    """
+    with _LOCK:
+        doc = _read(vault, path)
+        messages = list(doc.get("messages", []))
+        messages.append(msg)
+        if len(messages) > MAX_MESSAGES:
+            messages = messages[-MAX_MESSAGES:]
+        doc["messages"] = messages
+        _write(_chat_file(vault, path), doc)
+    return _decorate(msg, vault)  # #193 — le html part avec l'écho SSE
+
+
+# --- #192 : accusé de réception ---------------------------------------------
+
+def get_read(vault: str, path: str) -> dict[str, float]:
+    """Return ``{username: last_read_ts}`` for a conversation (#192)."""
+    return {str(u): float(ts) for u, ts in (_read(vault, path).get("read") or {}).items()}
+
+
+def mark_read(vault: str, path: str, user: str) -> dict[str, float]:
+    """Record that *user* has seen the conversation (#192).
+
+    Returns the whole read map so the caller can broadcast it on SSE: a
+    sender learns their messages were received as soon as the recipient
+    displays the conversation.
+    """
+    if not user:
+        return get_read(vault, path)
+    with _LOCK:
+        doc = _read(vault, path)
+        read = {str(u): float(ts) for u, ts in (doc.get("read") or {}).items()}
+        read[user] = time.time()
+        doc["read"] = read
+        _write(_chat_file(vault, path), doc)
+        return read


 # --- #191 : messages privés (2 utilisateurs) -------------------------------
@@ -168,13 +228,14 @@ def add_dm_message(

 def delete_message(vault: str, path: str, message_id: str) -> bool:
    """Remove one message from a conversation. True when it existed."""
-    doc = _read(vault, path)
-    messages = list(doc.get("messages", []))
-    kept = [m for m in messages if m.get("id") != message_id]
-    if len(kept) == len(messages):
-        return False
-    doc["messages"] = kept
-    _write(_chat_file(vault, path), doc)
+    with _LOCK:
+        doc = _read(vault, path)
+        messages = list(doc.get("messages", []))
+        kept = [m for m in messages if m.get("id") != message_id]
+        if len(kept) == len(messages):
+            return False
+        doc["messages"] = kept
+        _write(_chat_file(vault, path), doc)
    return True


@@ -248,13 +309,55 @@ def _og(content: str, prop: str) -> str:
    return ""


+# BUG-109 — content-type → extension (the attachment allow-list decides).
+_IMG_EXT_BY_MIME = {
+    "image/png": ".png",
+    "image/jpeg": ".jpg",
+    "image/gif": ".gif",
+    "image/webp": ".webp",
+    "image/svg+xml": ".svg",
+}
+
+
+def _proxy_image(img_url: str, page_url: str) -> str:
+    """Download *img_url* into ``chat_uploads`` and return a same-origin URL.
+
+    The response CSP is ``img-src 'self' data: blob:``: a remote ``og:image``
+    would be blocked by the browser (BUG-109). Relative and protocol-relative
+    values are resolved against *page_url* first. Raises ``ValueError`` /
+    ``SSRFError`` on any failure — the caller keeps the card and drops only
+    the thumbnail.
+    """
+    from backend.tools.web import USER_AGENT, _assert_public_http_url
+
+    full = urljoin(page_url, img_url)
+    _assert_public_http_url(full)
+    resp = httpx.get(
+        full,
+        headers={"User-Agent": USER_AGENT},
+        timeout=PREVIEW_TIMEOUT,
+        follow_redirects=True,
+    )
+    if resp.status_code >= 400:
+        raise ValueError(f"HTTP {resp.status_code}")
+    data = resp.content
+    if not data or len(data) > PREVIEW_IMAGE_MAX:
+        raise ValueError("image vide ou trop lourde")
+    mime = (resp.headers.get("content-type") or "").split(";")[0].strip().lower()
+    ext = _IMG_EXT_BY_MIME.get(mime) or Path(urlparse(full).path).suffix.lower()
+    # save_attachment(): allow-list d'extensions + nom UUID (jamais le nom distant)
+    return str(save_attachment(f"preview{ext}", data)["url"])
+
+
 def build_preview(text: str) -> dict[str, Any] | None:
    """Fetch OpenGraph metadata for the first URL in *text* (#191).

    SSRF-guarded (reuses the web-tool guard), size/time capped, cached in a
    bounded dict. Returns ``{url, title, description, image, site}`` or
    ``None`` when there is no URL / the fetch fails (never raises: a dead
-    link must not block the message).
+    link must not block the message). ``image`` is a **same-origin**
+    ``/api/chat/attachment/...`` URL (BUG-109), empty when the thumbnail
+    could not be fetched.
    """
    m = _URL_RE.search(text or "")
    if not m:
@@ -276,11 +379,19 @@ def build_preview(text: str) -> dict[str, Any] | None:
        if resp.status_code >= 400:
            raise ValueError(f"HTTP {resp.status_code}")
        body = resp.text[:PREVIEW_MAX_BYTES]
+        # BUG-109 : vignette téléchargée côté serveur — une image distante
+        # échouerait à la CSP. Échec isolé = carte sans vignette.
+        image = _og(body, "og:image")
+        try:
+            image = _proxy_image(image, url) if image else ""
+        except Exception as ie:
+            logger.debug("preview image failed for %s: %s", url, ie)
+            image = ""
        preview = {
            "url": url,
            "title": _og(body, "og:title") or _og(body, "og:site_name"),
            "description": _og(body, "og:description"),
-            "image": _og(body, "og:image"),
+            "image": image,
            "site": _og(body, "og:site_name") or (url.split("/")[2] if "/" in url[8:] else url),
        }
        if not preview["title"]:
@@ -37,6 +37,12 @@ _last_full_index_ts: str = ""
 # Hook for incremental inverted index updates: called as (action, vault, path, file_info)
 _on_index_change: Callable[..., None] | None = None

+# Registre des vaults ajoutés à la volée (#194) : les env VAULT_N_*/DIR_N_*
+# ne couvrent que le déploiement, tout ce qui est créé à runtime
+# (/api/vaults/add, dossiers perso) vivrait uniquement en mémoire sinon et
+# disparaîtrait au prochain rebuild ou redémarrage.
+DYNAMIC_VAULTS_FILE = Path("data/vaults.json")
+

 def set_index_change_hook(hook):
    """Register a callback for incremental inverted index updates.
@@ -134,7 +140,64 @@ def load_vault_config() -> dict[str, dict[str, Any]]:
        }
        n += 1

-    return vaults
+    # Registre dynamique (#194) : les vaults créés à runtime (dossiers
+    # persos, /api/vaults/add) sont chargés en premier, les env gagnent en
+    # cas de collision de nom (vérité du déploiement).
+    merged = _load_dynamic_vaults()
+    merged.update(vaults)
+    return merged
+
+
+def _load_dynamic_vaults() -> dict[str, dict[str, Any]]:
+    """Read vaults registered at runtime from ``data/vaults.json`` (#194)."""
+    if not DYNAMIC_VAULTS_FILE.exists():
+        return {}
+    try:
+        data = json.loads(DYNAMIC_VAULTS_FILE.read_text(encoding="utf-8"))
+        vaults = data.get("vaults", {})
+        return vaults if isinstance(vaults, dict) else {}
+    except (json.JSONDecodeError, OSError) as e:
+        logger.error(f"Failed to read {DYNAMIC_VAULTS_FILE}: {e}")
+        return {}
+
+
+def _save_dynamic_vaults(vaults: dict[str, dict[str, Any]]) -> None:
+    """Atomic write of the dynamic vault registry (tmp + rename, as users.json)."""
+    try:
+        DYNAMIC_VAULTS_FILE.parent.mkdir(parents=True, exist_ok=True)
+        tmp = DYNAMIC_VAULTS_FILE.with_suffix(".tmp")
+        tmp.write_text(
+            json.dumps({"version": 1, "vaults": vaults}, indent=2, default=str),
+            encoding="utf-8",
+        )
+        os.replace(tmp, DYNAMIC_VAULTS_FILE)
+    except OSError as e:
+        # Le registre est un filet : vault_config mémoire reste valable
+        # jusqu'au prochain rebuild, qui se reparera du dossier manquant.
+        logger.error(f"Failed to write {DYNAMIC_VAULTS_FILE}: {e}")
+
+
+def persist_vault(vault_name: str) -> None:
+    """Persist *vault_name* so it survives rebuild/restart (#194).
+
+    Idempotent. Env-declared vaults are re-added by :func:`load_vault_config`
+    anyway; persisting them too is harmless (single source after merge).
+    """
+    cfg = vault_config.get(vault_name)
+    if not cfg:
+        return
+    vaults = _load_dynamic_vaults()
+    vaults[vault_name] = cfg
+    _save_dynamic_vaults(vaults)
+
+
+def unpersist_vault(vault_name: str) -> None:
+    """Drop *vault_name* from the dynamic registry (#194). No-op if absent."""
+    vaults = _load_dynamic_vaults()
+    if vault_name not in vaults:
+        return
+    vaults.pop(vault_name, None)
+    _save_dynamic_vaults(vaults)



@@ -867,6 +930,10 @@ async def reload_single_vault(vault_name: str) -> dict[str, Any]:

    # Remove old vault data from index structures
    await remove_vault_from_index(vault_name)
+    # remove_vault_from_index a poppé la config : la remettre, sinon le vault
+    # disparaît de vault_config jusqu'au prochain reload complet (#194 — les
+    # vaults dynamiques n'y reviennent que par data/vaults.json).
+    vault_config[vault_name] = config

    # Re-add the vault with updated configuration
    import functools
@@ -364,6 +364,12 @@ async def lifespan(app: FastAPI):
        else:
            logger.info("File watcher disabled by configuration.")

+        # #194 : dossier personnel par utilisateur — réparation/migration
+        # (mkdir manquant, registre perdu, user créé hors API). Après le
+        # watcher pour que les vaults ajoutés soient surveillés.
+        from backend.user_home import ensure_all_user_homes
+        await ensure_all_user_homes()
+
        logger.info("Background startup complete.")

    asyncio.create_task(_background_startup())
@@ -13,7 +13,7 @@ from typing import Any
 from fastapi import APIRouter, Depends, HTTPException
 from pydantic import BaseModel, Field

-from backend.auth.middleware import require_auth
+from backend.auth.middleware import check_vault_access, require_auth

 logger = logging.getLogger("obsigate.push")

@@ -167,9 +167,9 @@ async def subscribe_push(
    """Subscribe to push notifications for a vault."""
    username = current_user.get("username", "unknown")
    
-    # Check if user has access to this vault
-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])
-    if "*" not in user_vaults and request.vault not in user_vaults:
+    # Check if user has access to this vault (#194 : "*" n'inclut pas les
+    # dossiers persos, check_vault_access est la source unique).
+    if not check_vault_access(request.vault, current_user):
        raise HTTPException(status_code=403, detail="No access to this vault")
    
    # Check if subscription already exists
@@ -24,7 +24,7 @@ from pathlib import Path
 from fastapi import APIRouter, Body, Depends, HTTPException, Query

 from backend.ai import PROVIDERS, _read_ai_keys, get_ai_key
-from backend.auth.middleware import require_admin, require_auth
+from backend.auth.middleware import check_vault_access, require_admin, require_auth
 from backend.indexer import index
 from backend.media_types import IMAGE_EXTENSIONS
 from backend.schemas import (
@@ -495,14 +495,13 @@ async def api_diagnostics(current_user=Depends(require_admin)):
@router.get("/api/dashboard", response_model=DashboardResponse)
 async def api_dashboard(current_user=Depends(require_auth)):
    """Aggregated dashboard statistics across all accessible vaults."""
-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])
    vault_stats = []
    total_files = 0
    total_tags = set()
    total_size = 0
    total_images = 0
    for vname, vdata in index.items():
-        if "*" not in user_vaults and vname not in user_vaults:
+        if not check_vault_access(vname, current_user):
            continue
        files = vdata.get("files", [])
        fc = len(files)
@@ -31,10 +31,9 @@ router = APIRouter(tags=["conflicts"])
@router.get("/api/conflicts", response_model=ConflictsResponse)
 async def api_conflicts(current_user=Depends(require_auth)):
    """List sync-conflict files across accessible vaults."""
-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])
    all_conflicts = get_conflicts()
-    if "*" not in user_vaults:
-        all_conflicts = [c for c in all_conflicts if c["vault"] in user_vaults]
+    # #194 : filtrage via check_vault_access ("*" n'inclut pas les homes).
+    all_conflicts = [c for c in all_conflicts if check_vault_access(c["vault"], current_user)]
    return {"conflicts": all_conflicts, "total": len(all_conflicts)}


@@ -24,7 +24,7 @@ from backend import file_chat as _store
 from backend.auth.middleware import check_vault_access, require_auth
 from backend.auth.user_store import get_all_users, get_user
 from backend.indexer import get_vault_data
-from backend.schemas import ChatHistoryResponse, ChatMessageResponse, StatusResponse
+from backend.schemas import ChatHistoryResponse, ChatMessageResponse, ChatReadResponse, StatusResponse
 from backend.services.paths import resolve_safe_path
 from backend.sse import sse_manager

@@ -49,7 +49,7 @@ async def api_file_chat_history(
 ):
    """Return the chat history for a file (chronological)."""
    _check(vault_name, path, current_user)
-    return {"messages": _store.get_messages(vault_name, path)}
+    return {"messages": _store.get_messages(vault_name, path), "read": _store.get_read(vault_name, path)}


@router.post("/api/file/{vault_name}/chat", response_model=ChatMessageResponse)
@@ -93,7 +93,51 @@ def _attachment(body: dict[str, Any]) -> dict[str, Any] | None:
@router.get("/api/chat", response_model=ChatHistoryResponse)
 async def api_chat_history(current_user: dict[str, Any] = Depends(require_auth)):
    """Return the general chat history (#190, chronological)."""
-    return {"messages": _store.get_global_messages()}
+    return {
+        "messages": _store.get_global_messages(),
+        "read": _store.get_read(_store.GLOBAL_VAULT, _store.GLOBAL_PATH),
+    }
+
+
+# --- #192 : accusé de réception ---------------------------------------------
+
+def _check_read(vault: str, path: str, current_user: dict[str, Any]) -> None:
+    """Authorization for marking a conversation read (#192).
+
+    General chat is open to any member, a DM only to the two participants,
+    a file chat follows the vault ACL.
+    """
+    if vault == _store.GLOBAL_VAULT:
+        return
+    if vault == _store.DM_VAULT:
+        if current_user.get("username") not in str(path).split("|"):
+            raise HTTPException(403, "Accès refusé à cette conversation privée")
+        return
+    _check(vault, path, current_user)
+
+
+@router.post("/api/chat/read", response_model=ChatReadResponse)
+async def api_chat_read(
+    body: dict[str, Any] = Body(...),
+    current_user: dict[str, Any] = Depends(require_auth),
+):
+    """Record that the caller has seen a conversation (#192).
+
+    Broadcast on SSE (``chat_read``) so the sender's own messages flip to
+    ✓✓ live on every connected client.
+    """
+    vault = str(body.get("vault") or "")
+    path = str(body.get("path") or "")
+    if not vault or not path:
+        raise HTTPException(400, "vault and path are required")
+    _check_read(vault, path, current_user)
+    username = current_user.get("username", "")
+    read = _store.mark_read(vault, path, username)
+    await sse_manager.broadcast(
+        "chat_read",
+        {"vault": vault, "path": path, "user": username, "ts": read.get(username, 0.0), "read": read},
+    )
+    return {"read": read, "status": "ok"}


@router.post("/api/chat", response_model=ChatMessageResponse)
@@ -199,7 +243,10 @@ def _dm_peer(username: str, current_user: dict[str, Any]) -> str:
 async def api_chat_dm_history(username: str, current_user: dict[str, Any] = Depends(require_auth)):
    """Private history with *username* (#191)."""
    peer = _dm_peer(username, current_user)
-    return {"messages": _store.get_dm_messages(current_user["username"], peer)}
+    return {
+        "messages": _store.get_dm_messages(current_user["username"], peer),
+        "read": _store.get_read(_store.DM_VAULT, _store.dm_path(current_user["username"], peer)),
+    }


@router.post("/api/chat/dm/{username}", response_model=ChatMessageResponse)
@@ -166,12 +166,11 @@ async def api_file_backlinks(
    if not vault_data:
        raise HTTPException(status_code=404, detail=f"Vault '{vault_name}' not found")

-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])
    backlinks = get_backlinks(vault_name, path)

-    # Filter by user-accessible vaults
-    if "*" not in user_vaults:
-        backlinks = [b for b in backlinks if b["vault"] in user_vaults]
+    # Filter by user-accessible vaults (#194 : check_vault_access, "*" sans
+    # les dossiers persos).
+    backlinks = [b for b in backlinks if check_vault_access(b["vault"], current_user)]

    return {
        "vault": vault_name,
@@ -59,7 +59,6 @@ async def api_recent(limit: int | None = Query(None), vault: str | None = Query(
@router.get("/api/bookmarks", response_model=BookmarksResponse)
 async def api_bookmarks(vault: str | None = Query(None), current_user=Depends(require_auth)):
    username = current_user.get("username")
-    user_vaults = current_user.get("_token_vaults") or current_user.get("vaults", [])

    if not username:
        return {"files": []}
@@ -68,7 +67,8 @@ async def api_bookmarks(vault: str | None = Query(None), current_user=Depends(re
    files_resp = []
    for item in history:
        v_name = item["vault"]
-        if "*" not in user_vaults and v_name not in user_vaults:
+        # #194 : check_vault_access — "*" n'inclut pas les dossiers persos.
+        if not check_vault_access(v_name, current_user):
            continue

        # Find in index to get metadata
@@ -82,7 +82,12 @@ async def api_search(
    # paginate in the shared service so routes and tools share the same logic.
    return await loop.run_in_executor(
        get_search_executor(),
-        partial(search_vaults, q, vault, tag, limit, offset),
+        # #194 : filtre par vault accessible AVANT pagination ("*" sans les
+        # dossiers persos) — sinon un user voyait les notes des autres.
+        partial(
+            search_vaults, q, vault, tag, limit, offset,
+            is_allowed=lambda v: check_vault_access(v, current_user),
+        ),
    )


@@ -55,6 +55,11 @@ async def api_add_vault(body: dict = Body(...), current_user=Depends(require_adm

    stats = await add_vault_to_index(name, vault_path)

+    # #194 : persister, sinon ce vault disparaît au prochain rebuild/redémarrage.
+    from backend.indexer import persist_vault
+
+    persist_vault(name)
+
    # Start watching the new vault
    watcher = get_watcher()
    if watcher:
@@ -80,6 +85,10 @@ async def api_remove_vault(vault_name: str, current_user=Depends(require_admin))
        await watcher.remove_vault(vault_name)

    await remove_vault_from_index(vault_name)
+    # #194 : plus de trace au redémarrage (les vaults d'env, eux, reviennent).
+    from backend.indexer import unpersist_vault
+
+    unpersist_vault(vault_name)
    await sse_manager.broadcast("vault_removed", {"vault": vault_name})
    return {"status": "ok", "vault": vault_name}

@@ -166,12 +166,30 @@ class ChatMessageItem(BaseModel):
        default=None,
        description="Link preview card {url, title, description, image, site} (#191)",
    )
+    html: str = Field(
+        default="",
+        description=(
+            "Rendered (mistune + sanitized) HTML of ``text``, like a document "
+            "preview — tables, lists, fenced code blocks (#193)"
+        ),
+    )


 class ChatHistoryResponse(BaseModel):
    """Response for ``GET /api/file/{vault}/chat``."""

    messages: list[ChatMessageItem] = Field(description="Messages, chronological")
+    read: dict[str, float] = Field(
+        default_factory=dict,
+        description="{username: last read unix ts} per participant (#192)",
+    )
+
+
+class ChatReadResponse(BaseModel):
+    """Response for ``POST /api/chat/read`` (#192 read receipts)."""
+
+    read: dict[str, float] = Field(description="{username: last read unix ts}")
+    status: str = Field(description="'ok'")


 class ChatMessageResponse(BaseModel):
@@ -12,6 +12,7 @@ import time
 from datetime import datetime
 from typing import Any

+from backend.auth.middleware import is_home_vault
 from backend.history import get_recent_opened, is_bookmarked
 from backend.indexer import find_file_in_index, index

@@ -31,6 +32,10 @@ def humanize_mtime(mtime: float) -> str:


 def _can_access(vault: str, user_vaults: list[str]) -> bool:
+    # #194 : un dossier perso ne bénéficie jamais de "*" (même règle que
+    # backend.auth.middleware.check_vault_access).
+    if is_home_vault(vault):
+        return vault in user_vaults
    return "*" in user_vaults or vault in user_vaults


@@ -2,6 +2,7 @@

 from __future__ import annotations

+from collections.abc import Callable
 from typing import Any


@@ -11,15 +12,19 @@ def search_vaults(
    tag: str | None = None,
    limit: int = 50,
    offset: int = 0,
+    is_allowed: Callable[[str], bool] | None = None,
 ) -> dict[str, Any]:
    """Full-text search with pagination, returned as the API response payload.

-    No permission filtering is applied here: callers that need it (the tool
-    layer) filter the ``results`` list themselves.
+    ``is_allowed`` (#194) filters the raw hits **before** pagination, so a
+    restricted vault set neither distorts ``total`` nor the returned page.
+    The tool layer filters on its own and leaves it as ``None``.
    """
    from backend.search import search

    all_results = search(q, vault_filter=vault, tag_filter=tag)
+    if is_allowed is not None:
+        all_results = [r for r in all_results if is_allowed(r.get("vault", ""))]
    total = len(all_results)
    page = all_results[offset: offset + limit]
    return {
@@ -0,0 +1,169 @@
+"""Dossier personnel par utilisateur (#194).
+
+Chaque utilisateur reçoit ``<OBSIGATE_HOME_ROOT>/<username>`` monté comme un
+vault propre ``home-<username>`` : l'isolation profite de l'ACL par vault
+déjà en place (``check_vault_access``), aucune ACL par chemin à inventer.
+
+Tout est idempotent (``ensure_user_home``) pour être rappelé à la création
+d'un compte ET au démarrage : un dossier supprimé, un registre perdu ou un
+user créé hors API se réparent au boot.
+
+La fonctionnalité est inactive tant que ``OBSIGATE_HOME_ROOT`` n'est pas
+défini (dev, tests, desktop) — comportement inchangé.
+"""
+
+from __future__ import annotations
+
+import logging
+import os
+import re
+from pathlib import Path
+
+logger = logging.getLogger("obsigate.user_home")
+
+# Même grammaire que CreateUserRequest.username_valid (backend/auth/router.py) :
+# segment de chemin sûr, déjà passé par la validation de l'API. Re-vérifié ici
+# car le nom sert à construire un chemin (défense en profondeur).
+_USERNAME_RE = re.compile(r"^[a-zA-Z0-9_-]{2,32}$")
+
+
+def home_root() -> Path | None:
+    """Racine des dossiers persos, ou ``None`` si la fonctionnalité est inactive."""
+    root = os.environ.get("OBSIGATE_HOME_ROOT", "").strip()
+    return Path(root) if root else None
+
+
+def home_vault_name(username: str) -> str:
+    """Nom de vault du dossier perso — pas de ``/`` ni ``::`` (segment d'URL, clé d'index)."""
+    return f"home-{username}"
+
+
+async def ensure_user_home(username: str) -> str | None:
+    """Crée (si besoin) le dossier perso de *username*, son vault et son octroi.
+
+    Retourne le nom de vault, ou ``None`` si désactivé / nom invalide /
+    erreur disque (journalisée, réparée au prochain démarrage).
+    """
+    root = home_root()
+    if root is None:
+        return None
+    if not _USERNAME_RE.match(username):
+        logger.warning(f"Home folder skipped: invalid username {username!r}")
+        return None
+
+    home = root / username
+    try:
+        home.mkdir(parents=True, exist_ok=True)
+    except OSError:
+        logger.exception(f"Cannot create home folder {home} for user '{username}'")
+        return None
+
+    name = home_vault_name(username)
+    try:
+        from backend.indexer import add_vault_to_index, index, persist_vault, vault_config
+        from backend.sse import sse_manager
+
+        vault_path = str(home)
+        if name not in index:
+            await add_vault_to_index(name, vault_path)
+            persist_vault(name)
+            from backend.watcher_state import get_watcher
+
+            watcher = get_watcher()
+            if watcher:
+                await watcher.add_vault(name, vault_path)
+            await sse_manager.broadcast("vault_added", {"vault": name})
+            logger.info(f"Home vault '{name}' registered at {vault_path}")
+        elif name not in vault_config:
+            vault_config[name] = {"path": vault_path, "attachmentsPath": None,
+                                  "scanAttachmentsOnStartup": True}
+    except Exception:
+        logger.exception(f"Cannot register home vault '{name}' for user '{username}'")
+        return None
+
+    _grant(username, name)
+    return name
+
+
+async def release_user_home(username: str) -> None:
+    """Retire le vault du dossier perso à la suppression du compte (#194).
+
+    Le dossier sur disque est **conservé** (décision produit : pas de perte
+    de données) ; seul l'index, le watcher et le registre le referment.
+    """
+    name = home_vault_name(username)
+    try:
+        from backend.indexer import index, remove_vault_from_index, unpersist_vault
+
+        unpersist_vault(name)
+        if name not in index:
+            return
+        await remove_vault_from_index(name)
+        from backend.sse import sse_manager
+        from backend.watcher_state import get_watcher
+
+        watcher = get_watcher()
+        if watcher:
+            await watcher.remove_vault(name)
+        await sse_manager.broadcast("vault_removed", {"vault": name})
+        logger.info(f"Home vault '{name}' released (folder kept)")
+    except Exception:
+        logger.exception(f"Cannot release home vault '{name}'")
+
+
+def _grant(username: str, vault_name: str) -> None:
+    """Ajoute le vault à ``user.vaults`` s'il n'y est pas déjà (#194).
+
+    L'octroi est explicite même pour un admin (``vaults: ["*"]``) : ``*`` ne
+    couvre jamais un dossier perso (voir ``check_vault_access``).
+    """
+    from backend.auth.user_store import get_user, update_user
+
+    user = get_user(username)
+    if not user:
+        return  # créé hors API (bootstrap avant users.json) → réparé au boot suivant
+    vaults = user.get("vaults") or []
+    if vault_name in vaults:
+        return
+    update_user(username, {"vaults": [*vaults, vault_name]})
+
+
+async def ensure_all_user_homes() -> int:
+    """Passe de réparation/migration au démarrage : un home par user existant.
+
+    Balaye aussi les vaults orphelins (compte supprimé hors route, ex.
+    ``create_admin.py delete``) : ils sont refermés, dossier conservé.
+    """
+    from backend.auth.user_store import get_all_users
+    from backend.indexer import index, vault_config
+
+    root = home_root()
+    if root is None:
+        return 0
+    users = get_all_users()
+    usernames = {u.get("username") for u in users}
+    created = 0
+    for user in users:
+        username = user.get("username")
+        if not username:
+            continue
+        if await ensure_user_home(username):
+            created += 1
+    if created:
+        logger.info(f"User home folders ensured for {created} user(s)")
+
+    # Orphelins : vault home-<x> toujours indexé mais <x> n'existe plus.
+    # Path.parent == root → on ne touche qu'aux dossiers sous la racine Home,
+    # jamais à un vault admin nommé « home-… » par ailleurs.
+    for name in list(index):
+        if not name.startswith("home-"):
+            continue
+        owner = name[len("home-"):]
+        if owner in usernames:
+            continue
+        cfg_path = Path((vault_config.get(name) or {}).get("path", ""))
+        if cfg_path.parent != root:
+            continue
+        logger.warning(f"Orphan home vault '{name}' released (user deleted?)")
+        await release_user_home(owner)
+    return created
@@ -2626,7 +2626,7 @@ dependencies = [

 [[package]]
 name = "obsigate-desktop"
-version = "2.60.0"
+version = "2.65.1"
 dependencies = [
 "chrono",
 "env_logger",
@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.60.0"
+version = "2.65.1"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"
@@ -1,7 +1,7 @@
 {
  "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
  "productName": "ObsiGate",
-  "version": "2.60.0",
+  "version": "2.65.1",
  "identifier": "com.obsigate.desktop",
  "build": {
    "frontendDist": "../frontend",
@@ -21,12 +21,17 @@ services:
    volumes:
      - /c/dev/git/python/ObsiGate/test_vault:/vaults/TestVault
      - /c/dev/git/python/ObsiGate/test_dir:/vaults/TestDir
+      # #194 : racine des dossiers persos — UN seul montage pour tous les
+      # utilisateurs (dossier hôte : mkdir test_home à côté du dépôt).
+      - /c/dev/git/python/ObsiGate/test_home:/vaults/Home
      - obsigate_data:/app/data
    environment:
      - VAULT_1_NAME=TestVault
      - VAULT_1_PATH=/vaults/TestVault
      - DIR_1_NAME=TestDir
      - DIR_1_PATH=/vaults/TestDir
+      # #194 : dossier personnel par utilisateur = <racine>/home-<user>
+      - OBSIGATE_HOME_ROOT=/vaults/Home
      - OBSIGATE_AUTH_ENABLED=true
      - OBSIGATE_ADMIN_USER=admin
      - OBSIGATE_ADMIN_PASSWORD=test123
@@ -36,6 +36,9 @@ services:
      - /NFS/OBSIDIAN_DOC/Obsidian_WORKOUT:/vaults/Obsidian_WORKOUT
      - /NFS/OBSIDIAN_DOC/SessionsManager:/vaults/SessionsManager
      - /home/bruno:/vaults/bruno
+      # #194 : racine des dossiers perso — UN seul montage pour tous les
+      # utilisateurs (un montage par user demanderait un redémarrage).
+      - /NFS/OBSIDIAN_DOC/Home:/vaults/Home
      - /DOCKER_CONFIG/ObsiGate/data:/app/data
    environment:
      - VAULT_1_NAME=Recettes
@@ -50,6 +53,8 @@ services:
      - VAULT_5_PATH=/vaults/SessionsManager
      - DIR_1_NAME=Bruno
      - DIR_1_PATH=/vaults/bruno
+      # #194 : dossier personnel par utilisateur = <racine>/home-<user>
+      - OBSIGATE_HOME_ROOT=/vaults/Home
      - OBSIGATE_AUTH_ENABLED=true
      - OBSIGATE_ADMIN_USER=admin
      # OBSIGATE_ADMIN_PASSWORD → .env
@@ -216,6 +216,8 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-106* | Page blanche sur `/docs` (Swagger UI) : la CSP `script-src` sans `unsafe-inline` (#87 T5c) refuse le script inline d'init de FastAPI, jamais noncé | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/main.py` (`SecurityHeadersMiddleware`) | Ouvrir `https://og.dracodev.net/docs` : HTML servi (200) mais aucune UI, console `Refused to execute inline script … Content Security Policy` | Injection du nonce dans le HTML de `/docs` et `/redoc` depuis le middleware, via le helper existant `inject_csp_nonce` ; corps décompressé/recompressé (GZipMiddleware est plus proche de la route) | `pytest tests/test_csp_nonce.py` (3 tests ajoutés : nonce sur `/docs`, `/redoc` sans injection, regex sur bundle externe) + 45 passed sur les 3 suites sécurité ; ruff/mypy 0 |
 | *BUG-107* | Drag & drop de fichiers depuis l'Explorateur inutilisable sur desktop : Tauri/wry pose son propre `IDropTarget` par-dessus de celui du WebView2 et aucun événement natif n'est écouté — #89 ne fonctionnait que sur le web | 🟢 corrigé | P1 | 🖥️ desktop | IA | `desktop/tauri.conf.json` (`create: false`), `desktop/src/main.rs` (`WebviewWindowBuilder::…disable_drag_drop_handler`) | App desktop : glisser un fichier de l'Explorateur sur la fenêtre → aucun survol, aucun dépôt — les gestionnaires HTML5 de `dragdrop.js` ne sont jamais déclenchés | Création manuelle de la fenêtre avec `disable_drag_drop_handler()` (doc Tauri : « required to use HTML5 drag and drop APIs on the frontend on Windows ») ; `create: false` évite la double création par la boucle Tauri | `cargo test` 26 passed (nouveau garde-fou `test_window_created_without_tauri_drag_drop_handler` : les deux marqueurs obligatoires) + lancement OK (fenêtre unique, boot normal) ; dépôt réel à valider par l'utilisateur |
 | *BUG-108* | Tableur : le « Coller » du menu contextuel ne fait rien (copier-coller par menu muet) | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/xlsx/context-menu.js` (`closeContextMenu`) | Ouvrir un `.xlsx`, clic droit « Copier » sur une plage, clic droit cible puis « Coller » → rien n'est collé (le menu se ferme sans action) | `closeContextMenu()` retirait le nœud du DOM **avant** de remettre `_menu` à `null` : retirer le menu qui tient le focus émet `focusout` en synchrone, qui rappelle `closeContextMenu()` → second `remove()` sur un nœud déjà démonté → `NotFoundError` qui avorte le handler de l'action « Coller » du viewer. Introduit par #179 (fermeture au focus). Correctif : `_menu = null` avant `menu.remove()` | Reproduit en local sur HEAD (e2e « coller une plage » : attendu `Date`, obtenu la valeur datée) puis vert après fix : E2E `-g "coller une plage"` 1/1, `xlsx-menus` 11/11, `ai-quick-actions` 13/13 |
+| *BUG-109* | Chat : dans la tuile d'une URL (link preview) l'image ne s'affiche jamais | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/file_chat.py` (`build_preview`, `_proxy_image`) | Poster une URL avec `og:image` dans le chat général → la carte s'affiche mais sans vignette (console : `Refused to load the image … Content Security Policy`) | La CSP de réponse (`img-src 'self' data: blob:`) interdit toute image externe, et les `og:image` **relatives** étaient résolues contre l'origine d'ObsiGate (404). La vignette est désormais **téléversée à l'envoi** dans `chat_uploads` et servie same-origin (`/api/chat/attachment/<uuid>`) : résolution `urljoin` contre la page, garde SSRF réutilisée, plafond 2 Mo, allow-list d'extensions ; échec du téléchargement → carte conservée sans vignette (jamais de message perdu) | Tests `test_preview_image_is_proxied_same_origin` + `test_preview_image_failure_keeps_the_card` (contre-preuve : proxy neutralisé → `image == ""`). Cartes antérieures inchangées : leur URL distante était déjà bloquée |
+| *BUG-110* | Chat : refonte visuelle des posts — boutons discrets sous l'image, image ouverte dans un onglet de l'app, point de non-lus sur l'icône chat, notification OS hors focus, annulation **réelle** d'une suppression | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/js/filechat.js`, `frontend/js/ui.js`, `frontend/js/viewer.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/filechat.test.mjs` | Clic sur une image du chat → ouverture dans un onglet du navigateur au lieu du visualiseur de l'app ; boutons de pièce jointe bavards (icône + libellé) ; aucun repère visuel persistant sur l'icône chat ; aucune alerte OS quand l'app est en arrière-plan ; le bouton « Annuler » d'une suppression ne restaurait rien (copie DOM d'un message déjà supprimé côté serveur) | `TabManager.openChatImage()` (+ branche `chatImage` de `activate()`, `renderImageViewer()` accepte une `url` directe) ouvre la pièce jointe dans un **onglet** avec le visualiseur des images de vault (zoom/pan/plein écran) ; boutons **icônes seules** (24 px, `aria-label`) sous l'image, alignés à droite ; **point rouge pulsant** (`.chat-has-unread`) tant qu'il reste des non-lus, en plus du badge chiffré ; `_notifyNewMessage()` — notification OS si `document.hidden`/hors focus, permission demandée à l'ouverture du chat ; suppression **différée de 10 s** (ligne « Ce message a été supprimé » + « Annuler », DELETE envoyé à l'échéance seulement, échec réseau → le message revient) | Vérifié : `filechat.test.mjs` 25/25 (dont 6 tests #110), `validate-imports` 42 modules / 372 exports 0 erreur, `unit.test.mjs` 13/13 |
 |  | | | | | | | | | |
 ### TODOs techniques (améliorations / nouvelles tâches)

@@ -293,7 +295,7 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-09-17 | BUG-065, #78 (complément) | Correction + feature | `frontend/js/excalidraw-viewer.js`, `frontend/js/utils.js`, `frontend/excalidraw-editor.html`, `tests/frontend/excalidraw-viewer.test.mjs`, `docs/features/excalidraw.md`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-065** : l'auto-save Excalidraw (débounce 2 s) déclenchait `PUT save` → SSE `index_updated` → `reloadExternalWrite` → `openFile` → recréation de l'iframe = refresh visible pendant le dessin. Auto-save retirée (`excalidraw-viewer.js` : plus de `requestSave`/`saveTimer`), sauvegarde explicite (bouton 💾 / Ctrl+S) ; `reloadExternalWrite` (utils.js) court-circuite le re-rendu si un iframe Excalidraw est ouvert sur ce fichier (attributs `data-excalidraw-vault`/`data-excalidraw-path`) ; le badge « Modified » suit désormais une signature des éléments (`id:versionNonce`) au lieu de tout `onChange` — resize/zoom/plein écran ne marquent plus le fichier modifié. **#78 (complément)** : bouton **plein écran** `#btn-fullscreen` dans la barre d'outils de l'éditeur (`requestFullscreen` sur le document de l'iframe) + iframe créée avec `allow="fullscreen" allowfullscreen`. Vérifié Playwright : bascule plein écran OK (`document.fullscreenElement` true→false), badge non modifié après bascule ; tests statiques `excalidraw-viewer.test.mjs` 12/12, validate-imports 38 modules, unit 9/9. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-17 | #78 (complément) | UI | `frontend/excalidraw-editor.html`, `docs/features/excalidraw.md`, `CHANGELOG.md` | **#78 (complément)** : la barre d'outils de l'éditeur Excalidraw passe en **colonne d'icônes** (34×34 px, SVG seuls), **collée au bord droit** (`right: 0` ; `top: 45%` ; empilement vertical), avec `title`/`aria-label`. L'icône du bouton Save est remplacée par une coche pendant 1,2 s après une sauvegarde réussie. Badge « Modifié » réduit à une pastille. Vérifié Playwright : bord droit au bord de l'iframe, haut 45 %, 4 boutons empilés ; bascule plein écran OK, cycle d'icône Save + `PUT save` observés. | 🟢 livré (en attente vérif utilisateur) |
 | 2026-09-18 | BUG-066 | Correction | `frontend/locales/fr.json`, `frontend/locales/en.json`, `tests/frontend/unit.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-066** : la table des matières de la page de configuration n'affichait aucune icône pour « Fichiers cachés » et « Partages publics ». Les libellés du sommaire proviennent de clés i18n (`config.section_hidden`, `config.section_shares`) distinctes des titres de section qui, eux, portaient déjà l'icône. Alignement : 🗂️ / 📤 en FR **et** EN. Test de non-régression : `unit.test.mjs` vérifie que **toutes** les entrées `.help-nav-link` du sommaire portent une icône dans les deux langues (17/17). Vérifié : `unit.test.mjs` 10/10, `validate-imports` 38 modules. | 🟢 corrigé (en attente vérif utilisateur) |
-| 2026-09-18 | #105, BUG-067 | Documentation + correction | `frontend/index.html`, `frontend/js/config.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `backend/guide_export.py`, `backend/main.py`, `tests/test_guide.py`, `docs/features/guide-coverage-105.md`, `CHANGELOG.md`, `docs/ROADMAP.md`, `docs/ISSUES_TODOLIST.md` | **#105** : audit complet de couverture du Guide d'utilisation — 8 nouvelles sections (Architecture + diagramme Mermaid, API & intégrations, Diagrammes Mermaid & Excalidraw, Hors-ligne & synchronisation, Collaboration temps réel, Application desktop, Bibliothèque & signets, Multilingue) et compléments (recherche sémantique, MFA/WebAuthn, notifications push, exports HTML/ePub/ZIP, PDF, vue multi-panneaux, admin). Téléchargement du guide en Markdown et PDF (`GET /api/guide/download?format=md|pdf`, FR/EN, rendu par le moteur d'export existant). Guide plus large en desktop. **BUG-067** : ancre morte `#help-mobile-editor` → section dédiée créée. | 🟢 corrigé (en attente vérif utilisateur)
+| 2026-09-18 | #105, BUG-067 | Documentation + correction | `frontend/index.html`, `frontend/js/config.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `backend/guide_export.py`, `backend/main.py`, `tests/test_guide.py`, `docs/features/guide-coverage-105.md`, `CHANGELOG.md`, `docs/ROADMAP.md`, `docs/ISSUES_TODOLIST.md` | **#105** : audit complet de couverture du Guide d'utilisation — 8 nouvelles sections (Architecture + diagramme Mermaid, API & intégrations, Diagrammes Mermaid & Excalidraw, Hors-ligne & synchronisation, Collaboration temps réel, Application desktop, Bibliothèque & signets, Multilingue) et compléments (recherche sémantique, MFA/WebAuthn, notifications push, exports HTML/ePub/ZIP, PDF, vue multi-panneaux, admin). Téléchargement du guide en Markdown et PDF (`GET /api/guide/download?format=md|pdf`, FR/EN, rendu par le moteur d'export existant). Guide plus large en desktop. **BUG-067** : ancre morte `#help-mobile-editor` → section dédiée créée. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-18 | #105 (ajustements) | Amélioration | `frontend/index.html`, `frontend/js/config.js`, `frontend/sw.js`, `frontend/locales/{fr,en}.json`, `backend/guide_export.py`, `backend/pdf_export.py`, `Dockerfile`, `scripts/build_guide_diagrams.py`, `scripts/render_guide_diagram.mjs`, `scripts/guide_content.py`, `backend/assets/guide_diagrams/df7366a40db6a5a2.png`, `tests/test_guide.py`, `docs/features/guide-coverage-105.md`, `CHANGELOG.md` | **#105 (retour utilisateur)** : 1) boutons de téléchargement du guide passés en icônes seules (tooltips i18n conservés) ; 2) le diagramme Mermaid de la section Architecture est désormais rendu en **vraie image** dans le PDF (pipeline de pré-rendu PNG Chromium+mermaid v11, PNG commité sous `backend/assets/guide_diagrams/<sha1>.png`, résolu par `diagram_png_for()` ; le Markdown garde le fenced mermaid) ; 3) emoji du PDF rendus **en couleur** au lieu de rectangles : `fonts-noto-color-emoji` ajouté au Dockerfile + `"Noto Color Emoji"` en fin de pile de polices PDF. Vérifié : pytest 1218 (test_guide ×13), ruff/mypy 0, validate-imports 38, unit 10/10 ; PDF live conteneur 2020 : 24 pages, 0 glyphes tofu, diagramme 3568x1174 embarqué. | 🟢 livré
 | 2026-09-22 | BUG-068 | Correction | `backend/auth/router.py`, `backend/requirements.txt`, `frontend/js/auth.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_mfa.py`, `tests/frontend/mfa-settings.test.mjs` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-068** : section « 🔒 Sécurité du compte » finalisée. (1) Boutons hors thème : `config-btn-primary`/`config-btn-danger` n'existaient pas en CSS → définis depuis les variables du thème (+ états disabled). (2) QR invisible : l'image tierce était bloquée par la CSP (`img-src 'self' data: blob:`) et exposait le secret TOTP → QR SVG `data:` généré en local par le backend (`qr_data_url`, segno) avec repli saisie manuelle. (3) Codes de récupération perdus à la 1re activation WebAuthn → `_showRecoveryCodes(codes, targetId)` avec repli `webauthn-flow-area`. (4) Carte « Mot de passe » ajoutée (endpoint `change-password` existant, jusque-là sans UI) + échappement des libellés de clés WebAuthn. Vérifié : pytest 1241 passed / 6 skipped, ruff 0, mypy 0 (78 fichiers), `mfa-settings.test.mjs` 9/9, unit 10/10, validate-imports 39 modules. | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-23 | BUG-069 | Correction | `frontend/js/auth.js`, `frontend/locales/{fr,en}.json`, `tests/frontend/mfa-settings.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-069** : login 2FA bloqué sans erreur — après user+pwd corrects, `showMfaChallenge` cherchait `.login-box` (inexistant dans `index.html`, marquage réel `#login-screen > .login-card`) et faisait un `return` silencieux : page de login figée, aucune erreur. Correctif : montage dans `.login-card` (repli `#login-screen`) + erreur visible `mfa.challenge_unavailable` (FR/EN) si le point de montage manque. **Reproduit au navigateur** (Playwright, instance Docker `obsigate-test`, compte jetable avec TOTP) : avant → challenge jamais affiché ; après → challenge affiché, code erroné → erreur, code valide (verify 200) → app. Tests : `mfa-settings.test.mjs` 11/11 (+2 ancrage DOM), unit 10/10, validate-imports 39 modules. | 🟢 corrigé (en attente vérif utilisateur) |
@@ -332,6 +334,16 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-10-08 | #191 | Fonctionnalité | `backend/file_chat.py`, `backend/routers/file_chat.py`, `backend/schemas.py`, `frontend/js/filechat.js`, `frontend/js/sync.js`, `frontend/index.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_file_chat.py`, `tests/frontend/filechat.test.mjs`, `docs/ROADMAP.md`, `docs/features/file-chat-169.md`, `CHANGELOG.md` | **#191 — chat : suppression de post, messages privés, boîte compacte, link preview** : (A) `DELETE /api/chat/{id}` + `/api/chat/dm/{peer}/{id}` (auteur ou admin, 403 sinon) avec diffusion SSE `chat_deleted` et bouton 🗑 au survol côté client (`confirm()` natif) ; (B) DM 2 utilisateurs : vault `__dm__` + `dm_path(a,b)` trié, `GET /api/chat/users` (destinataires sans soi-même, aucun hash exposé), routes `GET/POST /api/chat/dm/{user}` (404 inconnu, 400 DM à soi), rangée de canaux `.chat-channels` dans la sidebar, non-lus par canal (compteurs localStorage, anciens timestamps/compteurs mélangés unifiés) ; (C) bouton d'envoi réduit à une icône dans les deux formulaires ; (D) `build_preview(text)` : 1ʳᵉ URL → garde SSRF `_assert_public_http_url` → `httpx.get` 5 s/512 Ko → OG (titre/desc/image/site) en carte cliquable, best-effort (échec → message sans carte), cache 200 entrées. Bug trouvé en cours de route : `max_redirects` n'existe pas sur `httpx.get` → TypeError avalé par le `try` = previews jamais générées en prod, invisible des tests (ils mockaient `build_preview`) ; arg retiré + `test_build_preview_happy_path_parses_og` (httpx mocké) ajouté. Tests : pytest 45 file_chat (44→45, +13 sur #191), JSDOM filechat 16 (+5) | 
 | 2026-10-08 | #190 | Fonctionnalité | `backend/file_chat.py`, `backend/routers/file_chat.py`, `backend/schemas.py`, `frontend/js/filechat.js` (réécrit), `frontend/js/viewer.js`, `frontend/js/config.js`, `frontend/js/sidebar.js`, `frontend/js/app.js`, `frontend/index.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_file_chat.py`, `tests/frontend/filechat.test.mjs`, `docs/ROADMAP.md`, `CHANGELOG.md` | **#190 — chat : suivi du document, chat général en onglet sidebar, onglets au-dessus du filtre** : (A) l'en-tête du panneau affiche le document ciblé (titre + chemin) et `followFileChat()` appelé par `renderFile()` re-cible le panneau ouvert à chaque changement de document ; (B) onglet **Chat** (dernier) → conversation générale stockée dans le même store #169 via les sentinelles `__global__/general` (`GET/POST /api/chat`), **pastille de messages non lus** (`localStorage` + badge sur l'onglet), **pièces jointes image/vidéo** (`POST /api/chat/upload` : allow-list d'extensions, 25 MB, nom UUID — jamais le nom client ; `GET /api/chat/attachment/{name}` résolu contre l'allow-list), **URL cliquables** dans le rendu (linkification `http(s)://`), date/heure d'envoi ; (C) barre de filtre **déplacée sous les onglets** et routée vers `filterChatMessages()` (texte + auteur) quand l'onglet Chat est actif. Transport : broadcast SSE `chat_message` réutilisé (vault `__global__` route vers le panneau sidebar, sinon panneau fichier) — pas de second WebSocket. Contre-preuves : `__global__` non routé → test « routes __global__ » échoue ; panneau sans classe `active` → le message part en toast au lieu du rendu (révélé par le stub JSDOM). Vérifié : pytest **1655 passed / 2 skipped** (27 tests chat dont 12 nouveaux), ruff 0, mypy 0 (113 fichiers), validate-imports 42 modules/368 exports, unit 13/13, filechat.test.mjs **11/11** (5 nouveaux), toolbar-order, sidebar-filters 8/8 | ✅ livré (en attente vérif utilisateur) |
 | 2026-10-08 | #169 | Fonctionnalité | `backend/file_chat.py` (nouveau), `backend/routers/file_chat.py` (nouveau), `backend/schemas.py`, `backend/main.py`, `frontend/js/filechat.js` (nouveau), `frontend/js/viewer.js`, `frontend/js/sync.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_file_chat.py` (nouveau), `tests/frontend/filechat.test.mjs` (nouveau), `tests/frontend/toolbar-order.test.mjs`, `.gitea/workflows/ci.yml`, `docs/ROADMAP.md`, `docs/features/file-chat-169.md` (nouveau), `docs/GUIDES/PRISE_EN_MAIN.md`, `CHANGELOG.md` | **#169 — chat intégré par fichier** : store JSON par (vault, path) sous `data/chats/` (nom SHA-256 → traversal impossible, plafond 500 msgs, texte 4000 car., écriture atomique, fichier corrompu → vide) ; `GET/POST /api/file/{vault}/chat` (auth + `check_vault_access` + `resolve_safe_path`, 400/404/403, `response_model`) + broadcast SSE `chat_message` sur le transport #62 (**pas de 2ᵉ WebSocket**) ; panneau latéral `filechat.js` (bouton 💬 toolbar, rendu chronologique `textContent`, envoi optimiste + dédup par id, toast si panneau fermé/autre fichier, plein écran ≤ 768 px) ; relais SSE en import dynamique dans `sync.js` ; i18n FR/EN 10 clés `chat.*`. En route : tag OpenAPI maison `file-chat` non déclaré → `test_used_tags_are_declared` rouge (retiré, dérivé « Files »), regex navBtns de `toolbar-order.test.mjs` (échappements → `includes`), ruff UP012/TRY004/I001. Vérifié : `test_file_chat.py` 15 passed, `filechat.test.mjs` 6/6, suite 1643 passed, ruff/mypy 0, validate-imports 42 modules, CI run #1938 5/5 success (v2.57.0) | ✅ livré (en attente vérif utilisateur) |
+| 2026-10-08 | #192 + BUG-109 | Fonctionnalité + correction | `backend/file_chat.py`, `backend/routers/file_chat.py`, `backend/schemas.py`, `frontend/js/filechat.js`, `frontend/js/sync.js`, `frontend/index.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_file_chat.py`, `tests/frontend/filechat.test.mjs`, `docs/ROADMAP.md`, `docs/features/file-chat-169.md`, `CHANGELOG.md` | **#192 — chat : saisie auto-agrandissante + accusé de réception.** La boîte d'envoi (panneau document **et** sidebar) devient un `textarea` dont la hauteur suit le contenu (plafond 160 px puis défilement, repasse à 1 ligne après l'envoi), `Entrée` envoie / `Maj+Entrée` saute une ligne ; placeholder sidebar désormais traduit à l'init. **Accusé de réception** : chaque document de conversation porte `read = {utilisateur: ts}` (verrou global sur le read-modify-write — une lecture ne peut plus faire disparaître un message), `GET` d'historique renvoie la carte, nouveau `POST /api/chat/read` (400 sans vault/path, 403 DM hors pair, ACL vault pour un chat de fichier) marque la lecture et diffuse `chat_read` en SSE ; côté client `✓` envoyé / `✓✓` lu sur **mes** messages (exclut ma propre carte de lecture), bascule en direct via `onChatRead()` + toast « {user} a lu votre message », accusé émis à l'ouverture d'une conversation et à la réception d'un message déjà affiché. **BUG-109** : la vignette des tuiles de lien ne s'affichait jamais (CSP `img-src 'self'` + `og:image` relative résolue contre ObsiGate) → `_proxy_image()` téléverse l'image dans `chat_uploads` (same-origin, `urljoin` contre la page, garde SSRF, 2 Mo max, allow-list) et la carte reste affichée si le téléchargement échoue. Tests : pytest `test_file_chat.py` 45→**54** (`TestReadReceipts` 7, proxy image 2, 2 assertions de réponse adaptées), JSDOM `filechat.test.mjs` 16→**19** ; ruff 0, mypy 0 (113 fichiers), validate-imports 42/371, unit 13/13 | ✅ livré (en attente vérif utilisateur) |
+| 2026-10-09 | BUG-110 | Correction + refonte UI chat | `frontend/js/filechat.js`, `frontend/js/ui.js`, `frontend/js/viewer.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/filechat.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-110 — refonte visuelle du chat** : (1) les boutons de pièce jointe deviennent des **icônes seules** (24 px, `aria-label`) rangées **sous l'image, alignées à droite** — plus de gros boutons à libellé ; (2) le clic sur une image ouvre le **même visualiseur que pour une image de vault** (zoom/pan/plein écran) mais dans un **onglet de l'app** (`TabManager.openChatImage()`, branche `chatImage` de `activate()`, `renderImageViewer()` accepte désormais une `url` directe : une pièce jointe n'est pas dans un vault) au lieu d'un onglet du navigateur ; (3) **point rouge pulsant sur l'icône chat** de la sidebar tant qu'il reste des non-lus (classe `chat-has-unread`, en plus du badge chiffré) ; (4) **notification OS** (`Notification`) quand l'app n'est pas au premier plan (`document.hidden`/hors focus), permission demandée au premier clic d'ouverture du chat ; (5) la suppression n'est plus mensongère : le `DELETE` est **différé de 10 s**, la ligne passe à « Ce message a été supprimé » avec « Annuler » — annuler réarme le message (l'ancien code restaurait une copie DOM d'un message déjà détruit côté serveur en affichant « Message restauré ») ; échec réseau → le message revient. Vérifié : `filechat.test.mjs` 25/25 (dont 6 tests #110 : icônes seules, clic image → `openChatImage`, aucun `DELETE` pendant la fenêtre d'annulation, notification OS), `validate-imports` 42 modules / 372 exports 0 erreur, `unit.test.mjs` 13/13 | 🟢 corrigé (en attente vérif utilisateur) |
+
+| 2026-10-09 | #193 | Fonctionnalité | `backend/file_chat.py`, `backend/schemas.py`, `frontend/js/filechat.js`, `frontend/style.css`, `tests/test_file_chat.py`, `tests/frontend/filechat.test.mjs`, `docs/features/file-chat-169.md`, `CHANGELOG.md` | **#193 — un post du chat s'affiche comme un document markdown** : le serveur rend le texte de chaque message avec le **pipeline des documents** (`backend/render.py::_render_markdown` : mistune — tableaux, listes de tâches, notes —, wikilinks, masquage des secrets #188, **sanitizer BUG-021**) et le renvoie dans un champ `html` (ajouté à `ChatMessageItem`, sinon `response_model` le filtrait). Le rendu est calculé **à la lecture** (`get_messages`) et à l'ajout (`_append`) — il n'est donc **jamais persisté** dans `data/chats/*.json` — et l'écho SSE part avec : les autres clients voient le rendu sans refresh. Côté front, `_fillBody()` injecte le HTML dans un `<div class="md-content">` puis appelle `safeHighlight()` sur chaque `pre code` (highlight.js + alias de langages, exactement comme le viewer ; mermaid non déclenché). Repli intact si `html` manque (écho optimiste → texte brut + URL cliquable) et un échec de rendu n'emporte jamais le message. CSS : `.file-chat-md` annule le `pre-wrap` hérité de la bulle (les retours à la ligne du HTML source produisaient des lignes vides) et compacte `.md-content` (`pre`/`table` en `overflow-x: auto`). Vérifié : `test_file_chat.py` 54→**61** (`TestMarkdownRendering` ×7 : html à l'ajout et à la lecture, **absent du JSON**, classe `language-xxx`, listes, `<script>` neutralisé, routes POST/GET, broadcast SSE), `filechat.test.mjs` 25→**27**, suite 1689 passed, ruff 0, mypy 0 (113 fichiers), validate-imports 42 modules / 372 exports | ✅ livré (en attente vérif utilisateur) |
+
+| 2026-10-09 | #194 | Fonctionnalité | `backend/user_home.py` (nouveau), `backend/indexer.py`, `backend/auth/router.py`, `backend/routers/vaults.py`, `backend/main.py`, `docker-compose.yml`, `tests/test_user_home.py` (nouveau), `tests/test_auth_api.py`, `docs/features/user-home-194.md` (nouveau), `docs/ROADMAP.md`, `CHANGELOG.md`, `README.md`, `README.fr.md` | **#194 — dossier personnel par utilisateur** : chaque compte reçoit `<OBSIGATE_HOME_ROOT>/<user>` monté comme vault propre `home-<user>` (option A validée) — l'isolation s'appuie sur l'ACL par vault **existante** (`check_vault_access`), aucune ACL par chemin inventée. `backend/user_home.py` : `ensure_user_home()` idempotent (mkdir → `add_vault_to_index` → `persist_vault` → watcher → SSE → octroi dans `user.vaults`) appelé à `POST /api/auth/admin/users` **et** au démarrage (`ensure_all_user_homes()` : migration des users existants, réparation des dossiers/registres manquants, sweep des vaults `home-*` orphelins dont l'utilisateur a disparu hors route — garde `Path.parent == racine` pour ne jamais toucher à un vault admin homonyme) ; `release_user_home()` à la suppression (index/watcher/registre refermés, **dossier conservé**). **Blocage levé** : registre persistant `data/vaults.json` fusionné par `load_vault_config()` — avant, tout vault ajouté à la volée (`/api/vaults/add`) disparaissait au premier reindex complet et au redémarrage. Correctif au passage : `reload_single_vault()` remet `vault_config[name]` après `remove_vault_from_index()`. Réponse du POST = vaults réactualisés (l'instantané de `create_user` était antérieur à l'octroi). Déploiement : montage unique `/NFS/OBSIDIAN_DOC/Home:/vaults/Home` + `OBSIGATE_HOME_ROOT` (absente = feature inactive, dev/tests/desktop inchangés). Vérifié : `test_user_home.py` 12/12 (création, idempotence, username invalide, persistance après `load_vault_config`, retrait, isolation `check_vault_access`, orphelins), `test_auth_api.py::TestUserHome` 2/2, suite **1703 passed / 2 skipped**, ruff backend 0, mypy 114 fichiers 0, `validate-imports` 42 modules / 372 exports, `unit.test.mjs` 13/13 | ✅ livré (en attente vérif utilisateur) |
+
+| 2026-10-09 | #194 | Fonctionnalité (UI) | `frontend/js/sidebar.js`, `frontend/js/viewer.js`, `docker-compose.test-win.yml`, `.gitignore`, `tests/frontend/sidebar-filters.test.mjs`, `docs/ROADMAP.md`, `docs/features/user-home-194.md`, `CHANGELOG.md` | **#194 (incrément UI)** : les vaults `home-<user>` s'affichent **en premier** dans l'arborescence de la sidebar — tri stable appliqué à la source (`_homeFirst` dans `loadVaults()` et dans le soft-refresh, donc `state.allVaults`, l'arborescence et les sélecteurs restent cohérents) — et portent l'icône **maison** lucide (`data-lucide="home"` via `getVaultIcon`, même `safeCreateIcons`/`stroke: currentColor` que les autres icônes, thème-aware). Compose de test : `test_home:/vaults/Home` + `OBSIGATE_HOME_ROOT=/vaults/Home` (dossier `test_home/` ignoré par git). Vérifié : `sidebar-filters.test.mjs` 8→**10/10**, `validate-imports` 42 modules / 372 exports, `unit.test.mjs` 13/13, suites voisines (ai-sidebar, toolbar-order, search-facets, pane-manager, editor-inline) vertes, **live Playwright sur l'instance 2020** : ordre `home-admin, home-bruno, TestDir, TestVault` + `svg.lucide-home` rendu (placeholder `<i>` remplacé) | ✅ livré (en attente vérif utilisateur) |
+
+| 2026-10-09 | #194 | Correction (isolation) | `backend/auth/middleware.py`, `backend/services/recent.py`, `backend/services/search.py`, `backend/routers/search.py`, `backend/routers/config.py`, `backend/routers/conflicts.py`, `backend/routers/files_read.py`, `backend/routers/history.py`, `backend/push.py`, `backend/user_home.py`, `tests/test_user_home.py`, `tests/test_auth_api.py`, `docs/features/user-home-194.md`, `CHANGELOG.md` | **#194 — l'admin voyait le home de chaque utilisateur** (retour utilisateur) : `vaults: ["*"]` ouvrait **tous** les vaults, donc `home-<user>` compris. Correctif à la racine : `check_vault_access` exige un octroi **explicite** pour tout vault `home-*` (nouveau `is_home_vault()`), et les filtres `« * »` écrits en dur dans les routes ont été remplacés par cet appel unique — dashboard (`routers/config.py`), conflits, liens retour, favoris, abonnements push (`/api/search/replace` utilisait déjà `is_vault_allowed`). `/api/search` filtre désormais les bruts **avant** pagination via `search_vaults(is_allowed=…)` (sinon notes personnelles d'un autre compte dans les résultats). `_grant` n'écarte plus les comptes `« * »` → l'admin reçoit son propre `home-admin` (auto-réparé au démarrage). Vérifié : `test_user_home.py` 12→**14/14** (dont « * » sans homes + filtrage recherche), `test_auth_api.py` 2/2 (admin ne voit **plus** `home-alice`, alice voit le sien), suite **1705 passed / 2 skipped**, ruff backend 0, mypy 114 fichiers 0, **live Playwright instance 2020** : arborescence admin = `home-admin, TestDir, TestVault` (plus de `home-bruno`), `svg.lucide-home` rendu. Reste ouvert (fuite pré-existante, hors périmètre) : `/api/search/advanced`, `/api/tags`, `/api/tags/suggest`, `/api/tree-search`, `/api/suggest` ne filtrent pas par vault accessible | ✅ livré (en attente vérif utilisateur) |

 ---

@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap

-> **Version :** 2.60.0 | **Dernière mise à jour :** 2026-10-08
+> **Version :** 2.65.1 | **Dernière mise à jour :** 2026-10-10
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -30,6 +30,33 @@

 ## 🔵 En cours

+### 194. Dossier personnel par utilisateur (`<racine>/Home/<user>`)
+
+- **Effort :** 1-2 jours | **Impact :** 🟡 | **Ouvert :** 2026-10-09 | **Statut :** 🔵 en cours
+- **Cadrage :** chaque utilisateur créé reçoit un dossier personnel monté en vault propre
+  (`home-<user>`), isolé par l'ACL par vault existante — pas d'ACL par chemin à inventer.
+- **Décisions validées :** option A (un vault par utilisateur), nom `home-<user>`,
+  dossier **conservé** à la suppression du compte, racine `/NFS/OBSIDIAN_DOC/Home`
+  (montée `/vaults/Home`, exposée par `OBSIGATE_HOME_ROOT`).
+- **Sous-tâches :**
+  - [x] ID stable créé (avant codage, AGENTS.md)
+  - [x] Registre persistant des vaults dynamiques `data/vaults.json` (les vaults ajoutés à la
+        volée sont aujourd'hui perdus au redémarrage / reindex — `load_vault_config` ne lit
+        que les env `VAULT_N_*`)
+  - [x] Service `ensure_user_home()` idempotent : mkdir + vault + octroi, appelé à la création
+        d'un user et au démarrage (réparation/migration)
+  - [x] Retrait au suppression de compte (index/watcher/registre) sans supprimer le dossier
+  - [x] Montage Docker + `OBSIGATE_HOME_ROOT` (prod **et** compose de test
+        `docker-compose.test-win.yml` → `test_home:/vaults/Home`)
+  - [x] UI : vaults `home-*` en **premier** dans l'arborescence + icône maison
+        lucide (`getVaultIcon`), vérifié live sur l'instance 2020
+  - [x] Isolation : « * » (admin) ne couvre **plus** les dossiers persos —
+        `check_vault_access` + filtres des routes + `/api/search` (avant
+        pagination) ; octroi du home aussi aux comptes « * »
+  - [x] Tests (création, persistance après rebuild, isolation 403 entre users) + docs
+
+---
+
 ### 77. Application Desktop native — Tauri (Windows / Linux / macOS)

 - **Effort :** 8-12 jours | **Impact :** 🟡 | **Framework :** Tauri v2 (Rust + Webview)
@@ -733,6 +760,7 @@
 | 169 | Chat intégré par fichier (panneau latéral, historique, temps réel SSE, toast de notification) | 2.57.0 | [features/file-chat-169.md](./features/file-chat-169.md) |
 | 190 | Chat — suivi du document, chat général en onglet sidebar (pièces jointes, non lus, recherche), onglets au-dessus du filtre | 2.58.0 | [features/file-chat-169.md](./features/file-chat-169.md) |
 | 191 | Chat — suppression de post, messages privés 2 utilisateurs (canaux), boîte d'édition compacte, link preview OG | 2.60.0 | [features/file-chat-169.md](./features/file-chat-169.md) |
+| 192 | Chat — boîte de saisie auto-agrandissante + accusé de réception ✓✓ (retour live SSE, notification de lecture) · BUG-109 (image de tuile de lien) | 2.61.0 | [features/file-chat-169.md](./features/file-chat-169.md) |
 | 159 | Desktop — gestion des vaults & dossiers : retrait par menu contextuel + section Configuration (ajout vault/dossier racine) | 2.50.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
 | 160 | Desktop — premier lancement professionnel (répertoire `%USERPROFILE%\ObsiGate` + `Prise en main.md`) et section Configuration harmonisée | 2.51.0 | [features/desktop-tauri.md](./features/desktop-tauri.md) |
 | BUG-047 | Versionnage — source unique `VERSION` + bump SemVer automatique au commit (hooks + tag) | 2.3.0 | [DEVELOPMENT_AND_RELEASES.md](./DEVELOPMENT_AND_RELEASES.md) |
@@ -143,7 +143,7 @@

 ### Tests #191

- pytest `TestDelete` (3), `TestPrivateChat` (8), `TestLinkPreview` (6,
+- pytest `TestDelete` (3), `TestPrivateChat` (8), `TestLinkPreview` (8,
  dont le happy path avec `httpx.get` mocké — un `max_redirects`
  inexistante sur `httpx.get` levait un TypeError silencieusement avalé
  par le `try`, testé par `test_build_preview_happy_path_parses_og`).
@@ -151,6 +151,114 @@
  (droit auteur/admin), `onChatDeleted`, compteurs non-lus,
  routage DM isolé du général (16 au total).

+## #192 — Saisie auto-agrandissante, accusé de réception, vignette de lien (2026-10-08)
+
+### A. Boîte de saisie qui grandit avec le texte
+
+`<input type="text">` → `<textarea rows="1">` (panneau document créé dans
+`_renderShell()`, sidebar statique dans `index.html`). `_autoGrow(el)`
+pose `height: auto` puis `min(scrollHeight, 160)px` à chaque `input`, la
+règle CSS `textarea.file-chat-input` ajoute `resize: none` +
+`overflow-y: auto` (au-delà du plafond la zone défile) et la hauteur repasse
+à une ligne après l'envoi. `Entrée` (sans `Maj`) est interceptée dans les
+deux formulaires → envoi, `Maj+Entrée` garde le retour à la ligne. Le
+placeholder de la sidebar est aussi appliqué à l'init (`t()`), le HTML ne
+portant que le FR.
+
+### B. Accusé de réception (✓ envoyé / ✓✓ lu)
+
+- **Store** (`backend/file_chat.py`) : le document de conversation gagne
+  `read = {username: dernier_ts}` (`get_read()` / `mark_read()`), sous le
+  `_LOCK` du read-modify-write partagé avec l'ajout et la suppression.
+- **API** : les trois `GET` d'historique renvoient `read` (schéma
+  `ChatHistoryResponse.read`) ; nouveau `POST /api/chat/read`
+  (`ChatReadResponse`) avec `_check_read()` — général = tout membre, DM =
+  pair uniquement (403 sinon), fichier = ACL vault + `resolve_safe_path` —
+  qui marque la lecture et diffuse `chat_read`
+  `{vault, path, user, ts, read}` en SSE.
+- **Client** (`filechat.js`) : carte de lecture par surface (`_fileRead`,
+  `_channelRead`). Un message est « lu » dès qu'un **autre** participant a
+  un `ts ≥` celui du message (ma propre lecture ne compte pas).
+  `_messageEl()` affiche `✓`/`✓✓` (`.file-chat-status`, bleu accent quand
+  lu) ; `_applyRead()` fait basculer les indicateurs affichés ;
+  `_syncRead()` fusionne une carte reçue ; `_markRead(vault, path)` (POST
+  fire-and-forget) est émis à l'ouverture d'une conversation **et** à la
+  réception d'un message pendant qu'elle est affichée. `onChatRead()`
+  (relais `chat_read` ajouté dans `sync.js`) actualise en direct et
+  notifie l'expéditeur par toast `chat.read_by` quand un de ses messages
+  passe à ✓✓ — jamais pour son propre écho.
+
+### C. BUG-109 — vignette des tuiles de lien
+
+`img-src 'self' data: blob:` interdit toute `og:image` distante, et une
+`og:image` relative était résolue contre l'origine d'ObsiGate (404).
+`_proxy_image(img_url, page_url)` téléverse la vignette à l'envoi dans
+`chat_uploads` via `save_attachment()` (allow-list + nom UUID) et renvoie
+`/api/chat/attachment/<uuid>` — résolution `urljoin` contre la page,
+garde SSRF réutilisée, plafond `PREVIEW_IMAGE_MAX` (2 Mo), dérivation de
+l'extension depuis le `content-type`. Échec isolé → `image = ""`, la
+carte reste (jamais de message perdu).
+
+### Tests #192
+
+- pytest `TestReadReceipts` (7) : roundtrip store, messages préservés,
+  `POST /api/chat/read` (enregistrement + restitution par le `GET`),
+  403 DM hors pair, 400 champs manquants, ACL vault, broadcast `chat_read`
+  (spy sur `sse_manager`) ; `TestLinkPreview` +2 (proxy same-origin avec
+  fichier écrit sur disque, dégradation sans vignette).
+- JSDOM `filechat.test.mjs` +3 (19) : indicateur ✓/✓✓ (ma propre carte de
+  lecture exclue, aucun indicateur sur les messages des autres), bascule en
+  direct + notification + pas d'écho, textarea (tagName/rows, hauteur
+  pilotée, `Entrée` intercepté / `Maj+Entrée` non).
+
+## #193 — Rendu markdown des posts (2026-10-09)
+
+Un post du chat s'affiche désormais **comme un document** : titres, listes,
+tableaux, citations, blocs de code colorés — au lieu du texte brut avec liens
+cliquables.
+
+### A. Le rendu vient du serveur (pas de second moteur markdown)
+
+- `backend/file_chat.py::_decorate()` ajoute un champ `html` à chaque message
+  en réutilisant `backend/render.py::_render_markdown()` — **le pipeline exact
+  des documents** : mistune (tableaux, strikethrough, notes, listes de tâches),
+  résolution des wikilinks, normalisation des sauts de ligne, masquage des
+  secrets (#188) et **sanitizer BUG-021** en sortie. Aucun markdown côté client,
+  donc aucun XSS nouveau à traiter : la sanitisation est déjà éprouvée.
+- `ChatMessageItem.html` (schéma de réponse) : sans ce champ, `response_model`
+  filtrait la clé.
+- Le `html` est calculé **à la lecture** (`get_messages()`) et à l'ajout
+  (`_append()`), donc il n'est **jamais persisté** dans `data/chats/*.json` :
+  un message reste du texte, le rendu suit les évolutions du pipeline.
+- L'écho SSE part avec le `html` : les autres clients voient le rendu sans
+  attendre un refresh.
+- Un échec de rendu n'emporte pas le message : repli silencieux (`html = ""`),
+  le client affiche le texte brut.
+
+### B. Frontend : `.md-content` + highlight.js
+
+- `_fillBody()` injecte le `html` dans un `<div class="md-content">` (la
+  typographie des documents) puis appelle `safeHighlight()` sur chaque
+  `pre code` — le même helper (et les mêmes alias de langages) que le viewer.
+  Mermaid n'est pas déclenché dans le chat.
+- Repli intact : un message sans `html` (écho optimiste d'un autre client)
+  repasse par l'ancien chemin texte + URL cliquable.
+- CSS : `.file-chat-body.file-chat-md` annule le `white-space: pre-wrap` hérité
+  de la bulle (sinon les retours à la ligne du HTML source créaient des lignes
+  vides) et compacte `.md-content` (tailles, marges, `pre`/`table` en
+  `overflow-x: auto`) pour tenir dans une bulle de 92 % de large.
+
+### Tests #193
+
+- pytest `TestMarkdownRendering` (7) : `html` présent à l'ajout **et** à la
+  lecture, `html` **absent** du JSON stocké, classe `language-xxx` conservée
+  (ce sur quoi hljs se branche), tableaux/listes, `<script>` neutralisé,
+  routes `POST/GET` (chat de fichier + chat général) et écho SSE porteur du
+  `html`. Suite : 1689 passed.
+- JSDOM `filechat.test.mjs` +2 (27) : post avec `html` → `.md-content`,
+  `<strong>`, `pre code.language-python` ; post sans `html` → texte brut et URL
+  cliquable conservés.
+
 ## Décisions

 - **SSE plutôt qu'un second WebSocket** : le transport de #62 (EventSource
@@ -0,0 +1,107 @@
+# #194 — Dossier personnel par utilisateur
+
+> **Statut :** livré | **Ouvert :** 2026-10-09 | **Type :** feature (auth + vaults)
+
+## Problème
+
+Un utilisateur créé dans ObsiGate n'avait aucun espace propre : il ne voyait
+que les vaults qu'un admin lui attribuait à la main, et rien n'était préparé
+sur le disque à sa création.
+
+## Décision d'architecture
+
+Deux formes étaient possibles :
+
+1. **Un vault par utilisateur** (retenu) — `<racine>/<user>` devient le vault
+   `home-<user>`, octroyé dans `user.vaults`. L'ACL par vault existante
+   (`backend/auth/middleware.py::check_vault_access`, appliquée partout :
+   API, MCP, search, push, tools) fait l'isolation **sans rien inventer**.
+2. Un vault `Home` unique + ACL par sous-dossier (écartée) — il n'existe
+   aucune ACL par chemin dans le code ; il aurait fallu la brancher dans
+   `files_read`, `files_media`, `history`, `backups`, `mcp/tools`, `push`…
+   Surface de sécurité trop grande pour un gain marginal.
+
+Décisions produit validées : nom `home-<user>`, dossier **conservé** à la
+suppression du compte, racine `/NFS/OBSIDIAN_DOC/Home` montée `/vaults/Home`.
+
+## Mise en place
+
+| Élément | Où |
+|---|---|
+| Service idempotent `ensure_user_home()` / `release_user_home()` / `ensure_all_user_homes()` | `backend/user_home.py` |
+| Registre persistant des vaults dynamiques `data/vaults.json`, fusionné par `load_vault_config()` | `backend/indexer.py` (`persist_vault` / `unpersist_vault`) |
+| Appel à la création et à la suppression d'un compte | `backend/auth/router.py` (`POST/DELETE /api/auth/admin/users`) |
+| Passe de réparation/migration au démarrage | `backend/main.py` (`lifespan` → après le watcher) |
+| Persistance des vaults ajoutés par `/api/vaults/add` + retrait | `backend/routers/vaults.py` |
+| Montage + variable d'environnement | `docker-compose.yml` (`/NFS/OBSIDIAN_DOC/Home:/vaults/Home`, `OBSIGATE_HOME_ROOT=/vaults/Home`) |
+
+## Garde-fous
+
+- **Fonctionnalité inactive sans `OBSIGATE_HOME_ROOT`** : dev, tests et
+  desktop n'ont aucun comportement modifié.
+- **Validation du nom** : `^[a-zA-Z0-9_-]{2,32}$` (même grammaire que
+  `CreateUserRequest.username_valid`), re-vérifiée avant de construire un
+  chemin — défense en profondeur contre le path traversal.
+- **Nom de vault sans `/` ni `::`** : le nom sert de segment d'URL
+  (`/api/file/{vault}/…`) et de clé d'index `vault::path`.
+- **Auto-réparation** : `ensure_all_user_homes()` au démarrage crée les
+  dossiers manquants, ré-enregistre les vaults perdus et octroie l'accès aux
+  users créés hors API. Toute erreur disque (NFS indisponible) est
+  journalisée et rattrapée au boot.
+- **Suppression de compte** : index/watcher/registre refermés, dossier sur
+  disque conservé.
+
+## Bug corrigé au passage
+
+- `load_vault_config()` ne lisait que les env `VAULT_N_*`/`DIR_N_*` : tout
+  vault ajouté à la volée (y compris via `/api/vaults/add`) disparaissait au
+  premier reindex complet et au redémarrage. → `data/vaults.json`.
+- `reload_single_vault()` perdait l'entrée `vault_config[vault]` après
+  `remove_vault_from_index()`.
+
+## Tests
+
+- `tests/test_user_home.py` (10) : création (dossier + vault + octroi +
+  registre), idempotence, username invalide, désactivation sans variable,
+  relecture du registre par `load_vault_config`, `release` (dossier
+  conservé), isolation `check_vault_access` entre users, passe de réparation.
+- `tests/test_auth_api.py::TestUserHome` (2) : provisionnement via l'API
+  (création → dossier, vault visible, alice ne voit que son home, suppression
+  → vault refermé / dossier conservé) + absence de dossier sans
+  `OBSIGATE_HOME_ROOT`.
+
+## UI — arborescence (incrément)
+
+- **Ordre** : tri stable `home-*` en premier, appliqué à la source
+  (`frontend/js/sidebar.js::_homeFirst`, sur les deux sites qui alimentent
+  `state.allVaults`) → arborescence, sélecteurs et refreshs homogènes.
+- **Icône** : `getVaultIcon()` (`frontend/js/viewer.js`) renvoie
+  `icon("home", size)` pour `home-*` → même pipeline lucide que le reste de
+  l'app (`safeCreateIcons`, `stroke: currentColor`, suit le thème).
+- **Test local** : `docker-compose.test-win.yml` monte
+  `test_home:/vaults/Home` + `OBSIGATE_HOME_ROOT=/vaults/Home`
+  (`test_home/` est dans `.gitignore`).
+- **Vérifié live** (instance 2020, Playwright) : ordre `home-admin, TestDir,
+  TestVault` (l'admin ne voit plus le home des autres), `svg.lucide-home`
+  rendu, placeholder `<i>` remplacé.
+
+## Isolation — « * » ne couvre pas les dossiers persos
+
+- **Racine** : `check_vault_access` (`backend/auth/middleware.py`) renvoie
+  ``vault_name in vaults`` pour tout vault ``home-*``, quel que soit le ``*``.
+  Toutes les routes (89 usages) passent par cette fonction.
+- **Filtres « * » en dur remplacés** par cet appel : dashboard
+  (`routers/config.py`), conflits, liens retour, favoris, abonnements push.
+- **Recherche** : `services/search.search_vaults(is_allowed=…)` filtre les
+  bruts **avant** pagination — ``total`` et page restent justes.
+- **Octroi** : `_grant` n'écarte plus les comptes ``*`` → l'admin reçoit son
+  propre ``home-admin`` (réparé au démarrage pour les comptes existants).
+- **Reste ouvert** (fuite pré-existante, hors #194) : `/api/search/advanced`,
+  `/api/tags`, `/api/tags/suggest`, `/api/tree-search` et `/api/suggest` ne
+  filtrent pas par vault accessible — à traiter dans une tâche dédiée.
+
+## Impact utilisateur
+
+Aucune nouvelle chaîne i18n : les noms de vault sont des données, la liste
+provient déjà de `GET /api/vaults`. Le dossier apparaît tout seul dans le
+sélecteur de vaults de l'utilisateur concerné.
@@ -1100,15 +1100,15 @@
                                    style="width: 15px; height: 15px"
                                ></i>
                            </button>
-                            <input
-                                type="text"
+                            <textarea
                                id="sidebar-panel-chat-input"
                                class="file-chat-input"
+                                rows="1"
                                maxlength="4000"
                                placeholder="Écrire un message…"
                                autocomplete="off"
                                aria-label="Écrire un message"
-                            />
+                            ></textarea>
                            <!-- #191 : bouton compact (icône) pour laisser la place à la saisie -->
                            <button
                                type="submit"
@@ -11,13 +11,16 @@
 // depuis sync.js) : vault `__global__` = chat général, sinon chat fichier.
 import { api, AuthManager } from "./auth.js";
 import { t } from "./i18n.js";
-import { showToast } from "./ui.js";
-import { escapeHtml, safeCreateIcons } from "./utils.js";
+import { showToast, TabManager } from "./ui.js";
+import { escapeHtml, safeCreateIcons, safeHighlight } from "./utils.js";
+import { icon } from "./viewer.js";

 const PANEL_ID = "file-chat-panel";
 const GLOBAL_VAULT = "__global__";
+const GLOBAL_PATH = "general";
 const DM_VAULT = "__dm__";
 const UNREAD_KEY = "obsigate-chat-unread"; // {general: ts, "dm:<user>": ts}
+const MAX_INPUT_H = 160; // #192 — plafond de la boîte de saisie auto-agrandie

 let _vault = null;
 let _path = null;
@@ -31,6 +34,10 @@ let _channelLoaded = false;
 let _usersCache = null; // liste des destinataires DM (une seule requête)
 let _pendingAttach = null;

+// #192 — accusé de réception : {username: dernier_ts_de_lecture} par surface.
+let _fileRead = {};
+let _channelRead = {};
+
 // ---------------------------------------------------------------------------
 // Partagé
 // ---------------------------------------------------------------------------
@@ -53,8 +60,119 @@ function _currentUser() {
  return (u && u.username) || "";
 }

+// #192 — chemin de la conversation du canal courant (général ou privé).
+function _channelVaultPath() {
+  return _channel.type === "dm"
+    ? { vault: DM_VAULT, path: _dmPath(_channel.user) }
+    : { vault: GLOBAL_VAULT, path: GLOBAL_PATH };
+}
+
+/** Paire DM triée côté client — même règle que ``dm_path()`` serveur. */
+function _dmPath(user) {
+  return [_currentUser(), user].sort().join("|");
+}
+
+/**
+ * #192 — la boîte de saisie suit le contenu : hauteur auto, plafonné à
+ * ``MAX_INPUT_H`` (au-delà la zone défile).
+ */
+function _autoGrow(el) {
+  el.style.height = "auto";
+  el.style.height = `${Math.min(el.scrollHeight, MAX_INPUT_H)}px`;
+}
+
+/** #192 — un message est lu dès qu'un AUTRE participant l'a ouvert. */
+function _isRead(ts, readMap, me) {
+  return Object.keys(readMap || {}).some((u) => u !== me && Number(readMap[u]) >= Number(ts));
+}
+
+/**
+ * #192 — passe les indicateurs de mes messages (liste affichée) à ✓✓.
+ * Retourne le nombre de messages qui venaient de passer à « lu ».
+ */
+function _applyRead(list, readMap, me) {
+  if (!list || !readMap) return 0;
+  let flipped = 0;
+  list.querySelectorAll(".file-chat-msg.mine").forEach((el) => {
+    if (el.classList.contains("read")) return;
+    if (!_isRead(el.dataset.ts, readMap, me)) return;
+    el.classList.add("read");
+    const st = el.querySelector(".file-chat-status");
+    if (st) {
+      st.textContent = "✓✓";
+      st.title = t("chat.status_read");
+    }
+    flipped++;
+  });
+  return flipped;
+}
+
+/**
+ * #192 — fusionne *readMap* dans la conversation affichée à l'écran et
+ * actualise les indicateurs. Retourne le nombre de mes messages passés à lu.
+ */
+function _syncRead(vault, path, readMap) {
+  if (!readMap) return 0;
+  const me = _currentUser();
+  let flipped = 0;
+  const panel = document.getElementById(PANEL_ID);
+  if (panel && !panel.classList.contains("hidden") && _vault === vault && _path === path) {
+    _fileRead = Object.assign({}, _fileRead, readMap);
+    flipped += _applyRead(panel.querySelector(".file-chat-list"), _fileRead, me);
+  }
+  const key =
+    vault === DM_VAULT ? `dm:${_pairOf(path)}` : vault === GLOBAL_VAULT ? "general" : null;
+  const sidebar = document.getElementById("sidebar-panel-chat");
+  if (key && key === _channelKey() && sidebar && sidebar.classList.contains("active")) {
+    _channelRead = Object.assign({}, _channelRead, readMap);
+    flipped += _applyRead(_sidebarList(), _channelRead, me);
+  }
+  return flipped;
+}
+
+/**
+ * #192 — signale au serveur que la conversation est affichée (accusé de
+ * réception). Fire-and-forget : un réseau indisponible ne casse rien.
+ */
+async function _markRead(vault, path) {
+  try {
+    const data = await api("/api/chat/read", {
+      method: "POST",
+      body: JSON.stringify({ vault, path }),
+    });
+    _syncRead(vault, path, data && data.read ? data.read : {});
+  } catch (_) {
+    /* réseau indisponible : pas d'accusé de réception, ni d'erreur */
+  }
+}
+
 // URL dans le texte → lien cliquable (partage d'URL #190), texte sinon.
-function _fillBody(body, text) {
+/**
+ * Remplit le corps d'un message (#193).
+ *
+ * Quand le serveur a fourni le rendu markdown (`html`, même pipeline que les
+ * documents : mistune + sanitizer BUG-021), on l'injecte dans un `.md-content`
+ * — titres, listes, tableaux, blocs de code — et on colore les blocs avec
+ * highlight.js (`safeHighlight`), exactement comme dans le viewer.
+ *
+ * Sans `html` (message optimiste d'un autre client, cache ancien), on retombe
+ * sur le texte brut avec liens cliquables, comme avant.
+ */
+function _fillBody(body, m) {
+  const text = typeof m === "string" ? m : (m && m.text) || "";
+  const html = m && typeof m === "object" ? m.html || "" : "";
+  if (html) {
+    body.classList.add("file-chat-md");
+    const div = document.createElement("div");
+    div.className = "md-content";
+    div.innerHTML = html; // rendu + assaini côté serveur
+    body.appendChild(div);
+    div.querySelectorAll("pre code").forEach((block) => {
+      if (block.querySelector(".secret-mask")) return;
+      safeHighlight(block);
+    });
+    return;
+  }
  const parts = String(text || "").split(/(https?:\/\/[^\s<>"']+)/g);
  parts.forEach((part) => {
    if (!part) return;
@@ -72,15 +190,48 @@ function _fillBody(body, text) {
  });
 }

+// #110 — image jointe : clic = même visualiseur que pour une image de vault
+// (ouvert dans un onglet de l'app), boutons discrets (icônes seules) sous
+// l'image, alignés à droite.
 function _attachEl(att) {
  if (!att || !att.url) return null;
  if (att.kind === "image") {
+    const container = document.createElement("div");
+    container.className = "file-chat-image-container";
+
    const img = document.createElement("img");
    img.src = att.url;
    img.alt = att.name || "image";
    img.loading = "lazy";
    img.className = "file-chat-image";
-    return img;
+    img.title = t("chat.view_image");
+    img.addEventListener("click", () => TabManager.openChatImage(att));
+    container.appendChild(img);
+
+    const actions = document.createElement("div");
+    actions.className = "file-chat-image-actions";
+    const mkBtn = (iconName, label, cls, onClick) => {
+      const b = document.createElement("button");
+      b.type = "button";
+      b.className = `file-chat-image-btn ${cls}`;
+      b.title = label;
+      b.setAttribute("aria-label", label);
+      b.appendChild(icon(iconName, 14));
+      b.addEventListener("click", (e) => { e.stopPropagation(); onClick(); });
+      return b;
+    };
+    actions.appendChild(mkBtn("download", t("chat.download_image"), "file-chat-image-download", () => {
+      const a = document.createElement("a");
+      a.href = att.url;
+      a.download = att.name || "image";
+      document.body.appendChild(a);
+      a.click();
+      a.remove();
+    }));
+    actions.appendChild(mkBtn("maximize", t("chat.view_image"), "file-chat-open", () => TabManager.openChatImage(att)));
+    container.appendChild(actions);
+
+    return container;
  }
  if (att.kind === "video") {
    const v = document.createElement("video");
@@ -100,14 +251,46 @@ function _canDelete(m, currentUser) {
  return u.role === "admin" || m.user === u.username;
 }

-async function _deleteMessage(delUrl, id, wrap) {
-  if (!window.confirm(t("chat.delete_confirm"))) return;
-  try {
-    await api(`${delUrl}/${encodeURIComponent(id)}`, { method: "DELETE" });
-    wrap.remove();
-  } catch (_) {
-    showToast(t("chat.delete_error"), "error");
-  }
+// #110 — suppression différée : la ligne passe tout de suite à « supprimé »
+// avec un bouton Annuler ; le DELETE n'est envoyé qu'au bout de 10 s.
+// ponytail: un rechargement complet pendant la fenêtre annule la suppression
+// (le message reste côté serveur) — connu, acceptable.
+const _pendingDeletes = new Map(); // id -> {timer}
+
+export function _deleteMessage(delUrl, id, wrap) {
+  if (_pendingDeletes.has(id)) return;
+  const parent = wrap.parentNode;
+  if (!parent) return;
+
+  const holder = document.createElement("div");
+  holder.className = "file-chat-msg file-chat-deleted";
+  holder.innerHTML =
+    `<div class="file-chat-body file-chat-deleted-text">${t("chat.deleted_message")}` +
+    `<button class="file-chat-undo" type="button">${t("chat.undo")}</button></div>`;
+  parent.replaceChild(holder, wrap);
+
+  const undo = () => {
+    const entry = _pendingDeletes.get(id);
+    if (!entry) return;
+    clearTimeout(entry.timer);
+    _pendingDeletes.delete(id);
+    holder.replaceWith(wrap);
+  };
+  const timer = setTimeout(async () => {
+    _pendingDeletes.delete(id);
+    try {
+      await api(`${delUrl}/${encodeURIComponent(id)}`, { method: "DELETE" });
+      holder.remove();
+    } catch (_) {
+      showToast(t("chat.delete_error"), "error");
+      holder.replaceWith(wrap); // suppression ratée : le message revient
+    }
+  }, 10000);
+  _pendingDeletes.set(id, { timer });
+  holder.querySelector(".file-chat-undo").addEventListener("click", (e) => {
+    e.stopPropagation();
+    undo();
+  });
 }

 // #191 — carte de lien : site, titre, description, vignette.
@@ -150,17 +333,27 @@ function _previewEl(p) {
 * Render one message.
 * *delUrl* (#191) is the DELETE endpoint base for this conversation; when
 * provided the author/admin sees a trash button on their own messages.
+ * *readMap* (#192) drives the ✓/✓✓ receipt shown on my own messages.
 */
-export function _messageEl(m, currentUser, delUrl) {
+export function _messageEl(m, currentUser, delUrl, readMap) {
  const mine = currentUser && m.user === currentUser;
  const wrap = document.createElement("div");
  wrap.className = "file-chat-msg" + (mine ? " mine" : "");
  wrap.dataset.id = m.id || "";
+  wrap.dataset.ts = m.ts || 0;
  const meta = document.createElement("div");
  meta.className = "file-chat-meta";
  meta.innerHTML =
    `<span class="file-chat-user">${_esc(m.user)}</span>` +
    `<span class="file-chat-ts">${_esc(_formatTime(m.ts))}</span>`;
+  if (mine) {
+    const read = _isRead(m.ts, readMap, currentUser);
+    const status = document.createElement("span");
+    status.className = "file-chat-status" + (read ? " read" : "");
+    status.textContent = read ? "✓✓" : "✓";
+    status.title = t(read ? "chat.status_read" : "chat.status_sent");
+    meta.appendChild(status);
+  }
  if (delUrl && _canDelete(m, currentUser)) {
    const del = document.createElement("button");
    del.type = "button";
@@ -173,7 +366,7 @@ export function _messageEl(m, currentUser, delUrl) {
  }
  const body = document.createElement("div");
  body.className = "file-chat-body";
-  _fillBody(body, m.text);
+  _fillBody(body, m);
  wrap.appendChild(meta);
  if (m.text) wrap.appendChild(body);
  const att = _attachEl(m.attachment);
@@ -182,7 +375,7 @@ export function _messageEl(m, currentUser, delUrl) {
  return wrap;
 }

-export function renderChatMessages(container, messages, currentUser, delUrl) {
+export function renderChatMessages(container, messages, currentUser, delUrl, readMap) {
  container.innerHTML = "";
  if (!messages || messages.length === 0) {
    const empty = document.createElement("div");
@@ -191,8 +384,9 @@ export function renderChatMessages(container, messages, currentUser, delUrl) {
    container.appendChild(empty);
    return;
  }
-  messages.forEach((m) => container.appendChild(_messageEl(m, currentUser, delUrl)));
+  messages.forEach((m) => container.appendChild(_messageEl(m, currentUser, delUrl, readMap)));
  container.scrollTop = container.scrollHeight;
+  safeCreateIcons(); // #110 — hydrate les icônes des boutons de pièce jointe
 }

 function _appendMessage(list, m, delUrl) {
@@ -202,6 +396,7 @@ function _appendMessage(list, m, delUrl) {
  if (id && list.querySelector(`[data-id="${CSS.escape(id)}"]`)) return false;
  list.appendChild(_messageEl(m, _currentUser(), delUrl));
  list.scrollTop = list.scrollHeight;
+  safeCreateIcons();
  return true;
 }

@@ -227,7 +422,9 @@ async function _load() {
    const data = await api(
      `/api/file/${encodeURIComponent(_vault)}/chat?path=${encodeURIComponent(_path)}`,
    );
-    renderChatMessages(list, data.messages || [], _currentUser());
+    _fileRead = data.read || {};
+    renderChatMessages(list, data.messages || [], _currentUser(), null, _fileRead);
+    _markRead(_vault, _path); // #192 — accusé de réception
  } catch (_) {
    list.innerHTML = "";
    const err = document.createElement("div");
@@ -267,12 +464,20 @@ function _renderShell(panel) {

  const form = document.createElement("form");
  form.className = "file-chat-form";
-  const input = document.createElement("input");
-  input.type = "text";
+  // #192 — textarea auto-agrandie : on lit le message entier avant l'envoi.
+  const input = document.createElement("textarea");
  input.className = "file-chat-input";
+  input.rows = 1;
  input.placeholder = t("chat.placeholder");
  input.maxLength = 4000;
  input.setAttribute("aria-label", t("chat.placeholder"));
+  input.addEventListener("input", () => _autoGrow(input));
+  input.addEventListener("keydown", (e) => {
+    if (e.key === "Enter" && !e.shiftKey) {
+      e.preventDefault(); // Shift+Enter = retour à la ligne
+      _send(input);
+    }
+  });
  const send = document.createElement("button");
  send.type = "submit";
  send.className = "file-chat-send file-chat-send-icon";
@@ -297,6 +502,7 @@ export async function openFileChat(vault, path, title) {
  _vault = vault;
  _path = path;
  _title = title || path || "";
+  _ensureNotifyPermission(); // #110 — geste utilisateur → permission notifications
  const panel = _panel();
  _renderShell(panel);
  panel.classList.remove("hidden");
@@ -338,6 +544,7 @@ async function _send(input) {
      body: JSON.stringify({ path: _path, text }),
    });
    input.value = "";
+    _autoGrow(input); // #192 — repasse à la hauteur d'une ligne
    _appendMessage(_panel().querySelector(".file-chat-list"), data.message);
  } catch (_) {
    showToast(t("chat.send_error"), "error");
@@ -411,14 +618,18 @@ async function _loadUsers() {
 export async function openSidebarChat() {
  const list = _sidebarList();
  if (!list) return;
+  _ensureNotifyPermission(); // #110 — geste utilisateur → permission notifications
  const users = await _loadUsers();
  _renderChannels(users);
  try {
    const data = await api(_channelUrl());
    _channelMessages = (data.messages || []).slice();
    _channelLoaded = true;
-    renderChatMessages(list, _channelMessages, _currentUser(), _channelDelUrl());
+    _channelRead = data.read || {};
+    renderChatMessages(list, _channelMessages, _currentUser(), _channelDelUrl(), _channelRead);
    _clearUnread();
+    const vp = _channelVaultPath();
+    _markRead(vp.vault, vp.path); // #192 — accusé de réception
  } catch (_) {
    list.innerHTML = "";
    const err = document.createElement("div");
@@ -448,7 +659,7 @@ export function filterChatMessages(query) {
        ((m.text || "") + " " + (m.user || "")).toLowerCase().includes(q),
      )
    : _channelMessages;
-  renderChatMessages(list, shown, _currentUser(), _channelDelUrl());
+  renderChatMessages(list, shown, _currentUser(), _channelDelUrl(), _channelRead);
 }

 function _sendInput() {
@@ -487,6 +698,7 @@ export async function sendGeneralMessage() {
  try {
    const data = await api(_channelUrl(), { method: "POST", body: JSON.stringify(body) });
    input.value = "";
+    _autoGrow(input); // #192 — repasse à la hauteur d'une ligne
    _pendingAttach = null;
    _renderPending();
    const list = _sidebarList();
@@ -561,6 +773,8 @@ function _totalUnread() {
 function _renderBadge(count) {
  const tab = document.getElementById("sidebar-tab-chat");
  if (!tab) return;
+  // #110 — point de couleur sur l'icône chat tant qu'il reste des non-lus
+  tab.classList.toggle("chat-has-unread", count > 0);
  let badge = tab.querySelector(".chat-unread-badge");
  if (!count) {
    if (badge) badge.remove();
@@ -579,11 +793,38 @@ export function refreshUnreadBadge() {
  _renderBadge(_totalUnread());
 }

+/** #110 — notification OS quand l'app n'est pas au premier plan. */
+function _notifyNewMessage(m) {
+  const Notif = window.Notification;
+  if (!Notif) return;
+  if (!document.hidden && document.hasFocus()) return; // visible : le toast suffit
+  if (Notif.permission !== "granted") return;
+  try {
+    const n = new Notif(t("chat.new_message", { user: m.user }), {
+      body: (m.text || "").slice(0, 140),
+      icon: "/static/icons/icon-192x192.svg",
+      tag: "obsigate-chat",
+    });
+    n.onclick = () => { try { window.focus(); } catch (_) { /* ignore */ } n.close(); };
+  } catch (_) { /* notifications indisponibles */ }
+}
+
+/** Demande la permission au premier clic utilisateur (ouverture du chat). */
+function _ensureNotifyPermission() {
+  const Notif = window.Notification;
+  if (!Notif || Notif.permission !== "default") return;
+  try { Notif.requestPermission(); } catch (_) { /* ignoré */ }
+}
+
 /** Initialisation : formulaire + raccourcis clavier. */
 export function initSidebarChat() {
  const form = document.getElementById("sidebar-panel-chat-form");
  if (!form) return;
  const input = document.getElementById("sidebar-panel-chat-input");
+  if (input) {
+    input.placeholder = t("chat.placeholder"); // le HTML embarque le FR
+    input.addEventListener("input", () => _autoGrow(input)); // #192
+  }
  form.addEventListener("submit", (e) => {
    e.preventDefault();
    sendGeneralMessage();
@@ -616,10 +857,13 @@ export function onChatMessage(data) {
    if (visible && isActive) {
      _appendMessage(_sidebarList(), data.message, _channelDelUrl());
      _clearUnread();
+      // #192 — le canal est affiché : on accuse réception aussitôt.
+      if (data.message.user !== _currentUser()) _markRead(data.vault, data.path);
    } else if (data.message.user !== _currentUser()) {
      _bumpUnread(key);
      refreshUnreadBadge();
      showToast(t("chat.new_message", { user: data.message.user }), "info");
+      _notifyNewMessage(data.message); // #110 — notification OS si app en arrière-plan
    }
    return;
  }
@@ -632,10 +876,27 @@ export function onChatMessage(data) {
  if (isOpen) {
    const list = panel.querySelector(".file-chat-list");
    if (list) _appendMessage(list, data.message);
+    if (data.message.user !== _currentUser()) {
+      // #192 — panneau affiché : accusé de réception immédiat.
+      _markRead(data.vault, data.path);
+      _notifyNewMessage(data.message); // #110 — notification OS si app en arrière-plan
+    }
    return;
  }
  if (data.message.user === _currentUser()) return; // son propre message
  showToast(t("chat.new_message", { user: data.message.user }), "info");
+  _notifyNewMessage(data.message); // #110
+}
+
+/**
+ * #192 — SSE `chat_read` : quelqu'un vient d'ouvrir la conversation. Les
+ * indicateurs de MES messages passent à ✓✓ et, si un message change d'état,
+ * l'expéditeur est notifié.
+ */
+export function onChatRead(data) {
+  if (!data || !data.user || data.user === _currentUser()) return; // notre propre écho
+  const flipped = _syncRead(data.vault, data.path, data.read || { [data.user]: data.ts });
+  if (flipped) showToast(t("chat.read_by", { user: data.user }), "info");
 }

 /** Le path DM est « alice|bob » trié : on en déduit l'interlocuteur. */
@@ -220,8 +220,15 @@ async function loadVaultSettings() {
 // ---------------------------------------------------------------------------
 // Sidebar — Vault tree
 // ---------------------------------------------------------------------------
+// #194 : le dossier personnel (vault « home-<user> ») s'affiche en premier
+// dans l'arborescence. Tri stable fait sur place, à la source de toutes les
+// listes (arborescence, sélecteurs, state.allVaults).
+const _homeFirst = (a, b) =>
+  (String(b?.name).startsWith("home-") ? 1 : 0) - (String(a?.name).startsWith("home-") ? 1 : 0);
+
 async function loadVaults() {
  const vaults = await api("/api/vaults");
+  vaults.sort(_homeFirst);
  state.allVaults = vaults;
  const container = document.getElementById("vault-tree");
  container.innerHTML = "";
@@ -426,6 +433,7 @@ export async function refreshSidebarTreePreservingState() {
  // 2. Soft update: vault names/counts without wiping the tree
  try {
    const vaults = await api("/api/vaults");
+    vaults.sort(_homeFirst);
    state.allVaults = vaults;
    vaults.forEach((v) => {
      const vItem = document.querySelector(`.vault-item[data-vault="${CSS.escape(v.name)}"]`);
@@ -140,6 +140,16 @@ export const IndexUpdateManager = (() => {
      }
    });

+    // #192 — accusé de réception (un participant vient d'ouvrir la conversation)
+    eventSource.addEventListener("chat_read", (e) => {
+      try {
+        const data = JSON.parse(e.data);
+        import("./filechat.js").then((m) => m.onChatRead(data)).catch(() => {});
+      } catch (err) {
+        console.error("SSE parse error:", err);
+      }
+    });
+
    eventSource.onerror = () => {
      connectionState = "disconnected";
      _updateBadge();
@@ -1,7 +1,7 @@
 /* ObsiGate — UI module */
 import { api, AuthManager, initLoginForm } from './auth.js';
 import { state } from './state.js';
-import { openFile, showWelcome, renderFile, el } from './viewer.js';
+import { openFile, showWelcome, renderFile, renderImageViewer, el } from './viewer.js';
 import { safeCreateIcons, getFileIcon, escapeHtml, detachInlineEditor } from './utils.js';
 import { syncActiveFileTreeItem, refreshSidebarTreePreservingState } from './sidebar.js';
 import { GraphViewManager } from './graph.js';
@@ -2122,6 +2122,28 @@ export const TabManager = {
    this.activate(tabId);
  },

+  /** #110 — ouvre une image jointe au chat dans un onglet, avec le même
+   *  visualiseur que pour une image de vault (zoom/pan/plein écran). La pièce
+   *  jointe est servie par ``/api/chat/attachment/`` : pas de couple
+   *  (vault, path) derrière, donc onglet dédié qui rend le viewer directement
+   *  depuis l'URL (aucun fetch de l'API fichiers).
+   *  ponytail: l'onglet reste sur le TabManager singleton (les PaneTabManager
+   *  n'ont pas cette branche) — suffisant pour un cas limite du mode split. */
+  async openChatImage(att) {
+    if (!att || !att.url) return;
+    const tabId = `chatimg::${att.url}`;
+    const name = att.name || "image";
+    const existing = this._tabs.find(t => t.id === tabId);
+    if (existing) {
+      this.activate(tabId);
+      return;
+    }
+    this._tabs.push({ id: tabId, vault: null, path: name, name, icon: "image", chatImage: true });
+    this._tabCache[tabId] = { chatImage: true, url: att.url, mime: att.mime, name, title: name };
+    this._renderTabs();
+    this.activate(tabId);
+  },
+
  /** Open (or retarget) the navigation tab for a vault directory (#158).
   *  One navigation tab per vault: clicking another directory reuses it and
   *  updates its directory, so open file tabs are never displaced. */
@@ -2229,6 +2251,25 @@ export const TabManager = {
      return;
    }

+    // #110 — onglet image de chat : rendu direct depuis l'URL de la pièce
+    // jointe, sans passer par l'API fichiers (l'image n'est pas dans un vault).
+    if (cache.chatImage) {
+      state.currentVault = null;
+      state.currentPath = null;
+      const chatArea = document.getElementById("content-area");
+      if (!chatArea) return;
+      renderImageViewer(chatArea, {
+        vault: null,
+        path: cache.name,
+        title: cache.name,
+        url: cache.url,
+        image_mime: cache.mime,
+      });
+      const dash = document.getElementById("dashboard-home");
+      if (dash) dash.style.display = "none";
+      return;
+    }
+
    // Update global state
    state.currentVault = cache.vault;
    state.currentPath = cache.path;
@@ -727,7 +727,7 @@ export function renderImageViewer(area, data) {
  // of re-rendering the whole viewer (which used to refetch the file + listing).
  let currentPath = data.path;
  let currentTitle = data.title || (currentPath || "").split("/").pop();
-  let imgUrl = buildImageUrl(vault, currentPath);
+  let imgUrl = data.url || buildImageUrl(vault, currentPath);
  let currentMeta = {
    image_mime: data.image_mime || imageMimeFor(currentPath),
    size_bytes: data.size_bytes,
@@ -959,6 +959,7 @@ export function renderImageViewer(area, data) {
  }, { passive: false });

  (async () => {
+    if (!vault) return; // #110 — pièce jointe de chat : pas de listing voisin
    try {
      const dir = currentPath.includes("/") ? currentPath.slice(0, currentPath.lastIndexOf("/")) : "";
      siblings = await listImageSiblings(vault, dir);
@@ -1023,7 +1024,8 @@ export function renderImageViewer(area, data) {
  nextBtn.addEventListener("click", () => go(1));
  originalBtn.addEventListener("click", () => window.open(imgUrl, "_blank"));
  downloadBtn.addEventListener("click", () => {
-    const dlUrl = `/api/file/${encodeURIComponent(vault)}/download?path=${encodeURIComponent(currentPath)}`;
+    // #110 — une pièce jointe de chat n'est pas dans un vault : URL directe.
+    const dlUrl = data.url || `/api/file/${encodeURIComponent(vault)}/download?path=${encodeURIComponent(currentPath)}`;
    window.open(dlUrl, "_blank");
  });
  metaBtn.setAttribute("aria-pressed", _imageViewerState.meta ? "true" : "false");
@@ -7577,6 +7579,10 @@ export function attachTreeItemLongPress(itemEl, getMenuData) {
 }

 export function getVaultIcon(vaultName, size = 16) {
+  // Dossier personnel (#194) : icône maison, même style lucide que le reste.
+  if (typeof vaultName === "string" && vaultName.startsWith("home-")) {
+    return icon("home", size);
+  }
  const v = state.allVaults.find((val) => val.name === vaultName);
  const type = v ? v.type : "VAULT";

@@ -322,8 +322,11 @@
  "chat.attach_error": "Attachment upload failed",
  "chat.channel_general": "General",
  "chat.delete": "Delete this message",
-  "chat.delete_confirm": "Delete this message?",
  "chat.delete_error": "Delete failed",
+  "chat.deleted_message": "This message has been deleted",
+  "chat.undo": "Undo",
+  "chat.download_image": "Download image",
+  "chat.view_image": "View full size",
  "chat.attach_remove": "Remove attachment",
  "chat.button": "Chat",
  "chat.button_title": "Discuss this file",
@@ -333,9 +336,12 @@
  "chat.new_message": "New message from {user}",
  "chat.placeholder": "Write a message…",
  "chat.placeholder_dm": "Private message to {user}…",
+  "chat.read_by": "{user} read your message",
  "chat.send": "Send",
  "chat.send_error": "Failed to send the message",
  "chat.tab": "General chat",
+  "chat.status_read": "Read",
+  "chat.status_sent": "Sent",
  "chat.title": "Discussion",
  "common.actions": "Actions",
  "common.all": "All",
@@ -322,8 +322,11 @@
  "chat.attach_error": "Échec de l'envoi de la pièce jointe",
  "chat.channel_general": "Général",
  "chat.delete": "Supprimer ce message",
-  "chat.delete_confirm": "Supprimer ce message ?",
  "chat.delete_error": "Échec de la suppression",
+  "chat.deleted_message": "Ce message a été supprimé",
+  "chat.undo": "Annuler",
+  "chat.download_image": "Télécharger l'image",
+  "chat.view_image": "Afficher en grand",
  "chat.attach_remove": "Retirer la pièce jointe",
  "chat.button": "Chat",
  "chat.button_title": "Discuter de ce fichier",
@@ -333,9 +336,12 @@
  "chat.new_message": "Nouveau message de {user}",
  "chat.placeholder": "Écrire un message…",
  "chat.placeholder_dm": "Message privé à {user}…",
+  "chat.read_by": "{user} a lu votre message",
  "chat.send": "Envoyer",
  "chat.send_error": "Échec de l'envoi du message",
  "chat.tab": "Chat général",
+  "chat.status_read": "Lu",
+  "chat.status_sent": "Envoyé",
  "chat.title": "Discussion",
  "common.actions": "Actions",
  "common.all": "Tous",
@@ -13828,8 +13828,8 @@ body.reading-mode .file-actions {
 }
 .file-chat-meta {
  display: flex;
-  justify-content: space-between;
-  gap: 8px;
+  align-items: center;
+  gap: 6px;
  font-size: 0.72rem;
  color: var(--text-muted, #8b949e);
  margin-bottom: 4px;
@@ -13838,12 +13838,84 @@ body.reading-mode .file-actions {
  font-weight: 600;
  color: var(--accent, #58a6ff);
 }
+/* #192 — accusé de réception sur mes messages : ✓ envoyé, ✓✓ lu */
+.file-chat-status {
+  color: var(--text-muted, #8b949e);
+  letter-spacing: -1px;
+}
+.file-chat-status.read {
+  color: var(--accent, #58a6ff);
+}
 .file-chat-body {
  font-size: 0.88rem;
  color: var(--text-primary, #e6edf3);
  white-space: pre-wrap;
  word-break: break-word;
 }
+/* #193 — un post peut être rendu comme un document markdown (mistune côté
+   serveur + hljs côté client) : on annule le `pre-wrap` hérité (sinon les
+   retours à la ligne du HTML source deviennent des lignes vides) et on
+   compacte la typographie `.md-content` pour une bulle de chat. */
+.file-chat-body.file-chat-md {
+  white-space: normal;
+  word-break: normal;
+}
+.file-chat-body .md-content > :first-child {
+  margin-top: 0;
+}
+.file-chat-body .md-content > :last-child {
+  margin-bottom: 0;
+}
+.file-chat-body .md-content h1,
+.file-chat-body .md-content h2,
+.file-chat-body .md-content h3,
+.file-chat-body .md-content h4,
+.file-chat-body .md-content h5,
+.file-chat-body .md-content h6 {
+  font-size: 1rem;
+  margin: 0.7em 0 0.35em;
+  border-bottom: none;
+  padding-bottom: 0;
+}
+.file-chat-body .md-content p {
+  margin: 0.4em 0;
+}
+.file-chat-body .md-content ul,
+.file-chat-body .md-content ol {
+  padding-left: 1.3em;
+  margin: 0.4em 0;
+}
+.file-chat-body .md-content pre {
+  max-width: 100%;
+  overflow-x: auto;
+  margin: 0.5em 0;
+}
+.file-chat-body .md-content pre code {
+  font-size: 0.78rem;
+  line-height: 1.45;
+}
+.file-chat-body .md-content :not(pre) > code {
+  font-size: 0.82rem;
+  padding: 1px 4px;
+  border-radius: 4px;
+  background: var(--bg-hover, rgba(128, 128, 128, 0.15));
+}
+.file-chat-body .md-content table {
+  display: block;
+  max-width: 100%;
+  overflow-x: auto;
+  border-collapse: collapse;
+  font-size: 0.82rem;
+}
+.file-chat-body .md-content img {
+  max-width: 100%;
+  border-radius: 6px;
+}
+.file-chat-body .md-content .wikilink,
+.file-chat-body .md-content .wikilink-anchor {
+  color: var(--accent, #58a6ff);
+  cursor: pointer;
+}
 .file-chat-form {
  display: flex;
  gap: 8px;
@@ -13855,11 +13927,22 @@ body.reading-mode .file-actions {
  min-width: 0;
  padding: 8px 10px;
  font-size: 16px; /* anti-zoom iOS */
+  font-family: inherit;
+  line-height: 1.4;
  border: 1px solid var(--border, #21262d);
  border-radius: 8px;
  background: var(--bg-secondary, #161b22);
  color: var(--text-primary, #e6edf3);
 }
+/* #192 — textarea auto-agrandie (hauteur pilotée en JS, plafond ci-dessous) */
+textarea.file-chat-input {
+  display: block;
+  resize: none;
+  overflow-y: auto;
+  max-height: 160px;
+  white-space: pre-wrap;
+  word-break: break-word;
+}
 .file-chat-input:focus {
  outline: none;
  border-color: var(--accent, #58a6ff);
@@ -13928,18 +14011,23 @@ body.reading-mode .file-actions {
 /* Suppression d'un post */
 .file-chat-del {
  border: none;
-  background: transparent;
+  background: var(--bg-hover, #1f2430);
  cursor: pointer;
-  font-size: 0.75rem;
-  padding: 0 2px;
-  opacity: 0;
-  transition: opacity 0.12s;
+  font-size: 0.72rem;
+  padding: 2px 6px;
+  border-radius: 4px;
+  opacity: 0.6;
+  transition: opacity 0.15s, background 0.15s;
+  color: var(--danger, #ff7b72);
+  line-height: 1;
+  margin-left: auto; /* #110 — l'action se détache à droite de la ligne */
 }
 .file-chat-msg:hover .file-chat-del {
-  opacity: 0.7;
+  opacity: 1;
 }
 .file-chat-del:hover {
  opacity: 1 !important;
+  background: var(--danger-bg, #3d1a18);
 }
 /* Link preview (#191) */
 .file-chat-preview {
@@ -14016,6 +14104,25 @@ body.reading-mode .file-actions {
 .sidebar-tab {
  position: relative;
 }
+
+/* #110 — point de couleur sur l'icône chat tant qu'il reste des non-lus */
+.sidebar-tab#sidebar-tab-chat.chat-has-unread::after {
+  content: "";
+  position: absolute;
+  top: 3px;
+  left: 6px;
+  width: 8px;
+  height: 8px;
+  border-radius: 50%;
+  background: var(--danger, #e5534b);
+  animation: chat-dot-pulse 1.8s ease-out infinite;
+}
+
+@keyframes chat-dot-pulse {
+  0% { box-shadow: 0 0 0 0 rgba(229, 83, 75, 0.5); }
+  70% { box-shadow: 0 0 0 6px rgba(229, 83, 75, 0); }
+  100% { box-shadow: 0 0 0 0 rgba(229, 83, 75, 0); }
+}
 .chat-unread-badge {
  position: absolute;
  top: 2px;
@@ -14088,12 +14195,46 @@ body.reading-mode .file-actions {
  color: inherit;
  cursor: pointer;
 }
-.file-chat-image {
+.file-chat-image-container {
+  max-width: 100%;
+  margin-top: 6px;
+}
+.file-chat-image-container .file-chat-image {
+  display: block;
  max-width: 100%;
  max-height: 220px;
  border-radius: 8px;
-  margin-top: 6px;
-  display: block;
+  cursor: zoom-in;
+}
+/* Boutons discrets : icônes seules, sous l'image, alignés à droite */
+.file-chat-image-actions {
+  display: flex;
+  justify-content: flex-end;
+  gap: 2px;
+  margin-top: 2px;
+}
+.file-chat-image-btn {
+  display: inline-flex;
+  align-items: center;
+  justify-content: center;
+  width: 24px;
+  height: 24px;
+  padding: 0;
+  border: none;
+  border-radius: 4px;
+  background: transparent;
+  color: var(--text-muted, #8b949e);
+  opacity: 0.55;
+  cursor: pointer;
+  transition: opacity 0.15s, color 0.15s, background 0.15s;
+}
+.file-chat-image-btn:hover {
+  opacity: 1;
+  color: var(--accent, #58a6ff);
+  background: var(--bg-hover, rgba(128, 128, 128, 0.12));
+}
+.file-chat-image-btn i {
+  flex-shrink: 0;
 }
 .file-chat-video {
  max-width: 100%;
@@ -14101,10 +14242,50 @@ body.reading-mode .file-actions {
  border-radius: 8px;
  margin-top: 6px;
  display: block;
-}
-.file-chat-link {
+}.file-chat-link {
  color: var(--accent, #58a6ff);
  word-break: break-all;
 }

+/* #110 — message supprimé avec bouton Undo */
+.file-chat-deleted {
+  opacity: 0.7;
+  background: var(--bg-hover, #1f2430);
+  border-left: 2px solid var(--text-muted, #484f58);
+  padding: 4px 8px;
+  border-radius: 4px;
+  margin: 4px 0;
+}
+
+.file-chat-deleted-text {
+  font-style: italic;
+  color: var(--text-muted, #8b949e);
+  font-size: 0.85rem;
+}
+
+.file-chat-undo {
+  background: var(--accent, #58a6ff);
+  color: #fff;
+  border: none;
+  border-radius: 4px;
+  padding: 2px 8px;
+  font-size: 0.72rem;
+  cursor: pointer;
+  margin-left: 6px;
+  transition: background 0.15s;
+  vertical-align: middle;
+}
+
+.file-chat-undo:hover {
+  background: var(--accent-hover, #4494e6);
+}
+
+.file-chat-undo i {
+  margin-right: 3px;
+}
+
+
+
+
+

@@ -1,6 +1,6 @@
 {
  "name": "obsigate",
-  "version": "2.60.0",
+  "version": "2.65.1",
  "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
  "main": "patch.js",
  "directories": {
@@ -25,7 +25,7 @@ const dom = new JSDOM(
    <div class="sidebar-tab-panel active" id="sidebar-panel-chat">
      <div id="sidebar-panel-chat-list" class="file-chat-list"></div>
      <div id="sidebar-panel-chat-pending"></div>
-      <form id="sidebar-panel-chat-form"><input id="sidebar-panel-chat-input" /></form>
+      <form id="sidebar-panel-chat-form"><textarea id="sidebar-panel-chat-input"></textarea></form>
    </div>
    <button id="sidebar-tab-chat"></button>
  </body></html>`,
@@ -46,8 +46,10 @@ const LOCALES_DIR = path.resolve(__dirname, "..", "..", "frontend", "locales");

 // Route fetch: locales from disk, auth 401, API chat endpoints from a stub map.
 const apiStubs = new Map();
-globalThis.fetch = (url) => {
+const fetchCalls = []; // #110 — journal des appels {url, method}
+globalThis.fetch = (url, opts = {}) => {
  const u = String(url);
+  fetchCalls.push({ url: u, method: (opts.method || "GET").toUpperCase() });
  if (u.includes("/static/locales/")) {
    const name = u.split("/").pop();
    try {
@@ -77,7 +79,7 @@ const mod = await import("../../frontend/js/filechat.js");
 const {
  renderChatMessages, onChatMessage, openFileChat, closeFileChat, toggleFileChat,
  followFileChat, openSidebarChat, filterChatMessages, refreshUnreadBadge,
-  onChatDeleted,
+  onChatDeleted, onChatRead, _deleteMessage,
 } = mod;

 let pass = 0;
@@ -278,6 +280,183 @@ test("#191 — DM routed by pair path, isolated from general", async () => {
  assert.strictEqual(list.querySelectorAll(".file-chat-msg").length, before);
 });

+// --- #192 : accusé de réception + boîte de saisie auto-agrandie --------------
+
+test("#192 — receipt shows ✓ then ✓✓ once another participant read it", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{ id: "r1", user: "bruno", text: "coucou", ts: 100 }], "bruno", null, {});
+  let st = list.querySelector(".file-chat-status");
+  assert.strictEqual(st.textContent, "✓");
+  assert.strictEqual(st.classList.contains("read"), false);
+  // MY OWN read timestamp must never count as "the peer read it"
+  renderChatMessages(list, [{ id: "r2", user: "bruno", text: "coucou", ts: 100 }], "bruno", null, { bruno: 500 });
+  assert.strictEqual(list.querySelector(".file-chat-status").textContent, "✓");
+  renderChatMessages(list, [{ id: "r3", user: "bruno", text: "coucou", ts: 100 }], "bruno", null, { alice: 150 });
+  st = list.querySelector(".file-chat-status");
+  assert.strictEqual(st.textContent, "✓✓");
+  assert.strictEqual(st.classList.contains("read"), true);
+  // messages of others carry no receipt
+  renderChatMessages(list, [{ id: "r4", user: "alice", text: "ok", ts: 100 }], "bruno", null, {});
+  assert.strictEqual(list.querySelector(".file-chat-status"), null);
+});
+
+test("#192 — onChatRead flips ✓ → ✓✓ live and notifies the sender", async () => {
+  await openSidebarChat();
+  const list = document.getElementById("sidebar-panel-chat-list");
+  renderChatMessages(list, [{ id: "s1", user: "bruno", text: "msg", ts: 200 }], "bruno", "/api/chat", {});
+  assert.strictEqual(list.querySelector(".file-chat-status").textContent, "✓");
+  const container = document.getElementById("toast-container");
+  const before = container.children.length;
+  onChatRead({ vault: "__global__", path: "general", user: "alice", ts: 300, read: { bruno: 250, alice: 300 } });
+  assert.strictEqual(list.querySelector(".file-chat-status").textContent, "✓✓");
+  assert.ok(container.children.length > before, "notification de lecture affichée");
+  // notre propre écho ne notifie pas
+  const same = container.children.length;
+  onChatRead({ vault: "__global__", path: "general", user: "bruno", ts: 310, read: { bruno: 310 } });
+  assert.strictEqual(container.children.length, same);
+});
+
+test("#192 — saisie en textarea auto-agrandie, Enter envoie", async () => {
+  assert.strictEqual(document.getElementById("sidebar-panel-chat-input").tagName, "TEXTAREA");
+  await openFileChat("V", "grow.md");
+  const panel = document.getElementById("file-chat-panel");
+  const input = panel.querySelector(".file-chat-input");
+  assert.strictEqual(input.tagName, "TEXTAREA");
+  assert.strictEqual(input.rows, 1);
+  input.value = "ligne1\nligne2";
+  input.dispatchEvent(new w.Event("input", { bubbles: true }));
+  assert.ok(input.style.height, "hauteur pilotée en JS");
+  let prevented = false;
+  const ev = new w.KeyboardEvent("keydown", { key: "Enter", bubbles: true, cancelable: true });
+  Object.defineProperty(ev, "preventDefault", { value: () => { prevented = true; } });
+  input.value = ""; // rien à envoyer : on ne teste que le geste
+  input.dispatchEvent(ev);
+  assert.strictEqual(prevented, true, "Enter (sans Shift) est intercepté");
+  const nl = new w.KeyboardEvent("keydown", { key: "Enter", shiftKey: true, bubbles: true, cancelable: true });
+  let nlPrevented = false;
+  Object.defineProperty(nl, "preventDefault", { value: () => { nlPrevented = true; } });
+  input.dispatchEvent(nl);
+  assert.strictEqual(nlPrevented, false, "Shift+Enter garde le retour à la ligne");
+  closeFileChat();
+});
+
+// --- #110 : boutons discrets, image en onglet, point non-lu, delete différé -
+
+test("#110 — bouton supprimer visible (pas opacity:0)", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{ id: "d1", user: "bruno", text: "x", ts: 50 }], "bruno", "/api/chat");
+  const del = list.querySelector(".file-chat-del");
+  assert.ok(del, "bouton suppression présent");
+  assert.strictEqual(del.style.opacity, "", "pas de opacity:0 — bouton visible");
+});
+
+test("#110 — image : boutons icônes discrets sous l'image, à droite", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{
+    id: "img1", user: "alice", text: "", ts: 100,
+    attachment: { kind: "image", url: "/api/chat/attachment/photo.png", name: "photo.png", mime: "image/png" },
+  }], "bruno");
+  const container = list.querySelector(".file-chat-image-container");
+  assert.ok(container, "conteneur image présent");
+  const actions = container.querySelector(".file-chat-image-actions");
+  assert.ok(actions, "rangée de boutons sous l'image");
+  assert.ok(actions.querySelector(".file-chat-image-download"), "bouton téléchargement présent");
+  assert.ok(actions.querySelector(".file-chat-open"), "bouton visualisation présent");
+  actions.querySelectorAll("button").forEach((b) => {
+    assert.strictEqual(b.textContent.trim(), "", "bouton icône seule (sans libellé texte)");
+    assert.ok(b.getAttribute("aria-label"), "aria-label présent");
+  });
+});
+
+test("#110 — clic sur l'image : ouverture dans un onglet de l'app", async () => {
+  const ui = await import(pathToFileURL(path.join(JS_DIR, "ui.js")).href);
+  const seen = [];
+  const orig = ui.TabManager.openChatImage;
+  ui.TabManager.openChatImage = (att) => seen.push(att);
+  try {
+    const list = document.createElement("div");
+    const att = { kind: "image", url: "/api/chat/attachment/p2.png", name: "p2.png" };
+    renderChatMessages(list, [{ id: "img2", user: "alice", text: "", ts: 101, attachment: att }], "bruno");
+    list.querySelector(".file-chat-image").click();
+    assert.strictEqual(seen.length, 1, "openChatImage appelé au clic sur l'image");
+    assert.strictEqual(seen[0].url, att.url, "même pièce jointe transmise");
+    list.querySelector(".file-chat-open").click();
+    assert.strictEqual(seen.length, 2, "le bouton discret ouvre aussi l'onglet");
+  } finally {
+    ui.TabManager.openChatImage = orig;
+  }
+});
+
+test("#110 — point de couleur sur l'icône chat tant qu'il reste des non-lus", () => {
+  const tab = document.getElementById("sidebar-tab-chat");
+  assert.ok(tab, "onglet chat présent");
+  localStorage.setItem("obsigate-chat-unread", JSON.stringify({ general: 3 }));
+  refreshUnreadBadge();
+  assert.ok(tab.classList.contains("chat-has-unread"), "classe chat-has-unread posée");
+  localStorage.setItem("obsigate-chat-unread", JSON.stringify({}));
+  refreshUnreadBadge();
+  assert.ok(!tab.classList.contains("chat-has-unread"), "classe retirée quand tout est lu");
+});
+
+test("#110 — suppression différée : Annuler remet le message, aucun DELETE", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{ id: "del9", user: "bruno", text: "mon message", ts: 200 }], "bruno", "/api/chat");
+  const before = fetchCalls.length;
+  list.querySelector(".file-chat-del").click();
+  assert.ok(list.querySelector(".file-chat-deleted"), "ligne remplacée par « supprimé »");
+  assert.ok(list.querySelector(".file-chat-undo"), "bouton Annuler présent");
+  assert.ok(!fetchCalls.slice(before).some((c) => c.method === "DELETE"), "aucun DELETE parti pendant la fenêtre");
+  list.querySelector(".file-chat-undo").click();
+  assert.ok(list.querySelector("[data-id='del9']"), "message d'origine restauré");
+  assert.strictEqual(list.querySelector(".file-chat-deleted"), null, "ligne « supprimé » retirée");
+  assert.ok(!fetchCalls.slice(before).some((c) => c.method === "DELETE"), "toujours aucun DELETE");
+});
+
+test("#110 — notification OS quand l'app est en arrière-plan", () => {
+  const fired = [];
+  class FakeNotification {
+    constructor(title, opts) { fired.push({ title, opts }); }
+    close() {}
+  }
+  FakeNotification.permission = "granted";
+  window.Notification = FakeNotification;
+  Object.defineProperty(document, "hidden", { value: true, configurable: true });
+  try {
+    const panel = document.getElementById("sidebar-panel-chat");
+    panel.classList.remove("active");
+    onChatMessage({ vault: "__global__", path: "general", message: { id: "n-1", user: "bob", text: "coucou", ts: 300 } });
+    assert.strictEqual(fired.length, 1, "notification affichée");
+    assert.ok(String(fired[0].opts.body).includes("coucou"), "aperçu du message dans la notification");
+  } finally {
+    Object.defineProperty(document, "hidden", { value: false, configurable: true });
+    window.Notification = { permission: "denied" };
+  }
+});
+
+// --- #193 : un post est rendu comme un document (markdown + code coloré) -----
+
+test("#193 — post avec html rendu : markdown + bloc de code", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{
+    id: "md1", user: "alice", text: "**gras**\n\n```python\nprint(1)\n```", ts: 400,
+    html: '<p><strong>gras</strong></p><pre><code class="language-python">print(1)</code></pre>',
+  }], "bruno");
+  const body = list.querySelector("[data-id='md1'] .file-chat-body");
+  assert.ok(body.classList.contains("file-chat-md"), "classe md posée sur le corps");
+  assert.ok(body.querySelector(".md-content"), "conteneur md-content");
+  assert.ok(body.querySelector(".md-content strong"), "markdown rendu (strong)");
+  assert.ok(body.querySelector("pre code.language-python"), "bloc de code conservé");
+});
+
+test("#193 — sans html, repli texte brut + URL cliquable", () => {
+  const list = document.createElement("div");
+  renderChatMessages(list, [{ id: "md2", user: "alice", text: "voir https://ex.com/a", ts: 401 }], "bruno");
+  const body = list.querySelector("[data-id='md2'] .file-chat-body");
+  assert.ok(!body.classList.contains("file-chat-md"), "pas de rendu markdown");
+  assert.ok(body.querySelector("a.file-chat-link"), "URL toujours cliquable");
+  assert.strictEqual(body.textContent, "voir https://ex.com/a", "texte intact");
+});
+
 // Sequential execution: each case depends on panel state left by the previous.
 for (const [name, fn] of cases) {
  try {
@@ -176,6 +176,19 @@ await test("filterSavedSearches combines with the type pills", async () => {
  assert.equal(visibleSaved(), 3, "clearing both filters restores everything");
 });

+// ── #194 : icône du dossier personnel ──
+await test("getVaultIcon returns the lucide house icon for home-* vaults", async () => {
+  const homeIcon = viewerMod.getVaultIcon("home-bruno", 16);
+  assert.equal(homeIcon.tagName.toLowerCase(), "i", "placeholder lucide (comme les autres icônes)");
+  assert.equal(homeIcon.getAttribute("data-lucide"), "home", "icône maison lucide");
+  assert.equal(homeIcon.style.width, "16px", "taille demandée respectée");
+});
+
+await test("getVaultIcon is unchanged for regular vaults", async () => {
+  const vaultIcon = viewerMod.getVaultIcon("Recettes", 16);
+  assert.equal(vaultIcon.tagName.toLowerCase(), "svg", "gemme violette SVG d'origine");
+});
+
 // ── Summary ──
 console.log(`\n${passCount}/${testCount} tests passed`);
 if (passCount !== testCount) {
@@ -481,4 +481,66 @@ class TestSecureCookies:
            assert "secure" in resp.headers.get("set-cookie", "").lower()
        finally:
            if hasattr(https_client, "close"):
-                https_client.close()
+                https_client.close()
+
+# ═══════════════════════════════════════════════════════════════════
+# Dossier personnel par utilisateur (#194)
+# ═══════════════════════════════════════════════════════════════════
+
+class TestUserHome:
+    def _login(self, client, username, password):
+        resp = client.post("/api/auth/login", json={
+            "username": username, "password": password,
+        })
+        return resp.json()["access_token"]
+
+    def test_create_user_provisions_home(self, auth_client, monkeypatch):
+        """POST /admin/users → dossier + vault home-<user> + isolation + retrait."""
+        from pathlib import Path
+
+        from backend import watcher_state
+
+        monkeypatch.setattr(watcher_state, "get_watcher", lambda: None)
+        home = Path.cwd() / "Home"
+        home.mkdir()
+        monkeypatch.setenv("OBSIGATE_HOME_ROOT", str(home))
+
+        admin = {"Authorization": f"Bearer {self._login(auth_client, 'admin', 'chab30')}"}
+
+        resp = auth_client.post("/api/auth/admin/users", headers=admin, json={
+            "username": "alice", "password": "testpass", "role": "user",
+        })
+        assert resp.status_code == 200
+        assert (home / "alice").is_dir()
+
+        names = [v["name"] for v in auth_client.get("/api/vaults", headers=admin).json()]
+        # #194 : « * » n'inclut pas les dossiers persos — l'admin ne voit pas
+        # le home d'alice (il ne verrait sinon celui de chaque utilisateur).
+        assert "home-alice" not in names
+        assert "TestVault" in names
+        # L'octroi atterrit bien dans le user
+        assert "home-alice" in resp.json()["vaults"]
+
+        # Isolation : alice ne voit QUE son propre dossier
+        alice = {"Authorization": f"Bearer {self._login(auth_client, 'alice', 'testpass')}"}
+        alice_names = [v["name"] for v in auth_client.get("/api/vaults", headers=alice).json()]
+        assert alice_names == ["home-alice"]
+
+        # Suppression du compte → vault refermé, dossier conservé
+        resp = auth_client.delete("/api/auth/admin/users/alice", headers=admin)
+        assert resp.status_code == 200
+        assert (home / "alice").is_dir()
+        names = [v["name"] for v in auth_client.get("/api/vaults", headers=admin).json()]
+        assert "home-alice" not in names
+
+    def test_create_user_without_home_root_is_unchanged(self, auth_client):
+        """Sans OBSIGATE_HOME_ROOT : aucun dossier, comportement historique."""
+        from pathlib import Path
+
+        assert Path.cwd().exists()
+        admin = {"Authorization": f"Bearer {self._login(auth_client, 'admin', 'chab30')}"}
+        resp = auth_client.post("/api/auth/admin/users", headers=admin, json={
+            "username": "nohome", "password": "testpass", "role": "user",
+        })
+        assert resp.status_code == 200
+        assert not (Path.cwd() / "Home").exists()
@@ -1,6 +1,7 @@
 # tests/test_file_chat.py — Chat par fichier (#169)
 """Store + REST routes for the per-file chat history."""

+import json
 import time

 import pytest
@@ -85,7 +86,7 @@ class TestRoutes:
    def test_history_requires_existing_vault(self, client, test_vault_dir):
        r = client.get("/api/file/TestVault/chat", params={"path": "note1.md"})
        assert r.status_code == 200
-        assert r.json() == {"messages": []}
+        assert r.json() == {"messages": [], "read": {}}

    def test_post_and_get_roundtrip(self, client, test_vault_dir):
        r = client.post(
@@ -137,7 +138,7 @@ class TestGlobalChat:
    def test_history_empty_by_default(self, client, test_vault_dir):
        r = client.get("/api/chat")
        assert r.status_code == 200
-        assert r.json() == {"messages": []}
+        assert r.json() == {"messages": [], "read": {}}

    def test_post_and_get_roundtrip(self, client, test_vault_dir):
        r = client.post("/api/chat", json={"text": "Bonjour à tous"})
@@ -364,3 +365,188 @@ class TestLinkPreview:
            "image": "",
            "site": "Site",
        }
+
+    def test_preview_image_is_proxied_same_origin(self, monkeypatch):
+        """BUG-109: a remote og:image is blocked by ``img-src 'self'``.
+
+        A *relative* og:image must be resolved against the page and downloaded
+        into ``chat_uploads`` so the browser can load it same-origin.
+        """
+        monkeypatch.setattr(_store, "_PREVIEW_CACHE", {})
+        from backend.tools import web as _web
+
+        monkeypatch.setattr(_web, "_assert_public_http_url", lambda url: None)
+
+        class _Page:
+            status_code = 200
+            text = (
+                '<meta property="og:title" content="Titre">'
+                '<meta property="og:image" content="/img/pic.png">'
+            )
+
+        class _Img:
+            status_code = 200
+            content = b"\x89PNG-fake-bytes"
+            headers = {"content-type": "image/png"}
+
+        def _fake_get(url, **kw):
+            return _Img() if url.endswith(".png") else _Page()
+
+        monkeypatch.setattr(_store.httpx, "get", _fake_get)
+        preview = _store.build_preview("voir https://site.test/a")
+        assert preview["title"] == "Titre"
+        assert preview["image"].startswith("/api/chat/attachment/")
+        assert preview["image"].endswith(".png")
+        stored = _store.UPLOAD_DIR / preview["image"].rsplit("/", 1)[1]
+        assert stored.exists()
+        assert stored.read_bytes() == b"\x89PNG-fake-bytes"
+
+    def test_preview_image_failure_keeps_the_card(self, monkeypatch):
+        """A dead thumbnail degrades to an empty image, never a lost card."""
+        monkeypatch.setattr(_store, "_PREVIEW_CACHE", {})
+        from backend.tools import web as _web
+
+        monkeypatch.setattr(_web, "_assert_public_http_url", lambda url: None)
+
+        class _Page:
+            status_code = 200
+            text = (
+                '<meta property="og:title" content="Titre">'
+                '<meta property="og:image" content="https://cdn.test/broken.jpg">'
+            )
+
+        class _Dead:
+            status_code = 404
+            content = b""
+            headers = {}
+
+        def _fake_get(url, **kw):
+            return _Dead() if url.endswith(".jpg") else _Page()
+
+        monkeypatch.setattr(_store.httpx, "get", _fake_get)
+        preview = _store.build_preview("voir https://site.test/b")
+        assert preview["title"] == "Titre"
+        assert preview["image"] == ""
+
+
+# --- #192 : accusé de réception ---------------------------------------------
+
+class TestReadReceipts:
+    def test_mark_read_roundtrip(self, tmp_path, monkeypatch):
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        assert _store.get_read("V", "a.md") == {}
+        read = _store.mark_read("V", "a.md", "bruno")
+        assert read["bruno"] > 0
+        assert _store.get_read("V", "a.md") == read
+
+    def test_mark_read_preserves_messages(self, tmp_path, monkeypatch):
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        _store.add_message("V", "a.md", "alice", "salut")
+        _store.mark_read("V", "a.md", "bruno")
+        assert [m["text"] for m in _store.get_messages("V", "a.md")] == ["salut"]
+        assert "bruno" in _store.get_read("V", "a.md")
+
+    def test_post_read_records_for_the_caller(self, client, test_vault_dir):
+        r = client.post("/api/chat/read", json={"vault": "__global__", "path": "general"})
+        assert r.status_code == 200, r.text
+        read = r.json()["read"]
+        assert read["anonymous"] > 0  # auth disabled in tests → fake user
+        # the history endpoint exposes the same map (#192)
+        assert client.get("/api/chat").json()["read"] == read
+
+    def test_post_read_refuses_a_dm_we_are_not_in(self, client, test_vault_dir):
+        r = client.post("/api/chat/read", json={"vault": "__dm__", "path": "alice|bob"})
+        assert r.status_code == 403
+
+    def test_post_read_requires_vault_and_path(self, client, test_vault_dir):
+        assert client.post("/api/chat/read", json={}).status_code == 400
+
+    def test_post_read_follows_vault_acl(self, client, test_vault_dir):
+        r = client.post("/api/chat/read", json={"vault": "TestVault", "path": "note1.md"})
+        assert r.status_code == 200, r.text
+        assert "anonymous" in r.json()["read"]
+
+    def test_post_read_broadcasts_chat_read(self, client, test_vault_dir, monkeypatch):
+        from backend.routers import file_chat as _router
+
+        events = []
+
+        class _Spy:
+            async def broadcast(self, event, data):
+                events.append((event, data))
+
+        monkeypatch.setattr(_router, "sse_manager", _Spy())
+        client.post("/api/chat/read", json={"vault": "__global__", "path": "general"})
+        assert [e for e, _ in events] == ["chat_read"]
+        assert events[0][1]["user"] == "anonymous"
+        assert events[0][1]["vault"] == "__global__"
+
+
+# ═══════════════════════════════════════════════════════════════════
+# #193 — un post est rendu comme un document markdown
+# ═══════════════════════════════════════════════════════════════════
+
+class TestMarkdownRendering:
+    """Le post porte son HTML (mistune + sanitizer), comme une prévisualisation
+    de document : le client n'a plus à réimplémenter le markdown."""
+
+    def test_message_carries_rendered_html(self, tmp_path, monkeypatch):
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        msg = _store.add_message("V", "a.md", "u", "**gras** et `code`")
+        assert "<strong>gras</strong>" in msg["html"]
+        assert "<code>code</code>" in msg["html"]
+        got = _store.get_messages("V", "a.md")
+        assert "<strong>gras</strong>" in got[0]["html"]
+
+    def test_html_is_not_persisted(self, tmp_path, monkeypatch):
+        """`html` est recalculé à chaque lecture, jamais écrit dans le store."""
+        chat_dir = tmp_path / "chats"
+        monkeypatch.setattr(_store, "CHAT_DIR", chat_dir)
+        _store.add_message("V", "a.md", "u", "**gras**")
+        raw = json.loads(next(chat_dir.glob("*.json")).read_text(encoding="utf-8"))
+        assert "html" not in raw["messages"][0]
+
+    def test_fenced_code_block_keeps_its_language(self, tmp_path, monkeypatch):
+        """La classe `language-xxx` est ce sur quoi hljs se branche (comme dans
+        le viewer)."""
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        msg = _store.add_message("V", "a.md", "u", "```python\nprint(1)\n```")
+        assert 'class="language-python"' in msg["html"]
+
+    def test_tables_and_lists_are_rendered(self, tmp_path, monkeypatch):
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        msg = _store.add_message("V", "a.md", "u", "- un\n- deux")
+        assert "<ul>" in msg["html"] and "<li>un</li>" in msg["html"]
+
+    def test_raw_html_is_sanitized(self, tmp_path, monkeypatch):
+        """Pas de XSS par le chat : le sanitizer des documents s'applique."""
+        monkeypatch.setattr(_store, "CHAT_DIR", tmp_path / "chats")
+        msg = _store.add_message("V", "a.md", "u", "<script>alert(1)</script>ok")
+        assert "<script" not in msg["html"]
+
+    def test_routes_return_html(self, client, test_vault_dir):
+        r = client.post(
+            "/api/file/TestVault/chat",
+            json={"path": "note1.md", "text": "## Titre\n\n- item"},
+        )
+        assert r.status_code == 200
+        html = r.json()["message"]["html"]
+        assert "<h2" in html and "<li>item</li>" in html
+        r2 = client.get("/api/file/TestVault/chat", params={"path": "note1.md"})
+        assert "<h2" in r2.json()["messages"][0]["html"]
+
+    def test_sse_broadcast_carries_html(self, client, test_vault_dir, monkeypatch):
+        """L'écho SSE part avec le html : les autres clients n'attendent pas un
+        refresh pour voir le rendu."""
+        from backend.routers import file_chat as _router
+
+        events = []
+
+        class _Spy:
+            async def broadcast(self, event, data):
+                events.append((event, data))
+
+        monkeypatch.setattr(_router, "sse_manager", _Spy())
+        client.post("/api/chat", json={"text": "**fort**"})
+        assert events and events[0][0] == "chat_message"
+        assert "<strong>fort</strong>" in events[0][1]["message"]["html"]
@@ -0,0 +1,266 @@
+# tests/test_user_home.py — #194 dossier personnel par utilisateur
+import asyncio
+import json
+import os
+
+import pytest
+
+
+def _run(coro):
+    loop = asyncio.new_event_loop()
+    try:
+        return loop.run_until_complete(coro)
+    finally:
+        loop.close()
+
+
+@pytest.fixture
+def home_env(tmp_path, monkeypatch):
+    """Racine Home + registre vaults + users.json isolés, globals sauvegardés."""
+    root = tmp_path / "Home"
+    root.mkdir()
+    monkeypatch.setenv("OBSIGATE_HOME_ROOT", str(root))
+
+    from backend import indexer
+
+    monkeypatch.setattr(indexer, "DYNAMIC_VAULTS_FILE", tmp_path / "vaults.json")
+
+    from backend.auth import user_store
+
+    monkeypatch.setattr(user_store, "USERS_FILE", tmp_path / "users.json")
+
+    from backend import watcher_state
+
+    monkeypatch.setattr(watcher_state, "get_watcher", lambda: None)
+
+    saved_index = dict(indexer.index)
+    saved_config = dict(indexer.vault_config)
+    yield root
+    indexer.index.clear()
+    indexer.index.update(saved_index)
+    indexer.vault_config.clear()
+    indexer.vault_config.update(saved_config)
+
+
+def _create_user(name: str) -> dict:
+    from backend.auth.user_store import create_user
+
+    return create_user(name, "Motdepasse1!", role="user")
+
+
+def _registry() -> dict:
+    """Contenu du registre dynamique (chemin monkeypatché par home_env)."""
+    from backend import indexer
+
+    return json.loads(indexer.DYNAMIC_VAULTS_FILE.read_text(encoding="utf-8"))
+
+
+class TestEnsureUserHome:
+    def test_creates_folder_vault_and_grant(self, home_env):
+        from backend.auth.user_store import get_user
+        from backend.indexer import index
+        from backend.user_home import ensure_user_home
+
+        _create_user("alice")
+        name = _run(ensure_user_home("alice"))
+
+        assert name == "home-alice"
+        assert (home_env / "alice").is_dir()
+        assert "home-alice" in index
+        assert "home-alice" in get_user("alice")["vaults"]
+        # Registre persistant rempli → survit au prochain rebuild/redémarrage
+        assert "home-alice" in _registry()["vaults"]
+
+    def test_is_idempotent(self, home_env):
+        from backend.auth.user_store import get_user
+        from backend.indexer import index
+        from backend.user_home import ensure_user_home
+
+        _create_user("bob")
+        _run(ensure_user_home("bob"))
+        index_snapshot = dict(index)
+        _run(ensure_user_home("bob"))
+
+        assert get_user("bob")["vaults"].count("home-bob") == 1
+        assert index == index_snapshot
+
+    def test_invalid_username_never_touches_disk(self, home_env):
+        from backend.indexer import index
+        from backend.user_home import ensure_user_home
+
+        assert _run(ensure_user_home("../evil")) is None
+        assert _run(ensure_user_home("a/b")) is None
+        assert not (home_env.parent / "evil").exists()
+        assert not any(name.startswith("home-") for name in index)
+
+    def test_disabled_without_env(self, home_env, monkeypatch):
+        from backend.user_home import ensure_user_home
+
+        monkeypatch.delenv("OBSIGATE_HOME_ROOT")
+        assert _run(ensure_user_home("alice")) is None
+        assert not (home_env / "alice").exists()
+
+
+class TestPersistence:
+    def test_registry_reloaded_by_load_vault_config(self, home_env):
+        """data/vaults.json doit être relu par load_vault_config (rebuild/restart)."""
+        from backend import indexer
+
+        _create_user("carol")
+        from backend.user_home import ensure_user_home
+
+        _run(ensure_user_home("carol"))
+
+        # Simule un redémarrage : vault_config vidé, rechargé depuis la source
+        indexer.vault_config.clear()
+        config = indexer.load_vault_config()
+        assert config["home-carol"]["path"] == str(home_env / "carol")
+
+    def test_unpersist_drops_registry_entry(self, home_env):
+        from backend import indexer
+        from backend.user_home import ensure_user_home
+
+        _create_user("dan")
+        _run(ensure_user_home("dan"))
+        indexer.unpersist_vault("home-dan")
+        assert "home-dan" not in _registry()["vaults"]
+
+
+class TestRelease:
+    def test_release_closes_vault_but_keeps_folder(self, home_env):
+        from backend.indexer import index
+        from backend.user_home import ensure_user_home, release_user_home
+
+        _create_user("erin")
+        _run(ensure_user_home("erin"))
+        assert "home-erin" in index
+
+        _run(release_user_home("erin"))
+        assert "home-erin" not in index
+        assert (home_env / "erin").is_dir()  # décision : dossier conservé
+        assert "home-erin" not in _registry()["vaults"]
+
+
+class TestOrphanSweep:
+    def test_orphan_home_released_when_user_deleted_outside_route(self, home_env):
+        """create_admin.py delete ne passe pas par la route → réparé au boot."""
+        from backend.auth.user_store import delete_user
+        from backend.indexer import index
+        from backend.user_home import ensure_all_user_homes, ensure_user_home
+
+        _create_user("hank")
+        _run(ensure_user_home("hank"))
+        delete_user("hank")
+        assert "home-hank" in index
+
+        _run(ensure_all_user_homes())
+        assert "home-hank" not in index
+        assert (home_env / "hank").is_dir()
+
+    def test_vault_named_home_outside_root_is_left_alone(self, home_env):
+        """Un vault admin nommé « home-… » ailleurs dans le FS n'est pas touché."""
+        from backend.indexer import index
+        from backend.user_home import ensure_all_user_homes
+
+        other = home_env.parent / "Elsewhere"
+        other.mkdir()
+        _run(add_vault("home-keep", str(other)))
+
+        _run(ensure_all_user_homes())
+        assert "home-keep" in index
+
+
+def add_vault(name: str, path: str):
+    from backend.indexer import add_vault_to_index
+
+    return add_vault_to_index(name, path)
+
+
+class TestIsolation:
+    def test_user_cannot_access_another_home_vault(self, home_env):
+        from backend.auth.middleware import check_vault_access
+        from backend.auth.user_store import get_user
+        from backend.user_home import ensure_user_home
+
+        _create_user("alice")
+        _create_user("bob")
+        _run(ensure_user_home("alice"))
+        _run(ensure_user_home("bob"))
+
+        assert check_vault_access("home-alice", get_user("alice")) is True
+        assert check_vault_access("home-alice", get_user("bob")) is False
+        assert check_vault_access("home-bob", get_user("alice")) is False
+
+    def test_wildcard_admin_does_not_cover_homes(self, home_env):
+        """#194 : « * » n'inclut JAMAIS un dossier perso, même pour l'admin."""
+        from backend.auth.middleware import check_vault_access
+        from backend.auth.user_store import create_user, get_user
+        from backend.user_home import ensure_user_home
+
+        create_user("root", "Motdepasse1!", role="admin", vaults=["*"])
+        _create_user("alice")
+        _run(ensure_user_home("alice"))
+
+        admin = get_user("root")
+        assert check_vault_access("home-alice", admin) is False  # pas le sien
+        assert check_vault_access("TestVault", admin) is True  # « * » intact
+
+        # L'octroi explicite suffit (y compris pour l'admin, cf. _grant)
+        _run(ensure_user_home("root"))
+        assert check_vault_access("home-root", get_user("root")) is True
+
+
+class TestSearchFiltering:
+    def test_search_service_filters_before_pagination(self, monkeypatch):
+        """#194 : /api/search ne doit pas renvoyer les notes d'un autre user."""
+        import backend.search as search_mod
+        from backend.services import search as search_service
+
+        hits = [
+            {"vault": "home-bruno", "path": "secret.md"},
+            {"vault": "TestVault", "path": "note.md"},
+            {"vault": "home-bruno", "path": "autre.md"},
+        ]
+        monkeypatch.setattr(
+            search_mod, "search",
+            lambda q, vault_filter="all", tag_filter=None: list(hits),
+        )
+
+        page = search_service.search_vaults("x", limit=50, is_allowed=lambda v: v == "TestVault")
+        assert page["total"] == 1, "total = résultats filtrés"
+        assert [r["vault"] for r in page["results"]] == ["TestVault"]
+
+        # Sans filtre (tool layer, qui filtre lui-même) : inchangé.
+        assert search_service.search_vaults("x", limit=50)["total"] == 3
+
+
+class TestEnsureAll:
+    def test_repairs_every_existing_user(self, home_env):
+        from backend.auth.user_store import get_user
+        from backend.user_home import ensure_all_user_homes
+
+        _create_user("fab")
+        _create_user("gab")
+        # Dossier supprimé à la main + user créé hors API (pas de vault)
+        (home_env / "fab").mkdir()
+        (home_env / "fab").rmdir()
+
+        created = _run(ensure_all_user_homes())
+
+        assert created == 2
+        assert (home_env / "fab").is_dir()
+        assert (home_env / "gab").is_dir()
+        assert "home-fab" in get_user("fab")["vaults"]
+        assert "home-gab" in get_user("gab")["vaults"]
+
+
+def test_home_root_env_contract():
+    """OBSIGATE_HOME_ROOT absent → fonctionnalité inactive (dev/tests/desktop)."""
+    from backend.user_home import home_root
+
+    saved = os.environ.pop("OBSIGATE_HOME_ROOT", None)
+    try:
+        assert home_root() is None
+    finally:
+        if saved is not None:
+            os.environ["OBSIGATE_HOME_ROOT"] = saved
Author	SHA1	Message	Date
bruno	8662d23ec8	fix: un dossier perso n'est plus visible par les autres comptes #194 CI / lint (push) Successful in 2m57s Details CI / security (push) Successful in 1m40s Details CI / test (push) Successful in 4m39s Details CI / build (push) Successful in 1m34s Details CI / e2e (push) Successful in 17m44s Details L'admin (vaults: [""]) voyait le home de chaque utilisateur dans sa barre latérale : "" ouvrait tous les vaults, home-* compris. - backend/auth/middleware.py : check_vault_access exige un octroi explicite pour tout vault home-* (nouveau is_home_vault()). - Filtres « * » en dur remplacés par check_vault_access : dashboard, conflits, liens retour, favoris, abonnements push. - /api/search : search_vaults(is_allowed=…) filtre les bruts avant pagination (total et page restent justes). - backend/user_home.py : _grant n'écarte plus les comptes « * » — l'admin reçoit son propre home-admin (auto-réparé au démarrage). - Tests : test_user_home.py +2, assertion API inversée dans test_auth_api.py (admin ne voit plus home-alice).	2026-10-10 16:42:00 -04:00
bruno	10453d8dfe	feat: dossier perso (#194 ) — vaults home-* en tête de l'arborescence, icône maison, compose de test CI / lint (push) Successful in 3m1s Details CI / security (push) Successful in 1m41s Details CI / test (push) Successful in 4m37s Details CI / build (push) Successful in 1m34s Details CI / e2e (push) Successful in 17m40s Details - frontend/js/sidebar.js : tri stable _homeFirst appliqué à la source des deux listes de vaults (loadVaults + soft refresh) → les vaults home-<user> passent en premier, arborescence et sélecteurs cohérents. - frontend/js/viewer.js : getVaultIcon renvoie l'icône lucide "home" pour home-* (même safeCreateIcons / stroke currentColor que les autres). - docker-compose.test-win.yml : montage test_home:/vaults/Home + OBSIGATE_HOME_ROOT=/vaults/Home pour tester la feature en local ; test_home/ ajouté au .gitignore. - Tests : sidebar-filters.test.mjs +2 (icône maison, gemme violette inchangée), vérifié live sur l'instance 2020 (ordre + svg.lucide-home).	2026-10-10 16:09:59 -04:00
bruno	8235d632b8	feat: dossier personnel par utilisateur — vault home-<user> + registre de vaults persistant #194 CI / lint (push) Canceled after 0s Details CI / test (push) Canceled after 0s Details CI / security (push) Canceled after 0s Details CI / build (push) Canceled after 0s Details CI / e2e (push) Canceled after 0s Details - backend/user_home.py : ensure_user_home()/release_user_home() idempotents (mkdir, vault, watcher, octroi dans user.vaults), rappelés à la création d'un compte et au démarrage (migration + réparation + sweep des vaults home-* orphelins), dossier conservé à la suppression. - backend/indexer.py : data/vaults.json, registre persistant des vaults ajoutés à la volée, fusionné par load_vault_config() — ils disparaissaient au premier reindex complet et au redémarrage. reload_single_vault remet vault_config[name] après remove_vault_from_index. - backend/auth/router.py + routers/vaults.py : appels ensure/release + persistance à l'ajout/retrait d'un vault. - docker-compose.yml : montage unique /NFS/OBSIDIAN_DOC/Home:/vaults/Home + OBSIGATE_HOME_ROOT (absente = fonctionnalité inactive). - Tests : tests/test_user_home.py (12) + tests/test_auth_api.py::TestUserHome (2).	2026-10-10 00:40:35 -04:00
bruno	f4c8504c8d	feat: chat — les posts affichent le markdown rendu comme un document, code coloré #193 CI / lint (push) Successful in 2m50s Details CI / security (push) Successful in 1m37s Details CI / test (push) Successful in 4m34s Details CI / build (push) Successful in 1m31s Details CI / e2e (push) Successful in 17m36s Details	2026-10-09 15:48:04 -04:00
bruno	4fb7c43e06	feat: chat — boutons discrets sous l'image, image en onglet d'app, point de non-lus, notification OS, suppression annulable BUG-110 CI / lint (push) Successful in 2m50s Details CI / security (push) Successful in 1m36s Details CI / test (push) Successful in 4m28s Details CI / build (push) Successful in 1m31s Details CI / e2e (push) Successful in 17m30s Details	2026-10-09 11:53:26 -04:00
bruno	54caa48d1f	feat: chat — saisie auto-agrandissante, accusé de réception ✓✓, vignette de tuile #192 (BUG-109) CI / lint (push) Successful in 2m52s Details CI / security (push) Successful in 1m35s Details CI / test (push) Successful in 4m27s Details CI / build (push) Successful in 1m29s Details CI / e2e (push) Successful in 17m1s Details	2026-10-08 23:28:08 -04:00
@@ -1 +1 @@
 .60.0
 .65.1