docs: guides d'utilisation, capture reelle et README ameliores

test: spec E2E mobile pour la page Configurations BUG-071
fix: page Configurations inutilisable en mode mobile BUG-071
2026-09-22 22:40:51 -04:00 · 2026-09-22 22:03:42 -04:00 · 2026-09-22 21:24:56 -04:00 · 2026-09-22 20:54:01 -04:00 · 2026-09-22 20:38:37 -04:00 · 2026-09-22 20:07:25 -04:00
156 changed files with 16413 additions and 2992 deletions
@@ -7,11 +7,16 @@ OBSIGATE_AUTH_ENABLED=true
 OBSIGATE_ADMIN_USER=admin
 OBSIGATE_ADMIN_PASSWORD=chab30

+# DANGER : si OBSIGATE_AUTH_ENABLED=false, toute requête devient un admin
+# anonyme. Le serveur REFUSE de démarrer sur une adresse non-loopback
+# (ex. 0.0.0.0) sauf si l'on force l'opt-in ci-dessous. À réserver au local.
+# OBSIGATE_ALLOW_INSECURE=false
+
 # Sécurité des cookies (activer si derrière HTTPS)
 # OBSIGATE_SECURE_COOKIES=false

 # Tokens TTL en secondes
-# OBSIGATE_ACCESS_TOKEN_TTL=900
+# OBSIGATE_ACCESS_TOKEN_TTL=31536000000  # 1000 ans
 # OBSIGATE_REFRESH_TOKEN_TTL=604800

 # Rate limiting
@@ -46,7 +51,10 @@ OBSIGATE_ADMIN_PASSWORD=chab30
 # OBSIGATE_PDF_MAX_SIZE_MB=50        # PDFs plus volumineux = texte non indexé
 # OBSIGATE_PDF_EXTRACT_TIMEOUT=30    # secondes avant abandon de l'extraction

-# WebAuthn / MFA (ROADMAP #64) — nécessaire hors localhost
+# WebAuthn / MFA (ROADMAP #64) — par défaut rp_id/origines sont dérivés de la
+# requête (hôte exact, port inclus) : rien à configurer en accès direct.
+# À renseigner uniquement pour un accès via reverse-proxy sous un autre nom
+# (avec OBSIGATE_TRUST_PROXY=true pour X-Forwarded-Host/Proto) :
 # OBSIGATE_WEBAUTHN_RP_ID=obsigate.example.com
 # OBSIGATE_WEBAUTHN_RP_NAME=ObsiGate
 # OBSIGATE_WEBAUTHN_ORIGINS=https://obsigate.example.com
@@ -74,3 +82,19 @@ DEEPSEEK_MODEL=deepseek-chat
 # Chaîne de repli sans clé (DuckDuckGo puis Bing) si SearXNG ne remonte rien
 # OBSIGATE_WEB_FALLBACK=1
 # OBSIGATE_WEB_TIMEOUT=10
+# Fournisseurs à clé (#92), essayés avant SearXNG — injecter via Infisical en prod
+# OBSIGATE_TAVILY_API_KEY=
+# OBSIGATE_BRAVE_API_KEY=
+# OBSIGATE_SERPAPI_API_KEY=
+# OBSIGATE_EXA_API_KEY=
+# Ordre des fournisseurs (sinon : clés présentes puis SearXNG puis replis)
+# OBSIGATE_WEB_PROVIDERS=brave,searxng
+# Réessais réseau (backoff maison) + cache SQLite des résultats web
+# OBSIGATE_WEB_RETRY=1
+# OBSIGATE_WEB_CACHE_TTL=900          # secondes ; 0 = cache désactivé
+# Rendu dynamique (pages SPA) — dépendance optionnelle :
+#   pip install playwright && playwright install chromium
+# ── Assistant IA — sources connectées (Gitea / GitHub) ──
+# OBSIGATE_GITEA_URL=https://git.example.net
+# OBSIGATE_GITEA_TOKEN=
+# OBSIGATE_GITHUB_TOKEN=
@@ -36,7 +36,11 @@ jobs:
        run: node tests/frontend/validate-imports.mjs

      - name: Frontend unit tests
-        run: node tests/frontend/unit.test.mjs
+        run: |
+          node tests/frontend/unit.test.mjs
+          node tests/frontend/pdf-viewer.test.mjs
+          node tests/frontend/forge-completion.test.mjs
+          node tests/frontend/config-mobile.test.mjs

      - name: Frontend JSDOM tests (PaneManager + Excalidraw + Plugins + AI + SW + Collab + Mobile + Semantic + Desktop + Inline edition)
        run: |
@@ -55,6 +59,7 @@ jobs:
            node desktop.test.mjs
            node toolbar-order.test.mjs
            node editor-inline.test.mjs
+            node ai-quick-actions.test.mjs
          else
            echo "tests/frontend/node_modules missing - installing jsdom"
            npm install --no-audit --no-fund --silent
@@ -71,6 +76,7 @@ jobs:
            node desktop.test.mjs
            node toolbar-order.test.mjs
            node editor-inline.test.mjs
+            node ai-quick-actions.test.mjs
          fi

  # ── Tests ─────────────────────────────────────────────────────────
@@ -194,6 +200,7 @@ jobs:
            -e DIR_1_NAME=TestDir \
            -e DIR_1_PATH=/vaults/TestDir \
            -e OBSIGATE_AUTH_ENABLED=false \
+            -e OBSIGATE_ALLOW_INSECURE=true \
            obsigate:ci
          # Docker-in-docker : le bind mount $(pwd)/... pointe sur un chemin
          # du job container, inexistant sur l'hôte → montage vide. Les -v
@@ -1,47 +1,97 @@
 # AGENTS.md — Instructions obligatoires du dépôt ObsiGate

 > Ces instructions s'appliquent à **toute** intervention (humaine ou IA) sur ce dépôt.
+> Documentation et réponses en **français**.

 ## Règle n°1 — Méthode de livraison unique

 Avant toute tâche (fonctionnalité, bug, refactor), **lire et appliquer**
 [`docs/DELIVERY_WORKFLOW.md`](./docs/DELIVERY_WORKFLOW.md) (Definition of Done).
-Aucune tâche n'est terminée avant que sa checklist soit complète **et le CI vert**.
+Aucune tâche n'est terminée avant que sa checklist soit complète **et le CI vert**
+(jobs `lint`, `test`, `security`, `build`, `e2e` de `.gitea/workflows/ci.yml`).

 ## Avant de commencer

 1. Lire [`docs/ROADMAP.md`](./docs/ROADMAP.md) (travail à venir + index) et
   [`docs/ISSUES_TODOLIST.md`](./docs/ISSUES_TODOLIST.md) (bugs).
-2. Identifier ou créer l'**ID stable** (`#NN` pour une feature, `BUG-NNN` pour un bug)
-   et passer son statut à « en cours » **avant** de coder.
+2. Identifier ou créer l'**ID stable** (`#NN` pour une feature, `BUG-NNN` pour un bug —
+   jamais réutilisé) et passer son statut à « en cours » **avant** de coder.
+
+## Architecture (ce qui n'est pas obvious)
+
+- **Backend** : FastAPI/Python 3.11, point d'entrée `backend/main.py` (endpoints + rendu
+  markdown), index en mémoire (`indexer.py`, `search.py`), watcher (`watcher.py`),
+  auth dans `backend/auth/`. Pas de base de données : JSON dans `data/`.
+- **Frontend** : vanilla JS **zéro framework, zéro build npm** (`frontend/app.js`,
+  `index.html`, `style.css`). Ne pas ajouter de dépendances npm ni d'étape de build.
+- **Desktop** : Tauri (Rust) dans `desktop/` ; `tauri.conf.json` embarque `backend/**` et
+  `frontend/**` depuis `desktop/` — les scripts de build font le **staging** (copie) avant
+  `cargo tauri build`, sinon le build échoue.
+- **i18n** : tout texte d'interface doit exister en FR **et** EN
+  (`frontend/locales/fr.json` + `en.json`).
+
+## Vérifications locales (pwsh, à faire passer avant tout commit/push)
+
+```powershell
+# Backend (venv à la racine)
+.\.venv\Scripts\python.exe -m pytest tests/
+.\.venv\Scripts\python.exe -m ruff check backend/
+.\.venv\Scripts\python.exe -m mypy backend/ --ignore-missing-imports
+
+# Frontend : scripts Node à exécuter directement (pas de runner)
+node tests/frontend/validate-imports.mjs
+node tests/frontend/unit.test.mjs
+# Tests JSDOM : node_modules dans tests/frontend/ (npm install là-bas si absent), ex :
+node tests/frontend/pane-manager.test.mjs
+
+# E2E (si UI touchée, ~5 min) : reproduit le job CI e2e (port 2029, auth désactivée)
+npm run test:e2e                    # prérequis : uv, Node >= 20, npx playwright install chromium
+bash scripts/run-e2e-local.sh -g "nom du test"   # filtre / --headed
+```
+
+- Un seul test backend : `.\.venv\Scripts\python.exe -m pytest tests/test_search.py -q`.
+- **Sélection E2E** : vérifier chaque sélecteur dans le DOM réel avant de l'utiliser dans un
+  test ; tout test nouveau/modifié doit passer en local avant push ; pas de contournement
+  qui masque la flakiness (`waitForTimeout` arbitraires, fallbacks silencieux).
+- La suite E2E doit finir à **100 %** sans s'appuyer sur les retries. Jamais de `git push`
+  avant que les 5 étapes locales soient vertes.
+
+## Version & hooks (pièges)
+
+- `VERSION` (racine) = **source unique de vérité** (SemVer), incrémenté **automatiquement à
+  chaque commit** par le hook `.githooks/prepare-commit-msg` — `feat` → mineur,
+  `!:` / `BREAKING CHANGE` → majeur, sinon correctif. Le même commit resynchronise
+  `package.json`, le desktop Tauri, `README.md`/`README.fr.md`, `docs/ROADMAP.md` et publie
+  la section `[Unreleased]` du `CHANGELOG.md` en `[X.Y.Z] — date` ; tag `vX.Y.Z` créé au
+  commit, publié au push (`push.followTags`).
+- Hooks **obligatoires**, à installer une fois par clone : `scripts/install-hooks.sh`
+  (sinon la version ne suit plus et le CI échoue via le garde-fou `tests/test_version.py`).
+- Le rattachement des fichiers de bump se fait par un `--amend` immédiat : **le SHA affiché
+  par `git commit` change** — ne pas s'y fier.
+- Commit sans incrément (exceptionnel) : `SKIP_VERSION_BUMP=1 git commit …`.
+- Ne jamais réécrire une version déjà publiée dans le CHANGELOG ; jamais de détail dupliqué
+  entre Roadmap et CHANGELOG.

 ## À la fin de chaque tâche (obligatoire)

- Ajouter/mettre à jour les **tests unitaires**.
- Vérifications locales vertes : `pytest`, `ruff`, `mypy`, tests frontend (`E2E` si UI).
- Mettre à jour la documentation requise : `CHANGELOG.md` (`[Unreleased]`), `docs/ROADMAP.md`
-  (statut + index), fiche `docs/features/` **ou** `docs/archive/`, `docs/ISSUES_TODOLIST.md`,
-  guide utilisateur i18n FR/EN + README si impact utilisateur.
- **Commit** conventionnel référençant l'ID, puis **push**.
- Version : le fichier VERSION (racine du dépôt) est la **source unique de
-  vérité (MAJEUR.MINEUR.CORRECTIF), incrémenté automatiquement à chaque commit** par le hook
-  .githooks/prepare-commit-msg — feat → mineur, !: / BREAKING CHANGE → majeur, sinon
-  correctif. Le même commit resynchronise package.json, le desktop Tauri, README.md/
-  README.fr.md, docs/ROADMAP.md et publie la section [Unreleased] du CHANGELOG.md en
-  [X.Y.Z] — date ; le tag vX.Y.Z est créé au commit et publié au push (push.followTags).
-  Hooks à installer une fois par clone : scripts/install-hooks.sh. Garde-fou :
-  tests/test_version.py (détail : docs/DELIVERY_WORKFLOW.md §7).
- Vérifier le **CI Gitea vert** (jobs `lint`, `test`, `security`, `build`, `e2e`).
+- Tests unitaires ajoutés/mis à jour (correctif sans test de non-régression = pas terminé).
+- Toutes les vérifications locales ci-dessus vertes (`E2E` si UI).
+- Documentation mise à jour : `CHANGELOG.md` (`[Unreleased]`), `docs/ROADMAP.md` (statut +
+  index), fiche `docs/features/` **ou** `docs/archive/`, `docs/ISSUES_TODOLIST.md` (si bug),
+  guide utilisateur i18n FR/EN + README si impact utilisateur, docstrings +
+  `response_model` si API.
+- **Commit** conventionnel référençant l'ID (`feat: … #12`), puis **push** et **CI vert**.

 ## Cartographie documentaire

 | Sujet | Fichier |
 |---|---|
 | Méthode de livraison / DoD | `docs/DELIVERY_WORKFLOW.md` |
-| Version livrée (source unique) | VERSION + scripts/bump_version.py |
+| Version livrée (source unique) | `VERSION` + `scripts/bump_version.py` |
 | Travail à venir + index | `docs/ROADMAP.md` |
 | Historique des versions | `CHANGELOG.md` |
 | Conception par feature | `docs/features/<slug>.md` |
+| Guides d'utilisation | `docs/GUIDES/` |
 | Archive du complété | `docs/archive/COMPLETED_v1-v2.md` |
 | Bugs / TODO | `docs/ISSUES_TODOLIST.md` |
 | Build & releases | `docs/DEVELOPMENT_AND_RELEASES.md` |
@@ -50,5 +100,8 @@ Aucune tâche n'est terminée avant que sa checklist soit complète **et le CI v
 ## Conventions

 - Commits : `type: description` — `feat`, `fix`, `perf`, `refactor`, `docs`, `style`, `chore`, `test`.
- **Ne jamais** committer de secrets, clés ou tokens.
- Réponses et documentation en **français** ; respecter le style du code existant.
+- Sécurité : tout chemin fichier fourni par l'utilisateur passe par `_resolve_safe_path()`.
+- **Ne jamais** committer de secrets, clés ou tokens (`.env` jamais committé ; secrets dans
+  `data/api_keys.json` ou variables `OBSIGATE_*`).
+- Respecter le style du code existant (ruff/mypy 0 erreur ; CSS variables, pas de couleurs
+  hardcodées ; `safeCreateIcons()` plutôt que `lucide.createIcons()` direct).
@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.7.4**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.16.6**.

 ---

@@ -14,6 +14,647 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 ---

+## [2.16.6] — 2026-09-22
+
+### Ajouté
+
+- **Guides d'utilisation `docs/GUIDES/`** : nouvel index + 10 guides FR
+  (prise en main, recherche/PDF/Excalidraw, assistant IA & Forge,
+  collaboration temps réel, PWA & hors-ligne, API REST, serveur MCP,
+  authentification & sécurité, déploiement Docker, desktop Tauri). Le guide MCP
+  est déplacé dans `docs/GUIDES/MCP.md` ; `docs/MCP_GUIDE.md` devient une page
+  de redirection.
+
+### Modifié
+
+- **README.md / README.fr.md** : capture d'écran réelle de l'application en tête
+  (remplace l'illustration ASCII) ; un emoji sur chaque entrée de la table des
+  matières ; nouvelle section « Guides » avec liens vers `docs/GUIDES/` ;
+  renvois vers les guides depuis les sections API, Recherche, Sécurité, Desktop
+  et Collaboration.
+
+---
+
+## [2.16.5] — 2026-09-22
+
+### Corrigé
+
+- **BUG-071 (complément) - spec E2E mobile de la page Configurations** :
+  `tests/e2e/config-mobile.spec.js` (nouveau, projet `chromium-mobile`,
+  ignoré en `chromium-desktop` comme `mobile-editor.spec.js`) : le hamburger
+  révèle le sommaire, le choix d'une section y défile + lien actif + repli
+  auto, aucun débordement horizontal à 393px. Vérifié en local contre
+  l'instance de test (port 2029, auth désactivée) : 3/3.
+
+---
+
+## [2.16.4] — 2026-09-22
+
+### Corrigé
+
+- **BUG-071 - Page « Configurations » inutilisable en mode mobile** : trois
+  causes. (1) Le sommaire (`#config-nav`) partageait la règle `.help-nav`
+  qui le masque sous 768px, mais — contrairement au Guide — la modale
+  n'avait aucun bouton pour l'afficher : aucun moyen d'atteindre une section.
+  Nouvel hamburger `#config-hamburger` dans l'en-tête (même traitement
+  `.help-hamburger` que le Guide, libellé traduit `config.toc_toggle`
+  FR/EN). (2) Les liens du sommaire étaient des ancres brutes sans JS :
+  `config.js` les intercepte désormais (défilement doux vers la section dans
+  la modale, lien actif, repli automatique du sommaire sur mobile, réinit à
+  l'ouverture). (3) Les grilles 2 colonnes (fournisseur/modèle IA, clé/modèle
+  par fournisseur), les rangées d'ajout à largeurs fixes (jetons, webhooks)
+  et les lignes webhook/jeton/partage en flex une ligne débordaient en
+  360px : bloc CSS mobile scopé `#config-modal` (1 colonne, wrap, largeurs
+  inline neutralisées, cibles tactiles 44px, sommaire plafonné à 46vh).
+  `data-i18n-attr` accepte désormais plusieurs paires `attr:clé` séparées
+  par `;` (titre + aria-label traduits). Tests :
+  `tests/frontend/config-mobile.test.mjs` (nouveau, 11 — hamburger, i18n,
+  câblage JS, CSS mobile, garde-fou ancres mortes façon BUG-067),
+  enregistré dans le CI.
+
+---
+
+## [2.16.3] — 2026-09-22
+
+### Corrigé
+
+- **BUG-070 - Activation clé physique WebAuthn impossible (« Validation du
+  credential WebAuthn échouée »)** : deux causes. (1) Les valeurs par défaut
+  (`rp_id localhost`, origines `http://localhost` sans port) rejetaient toute
+  URL réelle — logs : `Unexpected client data origin "http://localhost:2020",
+  expected one of ['http://localhost']`. `rp_id`/origines sont désormais
+  dérivés de la requête (hôte exact, port inclus ; `X-Forwarded-Host/Proto`
+  si `OBSIGATE_TRUST_PROXY=true`), la config explicite restant prioritaire
+  (`backend/auth/webauthn_mfa.py::resolve_relying_party`, appliqué aux 4
+  endpoints d'enregistrement et de login). (2) Challenge à usage unique
+  fragile au double-clic/retry (`challenge was not expected`) : les 5
+  derniers challenges sont conservés et la vérification accepte le challenge
+  correspondant à la cérémonie en cours. `.env.example` documente le nouveau
+  comportement. Vérifié au navigateur avec authentificateur virtuel
+  (Playwright CDP, instance Docker) : enregistrement 200 + clé listée, puis
+  clé de test retirée. Tests : `tests/test_webauthn.py` (+8 : résolution RP,
+  forwarded, retry, roundtrip sans config).
+
+---
+
+## [2.16.2] — 2026-09-22
+
+### Corrigé
+
+- **BUG-069 - Login 2FA bloqué sans erreur** : après user+mot de passe corrects
+  sur un compte avec 2FA, la page de login restait affichée sans erreur et le
+  challenge MFA n'apparaissait jamais. Cause : `showMfaChallenge`
+  (`frontend/js/auth.js`) montait le challenge dans `.login-box`, inexistant
+  dans `index.html` (marquage réel : `#login-screen > .login-card`) →
+  `return` silencieux. Correctif : montage dans `.login-card` (repli
+  `#login-screen`) + erreur visible (`mfa.challenge_unavailable`, FR/EN) au
+  lieu d'un retour silencieux si le point de montage manque. Vérifié de bout
+  en bout au navigateur (Playwright, instance Docker) : challenge affiché,
+  code erroné → erreur, code valide → connecté. Tests :
+  `tests/frontend/mfa-settings.test.mjs` (+2 contrôles d'ancrage DOM).
+
+---
+
+## [2.16.1] — 2026-09-22
+
+### Corrigé
+
+- **BUG-068 - Configuration : section « 🔒 Sécurité du compte » inachevée** :
+  boutons `config-btn-primary` / `config-btn-danger` définis depuis les
+  variables du thème (`frontend/style.css`) ; QR code TOTP généré en local par
+  le backend (`POST /api/auth/mfa/totp/setup` → `qr_data_url`, SVG `data:`
+  via `segno`, `backend/requirements.txt`) au lieu de l'image tierce bloquée
+  par la CSP (`img-src 'self' data: blob:`, secret TOTP exposé) ; codes de
+  récupération affichés aussi à la première activation WebAuthn ; carte
+  « Mot de passe » (changement via `POST /api/auth/change-password`) et
+  échappement des libellés de clés WebAuthn. Tests :
+  `tests/test_mfa.py::test_mfa_setup_returns_local_qr_data_url`,
+  `tests/frontend/mfa-settings.test.mjs` (nouveau, 9 contrôles).
+
+---
+
+## [2.16.0] — 2026-09-22
+
+### Modifié
+
+- **#86 - Optimisation globale des performances (phase 3)** : ferme les deux derniers
+  points de la phase 3 (recherche via inverted index, PDF lazy et caps regex déjà livrés
+  via BUG-033/BUG-040/BUG-025). Scan **différentiel** : `_scan_vault` réutilise les
+  entrées inchangées (`size` + `modified`) d'un snapshot précédent — seuls `os.walk` +
+  `stat` tournent à chaque rebuild (`build_index`, `reload_single_vault`). Extraction
+  **excalidraw différée** : le scan ne lit plus les `.excalidraw` / `.excalidraw.md`
+  (flag `excalidraw_text_pending`), `enrich_pdf_texts()` extrait leur texte après index
+  comme pour les PDF. Garde-fou `MAX_REPLACE_FILE_BYTES` (5 Mio) sur `replace_in_files`.
+  Tests : `tests/test_perf_phase3.py` (9). Voir
+  [docs/features/perf-phase3-86.md](./docs/features/perf-phase3-86.md).
+
+---
+
+## [2.15.0] — 2026-09-22
+
+### Ajouté
+
+- **#107 - Configuration : gestion des clés API & MCP** — nouvelle section
+  « 🔑 Clés API & MCP » dans le panneau de configuration : création, liste
+  (créée / expire / dernière utilisation) et révocation de jetons longue
+  durée utilisables aussi bien sur l'API REST que sur le serveur MCP
+  (`/mcp`) — un seul et même jeton Bearer pour les deux. Choix
+  d'expiration à la création : 1 jour, 1 mois, 6 mois, 1 an, sans fin.
+  Le secret n'est affiché qu'une fois (jamais persisté en clair,
+  `data/api_tokens.json` ne contient que les métadonnées) ; révocation
+  immédiate des deux côtés, plafond 50 clés par utilisateur, isolation
+  par utilisateur, audit `config_change`. Corrigé au passage : le store
+  de révocation (`revoked_tokens.json`) bornait toute entrée à 7 jours —
+  un jeton longue durée révoqué « reprenait vie » après purge ; il est
+  désormais calé sur l'expiration réelle du jeton. Voir
+  [docs/features/api-mcp-tokens-107.md](./docs/features/api-mcp-tokens-107.md).
+
+---
+
+## [2.14.1] — 2026-09-22
+
+---
+
+## [2.14.0] — 2026-09-19
+
+### Ajouté
+
+- **#106 - Assistant IA : actions instantanées contextuelles + catalogue de prompts** :
+  la zone d'accueil remplace les 3 suggestions statiques par des **actions suggérées
+  selon le contexte détecté** (sélection dans l'éditeur → concis/corriger/expliquer ;
+  fichier de code → expliquer/bugs/tests ; 2+ docs → fusionner/comparer/frictions ;
+  1 doc → résumé 3 points/checklist/frontmatter ; répertoire ou général sinon), avec
+  badge de contexte dans l'en-tête. Un bouton **« Toutes les actions »** ouvre un
+  tiroir catalogue (recherche instantanée, 6 catégories, 25 actions i18n FR/EN).
+  Nouveau prompt **« Générer le frontmatter YAML »** au format complet du vault
+  (titre, auteur, dates ISO-8601, tags, aliases, booléens, NomDeVoute, Description)
+  et **« Mettre à jour le frontmatter »** (conserve les champs existants, actualise
+  `modification_date`, recalcule tags/aliases/Description, complète les manquants) —
+  tous deux basculent en mode agent et appliquent le résultat via la carte de
+  confirmation. Détail : [features/ai-quick-actions.md](./features/ai-quick-actions.md).
+
+---
+
+## [2.13.1] — 2026-09-18
+
+---
+
+## [2.13.0] — 2026-09-18
+
+### Ajouté
+
+- **#105 - Guide d'utilisation : audit de couverture, téléchargement Markdown/PDF,
+  section Architecture** : le guide intégré est aligné sur l'application réelle après
+  ~35 features livrées. Huit nouvelles sections — **🏗️ Architecture** (diagramme Mermaid
+  des grandes composantes : clients SPA/PWA/Tauri → serveur FastAPI REST, index de
+  recherche, rendu markdown, IA, MCP, WebSocket, webhooks → vaults, `data/*.json`,
+  backups), **📊 Diagrammes** (Mermaid : zoom, plein écran, copie SVG/code, thèmes),
+  **⭐ Bibliothèque** (signets, recherches sauvegardées, backlinks & graphe, conflits
+  Syncthing, pièces jointes), **📴 Hors-ligne** (PWA, file d'attente IndexedDB, replay,
+  watcher), **👥 Collaboration** (Yjs/CRDT, curseurs awareness), **🖥️ Desktop** (Tauri,
+  updater signé, assistant premier lancement), **🔌 API** (OpenAPI 3.1 : `/docs`,
+  `/redoc`, `/api`, `/openapi.json`, auth Bearer/cookie, serveur MCP, automatisation)
+  et **🌍 Multilingue** — plus des compléments dans les sections existantes (recherche
+  sémantique hybride, notifications web push, export PDF, export HTML/ePub/ZIP,
+  anti-doublons d'upload, vue multi-panneaux, MFA TOTP/WebAuthn, tableau de bord
+  admin). Nouveau **`GET /api/guide/download?format=md|pdf&lang=fr|en`** (tag OpenAPI
+  « Guide ») : le document est généré depuis la modale d'aide réelle et les locales,
+  il reflète donc exactement le guide affiché, dans la langue de l'utilisateur ;
+  boutons **Markdown** et **PDF** ajoutés dans l'en-tête du guide. En **desktop**
+  (Tauri, `body.desktop-mode`) et sur grand écran web, le guide s'élargit
+  (conteneur jusqu'à 1760 px, contenu 1280–1440 px) pour une lecture confortable.
+  Source de vérité du nouveau contenu : `scripts/guide_content.py` (locales générées,
+  jamais éditées à la main). Tests : `tests/test_guide.py` (11).
+
+### Modifié (ajustements retour utilisateur sur #105)
+
+- Boutons de téléchargement du guide : **icônes seules** (plus de libellé « Markdown »/
+  « PDF »), tooltip i18n explicite sur chaque bouton.
+- PDF du guide : le bloc Mermaid de la section Architecture est converti en **diagramme
+  rendu** (PNG pré-rendu commité via `scripts/build_guide_diagrams.py` +
+  `scripts/render_guide_diagram.mjs`, inséré par `diagram_png_for()`), au lieu du code
+  brut ; le Markdown garde le fenced ` ```mermaid ` (copiable).
+- PDF du guide : emoji rendus **en couleur** au lieu de rectangles — `fonts-noto-color-emoji`
+  ajouté à l'image Docker et `"Noto Color Emoji"` en fin de pile de polices du PDF
+  (la TOC était correcte car elle utilise DejaVu, qui n'a pas les emoji pleine chasse).
+
+### Corrigé
+
+- **BUG-067 - Guide : entrée « 📱 Mobile » morte** : le sommaire pointait vers
+  `#help-mobile-editor`, section inexistante (l'édition mobile n'était qu'un `<h3>`
+  de la section Édition). Le bloc est devenu une section dédiée ancrée ; l'ancre
+  `#help-ia` (également morte) a été corrigée en `#help-ai` et un attribut
+  `data-i18n-placeholder` dupliqué nettoyé. Garde-fou : `test_guide_nav_has_no_dead_anchors`.
+
+---
+
+## [2.12.2] — 2026-09-18
+
+### Corrigé
+
+- **BUG-066 — Configuration : icônes manquantes dans la table des matières** :
+  les entrées « Fichiers cachés » et « Partages publics » du sommaire de la page de
+  configuration n'affichaient pas d'icône (les titres de section, eux, en avaient une).
+  Les libellés i18n `config.section_hidden` (🗂️) et `config.section_shares` (📤) sont
+  alignés sur leurs titres de section, en FR **et** EN. Test de non-régression ajouté
+  dans `tests/frontend/unit.test.mjs` (toutes les entrées du sommaire doivent porter une
+  icône dans les deux langues).
+
+---
+
+## [2.12.1] — 2026-09-18
+
+---
+
+## [2.12.0] — 2026-09-18
+
+### Ajouté
+
+- **#104 - Configuration : redesign UI de la section « 🤖 Clés API Intelligence Artificielle »** :
+  la longue liste plate de champs devient une interface structurée et dépliable —
+  1. **En-tête de section** : titre + sous-titre explicatifs et une **barre de recherche**
+     (`#cfg-ai-search`) pour filtrer les fournisseurs (normalisée, insensible à la casse et aux
+     accents), avec état vide « Aucun fournisseur ne correspond ».
+  2. **Carte « Configuration par défaut »** visuellement distincte : grille **2 colonnes**
+     fournisseur / modèle par défaut, et **capacités du modèle rendues en badges colorés**
+     (nouveau `renderCapabilityBadges()` dans `frontend/js/ai.js`, uniquement les capacités
+     actives) au lieu des cases à cocher.
+  3. **Fournisseurs d'API en cartes dépliables** (rendu dynamique depuis `AI_PROVIDER_NAMES` par
+     `_renderAIProviderCards()`, `frontend/js/config.js`) : état replié = logo (initiale), nom,
+     **badge de statut** (« Configuré » vert / « Non configuré » gris) et **corbeille discrète**
+     pour supprimer la clé (visible uniquement si configurée, confirmation conservée) ; état
+     déplié = libellés au-dessus des champs, **API key à 60 % / modèle à 40 %** (grille `3fr 2fr`).
+     Les boutons « Configuré/Supprimer » redondants à l'intérieur des champs disparaissent — le
+     statut vit désormais uniquement dans l'en-tête de la carte.
+  4. **Barre d'actions** : « Sauvegarder » (primaire) et « Tester » (outline) dans un footer
+     **sticky** en bas de section, toujours accessible pendant le défilement, avec le statut de
+     test à côté.
+  Styles `.ai-keys-*` / `.ai-provider-*` en variables CSS (profondeur fond/carte, espacement
+  généreux, chevron animé, focus visible, responsive 1 colonne < 600 px) ; textes i18n FR/EN
+  (`config.ai_*`). Les ID d'éléments (`cfg-<provider>-key/model/badge/delete`) et le
+  comportement de sauvegarde/test/suppression restent inchangés (rétrocompatible pickers IA).
+  Tests : `tests/frontend/config-ai-keys.test.mjs` (7 — rendu, badges, bascule, filtre, save,
+  suppression, badges de capacités).
+
+---
+
+## [2.11.6] — 2026-09-18
+
+### Corrigé
+
+- **BUG-064 - Éditeur Excalidraw : le diagramme ne s'affiche jamais (canvas vide)** — deux
+  causes cumulées :
+  1. **La feuille de style d'Excalidraw n'était jamais chargée** (`@excalidraw/excalidraw` exige
+     un import CSS explicite). Sans elle, l'éditeur est non stylisé et `.excalidraw` n'a aucune
+     hauteur fixe : la boucle de redimensionnement d'Excalidraw fait grossir le canvas jusqu'au
+     plafond codé en dur de `2^25` (33 554 432 px), que le navigateur ne peut pas dessiner → scène
+     blanche. Correctifs : `<link>` vers `…/@excalidraw/[email protected]/dist/prod/index.css` dans
+     `frontend/excalidraw-editor.html` et ajout de `https://esm.sh` à `style-src` de la CSP
+     (`backend/main.py`).
+  2. `appState.collaborators` est une `Map` sérialisée en objet JSON (`{}`) par l'app Excalidraw /
+     le plugin Obsidian ; réinjectée via `initialData`, Excalidraw 0.18 appelait `.forEach()` dessus
+     et plantait (`e.appState.collaborators.forEach is not a function`). `sanitizeAppState()` la
+     reconvertit en `Map` et écarte la géométrie de viewport importée (`width`, `height`,
+     `offsetLeft`, `offsetTop`) pour les deux formats (`.excalidraw` et `.excalidraw.md`).
+  Tests de non-régression : `tests/frontend/excalidraw-viewer.test.mjs` (CSS lié + CSP),
+  `tests/test_security_hardening.py::TestCspExcalidrawStylesheet`, `tests/e2e/excalidraw.spec.js`
+  (hauteur de canvas bornée) + fixtures `test_vault/diagram-app-export.excalidraw`.
+- **BUG-064 (complément) - Éditeur Excalidraw : pleine largeur quand la navigation est masquée** :
+  la règle `.sidebar.hidden ~ .content-wrapper .content-area { max-width: 1200px }` (colonne de
+  lecture centrée) s'appliquait aussi au viewer Excalidraw. Ajout de
+  `.content-area:has(iframe[src*="excalidraw-editor.html"])` en `max-width: none; margin: 0`,
+  comme pour les viewers PDF/image (BUG-062). Fichier : `frontend/style.css`.
+- **BUG-065 - Excalidraw : l'auto-save rechargeait la page en pleine édition** : chaque
+  modification déclenchait, 2 s plus tard, un `PUT /api/file/…/save` ; l'écriture émettait
+  `index_updated` (SSE) qui re-rendait la vue et **recréait l'iframe** — un refresh visible qui
+  interrompait le dessin. L'auto-save est supprimée (`frontend/js/excalidraw-viewer.js`) :
+  sauvegarde explicite par le bouton « 💾 Save » ou `Ctrl+S`. En complément, `reloadExternalWrite`
+  ne re-rend plus la vue quand un iframe Excalidraw est déjà ouvert sur le fichier
+  (`iframe[data-excalidraw-*]`), et le badge « Modified » ne se déclenche plus sur les
+  changements d'`appState` (resize, zoom) mais uniquement sur le contenu (signature des éléments).
+- **#78 (complément) - Bouton plein écran pour les diagrammes Excalidraw** : nouveau bouton
+  `#btn-fullscreen` dans la barre d'outils de l'éditeur (`frontend/excalidraw-editor.html`) qui
+  bascule le mode plein écran natif ; l'iframe est créée avec `allow="fullscreen" allowfullscreen`
+  (`frontend/js/excalidraw-viewer.js`). Fichiers : `frontend/excalidraw-editor.html`,
+  `frontend/js/excalidraw-viewer.js`, `tests/frontend/excalidraw-viewer.test.mjs`.
+- **#78 (complément) - Barre d'outils Excalidraw en icônes, verticale à droite** : les boutons
+  Save / PNG / SVG / plein écran passent en **icônes seules** (34×34 px) dans une colonne
+  **collée au bord droit** (`right: 0`), débutant à `45%` de la hauteur, empilée verticalement,
+  avec infobulles et `aria-label`. L'icône du bouton Save devient une coche après une sauvegarde
+  réussie. Fichier : `frontend/excalidraw-editor.html`.
+
+---
+
+## [2.11.5] — 2026-09-17
+
+### Corrigé
+
+- **BUG-063 (complément) — Viewer PDF : la table des matières ne déplaçait toujours pas la
+  page** : le premier correctif réassignait `iframe.src` avec le seul fragment `#page=N`, ce qui
+  ne change que le fragment → navigation *same-document* que le lecteur PDF natif ignore (il
+  n'applique `#page=N` qu'au chargement). Diagnostic en Chrome *headful* par comparaison de
+  captures. `navigatePdfToPage()` ajoute désormais un paramètre de query horodaté
+  (`&_pdfpage=<ts>#page=N`) pour forcer un vrai rechargement de l'iframe. Fichiers :
+  `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js`.
+
+---
+
+## [2.11.4] — 2026-09-17
+
+### Corrigé
+
+- **BUG-061 — Assistant IA : le bouton « Plein écran » n'agrandissait plus le panneau** : la
+  largeur du panneau est écrite en style inline par la poignée de redimensionnement (et par la
+  largeur persistée en `localStorage`) ; cet inline l'emportait sur la règle
+  `.bookslm-panel.fullscreen { width: 100vw }`, donc le panneau restait à sa largeur courante.
+  La règle plein écran est désormais prioritaire (`!important`). Fichier : `frontend/style.css`.
+- **BUG-062 — Viewer PDF : largeur incomplète quand la navigation est masquée** : la règle de
+  colonne de lecture centrée (`.sidebar.hidden … { max-width: 1200px }`) s'appliquait aussi aux
+  viewers plein cadre. Les conteneurs PDF et image sont maintenant exemptés
+  (`:has(.pdf-viewer-container)` / `:has(.image-viewer-container)` → `max-width: none`). Fichier :
+  `frontend/style.css`.
+- **BUG-063 — Viewer PDF : la table des matières ne naviguait pas** : les liens faisaient
+  `contentWindow.location.hash = 'page=N'`, mais le lecteur PDF natif vit dans une fenêtre
+  `about:blank` et l'affectation n'atteignait jamais le document. Nouveau helper
+  `navigatePdfToPage()` qui recharge l'iframe avec le fragment `#page=N` ; les entrées portent un
+  `data-page` et sont câblées par des écouteurs (plus d'`onclick` inline). Fichiers :
+  `frontend/js/viewer.js`, `frontend/style.css`.
+- **Tests** : `tests/frontend/ai.test.mjs` (+1), `tests/frontend/pdf-viewer.test.mjs` (TOC, plein
+  largeur), `tests/e2e/pdf-viewer.spec.js` (TOC `#page=N`, largeur, fixture
+  `test_vault/sample-pdf-toc.pdf`).
+
+---
+
+## [2.11.3] — 2026-09-17
+
+### Corrigé
+
+- **BUG-035 — `secret_redactor` : faux positifs sur les hashs hex** : la règle qui masquait
+  tout jeton hexadécimal de 40 à 64 caractères mutilait les hashs git/SHA légitimes des notes.
+  Le masquage des chaînes hexadécimales n'a désormais lieu que si un mot-clé de secret
+  (`secret`, `token`, `key`, `password`, `bearer`…) figure dans les 60 caractères précédents ;
+  un contexte de hash (`commit`, `sha256`, `hash`, `checksum`, `git`, `etag`…) exempte
+  explicitement la chaîne. Fichier : `backend/secret_redactor.py`.
+- **BUG-036 — Collaboration WebSocket : jeton accepté en query string** : le JWT n'est plus lu
+  depuis `?token=` (URLs journalisées par les proxies et l'historique navigateur). Le cookie
+  HttpOnly `access_token`, envoyé automatiquement par le navigateur lors du handshake
+  same-origin, est le seul transport supporté ; les trames brutes dépassant
+  `MAX_MESSAGE_CHARS` (16 Mio) sont rejetées avant analyse. Fichier : `backend/collab.py`.
+- **BUG-037 — Mode sans authentification** : au démarrage, un avertissement explicite est
+  journalisé quand `OBSIGATE_AUTH_ENABLED=false`. Le serveur **refuse désormais de démarrer**
+  s'il est lié à une adresse non-loopback sans l'opt-in explicite `OBSIGATE_ALLOW_INSECURE=true`,
+  pour empêcher l'exposition publique d'une instance sans authentification (admin anonyme).
+  Fichiers : `backend/auth/middleware.py`, `backend/main.py`.
+- **BUG-038 — Argon2 : coût mémoire recalibré** : `memory_cost` passe de 64 Mio à 19 Mio
+  (`m=19456 Kio, t=2, p=1`, recommandation OWASP actuelle) pour supprimer le risque
+  d'épuisement mémoire sous connexions simultanées ; les anciens hachages restent valides et
+  sont migrés automatiquement (`needs_rehash`). Fichier : `backend/auth/password.py`.
+- **BUG-039 — Énumération de comptes au login** : les comptes inconnus, désactivés, verrouillés
+  et limités par le budget par compte répondent tous un `401 Identifiants invalides` avec un
+  temps équivalent (hachage factice), au lieu d'un `429`/`403` distinctif ; seul le rate-limit
+  par IP (non lié à un compte) conserve le `429`. Fichier : `backend/auth/router.py`.
+- **BUG-040 — Extraction PDF différée au scan** : `_scan_vault` ne lit plus que les métadonnées
+  des PDF ; l'extraction de texte intégrale (100 kio) est déléguée à `enrich_pdf_texts()`,
+  exécutée après la construction de l'index/inverted index (démarrage) et après chaque
+  réindexation. Un vault contenant de nombreux/gros PDF démarre sans être bloqué ; le texte
+  reste recherchable une fois l'enrichissement terminé. Fichiers : `backend/indexer.py`,
+  `backend/main.py`.
+- **Tests** : `tests/test_api_main.py` (redactor hex), `tests/test_auth.py` (coût Argon2,
+  garde-fou d'instance non authentifiée), `tests/test_auth_api.py` (login uniforme),
+  `tests/test_collab.py` (jeton query rejeté, trame surdimensionnée), `tests/test_pdf.py`
+  (scan différé + enrichissement).
+
+---
+
+## [2.11.2] — 2026-09-17
+
+### Modifié
+
+- **Tests E2E PDF (BUG-060)** : le helper d'ouverture de fichier de
+  `tests/e2e/pdf-viewer.spec.js` étend désormais le vault dans l'arborescence s'il est replié
+  (cas d'une instance avec authentification activée) au lieu de supposer le vault déjà déplié.
+
+---
+
+## [2.11.1] — 2026-09-17
+
+### Corrigé
+
+- **BUG-060 — Viewer PDF : l'affichage des pages ne fonctionnait pas** : au clic sur un fichier
+  `.pdf`, seule la barre d'outils « PDF — N pages » s'affichait, le corps restant vide. La CSP
+  durcie en BUG-034 pose `object-src 'none'`, directive qui gouverne `<embed>`/`<object>`, alors
+  que le viewer rendait le PDF via `<embed type="application/pdf">` : le lecteur natif était
+  bloqué. Le rendu passe désormais par une `<iframe>` (autorisée par `frame-src 'self'`, le stream
+  `/api/file/{vault}/pdf/stream` étant same-origin) ; `object-src 'none'` est conservé. Fichiers :
+  `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs` (nouveau),
+  `tests/e2e/pdf-viewer.spec.js` (nouveau, fixture `test_vault/sample-pdf.pdf`).
+
+---
+
+## [2.11.0] — 2026-09-17
+
+### Ajouté
+
+- **#103 — Clés des sources connectées configurables depuis la page Configurations** : nouvelle
+  section « 🔗 Sources connectées & recherche » (admin) permettant de saisir ses propres jetons
+  sans toucher aux variables d'environnement : clés de recherche web à clé (Tavily, Brave,
+  SerpAPI, Exa), URL Gitea + token, token GitHub. Stockage dans `data/api_keys.json` (même
+  fichier que les clés des fournisseurs IA) via les endpoints
+  `GET/POST/DELETE /api/config/tool-keys` (GET masque les secrets, URLs en clair ; liste
+  blanche stricte ; admin requis). Les outils lisent la valeur stockée **en priorité** puis
+  l'environnement (Infisical) — `backend/tools/secrets.py`. Fichiers :
+  `backend/tools/{secrets,web,connected}.py`, `backend/main.py`, `frontend/index.html`,
+  `frontend/js/config.js`, `frontend/locales/{fr,en}.json`, `tests/test_tool_keys.py` (nouveau),
+  `tests/test_connected_tools.py`.
+
+---
+
+## [2.10.1] — 2026-09-17
+
+### Corrigé
+
+- **BUG-059 — Assistant IA : un clic dans la conversation faisait sauter le texte au bas de la
+  fenêtre** : dans une conversation ouverte (post ancré en haut), tout clic — lien de fichier,
+  étapes, sélection de texte — dépinait l'ancre via le gestionnaire `mousedown` et retirait le
+  padding d'ancre, bornant le scroll à la nouvelle hauteur max (saut au bas). Le dépintage est
+  désormais réservé aux vrais gestes de scroll : molette, tactile et poignée de scroll
+  uniquement (`isScrollbarPress`). Fichiers : `frontend/js/bookslm.js`,
+  `tests/frontend/ai.test.mjs`.
+- **#92 — `create_pdf` de l'Assistant : tableaux mal formatés** : l'outil `create_pdf`
+  (génération PDF via l'assistant) utilisait un rendu reportlab simplifié sans support des
+  tableaux. Il passe désormais par le même pipeline que le bouton « Télécharger PDF » de la
+  page document (mistune + plugin `table` + WeasyPrint), avec repli automatique sur le rendu
+  simple si WeasyPrint n'est pas disponible (GTK absent). Fichiers :
+  `backend/tools/documents.py`, `tests/test_document_tools.py`.
+
+---
+
+## [2.10.0] — 2026-09-17
+
+### Ajouté
+
+- **#92 — Assistant IA : écosystème d'outils phase 2 (web étendu, sources connectées, documents)** :
+  - **Recherche web à clé** : fournisseurs optionnels essayés avant SearXNG — Tavily, Brave
+    Search, SerpAPI (Google) et Exa (`OBSIGATE_TAVILY_API_KEY`, `OBSIGATE_BRAVE_API_KEY`,
+    `OBSIGATE_SERPAPI_API_KEY`, `OBSIGATE_EXA_API_KEY`), avec ordre personnalisable via
+    `OBSIGATE_WEB_PROVIDERS`.
+  - **Transverse** : réessais réseau avec backoff maison (`OBSIGATE_WEB_RETRY`) et cache SQLite
+  des résultats web avec TTL (`OBSIGATE_WEB_CACHE_TTL`, 900 s par défaut, `OBSIGATE_WEB_CACHE_PATH`).
+  - **Rendu dynamique** : `fetch_url(render=True)` délègue les pages SPA à un worker Playwright
+    isolé (dépendance optionnelle, dégradation propre si non installée).
+  - **Crawl de site** : `crawl_site` (WRITE, confirmation) capture jusqu'à 20 pages d'un même
+    hôte et enregistre un condensé Markdown dans un vault.
+  - **Sources connectées** : Gitea (`OBSIGATE_GITEA_URL`/`OBSIGATE_GITEA_TOKEN`) et GitHub
+    (`OBSIGATE_GITHUB_TOKEN`) — `git_list_repos`, `git_search_issues`, `git_get_file` (READ,
+    rate-limités, audités). Les drives cloud (Google Drive / OneDrive) restent orientés serveur
+    MCP externe (#79), conformément à la feuille de route.
+  - **Production de documents** : `create_xlsx` (openpyxl), `create_docx` (python-docx),
+    `create_csv`, `create_pdf` (reportlab) — outils WRITE avec confirmation et sauvegarde
+    dans le vault (backup avant écrasement).
+  - Chaque outil : libellé `labels.py` + clés i18n `ai.step.*` FR/EN + tests unitaires mockés
+    (httpx). Dépendances ajoutées : `openpyxl`, `python-docx`, `reportlab`.
+    Fichiers : `backend/tools/{webcache,webrender,connected,crawler,documents,web,schemas,labels}.py`,
+    `backend/services/mutations.py`, `tests/test_{web_cache,web_search_providers,webrender,connected_tools,document_tools,crawler}.py`.
+
+---
+
+## [2.9.1] — 2026-09-17
+
+### Corrigé
+
+- **BUG-058 — Éditeur « Editer » : la barre de numérotation de ligne ne suit pas le thème** :
+  CodeMirror peint son gutter (colonne des numéros de ligne) avec des valeurs claires codées
+  en dur (`#f5f5f5`, bordure `#ddd`), si bien qu'en thème sombre la barre restait gris clair
+  alors que le fond de l'éditeur suivait le thème. Le gutter est désormais dérivé des
+  variables CSS du thème ObsiGate (`color-mix(in srgb, var(--text-primary) …)` pour un fond
+  subtil, `--text-secondary` pour les numéros, `--border` pour la séparation), ce qui le fait
+  suivre tous les thèmes et modes (sombre, clair, contraste élevé, sépia). Fichiers :
+  `frontend/style.css`. Tests : `tests/frontend/editor-inline.test.mjs`.
+
+---
+
+## [2.9.0] — 2026-09-17
+
+### Ajouté
+
+- **#102 — Assistant IA : bouton « Ajouter la section » par bloc de code** : chaque bloc
+  de code d'une réponse de l'assistant (par ex. une section ```markdown```) affiche un
+  bouton discret « Ajouter la section » qui insère **uniquement ce bloc** dans le document
+  ouvert (sans les délimiteurs de code), au lieu de la réponse complète. Fichiers :
+  `frontend/js/bookslm.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`.
+  Tests : `tests/frontend/ai.test.mjs`.
+
+### Corrigé
+
+- **BUG-057 — Assistant IA : bouton « Ajouter » inopérant dans l'éditeur Forge** : le
+  bouton ne ciblait que `state.editorView` (CodeMirror de « Editer ») et affichait « Aucun
+  document ouvert dans l'éditeur » en Forge. `_insertIntoEditor()` prend désormais en
+  charge les trois surfaces : CodeMirror, l'iframe Forge (délégation par
+  `postMessage({ type: 'parent-insert' })` → `insertAtCursor` dans `editor-poc.html`) et le
+  textarea de repli. Fichiers : `frontend/js/bookslm.js`, `frontend/editor-poc.html`.
+  Tests : `tests/frontend/ai.test.mjs`, `tests/frontend/editor-inline.test.mjs`.
+
+---
+
+## [2.8.4] — 2026-09-17
+
+---
+
+## [2.8.3] — 2026-09-17
+
+### Corrigé
+
+- **BUG-056 - Éditeur Forge en plein écran : l'Assistant IA s'ouvre en arrière-plan** :
+  le panneau de l'assistant est monté dans le document parent, alors que le plein écran
+  Forge porte sur l'iframe — l'API Fullscreen n'affichant que l'élément plein écran et ses
+  descendants, le panneau restait invisible. Le plein écran est désormais quitté avant
+  d'ouvrir le panneau : côté **parent** (`sync.js`, sur `forge-open-ai` — le plein écran
+  peut appartenir au document parent et non à l'iframe) **et** côté iframe
+  (`editor-poc.html`, `openAssistant`), la demande d'ouverture étant émise une fois la
+  sortie effective. Fichiers : `frontend/editor-poc.html`, `frontend/js/sync.js`.
+  Tests : `tests/frontend/forge-completion.test.mjs` (+1),
+  `tests/frontend/editor-inline.test.mjs` (+1).
+
+---
+
+## [2.8.2] — 2026-09-17
+
+### Corrigé
+
+- **BUG-055 (complément) - Éditeur Forge : une complétion acceptée au `Tab` était
+  supprimée 1–2 s plus tard** : l'auto-sauvegarde (2 s) déclenche un événement SSE
+  `index_updated` sur le fichier en cours, et le parent rechargeait alors le tampon de
+  Forge **depuis le disque** — écrasant une complétion (ou toute frappe) faite après la
+  sauvegarde. Le rechargement SSE est désormais ignoré tant que le tampon local est
+  modifié (`isDirty`) ; seul un écrit externe (assistant IA) force le rechargement.
+  L'auto-sauvegarde ne repasse plus l'état « enregistré » si des modifications sont
+  arrivées pendant la requête (Forge **et** éditeur CodeMirror), et l'acceptation du
+  ghost annule la requête de prédiction en attente. Fichiers : `frontend/editor-poc.html`,
+  `frontend/js/utils.js`. Tests : `tests/frontend/forge-completion.test.mjs` (+3),
+  `tests/frontend/editor-inline.test.mjs` (+1).
+
+---
+
+## [2.8.1] — 2026-09-17
+
+### Corrigé
+
+- **BUG-055 - Éditeur Forge : autocomplétion Tab naturelle et fiable** : la touche `Tab`
+  déclenchait simultanément trois actions indépendantes (indentation, complétion d'un mot du
+  document, acceptation de la prédiction IA), ce qui insérait un ou deux espaces avant le mot
+  complété — et le retour arrière effaçait alors l'ajout. La gestion de `Tab` est désormais
+  **unifiée** avec une priorité claire (liste de suggestions ouverte → prédiction IA →
+  complétion de mot du document → indentation), une seule action par appui. Les helpers de
+  complétion sont extraits en fonctions pures partagées avec CodeMirror
+  (`getWordFragment`, `findWordCompletions`, `normalizeGhost`, `chooseTabAction`) ; plusieurs
+  candidats affichent une liste positionnée au curseur ; la **complétion fantôme** n'affiche
+  plus un miroir transparent de tout le document (source du décalage visuel et des espaces
+  fantômes) mais uniquement la prédiction, positionnée exactement au curseur et nettoyée dès
+  que le curseur bouge ou que la vue défile ; une complétion de mot ne peut plus introduire
+  d'espace. Le prompt `/api/ai/inline-complete` est simplifié et borné à 128 tokens pour des
+  suggestions plus courtes et plus rapides. Fichiers : `frontend/editor-poc.html`,
+  `frontend/js/autocomplete.js`, `backend/ai.py`. Tests :
+  `tests/frontend/forge-completion.test.mjs` (nouveau, 28 tests).
+
+---
+
+## [2.8.0] — 2026-09-17
+
+### Ajouté
+
+- **#101 - Forge : Assistant IA partagé et plein écran (Forge & Editer)** : le bouton
+  « AI Panel » de Forge ouvre désormais le **panneau Assistant IA** existant (barre latérale)
+  au lieu d'un mini-chat isolé — même contenu, même fournisseur/modèle, même historique, mêmes
+  menus `/` et `@`, sans duplication. Forge lit la sélection du sélecteur de l'assistant
+  (`localStorage['obsigate_ai_picker']`, même origine) et l'injecte dans ses appels
+  `/api/ai/*` et sa **complétion fantôme** (repli `ollama` si aucun fournisseur choisi) ; au
+  passage, les endpoints erronés sont corrigés (`make-longer`/`make-shorter`, `target_lang`).
+  Un bouton **plein écran** natif est ajouté à Forge (iframe `allow="fullscreen"`) et à
+  l'éditeur **Editer** (plein écran sur le conteneur, fonctionne en modale comme en inline,
+  sortie à la fermeture). Libellés i18n FR/EN. Fichiers : `frontend/editor-poc.html`,
+  `frontend/js/sync.js`, `frontend/js/viewer.js`, `frontend/js/utils.js`,
+  `frontend/index.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`. Tests :
+  `tests/frontend/editor-inline.test.mjs` (+10).
+
+---
+
+## [2.7.5] — 2026-09-17
+
+### Corrigé
+
+- **BUG-054 - Éditeur « Editer » : le bouton Sauvegarder restait bloqué sur le spinner de
+  chargement** : le bouton `#editor-save` est un nœud DOM partagé entre toutes les sessions
+  d'édition (y compris en mode en ligne). Une sauvegarde manuelle y remplaçait le crochet par un
+  spinner et le désactivait, mais cet état n'était jamais remis à zéro : après une sauvegarde
+  réussie (l'éditeur se ferme puis se rouvre), après une sauvegarde Forge, ou après un échec de
+  requête (le `catch` ne restaurait ni l'icône ni l'état), le spinner persistait jusqu'à un
+  rechargement complet de la page. Un helper `resetSaveButton()` restaure désormais le crochet
+  et réactive le bouton à l'ouverture (`openEditor`), à la fermeture (`closeEditor`) et en cas
+  d'échec (`saveFile`). Fichier : `frontend/js/utils.js`. Tests :
+  `tests/frontend/editor-inline.test.mjs` (+4).
+
+---
+
 ## [2.7.4] — 2026-09-17

 ### Corrigé
@@ -24,7 +24,7 @@ COPY --from=builder /install /usr/local

 # WeasyPrint runtime dependencies
 RUN apt-get update \
-    && apt-get install -y --no-install-recommends libpango-1.0-0 libpangocairo-1.0-0 shared-mime-info \
+    && apt-get install -y --no-install-recommends libpango-1.0-0 libpangocairo-1.0-0 shared-mime-info fonts-noto-color-emoji \
    && apt-get clean \
    && rm -rf /var/lib/apt/lists/*

@@ -1,62 +1,77 @@
 # ObsiGate

-> **Version française** — ce document est le miroir synchronisé de [README.md](README.md) (référence complète). Dernière synchronisation : juin 2026.
+> **Version française** — ce document est le miroir synchronisé de [README.md](README.md) (référence complète). Dernière synchronisation : septembre 2026.

 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.

-[![Version](https://img.shields.io/badge/Version-2.7.4-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.16.6-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
 [![CI/CD](https://img.shields.io/badge/CI%2FCD-Gitea_Actions-green.svg)](https://git.dracodev.net/Projets/ObsiGate/actions)

-```
-┌─────────────────────────────────────────────────────────┐
-│  [🔍 Recherche...]          [☀/🌙 Thème]   ObsiGate    │
-├──────────────┬──────────────────────────────────────────┤
-│  SIDEBAR     │           CONTENT AREA                   │
-│  ▼ Recettes  │   📄 Titre du fichier                    │
-│    📁 Soupes │   Tags: #recette #rapide                 │
-│    📄 Pizza  │   [Contenu Markdown rendu]               │
-│  ▼ IT        │                                          │
-│    📁 Docker │                                          │
-│  Tags Cloud  │                                          │
-└──────────────┴──────────────────────────────────────────┘
-```
+![Interface ObsiGate — tableau de bord Statistiques avec vaults, tags et raccourcis clavier](docs/images/obsigate-home.png)
+
+> Interface web d'ObsiGate : sidebar multi-vault, recherche globale, statistiques et raccourcis.
+
+---
+
+## 📚 Guides
+
+Les **guides d'utilisation** pas à pas se trouvent dans [`docs/GUIDES/`](docs/GUIDES/) :
+
+| Guide | Contenu |
+|---|---|
+| 🚀 [Prise en main](docs/GUIDES/PRISE_EN_MAIN.md) | Premier lancement, interface, navigation, vaults, raccourcis |
+| 🔍 [Recherche, PDF & Excalidraw](docs/GUIDES/RECHERCHE_PDF_EXCALIDRAW.md) | Syntaxe de requête, recherche sémantique, lecteur PDF, diagrammes |
+| 🤖 [Assistant IA & Forge](docs/GUIDES/ASSISTANT_IA_FORGE.md) | Fournisseurs, éditeur IA, BooksLM, Forge, commandes `@` / `/` |
+| 📝 [Édition & collaboration](docs/GUIDES/COLLABORATION.md) | Édition simultanée, curseurs distants, persistance |
+| 📱 [PWA & hors-ligne](docs/GUIDES/PWA_HORS_LIGNE.md) | Installation, cache hors-ligne, file de synchro, notifications |
+| 🔌 [API REST](docs/GUIDES/API_REST.md) | Authentification, clés API, endpoints, exemples `curl`, SSE |
+| 🧩 [Serveur MCP](docs/GUIDES/MCP.md) | Brancher Claude Desktop, Cursor, Cline… sur vos vaults |
+| 🔒 [Authentification & sécurité](docs/GUIDES/AUTHENTIFICATION_SECURITE.md) | Utilisateurs, MFA, permissions par vault, durcissement |
+| 🐳 [Déploiement Docker](docs/GUIDES/DEPLOIEMENT_DOCKER.md) | `docker-compose`, volumes, reverse proxy, mises à jour |
+| 🖥️ [Desktop (Tauri)](docs/GUIDES/DESKTOP.md) | Installation, premier lancement, build depuis les sources, dépannage |
+
+> Index complet : [`docs/GUIDES/README.md`](docs/GUIDES/README.md).

 ---

 ## 📋 Table des matières

- [Fonctionnalités](#fonctionnalites)
- [Prérequis](#prerequis)
- [Installation rapide](#installation-rapide)
- [Configuration détaillée](#configuration-detaillee)
- [Variables d'environnement](#variables-denvironnement)
- [🔒 Authentification](#authentification)
- [Ajouter une nouvelle vault](#ajouter-une-nouvelle-vault)
- [Build & déploiement avec build.sh](#build-deploiement-avec-buildsh)
- [Rendu d'images Obsidian](#rendu-dimages-obsidian)
- [Desktop (Tauri) — Application native](#desktop-tauri-application-native)
- [Utilisation](#utilisation)
- [API](#api)
- [Recherche avancée](#recherche-avancee)
- [Dépannage](#depannage)
- [Performance](#performance)
- [Sécurité](#securite)
- [Stack technique](#stack-technique)
- [Architecture](#architecture)
- [Développement](#developpement)
- [Licence](#licence)
- [Changelog](#changelog)
+- ✨ [Fonctionnalités](#fonctionnalites)
+- 📚 [Guides](#guides)
+- 🚀 [Prérequis](#prerequis)
+- ⚡ [Installation rapide](#installation-rapide)
+- ⚙️ [Configuration détaillée](#configuration-detaillee)
+- 🌍 [Variables d'environnement](#variables-denvironnement)
+- 🔒 [Authentification](#authentification)
+- ➕ [Ajouter une nouvelle vault](#ajouter-une-nouvelle-vault)
+- 🔨 [Build & déploiement avec build.sh](#build-deploiement-avec-buildsh)
+- 🖼️ [Rendu d'images Obsidian](#rendu-dimages-obsidian)
+- 🖥️ [Desktop (Tauri) — Application native](#desktop-tauri-application-native)
+- 📖 [Utilisation](#utilisation)
+- 👥 [Collaboration temps réel](#collaboration-temps-reel)
+- 🔌 [API](#api)
+- 🔍 [Recherche avancée](#recherche-avancee)
+- 🔧 [Dépannage](#depannage)
+- ⚡ [Performance](#performance)
+- 🛡️ [Sécurité](#securite)
+- 🏗️ [Stack technique](#stack-technique)
+- 🏠 [Architecture](#architecture)
+- 📝 [Développement](#developpement)
+- 📄 [Licence](#licence)
+- 🤝 [Support](#support)
+- 📝 [Changelog](#changelog)

 ---

 ## ✨ Fonctionnalités

 - **🤖 AI Editor intégré** — Éditeur CodeMirror 6 avec toolbar IA : amélioration, correction, traduction, génération, réécriture personnalisée, toolbox (liste, tableau, frontmatter, canvas) — multi-provider DeepSeek/OpenRouter/Gemini
- **🧩 Serveur MCP & agent IA** — Serveur Model Context Protocol intégré (`/mcp`) et assistant avec function calling : lisez, cherchez et modifiez vos vaults depuis Claude Desktop, Cursor… avec confirmations two-step, permissions par vault, rate limiting et redaction des secrets ([guide](docs/MCP_GUIDE.md))
+- **🧩 Serveur MCP & agent IA** — Serveur Model Context Protocol intégré (`/mcp`) et assistant avec function calling : lisez, cherchez et modifiez vos vaults depuis Claude Desktop, Cursor… avec confirmations two-step, permissions par vault, rate limiting et redaction des secrets ([guide](docs/GUIDES/MCP.md))
 - **👥 Collaboration temps réel** — Édition simultanée d'un même document (Yjs/CRDT) : curseurs distants colorés, indicateur de présence, fusion sans conflit, reconnexion automatique et persistance serveur ([détail](docs/features/collaboration.md))
+- **📖 Guide d'utilisation intégré** — Aide complète en FR/EN accessible depuis le menu Options : interface, navigation, recherche, fichiers, IA, sécurité, API & intégrations (OpenAPI, MCP), hors-ligne, collaboration, desktop, plus une section **Architecture** avec diagramme Mermaid ; téléchargeable en **Markdown** et **PDF** dans la langue courante ([détail](docs/features/guide-coverage-105.md))
 - **📱 Éditeur mobile natif** — Édition optimisée pour le tactile : barre d'outils Markdown flottante (gras/italique/code/liste/lien), bouton « Coller » persistant (contournement iOS), zoom par pincement et hauteur ajustable, raccourcis swipe (liens entrants / table des matières) et mode lecture plein écran avec navigation entre fichiers ([détail](docs/features/mobile-editor.md))
 - **🗺️ Vue graphe interactive** — Canvas force-directed avec Barnes-Hut O(n log n), filtres (tag, type), profondeur, mode focus, historique de navigation ←→↑, export PNG, aperçu au survol (Ctrl+click)
 - **🗂️ Multi-vault** : Visualisez plusieurs vaults Obsidian simultanément
@@ -282,6 +297,16 @@ Un compte **admin** connecté voit une icône 🛡️ dans le header : liste, cr
 | `OBSIGATE_WEBHOOK_ALLOW_PRIVATE` | Autoriser les webhooks vers des adresses privées/boucle | `false` |
 | `OBSIGATE_PDF_MAX_SIZE_MB` | Taille max des PDF extraits (text indexation) | `50` |
 | `OBSIGATE_PDF_EXTRACT_TIMEOUT` | Timeout extraction PDF (secondes) | `30` |
+| `OBSIGATE_TAVILY_API_KEY` / `OBSIGATE_BRAVE_API_KEY` / `OBSIGATE_SERPAPI_API_KEY` / `OBSIGATE_EXA_API_KEY` | Fournisseurs de recherche web à clé (essayés avant SearXNG) | — |
+| `OBSIGATE_WEB_PROVIDERS` | Ordre des fournisseurs de recherche (ex. `brave,searxng`) | — |
+| `OBSIGATE_WEB_RETRY` | Réessais réseau des outils web (backoff maison) | `1` |
+| `OBSIGATE_WEB_CACHE_TTL` | Durée du cache SQLite des résultats web (secondes, `0` = off) | `900` |
+| `OBSIGATE_GITEA_URL` / `OBSIGATE_GITEA_TOKEN` | Source connectée Gitea (outil `git_list_repos`…) | — |
+| `OBSIGATE_GITHUB_TOKEN` | Jeton GitHub (outil `git_list_repos`…) | — |
+
+> Ces clés peuvent aussi être saisies **depuis l'interface** (menu → Configurations →
+> « Sources connectées & recherche ») : la valeur saisie est stockée dans `data/api_keys.json`
+> et prime sur la variable d'environnement.

 ### Volume pour la persistance

@@ -401,6 +426,8 @@ curl -X POST http://localhost:2020/api/attachments/rescan/MonVault

 ## 🖥️ Desktop (Tauri) — Application native

+> 📖 Guide complet : [Desktop (Tauri)](docs/GUIDES/DESKTOP.md)
+
 ObsiGate Desktop est une application native construite avec [Tauri](https://tauri.app/) (Rust + webview système). Elle embarque le backend Python et le frontend dans un exécutable standalone — zéro Docker, zéro ligne de commande.

 > 🚧 **Version 2.0.0 — binaires en cours de stabilisation.** Pour l'instant, le build depuis les sources est recommandé.
@@ -560,6 +587,8 @@ Cycle de vie : Tauri spawn le backend Python → health check → splash de dém

 ## 👥 Collaboration temps réel

+> 📖 Guide complet : [Édition & collaboration](docs/GUIDES/COLLABORATION.md)
+
 Plusieurs utilisateurs peuvent éditer le même document markdown simultanément (façon Google Docs) :

 - **Fusion sans conflit** grâce à Yjs (CRDT) : deux personnes peuvent taper au même endroit, aucune
@@ -579,6 +608,8 @@ fenêtres) pour voir la collaboration en action.

 ## 🔌 API

+> 📖 Guide complet : [API REST](docs/GUIDES/API_REST.md) · [Serveur MCP](docs/GUIDES/MCP.md)
+
 ObsiGate expose une API REST complète :

 | Endpoint | Description | Méthode | Auth |
@@ -626,6 +657,8 @@ curl "http://localhost:2020/api/file/Recettes?path=pizza.md"

 ## 🔍 Recherche avancée

+> 📖 Guide complet : [Recherche, PDF & Excalidraw](docs/GUIDES/RECHERCHE_PDF_EXCALIDRAW.md)
+
 ### Syntaxe de requête

 | Opérateur | Description | Exemple |
@@ -747,6 +780,8 @@ Configurables via l'interface (Settings) ou l'API `/api/config`.

 ## 🛡️ Sécurité

+> 📖 Guide complet : [Authentification & sécurité](docs/GUIDES/AUTHENTIFICATION_SECURITE.md)
+
 - **Path traversal** : tous les endpoints fichier valident que le chemin résolu reste dans la vault
 - **Rate limiting** : 10 tentatives de login max par IP sur 15 minutes + lockout par compte (5 tentatives)
 - **Audit log** : écritures/suppressions/config journalisées dans `data/audit.log` (JSON lines, rotation 10 MB)
@@ -916,8 +951,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l

 ## 📝 Changelog

-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.7.4).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.16.6).

 ---

-*Projet : ObsiGate | Version : 2.7.4 | Dernière mise à jour : Juin 2026*
+*Projet : ObsiGate | Version : 2.16.6 | Dernière mise à jour : Septembre 2026*
@@ -2,54 +2,75 @@

 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.

-[![Version](https://img.shields.io/badge/Version-2.7.4-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.16.6-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
 [![CI/CD](https://img.shields.io/badge/CI%2FCD-Gitea_Actions-green.svg)](https://git.dracodev.net/Projets/ObsiGate/actions)

-```
-┌─────────────────────────────────────────────────────────┐
-│  [🔍 Search...]          [☀/🌙 Theme]   ObsiGate      │
-├──────────────┬──────────────────────────────────────────┤
-│  SIDEBAR     │           CONTENT AREA                   │
-│  ▼ Recipes   │   📄 File Title                          │
-│    📁 Soups  │   Tags: #recipe #quick                  │
-│    📄 Pizza  │   [Rendered Markdown Content]            │
-│  ▼ IT        │                                          │
-│    📁 Docker │                                          │
-│  Tags Cloud  │                                          │
-└──────────────┴──────────────────────────────────────────┘
-```
+![ObsiGate interface — statistics dashboard with vaults, tags and keyboard shortcuts](docs/images/obsigate-home.png)
+
+> ObsiGate web interface: multi-vault sidebar, global search, dashboard stats and shortcuts.
+
+---
+
+## 📚 Guides
+
+Step-by-step **user guides** live in [`docs/GUIDES/`](docs/GUIDES/):
+
+| Guide | What it covers |
+|---|---|
+| 🚀 [Getting Started](docs/GUIDES/PRISE_EN_MAIN.md) | First run, interface, navigation, vaults, shortcuts |
+| 🔍 [Search, PDF & Excalidraw](docs/GUIDES/RECHERCHE_PDF_EXCALIDRAW.md) | Query syntax, semantic search, PDF viewer, diagrams |
+| 🤖 [AI Assistant & Forge](docs/GUIDES/ASSISTANT_IA_FORGE.md) | Providers, AI editor, BooksLM, Forge, `@` / `/` commands |
+| 📝 [Editing & Collaboration](docs/GUIDES/COLLABORATION.md) | Simultaneous editing, remote cursors, persistence |
+| 📱 [PWA & Offline](docs/GUIDES/PWA_HORS_LIGNE.md) | Install as an app, offline cache, sync queue, push |
+| 🔌 [REST API](docs/GUIDES/API_REST.md) | Authentication, API keys, endpoints, `curl` examples, SSE |
+| 🧩 [MCP Server](docs/GUIDES/MCP.md) | Connect Claude Desktop, Cursor, Cline… to your vaults |
+| 🔒 [Auth & Security](docs/GUIDES/AUTHENTIFICATION_SECURITE.md) | Users, MFA, per-vault permissions, hardening |
+| 🐳 [Docker Deployment](docs/GUIDES/DEPLOIEMENT_DOCKER.md) | `docker-compose`, volumes, reverse proxy, updates |
+| 🖥️ [Desktop (Tauri)](docs/GUIDES/DESKTOP.md) | Install, first run, build from source, troubleshooting |
+
+> All guides are currently written in **French**. See the full index:
+> [`docs/GUIDES/README.md`](docs/GUIDES/README.md).

 ---

 ## 📋 Table of Contents

- [Features](#features)
- [Architecture](#architecture)
- [Prerequisites](#prerequisites)
- [Quick Installation](#quick-installation)
- [Detailed Configuration](#detailed-configuration)
- [Environment Variables](#environment-variables)
- [🔒 Authentication](#authentication)
- [Adding a New Vault](#adding-a-new-vault)
- [Build & Deployment with build.sh](#build--deployment-with-buildsh)
- [Desktop (Tauri) — Native Application](#desktop-tauri--native-application)
- [Usage](#usage)
- [API](#api)
- [Performance](#performance)
- [Troubleshooting](#troubleshooting)
- [Tech Stack](#tech-stack)
- [Changelog](#changelog)
+- ✨ [Features](#features)
+- 📚 [Guides](#guides)
+- 🚀 [Prerequisites](#prerequisites)
+- ⚡ [Quick Installation](#quick-installation)
+- ⚙️ [Detailed Configuration](#detailed-configuration)
+- 🌍 [Environment Variables](#environment-variables)
+- 🔒 [Authentication](#authentication)
+- ➕ [Adding a New Vault](#adding-a-new-vault)
+- 🔨 [Build & Deployment with build.sh](#build--deployment-with-buildsh)
+- 🖼️ [Obsidian Image Rendering](#obsidian-image-rendering)
+- 🖥️ [Desktop (Tauri) — Native Application](#desktop-tauri--native-application)
+- 📖 [Usage](#usage)
+- 👥 [Real-time Collaboration](#real-time-collaboration)
+- 🔌 [API](#api)
+- 🔍 [Advanced Search](#advanced-search)
+- 🛡️ [Security](#security)
+- ⚡ [Performance](#performance)
+- 🔧 [Troubleshooting](#troubleshooting)
+- 🏗️ [Tech Stack](#tech-stack)
+- 🏠 [Architecture](#architecture)
+- 📝 [Development](#development)
+- 📄 [License](#license)
+- 🤝 [Support](#support)
+- 📝 [Changelog](#changelog)

 ---

 ## ✨ Features

 - **🤖 Integrated AI Editor** — CodeMirror 6 editor with AI toolbar: improve, correct, translate, generate, custom rewrite, toolbox (list, table, frontmatter, canvas) — multi-provider DeepSeek/OpenRouter/Gemini
- **🧩 MCP Server & AI Agent** — Built-in Model Context Protocol server (`/mcp`) and tool-calling assistant: read, search and edit your vaults from Claude Desktop, Cursor… with two-step confirmations, per-vault permissions, rate limiting and secret redaction ([guide](docs/MCP_GUIDE.md))
+- **🧩 MCP Server & AI Agent** — Built-in Model Context Protocol server (`/mcp`) and tool-calling assistant: read, search and edit your vaults from Claude Desktop, Cursor… with two-step confirmations, per-vault permissions, rate limiting and secret redaction ([guide](docs/GUIDES/MCP.md))
 - **👥 Real-time Collaboration** — Simultaneous editing of the same document (Yjs/CRDT): colored remote cursors, presence indicator, conflict-free merge, automatic reconnection and server-side persistence ([details](docs/features/collaboration.md))
+- **📖 Built-in User Guide** — Complete FR/EN help from the Options menu: interface, navigation, search, files, AI, security, API & integrations (OpenAPI, MCP), offline, collaboration, desktop, plus an **Architecture** section with a Mermaid diagram; downloadable as **Markdown** and **PDF** in the current language ([details](docs/features/guide-coverage-105.md))
 - **📱 Native Mobile Editor** — Touch-optimised editing: floating Markdown toolbar (bold/italic/code/list/link), persistent Paste button (iOS workaround), pinch-zoom font & adjustable height, swipe shortcuts (backlinks / table of contents) and a full-screen reading mode with page navigation ([details](docs/features/mobile-editor.md))
 - **🗺️ Interactive Graph View** — Canvas force-directed with Barnes-Hut O(n log n), filters (tag, type), depth, focus mode, navigation history ←→↑, export PNG, preview on hover (Ctrl+click)
 - **🗂️ Multi-vault** : View multiple Obsidian vaults simultaneously
@@ -320,6 +341,16 @@ When an **admin** account is logged in, a 🛡️ icon appears in the header. Cl
 | `OBSIGATE_WEBHOOK_ALLOW_PRIVATE` | Allow webhooks to private/loopback addresses | `false` |
 | `OBSIGATE_PDF_MAX_SIZE_MB` | Max PDF size for text extraction | `50` |
 | `OBSIGATE_PDF_EXTRACT_TIMEOUT` | PDF extraction timeout (seconds) | `30` |
+| `OBSIGATE_TAVILY_API_KEY` / `OBSIGATE_BRAVE_API_KEY` / `OBSIGATE_SERPAPI_API_KEY` / `OBSIGATE_EXA_API_KEY` | Keyed web-search providers (tried before SearXNG) | — |
+| `OBSIGATE_WEB_PROVIDERS` | Search provider order (e.g. `brave,searxng`) | — |
+| `OBSIGATE_WEB_RETRY` | Web tools network retries (house-made backoff) | `1` |
+| `OBSIGATE_WEB_CACHE_TTL` | SQLite cache TTL for web results (seconds, `0` = off) | `900` |
+| `OBSIGATE_GITEA_URL` / `OBSIGATE_GITEA_TOKEN` | Gitea connected source (`git_list_repos`…) | — |
+| `OBSIGATE_GITHUB_TOKEN` | GitHub token (`git_list_repos`…) | — |
+
+> These keys can also be entered **from the UI** (menu → Configurations →
+> "Connected sources & search"): the stored value goes to `data/api_keys.json`
+> and takes precedence over the environment variable.

 >All these variables are documented in `.env.example`.

@@ -509,6 +540,8 @@ curl -X POST http://localhost:2020/api/attachments/rescan/MyVault

 ## 🖥️ Desktop (Tauri) — Native Application

+> 📖 Full guide: [Desktop (Tauri)](docs/GUIDES/DESKTOP.md)
+
 ObsiGate Desktop is a native application built with [Tauri](https://tauri.app/) (Rust + system webview). It embeds the Python backend and frontend in a standalone executable — zero Docker, zero command line.

 > 🚧 **Version 2.0.0 — binaries are being stabilized.** For now, building from source is recommended.
@@ -676,6 +709,8 @@ Lifecycle: Tauri spawns the Python backend → health check → opens the webvie

 ## 👥 Real-time Collaboration

+> 📖 Full guide: [Editing & Collaboration](docs/GUIDES/COLLABORATION.md)
+
 Multiple users can edit the same markdown document simultaneously (Google Docs style):

 - **Conflict-free merge** via Yjs (CRDT): two people can type in the same place, no change is lost.
@@ -692,6 +727,8 @@ No configuration is required: open the same file in two browsers (or two windows

 ## 🔌 API

+> 📖 Full guide: [REST API](docs/GUIDES/API_REST.md) · [MCP Server](docs/GUIDES/MCP.md)
+
 ObsiGate exposes a complete REST API :

 | Endpoint | Description | Method | Auth |
@@ -752,6 +789,8 @@ curl "http://localhost:2020/api/file/Recipes?path=pizza.md"

 ## 🔍 Advanced Search

+> 📖 Full guide: [Search, PDF & Excalidraw](docs/GUIDES/RECHERCHE_PDF_EXCALIDRAW.md)
+
 ### Query Syntax

 | Operator | Description | Example |
@@ -904,6 +943,8 @@ These parameters are configurable via the interface (Settings) or the `/api/conf

 ## 🛡️ Security

+> 📖 Full guide: [Auth & Security](docs/GUIDES/AUTHENTIFICATION_SECURITE.md)
+
 - **Path traversal** : All file endpoints validate that the resolved path stays within the vault
 - **Rate limiting** : 10 login attempts max per IP over 15 minutes + per-account lockout (5 attempts)
 - **Audit log** : All writes, deletions, and config changes are logged in `data/audit.log` (JSON lines, 10 MB rotation)
@@ -1059,7 +1100,9 @@ ObsiGate/
 ├── Dockerfile           # Multi-stage, healthcheck, non-root
 ├── docker-compose.yml   # Deployment with healthcheck and auth env vars
 ├── build.sh             # Automated build & deployment (docker compose build + up)
-└── docs/CONTRIBUTING.md # Contribution guide
+└── docs/
+    ├── GUIDES/          # User guides (getting started, API, MCP, desktop…)
+    └── CONTRIBUTING.md  # Contribution guide
 ```

 ### Contributing
@@ -1085,8 +1128,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)

 ## 📝 Changelog

-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.7.4).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.16.6).

 ---

-*Project: ObsiGate | Version: 2.7.4 | Last updated: May 2026*
+*Project: ObsiGate | Version: 2.16.6 | Last updated: September 2026*
@@ -1 +1 @@
-2.7.4
+2.16.6
@@ -353,10 +353,13 @@ async def ai_generate_frontmatter(text: str, provider: ProviderName | None = Non


 async def ai_inline_complete(text: str, provider: ProviderName | None = None) -> str:
-    """Inline completion — suggest continuation."""
+    """Inline completion — suggest a short continuation of the text before the cursor."""
    return await _call_deepseek_openrouter(
-        f"Complete this text naturally. Return only the completion (just the new text, no repetition):\n\n{text}",
-        SYSTEM_PROMPT, provider, temperature=0.3, max_tokens=512,
+        "Continue the text below in the same language. Reply with ONLY the "
+        "continuation: no repetition, no quotes, no explanation, at most one "
+        "short sentence. If the text ends with a partial word, finish that word.\n\n"
+        + text,
+        SYSTEM_PROMPT, provider, temperature=0.2, max_tokens=128,
    )


@@ -7,6 +7,7 @@ import json
 import logging
 import os
 import secrets
+import threading
 import time
 import uuid
 from pathlib import Path
@@ -23,6 +24,22 @@ ALGORITHM = "HS256"
 ACCESS_TOKEN_EXPIRE_SECONDS = int(os.environ.get("OBSIGATE_ACCESS_TOKEN_TTL", "3600"))       # default 1 hour
 REFRESH_TOKEN_EXPIRE_SECONDS = int(os.environ.get("OBSIGATE_REFRESH_TOKEN_TTL", "604800"))   # default 7 days

+#: Persistent API/MCP access tokens (user-managed, shown in the config panel).
+API_TOKENS_FILE = Path("data/api_tokens.json")
+#: Accepted values for the expiry selector in the UI (1 day, 1 month, 6 months,
+#: 1 year, never). "never" → no ``exp`` claim → token valid until revoked.
+API_TOKEN_EXPIRY_CHOICES = {
+    "1d": 24 * 3600,
+    "30d": 30 * 24 * 3600,
+    "180d": 180 * 24 * 3600,
+    "365d": 365 * 24 * 3600,
+    "never": None,
+}
+#: Max active tokens per user (anti hoarding; revoking frees a slot).
+API_TOKEN_MAX_PER_USER = 50
+#: AES-GCM key derived once from the JWT secret to encrypt stored tokens.
+_API_TOKEN_KEY: bytes | None = None
+
 # In-memory revoked token set (loaded from disk on startup)
 _revoked_jtis: set = set()
 _revoked_loaded = False
@@ -92,43 +109,61 @@ def decode_token(token: str) -> dict | None:
 # ---------------------------------------------------------------------------
 # Token revocation
 # ---------------------------------------------------------------------------
+# The store is a dict {jti: valid_until}: the revocation record may be dropped
+# once the underlying token's own expiry has passed (by then the JWT is dead
+# anyway). Long-lived API/MCP tokens (see create_api_token) must therefore be
+# revoked with their real expiry — a 1-year token revoked last week must not
+# silently come back to life when a 7-day cleanup purges the record (BUG in
+# the previous set-based store, fixed with feature #107).
+
+_revoked_map: dict[str, int] = {}
+_revoked_loaded = False
+

 def _load_revoked():
    """Load revoked token JTIs from disk into memory (once)."""
-    global _revoked_loaded, _revoked_jtis
+    global _revoked_loaded, _revoked_map
    if _revoked_loaded:
        return
    if REVOKED_TOKENS_FILE.exists():
        try:
            data = json.loads(REVOKED_TOKENS_FILE.read_text())
-            # Clean expired entries (older than 7 days)
+            # Drop entries whose underlying token has itself expired.
            now = int(time.time())
-            _revoked_jtis = {
-                jti for jti, exp in data.items()
-                if exp > now
+            _revoked_map = {
+                jti: int(exp) for jti, exp in data.items()
+                if int(exp) > now
            }
        except Exception as e:
            logger.warning(f"Failed to load revoked tokens: {e}")
-            _revoked_jtis = set()
+            _revoked_map = {}
    _revoked_loaded = True


 def _save_revoked():
-    """Persist revoked JTIs to disk."""
+    """Persist revoked JTIs to disk with their per-token expiry."""
    REVOKED_TOKENS_FILE.parent.mkdir(parents=True, exist_ok=True)
-    # Store with expiry timestamp for cleanup
-    now = int(time.time())
-    # Keep entries for 7 days max
-    data = {jti: now + REFRESH_TOKEN_EXPIRE_SECONDS for jti in _revoked_jtis}
    tmp = REVOKED_TOKENS_FILE.with_suffix(".tmp")
-    tmp.write_text(json.dumps(data))
+    tmp.write_text(json.dumps(_revoked_map))
    tmp.replace(REVOKED_TOKENS_FILE)


-def revoke_token(jti: str):
-    """Add a token JTI to the revocation list."""
+def revoke_token(jti: str, expires_at: int | None = None):
+    """Add a token JTI to the revocation list.
+
+    ``expires_at`` is the revoked token's own ``exp`` (unix seconds) — the
+    record is kept at least that long so a long-lived API token cannot
+    outlive its revocation. ``None`` means the token never expires (API/MCP
+    "sans fin") → the record is kept forever (capped at ~100 years, the JWT
+    store's practical infinity). Default keeps 7 days (session tokens).
+    """
    _load_revoked()
-    _revoked_jtis.add(jti)
+    now = int(time.time())
+    if expires_at is None:
+        until = now + 100 * 365 * 24 * 3600
+    else:
+        until = max(int(expires_at), now + REFRESH_TOKEN_EXPIRE_SECONDS)
+    _revoked_map[jti] = until
    _save_revoked()
    logger.debug(f"Revoked token JTI: {jti[:8]}...")

@@ -136,4 +171,128 @@ def revoke_token(jti: str):
 def is_token_revoked(jti: str) -> bool:
    """Check if a token JTI has been revoked."""
    _load_revoked()
-    return jti in _revoked_jtis
+    return jti in _revoked_map
+
+
+# ---------------------------------------------------------------------------
+# API / MCP tokens (feature #107)
+# ---------------------------------------------------------------------------
+# Long-lived access tokens the user creates from the config panel. They are
+# plain HS256 access-type JWTs (``api: true`` claim), so they authenticate
+# against BOTH the REST API and the MCP endpoint (/mcp) — which share
+# ``get_current_user``. The raw token is shown exactly once at creation; the
+# store keeps metadata only (name, owner, expiry, last use) — no secret
+# material is written to disk.
+#
+# File: data/api_tokens.json
+#   {"version": 1, "tokens": {jti: {name, username, created_at, expires_at, last_used_at}}}
+
+_api_tokens_lock = threading.RLock()
+_touch_last_write: dict[str, float] = {}
+
+
+def _load_api_tokens() -> dict:
+    if not API_TOKENS_FILE.exists():
+        return {"version": 1, "tokens": {}}
+    try:
+        return json.loads(API_TOKENS_FILE.read_text(encoding="utf-8"))
+    except (json.JSONDecodeError, OSError) as e:
+        logger.error(f"Failed to read api_tokens.json: {e}")
+        return {"version": 1, "tokens": {}}
+
+
+def _save_api_tokens(data: dict):
+    API_TOKENS_FILE.parent.mkdir(parents=True, exist_ok=True)
+    tmp = API_TOKENS_FILE.with_suffix(".tmp")
+    tmp.write_text(json.dumps(data, indent=2, default=str), encoding="utf-8")
+    tmp.replace(API_TOKENS_FILE)
+
+
+def create_api_token(user: dict, name: str, expiry_key: str) -> tuple[dict, str]:
+    """Create a persistent API/MCP token. Returns (record, jwt_string).
+
+    ``expiry_key`` must be one of API_TOKEN_EXPIRY_CHOICES; "never" omits the
+    ``exp`` claim (valid until explicitly revoked).
+    """
+    if expiry_key not in API_TOKEN_EXPIRY_CHOICES:
+        raise ValueError("Expiration invalide")
+    seconds = API_TOKEN_EXPIRY_CHOICES[expiry_key]
+    with _api_tokens_lock:
+        data = _load_api_tokens()
+        tokens = data["tokens"]
+        mine = sum(1 for t in tokens.values() if t["username"] == user["username"])
+        if mine >= API_TOKEN_MAX_PER_USER:
+            raise ValueError(f"Maximum {API_TOKEN_MAX_PER_USER} tokens par utilisateur")
+        now = int(time.time())
+        jti = str(uuid.uuid4())
+        payload = {
+            "sub": user["username"],
+            "role": user.get("role", "user"),
+            "vaults": user.get("vaults", []),
+            "jti": jti,
+            "iat": now,
+            "type": "access",
+            "api": True,
+        }
+        if seconds is not None:
+            payload["exp"] = now + seconds
+        token = jwt.encode(payload, get_secret_key(), algorithm=ALGORITHM)
+        record = {
+            "jti": jti,
+            "name": name[:64] or "API token",
+            "username": user["username"],
+            "created_at": now,
+            "expires_at": payload.get("exp"),
+            "expiry_key": expiry_key,
+            "last_used_at": None,
+        }
+        tokens[jti] = record
+        _save_api_tokens(data)
+    return record, token
+
+
+def list_api_tokens(username: str) -> list[dict]:
+    """Token metadata for one user, newest first."""
+    data = _load_api_tokens()
+    now = int(time.time())
+    items = [
+        {**t, "expired": t.get("expires_at") is not None and t["expires_at"] < now}
+        for t in data["tokens"].values()
+        if t["username"] == username
+    ]
+    return sorted(items, key=lambda t: t["created_at"], reverse=True)
+
+
+def delete_api_token(jti: str, username: str) -> dict:
+    """Revoke and remove an API token. Raises KeyError when unknown/not owned."""
+    with _api_tokens_lock:
+        data = _load_api_tokens()
+        record = data["tokens"].get(jti)
+        if not record or record["username"] != username:
+            raise KeyError(jti)
+        # Revoke by jti so the presented JWT stops working even though it is
+        # stateless — kept until its natural expiry (no-expiry → forever).
+        revoke_token(jti, record.get("expires_at"))
+        del data["tokens"][jti]
+        _save_api_tokens(data)
+    return record
+
+
+def maybe_touch_api_token(jti: str | None, created_or_expires: bool = False):
+    """Record last usage of an API token, throttled to one disk write/hour."""
+    if not jti:
+        return
+    now = time.time()
+    if now - _touch_last_write.get(jti, 0) < 3600:
+        return
+    _touch_last_write[jti] = now
+    try:
+        with _api_tokens_lock:
+            data = _load_api_tokens()
+            record = data["tokens"].get(jti)
+            if record is None:
+                return
+            record["last_used_at"] = int(now)
+            _save_api_tokens(data)
+    except Exception as e:  # never fail an authenticated request over stats
+        logger.debug(f"api_token touch failed: {e}")
@@ -4,19 +4,23 @@

 import logging
 import os
+import sys

 from fastapi import Depends, HTTPException, Request
 from fastapi.security import HTTPAuthorizationCredentials, HTTPBearer

 from backend.services.net import get_client_ip

-from .jwt_handler import decode_token, is_token_revoked
+from .jwt_handler import decode_token, is_token_revoked, maybe_touch_api_token
 from .user_store import get_user

 logger = logging.getLogger("obsigate.auth.middleware")

 security = HTTPBearer(auto_error=False)

+#: Hosts considered safe to bind without authentication (loopback only).
+_LOOPBACK_HOSTS = {"127.0.0.1", "::1", "localhost", "0:0:0:0:0:0:0:1"}
+

 def is_auth_enabled() -> bool:
    """Check if authentication is enabled via environment variable.
@@ -26,6 +30,34 @@ def is_auth_enabled() -> bool:
    return os.environ.get("OBSIGATE_AUTH_ENABLED", "true").lower() != "false"


+def is_insecure_mode_allowed() -> bool:
+    """True when the operator explicitly accepts running without auth (BUG-037)."""
+    return os.environ.get("OBSIGATE_ALLOW_INSECURE", "false").lower() in ("1", "true", "yes", "on")
+
+
+def bind_host_from_argv(argv: list[str] | None = None) -> str | None:
+    """Extract the ``--host`` value from the process arguments (uvicorn), if any.
+
+    Returns ``None`` when no explicit host is passed (uvicorn then defaults to
+    loopback ``127.0.0.1``).
+    """
+    args = sys.argv if argv is None else argv
+    for i, arg in enumerate(args):
+        if arg == "--host" and i + 1 < len(args):
+            return args[i + 1]
+        if arg.startswith("--host="):
+            return arg.split("=", 1)[1]
+    return None
+
+
+def is_loopback_host(host: str | None) -> bool:
+    """True when *host* is a loopback address (or unset → uvicorn default)."""
+    if not host:
+        return True
+    normalized = host.strip().strip("[]").lower()
+    return normalized in _LOOPBACK_HOSTS
+
+
 def get_current_user(
    request: Request,
    credentials: HTTPAuthorizationCredentials | None = Depends(security),
@@ -83,6 +115,10 @@ def get_current_user(
    user["_token_vaults"] = payload.get("vaults", [])
    # Attach the token id for per-token rate limiting (AI tool layer).
    user["_token_jti"] = payload.get("jti")
+    # Feature #107: track last usage of user-managed API/MCP tokens
+    # (throttled write — this dependency runs on both REST and /mcp paths).
+    if payload.get("api"):
+        maybe_touch_api_token(payload.get("jti"))
    # BUG-030: expose the real client IP to the audit log.
    user["_request_ip"] = get_client_ip(request)
    return user
@@ -1,14 +1,21 @@
 # backend/auth/password.py
 # Argon2id password hashing — OWASP 2024 recommended algorithm.
-# Parameters: time_cost=2, memory_cost=64MB, parallelism=2
+# Parameters (BUG-038): time_cost=2, memory_cost=19 MiB, parallelism=1
+# (OWASP current recommendation for Argon2id). The previous 64 MiB setting
+# allowed memory exhaustion under concurrent login attempts.

 from argon2 import PasswordHasher
 from argon2.exceptions import VerificationError, VerifyMismatchError

+#: Argon2id cost parameters (OWASP 2024: m=19456 KiB, t=2, p=1).
+ARGON2_TIME_COST = 2
+ARGON2_MEMORY_COST_KIB = 19456  # 19 MiB
+ARGON2_PARALLELISM = 1
+
 ph = PasswordHasher(
-    time_cost=2,
-    memory_cost=65536,  # 64 MB
-    parallelism=2,
+    time_cost=ARGON2_TIME_COST,
+    memory_cost=ARGON2_MEMORY_COST_KIB,
+    parallelism=ARGON2_PARALLELISM,
    hash_len=32,
    salt_len=16,
 )
@@ -17,10 +17,14 @@ from backend.services.net import get_client_ip

 from .jwt_handler import (
    ACCESS_TOKEN_EXPIRE_SECONDS,
+    API_TOKEN_EXPIRY_CHOICES,
    create_access_token,
+    create_api_token,
    create_refresh_token,
    decode_token,
+    delete_api_token,
    is_token_revoked,
+    list_api_tokens,
    revoke_token,
 )
 from .mfa import (
@@ -124,31 +128,32 @@ async def auth_status():
 async def login(body: LoginRequest, response: Response, request: Request):
    """Authenticate a user. Returns access token and sets refresh cookie.

-    Implements timing-safe responses to prevent user enumeration:
-    a failed login with an unknown user takes the same time as one
-    with a known user (dummy hash is computed).
+    Implements timing-safe responses to prevent user enumeration: a failed
+    login with an unknown user takes the same time as one with a known user
+    (dummy hash is computed). BUG-039: unknown, inactive, locked and
+    per-account rate-limited accounts all answer the same ``401`` so the HTTP
+    status can never reveal whether an account exists.
    """
+    client_ip = get_client_ip(request)
+
+    # IP-based rate limiting (10 failures / 15 min per IP). It is not
+    # account-specific, so a 429 here cannot be used to enumerate accounts.
+    if is_rate_limited(client_ip):
+        raise HTTPException(429, "Trop de tentatives depuis cette adresse IP (15min)")
+
    user = get_user(body.username)

-    if not user:
+    # BUG-039: uniform 401 + equivalent timing for every account-state outcome.
+    if not user or not user.get("active"):
        # Timing-safe: simulate hash computation to prevent user enumeration
        hash_password("dummy_timing_protection")
        raise HTTPException(401, "Identifiants invalides")

-    if not user.get("active"):
-        raise HTTPException(403, "Compte désactivé")
-
-    # IP-based rate limiting (10 failures / 15 min per IP)
-    client_ip = get_client_ip(request)
-    if is_rate_limited(client_ip):
-        raise HTTPException(429, "Trop de tentatives depuis cette adresse IP (15min)")
-
    # BUG-031: per-account budget still applies when the attacker rotates IPs.
-    if is_account_rate_limited(body.username):
-        raise HTTPException(429, "Trop de tentatives sur ce compte (15min)")
-
-    if is_locked(body.username):
-        raise HTTPException(429, "Compte temporairement verrouillé (15min)")
+    # Kept indistinguishable from a wrong password (BUG-039).
+    if is_account_rate_limited(body.username) or is_locked(body.username):
+        hash_password("dummy_timing_protection")
+        raise HTTPException(401, "Identifiants invalides")

    if not verify_password(body.password, user["password_hash"]):
        attempts = record_login_failure(body.username)
@@ -443,7 +448,9 @@ class MfaEnableRequest(BaseModel):
 async def mfa_totp_setup(current_user=Depends(require_auth)):
    """Generate a TOTP secret and QR URI for MFA setup.

-    Returns the secret and otpauth URI — client displays QR code.
+    Returns the secret, the otpauth URI and a ready-to-display QR code
+    (`qr_data_url`, SVG `data:` URI — no third-party service, CSP-safe).
+
    Does NOT enable MFA yet; call /mfa/totp/enable after first successful verify.
    """
    from .user_store import update_user
@@ -453,10 +460,21 @@ async def mfa_totp_setup(current_user=Depends(require_auth)):
    update_user(current_user["username"], {
        "mfa_secret_pending": secret,
    })
+    # BUG-068: the QR code is generated locally (segno, stdlib-free SVG data
+    # URI). The previous client-side https://api.qrserver.com image was blocked
+    # by the CSP (img-src 'self' data: blob:) and leaked the otpauth URI —
+    # including the TOTP secret — to a third party.
+    qr_data_url: str | None = None
+    try:
+        import segno
+        qr_data_url = segno.make(qr_uri).svg_data_uri(scale=5)
+    except Exception:
+        qr_data_url = None
    return {
        "secret": secret,
        "qr_uri": qr_uri,
        "otpauth_uri": qr_uri,
+        "qr_data_url": qr_data_url,
    }


@@ -558,18 +576,25 @@ class WebauthnRemoveRequest(BaseModel):


@router.post("/mfa/webauthn/register/options")
-async def mfa_webauthn_register_options(current_user=Depends(require_auth)):
+async def mfa_webauthn_register_options(request: Request,
+                                        current_user=Depends(require_auth)):
    """Start WebAuthn key enrolment — returns publicKey creation options for the browser."""
-    from .webauthn_mfa import begin_registration
+    from .webauthn_mfa import begin_registration, resolve_relying_party

+    # BUG-070: rp_id/origins derive from the request (exact host incl. port)
+    # unless explicitly configured — the old localhost defaults rejected
+    # every real access URL ("Unexpected client data origin").
+    rp, _ = resolve_relying_party(request)
    options = begin_registration(current_user["username"],
-                                 current_user.get("display_name", ""))
+                                 current_user.get("display_name", ""),
+                                 rp_id_override=rp)
    return {"options": options}


@router.post("/mfa/webauthn/register")
 async def mfa_webauthn_register(
    req: WebauthnRegisterRequest,
+    request: Request,
    current_user=Depends(require_auth),
 ):
    """Verify the created credential, store it, and enable MFA if not already on.
@@ -579,14 +604,17 @@ async def mfa_webauthn_register(
    from datetime import datetime, timezone

    from .user_store import get_user, update_user
-    from .webauthn_mfa import complete_registration
+    from .webauthn_mfa import complete_registration, resolve_relying_party

    user = get_user(current_user["username"])
    if user is None:
        raise HTTPException(404, "Utilisateur introuvable")
+    rp, origins = resolve_relying_party(request)
    try:
        record = complete_registration(current_user["username"], req.credential,
-                                       label=req.label)
+                                       label=req.label,
+                                       rp_id_override=rp,
+                                       origins_override=origins)
    except ValueError as e:
        raise HTTPException(400, str(e))
    except Exception as e:
@@ -665,7 +693,7 @@ async def mfa_webauthn_remove(


@router.post("/mfa/webauthn/options")
-async def mfa_webauthn_login_options(body: dict = Body(...)):
+async def mfa_webauthn_login_options(request: Request, body: dict = Body(...)):
    """Unauthenticated: begin the login assertion for a user with registered keys.

    Enumeration-safe: always 200 — returns null options (caller falls back to
@@ -677,8 +705,9 @@ async def mfa_webauthn_login_options(body: dict = Body(...)):
    if not user or not user.get("mfa_enabled") or not creds:
        return {"mfa_method": "totp", "options": None}

-    from .webauthn_mfa import begin_authentication
-    options = begin_authentication(username, creds)
+    from .webauthn_mfa import begin_authentication, resolve_relying_party
+    rp, _ = resolve_relying_party(request)
+    options = begin_authentication(username, creds, rp_id_override=rp)
    if options is None:
        return {"mfa_method": "totp", "options": None}
    return {"mfa_method": "webauthn", "options": options}
@@ -692,7 +721,7 @@ async def mfa_webauthn_verify(
 ):
    """Unauthenticated: verify the WebAuthn assertion and issue JWT tokens."""
    from .user_store import get_user, update_user
-    from .webauthn_mfa import complete_authentication
+    from .webauthn_mfa import complete_authentication, resolve_relying_party

    client_ip = _enforce_mfa_rate_limit(request, body.username)

@@ -703,13 +732,16 @@ async def mfa_webauthn_verify(
    if not user.get("mfa_enabled"):
        raise HTTPException(400, "MFA non activé pour cet utilisateur")

+    rp, origins = resolve_relying_party(request)
    creds = user.get("webauthn_credentials", [])
    try:
        credential_id = body.credential.get("id", "")
        stored = next((c for c in creds if c.get("credential_id") == credential_id), None)
        if stored is None:
            raise ValueError("Credential non enregistré")
-        new_count = complete_authentication(body.username, body.credential, stored)
+        new_count = complete_authentication(body.username, body.credential, stored,
+                                            rp_id_override=rp,
+                                            origins_override=origins)
    except ValueError as e:
        _record_mfa_failure(client_ip, body.username)
        raise HTTPException(401, str(e))
@@ -860,3 +892,58 @@ async def delete_user_endpoint(
        return {"message": f"Utilisateur '{username}' supprimé"}
    except ValueError as e:
        raise HTTPException(404, str(e))
+
+
+# ── API / MCP tokens (feature #107) ──────────────────────────────────
+# One long-lived token authenticates BOTH the REST API and the MCP
+# endpoint (/mcp): the MCP server resolves the caller through the same
+# get_current_user() dependency, so the same Bearer JWT works everywhere.
+
+class CreateApiTokenRequest(BaseModel):
+    name: str
+    expiry: str  # 1d | 30d | 180d | 365d | never
+
+
+@router.get("/tokens")
+async def list_user_tokens(current_user=Depends(require_auth)):
+    """List the caller's API/MCP tokens (metadata only — the secret is never stored)."""
+    return {
+        "tokens": list_api_tokens(current_user["username"]),
+        "expiry_choices": list(API_TOKEN_EXPIRY_CHOICES.keys()),
+    }
+
+
+@router.post("/tokens")
+async def create_user_token(
+    req: CreateApiTokenRequest,
+    request: Request,
+    current_user=Depends(require_auth),
+):
+    """Create a long-lived API/MCP token. The raw JWT is returned ONCE."""
+    try:
+        record, token = create_api_token(current_user, req.name.strip(), req.expiry)
+    except ValueError as e:
+        raise HTTPException(400, str(e))
+    from backend.audit import log_config_change
+    log_config_change(current_user["username"],
+                      {"action": "api_token_create", "name": record["name"],
+                       "expiry": record["expiry_key"]}, ip=get_client_ip(request))
+    return {"token": token, **record}
+
+
+@router.delete("/tokens/{jti}")
+async def delete_user_token(
+    jti: str,
+    request: Request,
+    current_user=Depends(require_auth),
+):
+    """Revoke + delete an API/MCP token (immediate effect on API and MCP)."""
+    try:
+        record = delete_api_token(jti, current_user["username"])
+    except KeyError:
+        raise HTTPException(404, "Token introuvable")
+    from backend.audit import log_config_change
+    log_config_change(current_user["username"],
+                      {"action": "api_token_revoke", "name": record["name"]},
+                      ip=get_client_ip(request))
+    return {"message": f"Token '{record['name']}' révoqué"}
@@ -38,8 +38,16 @@ logger = logging.getLogger("obsigate.auth.webauthn")
 # Challenge lifetime: clients have 3 minutes to complete the ceremony.
 CHALLENGE_TTL_SECONDS = 180

-# In-memory pending challenges: key -> (challenge_bytes, expires_at)
-_pending: dict[str, tuple[bytes, float]] = {}
+# How many outstanding challenges to keep per key. BUG-070: a single slot made
+# the flow fragile — a double-click on "add key" (or any retry) overwrote the
+# pending challenge and the in-flight ceremony failed with
+# "Client data challenge was not expected challenge". The verifier now accepts
+# any recent challenge for the key.
+MAX_PENDING_PER_KEY = 5
+
+# In-memory pending challenges: key -> [(challenge_bytes, expires_at), ...]
+# (newest last)
+_pending: dict[str, list[tuple[bytes, float]]] = {}


 def rp_id() -> str:
@@ -55,24 +63,100 @@ def expected_origins() -> list[str]:
    return [o.strip() for o in raw.split(",") if o.strip()]


+def resolve_relying_party(request: Any = None) -> tuple[str, list[str]]:
+    """Resolve the WebAuthn (rp_id, expected_origins) for a ceremony.
+
+    BUG-070: the previous defaults (rp_id ``localhost``, origins
+    ``http://localhost``) rejected every real-world access URL — any port
+    (``http://localhost:2020``), ``127.0.0.1``, a LAN host or a public domain
+    failed verification with "Unexpected client data origin".
+
+    Explicit configuration still wins: when ``OBSIGATE_WEBAUTHN_RP_ID`` /
+    ``OBSIGATE_WEBAUTHN_ORIGINS`` are set they are used unchanged.  Otherwise
+    the values are derived from the incoming request (exact ``Host``, port
+    included, since the browser origin carries non-default ports).
+
+    Behind a reverse proxy the external host/proto come from
+    ``X-Forwarded-Host`` / ``X-Forwarded-Proto``, honored only when
+    ``OBSIGATE_TRUST_PROXY=true`` (same rule as ``get_client_ip``).
+    """
+    env_rp = os.environ.get("OBSIGATE_WEBAUTHN_RP_ID")
+    env_raw = os.environ.get("OBSIGATE_WEBAUTHN_ORIGINS")
+    if request is None:
+        return (env_rp or "localhost",
+                [o.strip() for o in env_raw.split(",") if o.strip()]
+                if env_raw else ["http://localhost"])
+
+    from backend.services.net import is_trusted_proxy
+
+    if is_trusted_proxy():
+        fwd_host = request.headers.get("x-forwarded-host", "")
+        host = fwd_host.split(",")[0].strip() or request.headers.get("host", "")
+        fwd_proto = request.headers.get("x-forwarded-proto", "")
+        scheme = fwd_proto.split(",")[0].strip() or request.url.scheme
+    else:
+        host = request.headers.get("host", "")
+        scheme = request.url.scheme
+    if not host:
+        url = request.url
+        host = url.netloc or url.hostname or ""
+        scheme = scheme or url.scheme or "http"
+    rp = env_rp or _hostname_only(host) or "localhost"
+    if env_raw:
+        origins = [o.strip() for o in env_raw.split(",") if o.strip()]
+    else:
+        origins = [f"{scheme or 'http'}://{host}"] if host else ["http://localhost"]
+    return rp, origins
+
+
+def _hostname_only(host: str) -> str:
+    """Strip the port (and IPv6 brackets) from a Host header value."""
+    host = host.strip()
+    if host.startswith("["):  # [::1]:8080 or [::1]
+        end = host.find("]")
+        return host[1:end] if end > 0 else host
+    if host.count(":") == 1:
+        name, _, port = host.partition(":")
+        return name if port.isdigit() else host
+    return host
+
+
 def _prune_expired() -> None:
    now = time.time()
-    for key in [k for k, (_, exp) in _pending.items() if exp < now]:
-        _pending.pop(key, None)
+    for key in list(_pending):
+        remaining = [(c, exp) for c, exp in _pending[key] if exp >= now]
+        if remaining:
+            _pending[key] = remaining
+        else:
+            _pending.pop(key, None)


 def _store_challenge(key: str) -> bytes:
    _prune_expired()
    challenge = secrets.token_bytes(32)
-    _pending[key] = (challenge, time.time() + CHALLENGE_TTL_SECONDS)
+    slot = _pending.setdefault(key, [])
+    slot.append((challenge, time.time() + CHALLENGE_TTL_SECONDS))
+    del slot[:-MAX_PENDING_PER_KEY]  # keep only the most recent ones
    return challenge


 def _take_challenge(key: str) -> bytes | None:
-    """Pop a challenge (single-use). Returns None if missing/expired."""
+    """Pop the newest challenge (single-use). Returns None if missing/expired."""
    _prune_expired()
-    entry = _pending.pop(key, None)
-    return entry[0] if entry else None
+    slot = _pending.get(key)
+    if not slot:
+        return None
+    challenge, _ = slot.pop()
+    if not slot:
+        _pending.pop(key, None)
+    return challenge
+
+
+def _take_all_challenges(key: str) -> list[bytes]:
+    """Pop every outstanding challenge for *key* (newest last)."""
+    _prune_expired()
+    slot = _pending.pop(key, None)
+    return [c for c, _ in slot] if slot else []


 def clear_pending(username: str) -> None:
@@ -83,9 +167,12 @@ def clear_pending(username: str) -> None:

 # ── Registration (enrol a key in settings) ─────────────────────────────

-def begin_registration(username: str, display_name: str) -> dict:
+def begin_registration(username: str, display_name: str,
+                       rp_id_override: str | None = None,
+                       origins_override: list[str] | None = None) -> dict:
+    _ = origins_override  # origins only matter at verification time
    options = generate_registration_options(
-        rp_id=rp_id(),
+        rp_id=rp_id_override or rp_id(),
        rp_name=rp_name(),
        user_name=username,
        user_display_name=display_name or username,
@@ -98,19 +185,44 @@ def begin_registration(username: str, display_name: str) -> dict:
    return _finalize_options(options)


-def complete_registration(username: str, credential_json: dict[str, Any],
-                          label: str = "") -> dict:
-    challenge = _take_challenge(f"{username}:register")
-    if challenge is None:
-        raise ValueError("Session d'enregistrement expirée — recommencez")
+def _verify_with_any_challenge(key: str, verify_one: Any, empty_message: str) -> Any:
+    """Run *verify_one(challenge)* against every outstanding challenge.

+    Returns the first success; re-raises the last error when all fail.
+    BUG-070: lets an in-flight ceremony survive a re-requested options call
+    (double-click / retry) that stored a newer challenge afterwards.
+    """
+    challenges = _take_all_challenges(key)
+    if not challenges:
+        raise ValueError(empty_message)
+    last_error: Exception | None = None
+    for challenge in challenges:
+        try:
+            return verify_one(challenge)
+        except Exception as e:  # try the next candidate challenge
+            last_error = e
+    assert last_error is not None
+    raise last_error
+
+
+def complete_registration(username: str, credential_json: dict[str, Any],
+                          label: str = "", rp_id_override: str | None = None,
+                          origins_override: list[str] | None = None) -> dict:
    credential = parse_registration_credential_json(credential_json)
-    verification = verify_registration_response(
-        credential=credential,
-        expected_challenge=challenge,
-        expected_rp_id=rp_id(),
-        expected_origin=expected_origins(),
-    )
+    effective_rp = rp_id_override or rp_id()
+    effective_origins = origins_override or expected_origins()
+
+    def _verify(challenge: bytes) -> Any:
+        return verify_registration_response(
+            credential=credential,
+            expected_challenge=challenge,
+            expected_rp_id=effective_rp,
+            expected_origin=effective_origins,
+        )
+
+    verification = _verify_with_any_challenge(
+        f"{username}:register", _verify,
+        "Session d'enregistrement expirée — recommencez")

    transports = credential.response.transports or []
    label = (label or str(credential_json.get("label") or "")).strip() or "Security key"
@@ -126,9 +238,12 @@ def complete_registration(username: str, credential_json: dict[str, Any],

 # ── Authentication (assertion at login) ────────────────────────────────

-def begin_authentication(username: str, credentials: list[dict]) -> dict | None:
+def begin_authentication(username: str, credentials: list[dict],
+                       rp_id_override: str | None = None,
+                       origins_override: list[str] | None = None) -> dict | None:
    if not credentials:
        return None
+    _ = origins_override  # origins only matter at verification time
    from webauthn.helpers.structs import PublicKeyCredentialDescriptor

    allow = [
@@ -136,7 +251,7 @@ def begin_authentication(username: str, credentials: list[dict]) -> dict | None:
        for c in credentials
    ]
    options = generate_authentication_options(
-        rp_id=rp_id(),
+        rp_id=rp_id_override or rp_id(),
        challenge=_store_challenge(f"{username}:login"),
        allow_credentials=allow,
    )
@@ -147,21 +262,27 @@ def complete_authentication(
    username: str,
    credential_json: dict[str, Any],
    stored: dict,
+    rp_id_override: str | None = None,
+    origins_override: list[str] | None = None,
 ) -> int:
-    """Verify an assertion. Returns the new sign_count. Raises ValueError on failure."""
-    challenge = _take_challenge(f"{username}:login")
-    if challenge is None:
-        raise ValueError("Session expirée — rechargez la page")
-
+    """Verify an assertion. Returns the new sign_count. Raises on failure."""
    credential = parse_authentication_credential_json(credential_json)
-    verification = verify_authentication_response(
-        credential=credential,
-        expected_challenge=challenge,
-        expected_rp_id=rp_id(),
-        expected_origin=expected_origins(),
-        credential_public_key=base64url_to_bytes(stored["public_key"]),
-        credential_current_sign_count=int(stored.get("sign_count", 0)),
-    )
+    effective_rp = rp_id_override or rp_id()
+    effective_origins = origins_override or expected_origins()
+
+    def _verify(challenge: bytes) -> Any:
+        return verify_authentication_response(
+            credential=credential,
+            expected_challenge=challenge,
+            expected_rp_id=effective_rp,
+            expected_origin=effective_origins,
+            credential_public_key=base64url_to_bytes(stored["public_key"]),
+            credential_current_sign_count=int(stored.get("sign_count", 0)),
+        )
+
+    verification = _verify_with_any_challenge(
+        f"{username}:login", _verify,
+        "Session expirée — rechargez la page")
    return int(verification.new_sign_count)


@@ -44,6 +44,9 @@ MAX_UPDATE_BYTES = 8 * 1024 * 1024
 #: Taille maximale d'un snapshot texte (protection anti-abus).
 MAX_TEXT_CHARS = 8 * 1024 * 1024

+#: Taille maximale d'un message brut reçu (protection anti-abus, BUG-036).
+MAX_MESSAGE_CHARS = 16 * 1024 * 1024
+
 #: Palette de couleurs attribuées aux utilisateurs (curseurs + avatars).
 PEER_COLORS = [
    "#e6194b", "#3cb44b", "#4363d8", "#f58231", "#911eb4",
@@ -68,9 +71,13 @@ def authenticate_websocket(websocket: WebSocket) -> dict[str, Any] | None:
    """Authenticate a WebSocket connection.

    Mirrors :func:`backend.auth.middleware.get_current_user` but works on the
-    WebSocket scope: the JWT is read from the ``access_token`` cookie (sent
-    automatically by same-origin browsers during the handshake) or, as a
-    fallback, from the ``token`` query parameter.
+    WebSocket scope: the JWT is read from the ``access_token`` cookie, which
+    same-origin browsers send automatically during the handshake.
+
+    BUG-036: the token is **never** accepted from the query string anymore —
+    URLs end up in access logs, proxies and browser history. Browsers cannot
+    set custom headers on a WebSocket handshake, so the HttpOnly cookie set at
+    login is the only supported transport.

    Returns the user dict, or ``None`` if authentication fails.
    """
@@ -88,7 +95,7 @@ def authenticate_websocket(websocket: WebSocket) -> dict[str, Any] | None:
            "_token_vaults": ["*"],
        }

-    token = websocket.query_params.get("token") or websocket.cookies.get("access_token")
+    token = websocket.cookies.get("access_token")
    if not token:
        return None

@@ -274,6 +281,9 @@ class CollabManager:

    # -- message handling ---------------------------------------------------
    async def _on_message(self, room: CollabRoom, client: CollabClient, raw: str) -> None:
+        # BUG-036: drop oversized frames before parsing them.
+        if not isinstance(raw, str) or len(raw) > MAX_MESSAGE_CHARS:
+            return
        try:
            message = json.loads(raw)
        except (ValueError, TypeError):
@@ -0,0 +1,545 @@
+"""Génération du Guide d'utilisation téléchargeable en Markdown et PDF (#105).
+
+Source unique de vérité : la modale ``#help-modal`` de ``frontend/index.html``
+(comme dans l'application) + les blocs ``data-i18n`` résolus dans les locales
+``frontend/locales/{fr,en}.json`` — le téléchargement reflète donc exactement
+ce que voit l'utilisateur, dans sa langue.
+
+Le Markdown est produit par un convertisseur HTML→MD minimal (stdlib) ; le
+PDF passe par le moteur d'export existant (WeasyPrint) avec repli reportlab
+quand les bibliothèques natives GTK manquent (Windows).
+"""
+
+from __future__ import annotations
+
+import datetime
+import hashlib
+import html
+import json
+import logging
+import re
+from html.parser import HTMLParser
+from pathlib import Path
+
+logger = logging.getLogger("obsigate.guide")
+
+ROOT = Path(__file__).resolve().parent.parent
+INDEX_HTML = ROOT / "frontend" / "index.html"
+LOCALES_DIR = ROOT / "frontend" / "locales"
+VERSION_FILE = ROOT / "VERSION"
+DIAGRAMS_DIR = ROOT / "backend" / "assets" / "guide_diagrams"
+
+
+def diagram_png_for(code: str) -> Path | None:
+    """Chemin du PNG pré-rendu (scripts/build_guide_diagrams.py) pour un code
+    Mermaid, ou None. Le hash doit rester synchrone avec le script de build :
+    sha1(unescape(code).strip())[:16]."""
+    normalized = html.unescape(code).strip()
+    sha = hashlib.sha1(normalized.encode("utf-8")).hexdigest()[:16]
+    png = DIAGRAMS_DIR / (sha + ".png")
+    return png if png.exists() else None
+
+# Éléments décoratifs exclus des exports
+_SKIP_CLASSES = {"help-hero-visual", "editor-modal", "help-nav"}
+# En-tête HTML du guide (mode lecture)
+_HEADER_BLOCK = "ObsiGate User Guide"
+
+
+class Node:
+    """Noeud DOM minimal (stdlib only)."""
+
+    __slots__ = ("attrs", "children", "parent", "tag")
+
+    def __init__(self, tag: str, attrs: dict[str, str | None], parent: Node | None = None):
+        self.tag = tag
+        self.attrs = attrs
+        self.children: list[Node | str] = []
+        self.parent = parent
+
+    def cls(self) -> str:
+        return self.attrs.get("class") or ""
+
+    def i18n(self) -> str | None:
+        v = self.attrs.get("data-i18n")
+        return v if isinstance(v, str) else None
+
+    def find_all(self, tag: str) -> list[Node]:
+        out: list[Node] = []
+        for c in self.children:
+            if isinstance(c, Node):
+                if c.tag == tag:
+                    out.append(c)
+                out.extend(c.find_all(tag))
+        return out
+
+
+_VOID_TAGS = {"br", "img", "hr", "input", "meta", "link"}
+
+
+class _TreeBuilder(HTMLParser):
+    """Constructeur d'arbre tolérant (ignore les balises orphelines)."""
+
+    def __init__(self) -> None:
+        super().__init__(convert_charrefs=True)
+        self.root = Node("#root", {})
+        self.cur = self.root
+
+    def handle_starttag(self, tag: str, attrs: list[tuple[str, str | None]]) -> None:
+        a = {k: v for k, v in attrs}
+        node = Node(tag, a, self.cur)
+        self.cur.children.append(node)
+        if tag not in _VOID_TAGS:
+            self.cur = node
+
+    def handle_startendtag(self, tag: str, attrs: list[tuple[str, str | None]]) -> None:
+        a = {k: v for k, v in attrs}
+        self.cur.children.append(Node(tag, a, self.cur))
+
+    def handle_endtag(self, tag: str) -> None:
+        n: Node | None = self.cur
+        while n is not None and n.tag != tag:
+            n = n.parent
+        if n is not None and n.parent is not None:
+            self.cur = n.parent
+
+    def handle_data(self, data: str) -> None:
+        self.cur.children.append(data)
+
+
+# ---------------------------------------------------------------------------
+# Extraction / cache
+# ---------------------------------------------------------------------------
+
+_cache: dict[tuple[str, str], tuple[tuple[float, int, float, int], bytes]] = {}
+
+
+def _read_index_html() -> str:
+    return INDEX_HTML.read_text(encoding="utf-8")
+
+
+def _guide_fragment(index_html: str) -> str:
+    """Le HTML de #help-modal…help-content jusqu'au footer du guide."""
+    start = index_html.index('id="help-modal"')
+    cstart = index_html.index('<div class="help-content">', start)
+    end = index_html.index('<div class="help-footer">', cstart)
+    return index_html[cstart:end]
+
+
+def _locale_strings(lang: str) -> dict[str, str]:
+    path = LOCALES_DIR / (lang if lang in ("fr", "en") else "fr") 
+    return json.loads(Path(path).with_suffix(".json").read_text(encoding="utf-8"))
+
+
+def _signature() -> tuple[float, int, float, int]:
+    st = INDEX_HTML.stat()
+    lt = (LOCALES_DIR / "fr.json").stat()
+    return (st.st_mtime, st.st_size, lt.st_mtime, lt.st_size)
+
+
+def _app_version() -> str:
+    try:
+        return VERSION_FILE.read_text(encoding="utf-8").strip() or "dev"
+    except OSError:
+        return "dev"
+
+
+# ---------------------------------------------------------------------------
+# Résolution i18n : un node portant data-i18n est REMPLACÉ par le contenu
+# (HTML) de la locale — exactement comme _applyDOM() dans le navigateur.
+# ---------------------------------------------------------------------------
+
+
+def _resolve_i18n(node: Node, loc: dict[str, str]) -> list[Node | str]:
+    """Retourne les children effectifs d'un node (locale si data-i18n[-html])."""
+    key = node.i18n() or node.attrs.get("data-i18n-html")
+    if not isinstance(key, str):
+        return node.children
+    value = loc.get(key)
+    if value is None:
+        # clé absente de la locale : garder le texte FR inline de index.html
+        return node.children
+    tb = _TreeBuilder()
+    tb.feed(f"<span>{value}</span>")
+    span = tb.root.children[0]
+    assert isinstance(span, Node)
+    return span.children
+
+
+# ---------------------------------------------------------------------------
+# Markdown
+# ---------------------------------------------------------------------------
+
+_WS_RE = re.compile(r"[ \t]*\n[ \t]*")
+
+
+def _collapse(text: str) -> str:
+    return _WS_RE.sub(" ", text).strip()
+
+
+def _md_inline(node: Node | str, loc: dict[str, str]) -> str:
+    if isinstance(node, str):
+        return _collapse(node)
+    tag = node.tag
+    kids = _resolve_i18n(node, loc)
+    inner = "".join(_md_inline(c, loc) for c in kids)
+    if tag == "br":
+        return " "
+    if tag in ("strong", "b"):
+        t = inner.strip()
+        return f"**{t}**" if t else ""
+    if tag in ("em", "i"):
+        if node.cls().startswith("lucide") or tag == "i" and not inner.strip():
+            return ""
+        t = inner.strip()
+        return f"*{t}*" if t else ""
+    if tag == "code":
+        t = inner.replace("`", "'").strip()
+        return f"`{t}`" if t else ""
+    if tag == "kbd":
+        t = inner.strip()
+        return f"`{t}`" if t else ""
+    if tag == "a":
+        href = node.attrs.get("href") or ""
+        t = inner.strip()
+        if href.startswith("http") and t:
+            return f"[{t}]({href})"
+        return t
+    if tag == "img":
+        alt = node.attrs.get("alt") or ""
+        return f"![{alt}]"
+    return inner
+
+
+def _md_block(node: Node | str, out: list[str], loc: dict[str, str], depth: int = 0) -> None:
+    """Remplit ``out`` (bloc courant) — ``pending`` gère listes imbriquées."""
+    if isinstance(node, str):
+        t = _collapse(node)
+        if t:
+            out.append(t)
+        return
+    if any(c in node.cls().split() for c in _SKIP_CLASSES):
+        return
+    tag = node.tag
+
+    if tag == "pre":
+        raw = _pre_text(node)
+        lang = "mermaid" if "mermaid" in raw[:40] or "language-mermaid" in _pre_classes(node) else ""
+        out.append(f"```{lang}\n{raw.rstrip()}\n```")
+        return
+
+    kids = _resolve_i18n(node, loc)
+
+    if tag in ("h1", "h2", "h3", "h4", "h5", "h6"):
+        level = int(tag[1])
+        text = _collapse("".join(_md_inline(c, loc) for c in kids))
+        if text:
+            out.append("#" * level + " " + text)
+        return
+
+    if tag == "p":
+        text = _collapse("".join(_md_inline(c, loc) for c in kids))
+        if text:
+            out.append(text)
+        return
+
+    if tag in ("ul", "ol"):
+        _md_list(kids, out, loc, tag, depth)
+        return
+
+    if tag == "table":
+        _md_table(node, out, loc)
+        return
+
+    # conteneurs neutres (section, div, span de bloc, li imbriqué…)
+    for c in kids:
+        _md_block(c, out, loc, depth)
+
+
+def _md_list(items: list[Node | str], out: list[str], loc: dict[str, str], kind: str, depth: int) -> None:
+    n = 0
+    for li in items:
+        if isinstance(li, str):
+            continue
+        if li.tag == "li":
+            n += 1
+            marker = "- " if kind == "ul" else f"{n}. "
+            text_parts: list[str] = []
+            nested: list[Node] = []
+            for c in li.children:
+                if isinstance(c, Node) and c.tag in ("ul", "ol"):
+                    nested.append(c)
+                else:
+                    text_parts.append(_md_inline(c, loc))
+            line = _collapse("".join(text_parts))
+            if line:
+                out.append("  " * depth + marker + line)
+            for sub in nested:
+                _md_list(sub.children, out, loc, sub.tag, depth + 1)
+        elif li.tag in ("ul", "ol"):
+            _md_list(li.children, out, loc, li.tag, depth)
+
+
+def _md_table(node: Node, out: list[str], loc: dict[str, str]) -> None:
+    rows = node.find_all("tr")
+    if not rows:
+        return
+    grid: list[list[str]] = []
+    for tr in rows:
+        cells = []
+        for td in tr.children:
+            if isinstance(td, Node) and td.tag in ("td", "th"):
+                cells.append(_collapse("".join(_md_inline(c, loc) for c in td.children)).replace("|", "\\|") or " ")
+        if cells:
+            grid.append(cells)
+    if not grid:
+        return
+    width = max(len(r) for r in grid)
+    grid = [r + [" "] * (width - len(r)) for r in grid]
+    out.append("| " + " | ".join(grid[0]) + " |")
+    out.append("|" + "|".join([" --- "] * width) + "|")
+    for r in grid[1:]:
+        out.append("| " + " | ".join(r) + " |")
+
+
+def _pre_text(node: Node) -> str:
+    """Texte brut préservé d'un <pre> (les locales n'y touchent pas)."""
+    buf: list[str] = []
+
+    def walk(n: Node | str) -> None:
+        if isinstance(n, str):
+            buf.append(n)
+            return
+        for c in n.children:
+            walk(c)
+
+    walk(node)
+    return "".join(buf).strip("\n")
+
+
+def _pre_classes(node: Node) -> str:
+    cls = node.cls()
+    for c in node.find_all("code"):
+        cls += " " + c.cls()
+    return cls
+
+
+def build_guide_markdown(lang: str = "fr") -> bytes:
+    """Guide complet en Markdown (UTF-8), dans la langue demandée."""
+    index_html = _read_index_html()
+    loc = _locale_strings(lang)
+    tree = _TreeBuilder()
+    tree.feed(_guide_fragment(index_html))
+    root = tree.root.children[0]
+    assert isinstance(root, Node)
+
+    blocks: list[str] = []
+    content = _guide_title_fr if lang == "fr" else _guide_title_en
+    blocks.append("# " + content)
+    for section in root.find_all("section"):
+        _md_block(section, blocks, loc)
+    blocks.append(
+        "---\n\n"
+        + _export_footer(lang)
+    )
+    md = "\n\n".join(b for b in blocks if b.strip()) + "\n"
+    return md.encode("utf-8")
+
+
+_guide_title_fr = "Guide d'utilisation ObsiGate"
+_guide_title_en = "ObsiGate User Guide"
+
+
+def _export_footer(lang: str) -> str:
+    loc = _locale_strings(lang)
+    template = loc.get("guide105.export_footer", "")
+    if "%s" not in template and "{" not in template:
+        template = "ObsiGate {version}"
+    today = datetime.datetime.now(tz=datetime.timezone.utc).date().isoformat()
+    return _collapse(template).format(version=_app_version(), date=today)
+
+
+# ---------------------------------------------------------------------------
+# HTML (pour le PDF) — mêmes règles, sortie balisée propre
+# ---------------------------------------------------------------------------
+
+
+def _html_inline(node: Node | str, loc: dict[str, str]) -> str:
+    if isinstance(node, str):
+        return html.escape(_collapse(node), quote=False)
+    tag = node.tag
+    kids = _resolve_i18n(node, loc)
+    inner = "".join(_html_inline(c, loc) for c in kids)
+    if tag == "br":
+        return " "
+    if tag in ("strong", "b") and inner.strip():
+        return f"<strong>{inner}</strong>"
+    if tag in ("em",) and inner.strip():
+        return f"<em>{inner}</em>"
+    if tag == "code":
+        t = inner.strip()
+        return f"<code>{t}</code>" if t else ""
+    if tag == "kbd":
+        t = inner.strip()
+        return f"<code>{t}</code>" if t else ""
+    if tag == "a":
+        href = node.attrs.get("href") or ""
+        if href.startswith("http"):
+            return f'<a href="{html.escape(href, quote=True)}">{inner}</a>'
+        return inner
+    return inner
+
+
+def _html_block(node: Node | str, out: list[str], loc: dict[str, str]) -> None:
+    if isinstance(node, str):
+        t = _collapse(node)
+        if t:
+            out.append(f"<p>{html.escape(t, quote=False)}</p>")
+        return
+    if any(c in node.cls().split() for c in _SKIP_CLASSES):
+        return
+    tag = node.tag
+
+    if tag == "pre":
+        raw = _pre_text(node)
+        classes = _pre_classes(node)
+        if "language-mermaid" in classes:
+            png = diagram_png_for(raw)
+            if png is not None:
+                url = "file:///" + str(png).replace("\\", "/").lstrip("/")
+                out.append(f'<img src="{url}" style="max-width: 100%" />')
+                return
+        out.append(f"<pre><code>{html.escape(raw, quote=False)}</code></pre>")
+        return
+
+    kids = _resolve_i18n(node, loc)
+
+    if tag in ("h2", "h3", "h4"):
+        text = _collapse("".join(_html_inline(c, loc) for c in kids))
+        if text:
+            out.append(f"<{tag}>{text}</{tag}>")
+        return
+
+    if tag == "p":
+        text = "".join(_html_inline(c, loc) for c in kids).strip()
+        if text:
+            out.append(f"<p>{text}</p>")
+        return
+
+    if tag in ("ul", "ol"):
+        out.append(_html_list(kids, loc, tag))
+        return
+
+    if tag == "table":
+        out.append(_html_table(node, loc))
+        return
+
+    for c in kids:
+        _html_block(c, out, loc)
+
+
+def _html_list(items: list[Node | str], loc: dict[str, str], kind: str) -> str:
+    parts: list[str] = []
+    n = 0
+    for li in items:
+        if isinstance(li, str):
+            continue
+        if li.tag == "li":
+            n += 1
+            text_parts: list[str] = []
+            nested: list[Node] = []
+            for c in li.children:
+                if isinstance(c, Node) and c.tag in ("ul", "ol"):
+                    nested.append(c)
+                else:
+                    text_parts.append(_html_inline(c, loc))
+            line = "".join(text_parts).strip()
+            inner = line + "".join(_html_list(s.children, loc, s.tag) for s in nested)
+            if inner:
+                parts.append(f"<li>{inner}</li>")
+        elif li.tag in ("ul", "ol"):
+            parts.append(_html_list(li.children, loc, li.tag))
+    body = "".join(parts)
+    return f"<{kind}>{body}</{kind}>"
+
+
+def _html_table(node: Node, loc: dict[str, str]) -> str:
+    rows_html: list[str] = []
+    for tr in node.find_all("tr"):
+        cells: list[str] = []
+        for td in tr.children:
+            if isinstance(td, Node) and td.tag in ("td", "th"):
+                tag = td.tag
+                inner = _collapse("".join(_html_inline(c, loc) for c in td.children))
+                cells.append(f"<{tag}>{inner}</{tag}>")
+        if cells:
+            rows_html.append("<tr>{}</tr>".format("".join(cells)))
+    return "<table>{}</table>".format("".join(rows_html))
+
+
+def build_guide_html(lang: str = "fr") -> str:
+    """Corps HTML autonome du guide (pour rendu PDF)."""
+    index_html = _read_index_html()
+    loc = _locale_strings(lang)
+    tree = _TreeBuilder()
+    tree.feed(_guide_fragment(index_html))
+    root = tree.root.children[0]
+    assert isinstance(root, Node)
+
+    blocks: list[str] = []
+    for section in root.find_all("section"):
+        _html_block(section, blocks, loc)
+    return "\n".join(blocks)
+
+
+# ---------------------------------------------------------------------------
+# PDF (WeasyPrint, repli reportlab)
+# ---------------------------------------------------------------------------
+
+
+def build_guide_pdf(lang: str = "fr") -> bytes:
+    lang_norm = lang if lang in ("fr", "en") else "fr"
+    title = _guide_title_fr if lang_norm == "fr" else _guide_title_en
+    loc = _locale_strings(lang_norm)
+    note = loc.get("guide105.arch_diagram_note", "")
+    footer = _export_footer(lang_norm)
+    try:
+        from backend.pdf_export import build_pdf_html, generate_pdf
+
+        body = build_guide_html(lang_norm)
+        body += (
+            f"<hr><p style='color:#777;font-size:11px'>{html.escape(note, quote=False)} — {html.escape(footer, quote=False)}</p>"
+        )
+        return generate_pdf(build_pdf_html(body, title), title)
+    except Exception as e:  # WeasyPrint lève à l'import OU au rendu (GTK absent)
+        logger.warning("WeasyPrint indisponible pour le guide PDF (%s) — repli reportlab", e)
+        md = build_guide_markdown(lang_norm).decode("utf-8")
+        from backend.tools.documents import _render_reportlab_pdf
+
+        return _render_reportlab_pdf(md, title)
+
+
+# ---------------------------------------------------------------------------
+# Point d'entrée + cache
+# ---------------------------------------------------------------------------
+
+
+def get_guide_document(fmt: str, lang: str) -> tuple[bytes, str, str]:
+    """Retourne (octets, media_type, filename) pour le format demandé.
+
+    ``fmt`` : ``md`` | ``pdf``. Résultat mis en cache tant que index.html et
+    fr.json ne changent pas (les locales en ne divergent jamais sur les
+    structures ; la signature couvre l'essentiel).
+    """
+    fmt = "pdf" if fmt == "pdf" else "md"
+    lang = "en" if lang == "en" else "fr"
+    key = (fmt, lang)
+    sig = _signature()
+    hit = _cache.get(key)
+    if hit and hit[0] == sig:
+        payload = hit[1]
+    else:
+        payload = build_guide_pdf(lang) if fmt == "pdf" else build_guide_markdown(lang)
+        _cache[key] = (sig, payload)
+    fname = f"ObsiGate-Guide-{_app_version()}-{lang}.{fmt}"
+    media = "application/pdf" if fmt == "pdf" else "text/markdown; charset=utf-8"
+    return payload, media, fname
@@ -397,31 +397,52 @@ def parse_markdown_file(raw: str) -> frontmatter.Post:
        return frontmatter.Post(content)


-def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | None = None) -> dict[str, Any]:
+def _scan_vault(
+    vault_name: str,
+    vault_path: str,
+    vault_cfg: dict[str, Any] | None = None,
+    previous_files: dict[str, dict[str, Any]] | None = None,
+) -> dict[str, Any]:
    """Synchronously scan a single vault directory and build file index.

    Walks the vault tree, reads supported files, extracts metadata
    (tags, title, content preview) and stores a capped content snapshot
    for in-memory full-text search.
-    
+
    All files and directories are indexed, including hidden files (starting with '.').

+    Differential scan (#86): when ``previous_files`` maps a relative path to
+    its previous ``file_info`` dict, entries whose ``size`` and ``modified``
+    timestamp are unchanged are reused verbatim (no disk read, no re-parse).
+    Only the cheap ``os.walk`` + ``stat`` runs on every pass; heavy content
+    extraction (PDF metadata excepted — always cheap) is skipped for
+    unchanged files. This replaces the full ``rglob`` re-read on rebuilds.
+
+    Excalidraw diagrams (#86, like PDFs since BUG-040) are deferred: the scan
+    only records the title and sets ``excalidraw_text_pending``; the expensive
+    JSON/lz-string text extraction runs in ``enrich_pdf_texts()`` after the
+    index is queryable.
+
    Args:
        vault_name: Display name of the vault.
        vault_path: Absolute filesystem path to the vault root.
        vault_cfg: Optional vault configuration dict (unused for indexing, kept for compatibility).
+        previous_files: Optional ``{relative_path: file_info}`` snapshot from a
+            previous scan used for differential reuse.

    Returns:
-        Dict with keys ``files`` (list), ``tags`` (counter dict), ``path`` (str), ``paths`` (list).
+        Dict with keys ``files`` (list), ``tags`` (counter dict), ``path`` (str),
+        ``paths`` (list) and ``reused`` (int, differential hits).
    """
    vault_root = Path(vault_path)
    files: list[dict[str, Any]] = []
    tag_counts: dict[str, int] = {}
    paths: list[dict[str, str]] = []
+    reused = 0

    if not vault_root.exists():
        logger.warning(f"Vault path does not exist: {vault_path}")
-        return {"files": [], "tags": {}, "path": vault_path, "paths": []}
+        return {"files": [], "tags": {}, "path": vault_path, "paths": [], "reused": 0}

    root_resolved = vault_root.resolve(strict=False)

@@ -479,19 +500,56 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                stat = fpath.stat()
                modified = datetime.fromtimestamp(stat.st_mtime, tz=timezone.utc).isoformat()

+                # #86 differential scan: reuse the previous entry when neither
+                # size nor mtime changed — skips the disk read + parse below.
+                if previous_files:
+                    prev = previous_files.get(rel_path_str)
+                    if (
+                        prev is not None
+                        and prev.get("size") == stat.st_size
+                        and prev.get("modified") == modified
+                    ):
+                        file_info = {**prev, "tags": list(prev.get("tags", []))}
+                        files.append(file_info)
+                        for tag in file_info.get("tags", []):
+                            tag_counts[tag] = tag_counts.get(tag, 0) + 1
+                        reused += 1
+                        # The global backlink index is rebuilt on every scan,
+                        # so re-register this file's wikilinks from its
+                        # (cached) content instead of re-reading the disk.
+                        if file_info.get("extension") == ".md" and file_info.get("content"):
+                            try:
+                                _extract_wikilinks_for_backlinks(
+                                    vault_name, file_info["path"],
+                                    file_info.get("title", ""), file_info["content"],
+                                )
+                            except Exception:
+                                pass
+                        continue
+
                # PDF handling — special path (binary, uses pdf_reader)
                tags: list[str] = []
+                pdf_text_pending = False
+                excalidraw_text_pending = False
                if ext == ".pdf":
-                    from backend.pdf_reader import extract_pdf_metadata, extract_pdf_text
-                    raw = extract_pdf_text(fpath, max_chars=100000)
+                    from backend.pdf_reader import extract_pdf_metadata
+                    # BUG-040: only the (cheap) metadata is read during the
+                    # scan. Full-text extraction is deferred to a background
+                    # pass (``enrich_pdf_texts``) so a vault with many/large
+                    # PDFs no longer blocks startup and index rebuilds.
                    pdf_meta = extract_pdf_metadata(fpath)
                    title = pdf_meta.get("title") or fpath.stem.replace("-", " ").replace("_", " ")
-                    content_preview = raw[:200].strip()
+                    raw = ""
+                    content_preview = ""
+                    pdf_text_pending = True
                elif ext == ".excalidraw" or fpath.name.lower().endswith(".excalidraw.md"):
-                    raw = fpath.read_text(encoding="utf-8", errors="replace")
-                    raw = extract_excalidraw_indexable(raw)
+                    # #86: defer the expensive JSON/lz-string text extraction
+                    # (read + decompress + element walk) to ``enrich_pdf_texts``
+                    # so the scan stays cheap; title comes from the filename.
+                    raw = ""
                    title = fpath.stem.replace(".excalidraw", "").replace("-", " ").replace("_", " ")
-                    content_preview = raw[:200].strip()
+                    content_preview = ""
+                    excalidraw_text_pending = True
                else:
                    raw = fpath.read_text(encoding="utf-8", errors="replace")
                    title = fpath.stem.replace("-", " ").replace("_", " ")
@@ -510,7 +568,7 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                            title, post.content
                        )

-                files.append({
+                file_info = {
                    "path": str(relative).replace("\\", "/"),
                    "title": title,
                    "tags": tags,
@@ -519,7 +577,12 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                    "size": stat.st_size,
                    "modified": modified,
                    "extension": ext,
-                })
+                }
+                if pdf_text_pending:
+                    file_info["pdf_text_pending"] = True
+                if excalidraw_text_pending:
+                    file_info["excalidraw_text_pending"] = True
+                files.append(file_info)

                for tag in tags:
                    tag_counts[tag] = tag_counts.get(tag, 0) + 1
@@ -531,8 +594,89 @@ def _scan_vault(vault_name: str, vault_path: str, vault_cfg: dict[str, Any] | No
                logger.error(f"Error indexing {fpath}: {e}")
                continue

-    logger.info(f"Vault '{vault_name}': indexed {len(files)} files, {len(paths)} paths, {len(tag_counts)} unique tags")
-    return {"files": files, "tags": tag_counts, "path": vault_path, "paths": paths, "config": {}}
+    logger.info(
+        f"Vault '{vault_name}': indexed {len(files)} files "
+        f"({reused} reused), {len(paths)} paths, {len(tag_counts)} unique tags"
+    )
+    return {"files": files, "tags": tag_counts, "path": vault_path, "paths": paths, "config": {}, "reused": reused}
+
+
+def _read_excalidraw_indexable_text(file_path: Path) -> str:
+    """Read an excalidraw file and return its indexable text (blocking helper).
+
+    Runs inside an executor via ``enrich_pdf_texts`` so the lz-string
+    decompression of large diagrams never blocks the event loop.
+    """
+    try:
+        raw = file_path.read_text(encoding="utf-8", errors="replace")
+    except OSError:
+        return ""
+    try:
+        return extract_excalidraw_indexable(raw)
+    except Exception:  # pragma: no cover - defensive
+        return ""
+
+
+async def enrich_pdf_texts(vault_name: str | None = None) -> int:
+    """Extract text deferred during the scan: PDFs (BUG-040) + excalidraw (#86).
+
+    ``_scan_vault`` only reads PDF metadata and excalidraw filenames so a vault
+    with many or large heavy files starts serving immediately. This coroutine
+    runs *after* the index (and the inverted index) is ready, extracts the
+    missing text off the event loop and updates the in-memory entry plus the
+    incremental index hooks.
+
+    Args:
+        vault_name: Restrict the pass to a single vault; ``None`` covers every
+            indexed vault.
+
+    Returns:
+        Number of deferred files (PDF + excalidraw) whose text extraction was
+        attempted.
+    """
+    from backend.pdf_reader import extract_pdf_text
+
+    pending: list[tuple[str, dict[str, Any], Path, str]] = []
+    with _index_lock:
+        for name, vault_data in index.items():
+            if vault_name is not None and name != vault_name:
+                continue
+            vault_root = Path(vault_data.get("path", ""))
+            for file_info in vault_data.get("files", []):
+                if file_info.get("pdf_text_pending"):
+                    pending.append((name, file_info, vault_root / file_info["path"], "pdf"))
+                elif file_info.get("excalidraw_text_pending"):
+                    pending.append((name, file_info, vault_root / file_info["path"], "excalidraw"))
+
+    if not pending:
+        return 0
+
+    loop = asyncio.get_running_loop()
+    enriched = 0
+    for name, file_info, file_path, kind in pending:
+        try:
+            if kind == "pdf":
+                raw = await loop.run_in_executor(None, extract_pdf_text, file_path, 100000)
+            else:
+                raw = await loop.run_in_executor(None, _read_excalidraw_indexable_text, file_path)
+        except Exception as exc:  # pragma: no cover - defensive
+            logger.warning("Deferred text enrichment failed for %s: %s", file_path, exc)
+            raw = ""
+        file_info["content"] = raw[:SEARCH_CONTENT_LIMIT]
+        file_info["content_preview"] = raw[:200].strip()
+        file_info.pop("pdf_text_pending", None)
+        file_info.pop("excalidraw_text_pending", None)
+        enriched += 1
+        if _on_index_change:
+            try:
+                _on_index_change("add", name, file_info["path"], file_info)
+            except Exception as exc:  # pragma: no cover - defensive
+                logger.warning(
+                    "Index hook failed after deferred enrichment for %s: %s", file_path, exc
+                )
+
+    logger.info("Deferred text enrichment: extracted text for %d file(s)", enriched)
+    return enriched


 async def build_index(progress_callback=None) -> None:
@@ -540,16 +684,24 @@ async def build_index(progress_callback=None) -> None:

    Runs vault scans concurrently, inserting them incrementally into the global index.
    Notifies progress via the provided callback.
+
+    #86 differential rebuild: the previous per-vault ``{path: file_info}``
+    snapshots are captured before the clear and handed to ``_scan_vault`` so
+    unchanged files (same size + mtime) are reused without disk re-reads.
    """
    global index, vault_config
    vault_config.clear()
    vault_config.update(load_vault_config())
-    
+
    # Note: vault_settings are now only used for UI display preferences (hideHiddenFiles)
    # Indexing always includes all files regardless of settings
-    
+
    global _index_generation
    with _index_lock:
+        previous_snapshot: dict[str, dict[str, dict[str, Any]]] = {
+            name: {f["path"]: f for f in vdata.get("files", [])}
+            for name, vdata in index.items()
+        }
        index.clear()
        _file_lookup.clear()
        path_index.clear()
@@ -568,8 +720,13 @@ async def build_index(progress_callback=None) -> None:
    loop = asyncio.get_event_loop()

    async def _process_vault(name: str, config: dict[str, Any]):
+        import functools
+
        vault_path = config["path"]
-        vault_data = await loop.run_in_executor(None, _scan_vault, name, vault_path, config)
+        scan = functools.partial(
+            _scan_vault, name, vault_path, config, previous_snapshot.get(name)
+        )
+        vault_data = await loop.run_in_executor(None, scan)
        vault_data["config"] = config

        # Build lookup entries for the new vault
@@ -632,6 +789,8 @@ async def reload_index() -> dict[str, Any]:
        Dict mapping vault names to their file/tag counts.
    """
    await build_index()
+    # BUG-040/#86: complete the deferred PDF + excalidraw extraction.
+    await enrich_pdf_texts()
    stats = {}
    for name, data in index.items():
        stats[name] = {"file_count": len(data["files"]), "tag_count": len(data["tags"])}
@@ -659,14 +818,22 @@ async def reload_single_vault(vault_name: str) -> dict[str, Any]:
        raise ValueError(f"Vault '{vault_name}' not found in configuration")
    
    config = vault_config[vault_name]
-    
+
+    # #86 differential rescan: snapshot this vault's entries before removal so
+    # unchanged files are reused without disk re-reads.
+    with _index_lock:
+        _previous = {f["path"]: f for f in index.get(vault_name, {}).get("files", [])}
+
    # Remove old vault data from index structures
    await remove_vault_from_index(vault_name)
-    
+
    # Re-add the vault with updated configuration
+    import functools
+
    vault_path = config["path"]
    loop = asyncio.get_event_loop()
-    vault_data = await loop.run_in_executor(None, _scan_vault, vault_name, vault_path, config)
+    scan = functools.partial(_scan_vault, vault_name, vault_path, config, _previous)
+    vault_data = await loop.run_in_executor(None, scan)
    vault_data["config"] = config
    
    # Build lookup entries for the vault
@@ -695,7 +862,10 @@ async def reload_single_vault(vault_name: str) -> dict[str, Any]:
    # Rebuild attachment index for this vault only
    from backend.attachment_indexer import build_attachment_index
    await build_attachment_index({vault_name: config})
-    
+
+    # BUG-040/#86: complete the deferred PDF + excalidraw extraction.
+    await enrich_pdf_texts(vault_name)
+
    stats = {"file_count": len(vault_data["files"]), "tag_count": len(vault_data["tags"])}
    logger.info(f"Vault '{vault_name}' reindexed: {stats['file_count']} files, {stats['tag_count']} tags")
    return stats
@@ -702,7 +702,7 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
        response.headers["Content-Security-Policy"] = (
            "default-src 'self'; "
            "script-src 'self' 'unsafe-inline' blob: https://cdnjs.cloudflare.com https://unpkg.com https://esm.sh https://cdn.jsdelivr.net https://static.cloudflareinsights.com; "
-            "style-src 'self' 'unsafe-inline' https://cdnjs.cloudflare.com https://fonts.googleapis.com https://cdn.jsdelivr.net; "
+            "style-src 'self' 'unsafe-inline' https://cdnjs.cloudflare.com https://fonts.googleapis.com https://cdn.jsdelivr.net https://esm.sh; "
            "img-src 'self' data: blob:; "
            "connect-src 'self' blob: https://esm.sh https://unpkg.com https://cdnjs.cloudflare.com https://fonts.googleapis.com https://fonts.gstatic.com https://cdn.jsdelivr.net; "
            "font-src 'self' data: https://fonts.gstatic.com https://esm.sh; "
@@ -722,12 +722,56 @@ class SecurityHeadersMiddleware(BaseHTTPMiddleware):
        return response


+def _guard_insecure_auth() -> None:
+    """Warn or refuse to start when authentication is disabled (BUG-037).
+
+    With ``OBSIGATE_AUTH_ENABLED=false`` every request is served as an
+    anonymous admin. That is convenient for local use but dangerous when the
+    process is reachable from a network. Binding to a non-loopback host
+    without the explicit ``OBSIGATE_ALLOW_INSECURE=true`` opt-in is refused.
+    """
+    from backend.auth.middleware import (
+        bind_host_from_argv,
+        is_auth_enabled,
+        is_insecure_mode_allowed,
+        is_loopback_host,
+    )
+
+    if is_auth_enabled():
+        return
+
+    if is_insecure_mode_allowed():
+        logger.warning(
+            "Authentication is DISABLED and OBSIGATE_ALLOW_INSECURE=true: every request "
+            "is treated as an anonymous administrator. Do not expose this instance."
+        )
+        return
+
+    host = bind_host_from_argv()
+    if not is_loopback_host(host):
+        raise RuntimeError(
+            "Refusing to start: authentication is disabled (OBSIGATE_AUTH_ENABLED=false) "
+            f"while binding to a non-loopback address ('{host}'). This would expose an "
+            "unauthenticated instance with admin access. Enable authentication, or set "
+            "OBSIGATE_ALLOW_INSECURE=true if you really know what you are doing."
+        )
+
+    logger.warning(
+        "Authentication is DISABLED (OBSIGATE_AUTH_ENABLED=false): every request is "
+        "treated as an anonymous administrator. This is only safe on a trusted, "
+        "loopback-only deployment."
+    )
+
+
@asynccontextmanager
 async def lifespan(app: FastAPI):
    """Application lifespan: build index on startup, cleanup on shutdown."""
    global _search_executor, _vault_watcher
    _search_executor = ThreadPoolExecutor(max_workers=2, thread_name_prefix="search")
-    
+
+    # BUG-037: refuse to expose an unauthenticated instance on a public bind.
+    _guard_insecure_auth()
+
    # Bootstrap admin account if needed
    bootstrap_admin()

@@ -748,6 +792,11 @@ async def lifespan(app: FastAPI):
        # Build the semantic (embedding) index in the same background thread pool.
        await loop.run_in_executor(_search_executor, init_semantic_index)

+        # BUG-040: extract the PDF text deferred during the scan now that the
+        # index and inverted index are queryable (keeps startup non-blocking).
+        from backend.indexer import enrich_pdf_texts
+        await enrich_pdf_texts()
+
        # Scan for plugins in all vaults
        logger.info("Scanning for plugins...")
        from backend.indexer import vault_config
@@ -1698,6 +1747,37 @@ def _safe_export_name(name: str) -> str:
    return cleaned or "document"


+@app.get(
+    "/api/guide/download",
+    response_class=Response,
+    responses={200: {"content": {"application/pdf": {}, "text/markdown": {}}}},
+)
+async def api_guide_download(
+    format: str = Query("md", description="Download format: 'md' or 'pdf'"),
+    lang: str = Query("fr", description="Guide language: 'fr' or 'en'"),
+    current_user=Depends(require_auth),
+):
+    """Download the in-app user guide as Markdown or PDF (#105).
+
+    The document is generated from the live help modal in index.html resolved
+    through the locale files, so it always mirrors exactly what the user sees.
+    """
+    from backend.guide_export import get_guide_document
+
+    if format not in ("md", "pdf"):
+        raise HTTPException(status_code=400, detail="format doit être 'md' ou 'pdf'")
+    try:
+        payload, media, fname = get_guide_document(format, lang)
+    except Exception as e:  # weasyprint/reportlab unavailable
+        logger.exception("guide export failed")
+        raise HTTPException(status_code=500, detail=f"Export impossible: {e}") from e
+    return Response(
+        content=payload,
+        media_type=media,
+        headers={"Content-Disposition": f'attachment; filename="{fname}"'},
+    )
+
+
@app.put("/api/file/{vault_name}/save", response_model=FileSaveResponse)
 async def api_file_save(
    vault_name: str,
@@ -3679,6 +3759,68 @@ async def api_delete_ai_key(provider_env: str, current_user=Depends(require_admi
    return {"status": "deleted", "key": key_name}


+# ---------------------------------------------------------------------------
+# Tool & connected-source keys (#103) — same store as the AI provider keys
+# ---------------------------------------------------------------------------
+
+from backend.tools.secrets import (
+    TOOL_KEY_NAMES as _TOOL_KEY_NAMES,
+)
+from backend.tools.secrets import (
+    delete_tool_key as _delete_tool_key,
+)
+from backend.tools.secrets import (
+    get_tool_key as _get_tool_key,
+)
+from backend.tools.secrets import (
+    mask_value as _mask_tool_value,
+)
+from backend.tools.secrets import (
+    set_tool_key as _set_tool_key,
+)
+
+
+@app.get("/api/config/tool-keys", response_model=AIKeysResponse)
+async def api_get_tool_keys(current_user=Depends(require_admin)):
+    """Return tool/connected-source configuration (tokens masked, URLs clear)."""
+    masked = {}
+    for name in _TOOL_KEY_NAMES:
+        masked[name] = _mask_tool_value(name, _get_tool_key(name))
+    return masked
+
+
+@app.post("/api/config/tool-keys", response_model=StatusResponse)
+async def api_set_tool_keys(body: dict = Body(...), current_user=Depends(require_admin)):
+    """Save tool/connected-source keys.
+
+    Only whitelisted names (``backend.tools.secrets.TOOL_KEY_NAMES``) are
+    accepted: Tavily/Brave/SerpAPI/Exa API keys, Gitea URL + token, GitHub
+    token. Empty values delete the stored entry.
+    """
+    updated = []
+    for name, value in body.items():
+        if name not in _TOOL_KEY_NAMES:
+            raise HTTPException(status_code=400, detail=f"Clé inconnue: {name}")
+        if value is not None and not isinstance(value, str):
+            raise HTTPException(status_code=400, detail=f"Type invalide pour {name}")
+        _set_tool_key(name, value or "")
+        updated.append(name)
+    logger.info(f"Tool keys updated: {updated}")
+    return {"status": "ok"}
+
+
+@app.delete("/api/config/tool-keys/{name}", response_model=AIKeyDeleteResponse)
+async def api_delete_tool_key(name: str, current_user=Depends(require_admin)):
+    """Delete a stored tool key (the environment fallback still applies)."""
+    key_name = name.upper()
+    try:
+        existed = _delete_tool_key(key_name)
+    except ValueError as e:
+        raise HTTPException(status_code=400, detail=str(e))
+    logger.info(f"Tool key deleted: {key_name} (existed={existed})")
+    return {"status": "deleted", "key": key_name}
+
+
@app.post("/api/config/ai-keys/test", response_model=AITestResponse)
 async def api_test_ai_keys(current_user=Depends(require_admin)):
    """Test which AI providers are configured.
@@ -30,6 +30,7 @@ TAGS_METADATA: list[dict[str, str]] = [
    {"name": "Bookmarks", "description": "Recently opened files, bookmarks and saved searches."},
    {"name": "Backups", "description": "Automatic file backups, diffs, restore, compression and purge."},
    {"name": "Export", "description": "Export notes or whole vaults to HTML, Markdown bundle or ePub."},
+    {"name": "Guide", "description": "Download the in-app user guide as Markdown or PDF (mirrors the help modal, FR/EN)."},
    {"name": "AI", "description": "AI-powered editor actions, provider status and model discovery."},
    {"name": "BooksLM", "description": "Directory-scoped AI chat (NotebookLM-style) over a vault folder."},
    {"name": "MCP", "description": "Model Context Protocol server (Streamable HTTP) exposing the shared AI tool layer to external clients (Claude Desktop, Cursor…)."},
@@ -98,6 +99,7 @@ _TAG_RULES: list[tuple[re.Pattern[str], str]] = [
    (re.compile(r"^/api/backups"), "Backups"),
    (re.compile(r"^/api/file/[^/]+/(backups|diff|restore)"), "Backups"),
    (re.compile(r"^/api/export"), "Export"),
+    (re.compile(r"^/api/guide"), "Guide"),
    (re.compile(r"^/api/file/[^/]+/pdf"), "PDF"),
    (re.compile(r"^/api/search"), "Search"),
    (re.compile(r"^/api/tags"), "Search"),
@@ -43,7 +43,7 @@ def build_pdf_html(body_html: str, title: str, theme: str = "light") -> str:
 <head><meta charset="utf-8"><title>{title}</title>
 <style>
 body {{
-  font-family: Georgia, "Times New Roman", serif;
+  font-family: Georgia, "Times New Roman", serif, "Noto Color Emoji";
  max-width: 720px;
  margin: 40px auto;
  padding: 0 20px;
@@ -15,8 +15,12 @@ weasyprint>=60.0
 httpx>=0.27.0
 pypdf>=4.0
 pyotp>=2.10.0
+segno>=1.5.0
 webauthn==2.6.0
 psutil>=5.9
 pywebpush>=2.3.0
 mcp==1.9.4
 sse-starlette==2.1.3
+openpyxl>=3.1
+python-docx>=1.1
+reportlab>=4.0
@@ -34,7 +34,7 @@ _PATTERNS = [
    (re.compile(r'(?:api[_-]?key|apikey|secret|token|password|passwd|auth[_-]?token)\s*[:=]\s*[\'"]?([^\s\'"]{20,})[\'"]?', re.IGNORECASE),
     lambda m: f'{m.group(0).split("=")[0].split(":")[0]}=[MASQUÉ]' if "=" in m.group(0) or ":" in m.group(0) else '[MASQUÉ]'),
    
-    # Generic long hex/base64 strings that look like secrets (40+ chars)
+    # Prefixed API keys (sk-..., pk-..., rk-...)
    (re.compile(r'(?:sk|pk|rk)-[a-zA-Z0-9]{20,}'), '[CLÉ API MASQUÉE]'),
    
    # AWS access keys
@@ -43,10 +43,50 @@ _PATTERNS = [
    # GitHub tokens (ghp_, gho_, ghu_, ghs_, ghr_)
    (re.compile(r'gh[pousr]_[a-zA-Z0-9]{36,}'), '[GITHUB_TOKEN MASQUÉ]'),
    
-    # Generic long random-looking strings (40+ hex chars)
-    (re.compile(r'\b[a-fA-F0-9]{40,64}\b'), '[HEX_KEY MASQUÉ]'),
 ]

+# BUG-035: bare 40–64 char hex strings used to be redacted unconditionally,
+# which mangled legitimate git commit SHAs, checksums and hashes in notes.
+# They are now only redacted when a secret-ish keyword sits in the immediate
+# context; hash/commit keywords explicitly exempt them.
+_HEX_RE = re.compile(r'\b[a-fA-F0-9]{40,64}\b')
+_SECRET_CONTEXT_RE = re.compile(
+    r'(?i)\b(?:secret|token|key|apikey|api[_-]?key|password|passwd|auth|bearer|'
+    r'credential|x-api-key|x-auth-token)\b'
+)
+_HASH_CONTEXT_RE = re.compile(
+    r'(?i)\b(?:commit|sha\d*|hash|md5|blob|git|checksum|digest|integrity|'
+    r'revision|rev|etag|fingerprint)\b'
+)
+#: How far before the hex string a keyword may appear to count as context.
+_HEX_CONTEXT_WINDOW = 60
+
+
+def _redact_bare_hex_secrets(text: str) -> tuple:
+    """Redact 40–64 char hex strings only when a secret keyword is nearby.
+
+    Git/SHA/checksum contexts are left untouched (BUG-035).
+
+    Args:
+        text: Text to scan.
+
+    Returns:
+        (redacted_text, redaction_count) tuple.
+    """
+    count = 0
+
+    def _replace(match: re.Match) -> str:
+        nonlocal count
+        window = text[max(0, match.start() - _HEX_CONTEXT_WINDOW):match.start()]
+        if _HASH_CONTEXT_RE.search(window):
+            return match.group(0)
+        if _SECRET_CONTEXT_RE.search(window):
+            count += 1
+            return '[HEX_KEY MASQUÉ]'
+        return match.group(0)
+
+    return _HEX_RE.sub(_replace, text), count
+

 def redact(text: str) -> tuple:
    """Redact sensitive patterns from text.
@@ -66,6 +106,8 @@ def redact(text: str) -> tuple:
            new_result, n = pattern.subn(str(replacement), result)
        count += n
        result = new_result
+    result, hex_count = _redact_bare_hex_secrets(result)
+    count += hex_count
    if count > 0:
        logger.info(f"Redacted {count} secret(s) from content")
    return result, count
@@ -26,6 +26,11 @@ from backend.services.vaults import get_vault_root

 logger = logging.getLogger("obsigate.services.mutations")

+# #86: per-file size cap for find/replace passes (CPU guard — complements the
+# BUG-025 regex caps). Files larger than this are skipped instead of being
+# read fully into memory and scanned with a user-supplied pattern.
+MAX_REPLACE_FILE_BYTES = 5_000_000
+
 # Skeleton injected into empty ``.excalidraw`` files (mirrors the route logic).
 _EXCALIDRAW_SKELETON = (
    '{"type":"excalidraw","version":2,"elements":[],'
@@ -44,7 +49,7 @@ def _ensure_writable(root: Path) -> None:
        raise ServiceError("Vault is read-only", code="read_only", status=403)


-def _validate_extension(file_path: Path, *, allow_images: bool = False) -> None:
+def _validate_extension(file_path: Path, *, allow_images: bool = False, allow_docs: bool = False) -> None:
    """Reject unsupported file extensions (400)."""
    from backend.indexer import SUPPORTED_EXTENSIONS

@@ -53,6 +58,9 @@ def _validate_extension(file_path: Path, *, allow_images: bool = False) -> None:
    if allow_images:
        from backend.attachment_indexer import IMAGE_EXTENSIONS
        allowed = allowed | IMAGE_EXTENSIONS
+    if allow_docs:
+        # Office documents produced by the AI tool layer (#92).
+        allowed = allowed | {".xlsx", ".docx"}

    if ext not in allowed and file_path.name.lower() not in ("dockerfile", "makefile"):
        raise ServiceError(
@@ -506,6 +514,16 @@ def replace_in_files(
            continue
        if not file_path.exists() or not file_path.is_file():
            continue
+        # #86 CPU guard: skip files too large to scan safely in one pass.
+        try:
+            if file_path.stat().st_size > MAX_REPLACE_FILE_BYTES:
+                logger.warning(
+                    "replace_in_files: skipping oversized file %s/%s (%d bytes)",
+                    result_vault, result["path"], file_path.stat().st_size,
+                )
+                continue
+        except OSError:
+            continue
        try:
            original = file_path.read_text(encoding="utf-8", errors="replace")
        except OSError:
@@ -715,17 +733,20 @@ def save_raw_file(
    content: bytes,
    *,
    overwrite: bool = True,
+    allow_docs: bool = False,
 ) -> dict[str, Any]:
    """Save a binary or text file to a vault (e.g. from upload / drag-and-drop).

    Creates parent directories automatically and safely validates the path.
-    Supports supported text extensions, images and Excalidraw files.
+    Supports supported text extensions, images, Excalidraw files and — with
+    ``allow_docs`` — Office documents (.xlsx/.docx) produced by the AI tools.

    Args:
        vault_name: Name of the vault.
        path: Vault-relative path.
        content: Raw bytes to write.
        overwrite: When True, replace existing files (with backup).
+        allow_docs: Also accept .xlsx/.docx extensions (AI document tools).

    Returns:
        Dict with ``success``, ``vault``, ``path``, and ``size``.
@@ -733,7 +754,7 @@ def save_raw_file(
    root = get_vault_root(vault_name)
    _ensure_writable(root)
    file_path = resolve_safe_path(root, path)
-    _validate_extension(file_path, allow_images=True)
+    _validate_extension(file_path, allow_images=True, allow_docs=allow_docs)

    rel_path = _rel(root, file_path)

@@ -9,6 +9,9 @@ Note: ObsiGate uses implicit namespace packages (no tracked ``__init__.py``,
 which ``.gitignore`` excludes via ``_*.py``), hence this explicit facade.
 """

+from backend.tools import connected as _connected  # noqa: F401  (registers connected-source tools)
+from backend.tools import crawler as _crawler  # noqa: F401  (registers the site crawler)
+from backend.tools import documents as _documents  # noqa: F401  (registers document tools)
 from backend.tools import service as _service  # noqa: F401  (registers tools)
 from backend.tools import web as _web  # noqa: F401  (registers web tools)
 from backend.tools.context import (
@@ -0,0 +1,241 @@
+"""Connected sources — Gitea & GitHub repositories (phase 2 #92).
+
+The assistant can query the source-hosting platforms the project actually
+uses (ObsiGate is hosted on Gitea): repositories, issues/pull requests and
+repository files. Everything is READ-risk, rate-limited through the shared
+registry and audited.
+
+Configuration (environment — injected by Infisical in production, never
+hard-coded):
+
+* ``OBSIGATE_GITEA_URL``    — base URL of the self-hosted instance (e.g.
+  ``https://git.example.net``); the ``gitea`` provider is only available when
+  this variable is set. Admin-controlled, so the SSRF guard does not apply
+  (unlike user-supplied URLs). Both the URL and the tokens can also be set
+  from the configuration page (stored in ``data/api_keys.json``, #103) —
+  the stored value takes precedence over the environment.
+* ``OBSIGATE_GITEA_TOKEN``  — optional personal access token (private repos).
+* ``OBSIGATE_GITHUB_TOKEN`` — optional token (raises the API rate limits and
+  unlocks private repositories).
+
+Cloud drives (Google Drive / OneDrive) deliberately stay out of the core:
+per the documented roadmap they are best served by an *external MCP server*
+(#79) so the OAuth surface remains outside ObsiGate.
+"""
+
+from __future__ import annotations
+
+import base64
+import binascii
+import logging
+from typing import Any
+
+import httpx
+
+from backend.tools.context import ToolError, ToolRisk
+from backend.tools.registry import tool
+from backend.tools.schemas import GitGetFileInput, GitProviderInput, GitSearchIssuesInput
+from backend.tools.secrets import get_tool_key
+
+logger = logging.getLogger("obsigate.tools.connected")
+
+TIMEOUT = 10.0
+USER_AGENT = "ObsiGateAssistant/1.0 (+self-hosted vault AI)"
+MAX_FILE_BYTES = 300_000
+GITHUB_API = "https://api.github.com"
+
+
+def _provider_base(provider: str) -> tuple[str, str]:
+    """Return (base_url, auth_header_value) for the requested provider."""
+    if provider == "gitea":
+        base = get_tool_key("OBSIGATE_GITEA_URL").rstrip("/")
+        if not base:
+            raise ToolError(
+                "Source Gitea non configurée (OBSIGATE_GITEA_URL absente).",
+                code="provider_not_configured",
+            )
+        token = get_tool_key("OBSIGATE_GITEA_TOKEN")
+        return base, f"token {token}" if token else ""
+    if provider == "github":
+        token = get_tool_key("OBSIGATE_GITHUB_TOKEN")
+        return GITHUB_API, f"Bearer {token}" if token else ""
+    raise ToolError(
+        f"Fournisseur inconnu : {provider} ('gitea' ou 'github')",
+        code="invalid_arguments",
+    )
+
+
+def _headers(auth: str) -> dict[str, str]:
+    headers = {"User-Agent": USER_AGENT, "Accept": "application/json"}
+    if auth:
+        headers["Authorization"] = auth
+    return headers
+
+
+def _request(method: str, url: str, auth: str, **kwargs: Any) -> httpx.Response:
+    try:
+        resp = httpx.request(
+            method, url, headers=_headers(auth), timeout=TIMEOUT, follow_redirects=False,
+            **kwargs,
+        )
+    except httpx.HTTPError as e:
+        logger.warning("connected source request failed %s: %s", url, e)
+        raise ToolError(
+            "Source connectée momentanément indisponible.",
+            code="connected_source_unavailable",
+        ) from e
+    if resp.status_code in (401, 403):
+        raise ToolError(
+            "Accès refusé par la source connectée (jeton manquant ou expiré).",
+            code="permission_denied",
+        )
+    if resp.status_code == 404:
+        raise ToolError("Ressource introuvable sur la source connectée.", code="not_found")
+    resp.raise_for_status()
+    return resp
+
+
+def _normalize_repo(item: dict[str, Any]) -> dict[str, Any]:
+    return {
+        "name": item.get("name") or "",
+        "full_name": item.get("full_name") or "",
+        "url": item.get("html_url") or item.get("clone_url") or "",
+        "description": item.get("description") or "",
+        "updated": item.get("updated_at") or "",
+        "private": bool(item.get("private", False)),
+    }
+
+
+@tool(
+    name="git_list_repos",
+    description=(
+        "List repositories on the connected Gitea instance or GitHub account "
+        "(name, url, description, last update). Use when the user asks about "
+        "their code projects."
+    ),
+    input_model=GitProviderInput,
+    risk=ToolRisk.READ,
+)
+def git_list_repos(ctx, params: GitProviderInput) -> dict[str, Any]:
+    """Query the configured source and return normalized repositories."""
+    base, auth = _provider_base(params.provider)
+    if params.provider == "gitea":
+        url = base + "/api/v1/repos/search"
+        query: dict[str, Any] = {"limit": params.limit}
+        if params.repo:
+            query["q"] = params.repo
+        resp = _request("GET", url, auth, params=query)
+        items = resp.json().get("data") or []
+    else:
+        if params.repo:
+            url = GITHUB_API + f"/repos/{params.repo.strip('/')}"
+            items = [_request("GET", url, auth).json()]
+        else:
+            resp = _request(
+                "GET", GITHUB_API + "/user/repos",
+                auth, params={"per_page": params.limit, "sort": "updated"},
+            )
+            items = resp.json()
+    repos = [_normalize_repo(item) for item in items if isinstance(item, dict)]
+    return {"provider": params.provider, "count": len(repos), "repos": repos}
+
+
+@tool(
+    name="git_search_issues",
+    description=(
+        "Search issues and pull requests on the connected Gitea instance or "
+        "GitHub (title/body keywords, optional repository scope, open/closed)."
+    ),
+    input_model=GitSearchIssuesInput,
+    risk=ToolRisk.READ,
+)
+def git_search_issues(ctx, params: GitSearchIssuesInput) -> dict[str, Any]:
+    """Query issues (and PRs) from the configured source."""
+    base, auth = _provider_base(params.provider)
+    state = params.state if params.state in ("open", "closed") else "open"
+    if params.provider == "gitea":
+        if params.repo:
+            url = base + f"/api/v1/repos/{params.repo.strip('/')}/issues"
+            query: dict[str, Any] = {"state": state, "limit": params.limit, "q": params.query}
+            resp = _request("GET", url, auth, params=query)
+            items = resp.json()
+        else:
+            url = base + "/api/v1/repos/issues/search"
+            resp = _request("GET", url, auth, params={
+                "q": params.query, "state": state, "limit": params.limit,
+            })
+            items = resp.json()
+    else:
+        clause = f"{params.query} is:issue is:{state}"
+        if params.repo:
+            clause += f" repo:{params.repo.strip('/')}"
+        resp = _request(
+            "GET", GITHUB_API + "/search/issues", auth,
+            params={"q": clause, "per_page": params.limit},
+        )
+        items = (resp.json().get("items") or [])
+    issues = [
+        {
+            "id": item.get("number") or item.get("id") or "",
+            "title": (item.get("title") or "")[:300],
+            "url": item.get("html_url") or "",
+            "state": item.get("state") or "",
+            "pull_request": bool(item.get("pull_request")),
+        }
+        for item in (items if isinstance(items, list) else [])
+        if isinstance(item, dict)
+    ]
+    return {
+        "provider": params.provider,
+        "query": params.query,
+        "count": len(issues),
+        "issues": issues,
+    }
+
+
+@tool(
+    name="git_get_file",
+    description=(
+        "Read a file's content from a connected Gitea or GitHub repository "
+        "(source code, docs, config). Text/JSON only, size-capped."
+    ),
+    input_model=GitGetFileInput,
+    risk=ToolRisk.READ,
+)
+def git_get_file(ctx, params: GitGetFileInput) -> dict[str, Any]:
+    """Fetch one repository file and return its decoded text content."""
+    base, auth = _provider_base(params.provider)
+    repo = params.repo.strip("/")
+    path = params.path.strip("/")
+    if not repo or not path:
+        raise ToolError(
+            "'repo' (owner/nom) et 'path' sont obligatoires", code="invalid_arguments"
+        )
+    if params.provider == "gitea":
+        url = base + f"/api/v1/repos/{repo}/contents/{path}"
+    else:
+        url = GITHUB_API + f"/repos/{repo}/contents/{path}"
+    if params.ref:
+        url += f"?ref={params.ref}"
+    resp = _request("GET", url, auth)
+    data = resp.json()
+    encoded = data.get("content") or ""
+    if (data.get("encoding") or "") == "base64" and encoded:
+        try:
+            content = base64.b64decode(encoded).decode("utf-8", errors="replace")
+        except (ValueError, binascii.Error) as e:
+            raise ToolError(
+                "Contenu du fichier illisible (encodage inattendu).",
+                code="file_decode_error",
+            ) from e
+    else:
+        content = encoded
+    truncated = len(content) > MAX_FILE_BYTES
+    return {
+        "provider": params.provider,
+        "repo": repo,
+        "path": data.get("path") or path,
+        "size": data.get("size") or len(content),
+        "content": content[:MAX_FILE_BYTES],
+        "truncated": truncated,
+    }
@@ -0,0 +1,197 @@
+"""Multi-page site crawl — ``crawl_site`` (phase 2 #92, WRITE + confirmation).
+
+The assistant can digest a small public site (documentation, docs portal) and
+store a Markdown summary inside a vault: one section per page, title, URL and
+readable text. The crawl is bounded and same-host only:
+
+* max 20 pages (``max_pages``), same hostname, breadth-first from the entry URL;
+* SSRF guard on every URL (scheme + private-address rejection), size caps;
+* no third-party crawler dependency (scrapy deliberately avoided — a bounded
+  httpx BFS keeps the surface small and the runtime predictable; the task is
+  executed as a single background-style tool run instead of a web request
+  pipeline).
+
+Risk is WRITE: the digest is written into a vault, so the two-step
+confirmation applies (Apply card in the UI, propose/apply over MCP).
+"""
+
+from __future__ import annotations
+
+import logging
+import re
+import time
+from typing import Any
+from urllib.parse import urljoin, urlparse
+
+import httpx
+
+from backend.tools.context import ToolContext, ToolError, ToolRisk
+from backend.tools.registry import tool
+from backend.tools.schemas import CrawlSiteInput
+from backend.tools.web import (
+    USER_AGENT,
+    _assert_public_http_url,
+    _html_to_text,
+    _response_text,
+)
+
+logger = logging.getLogger("obsigate.tools.crawler")
+
+MAX_PAGE_BYTES = 800_000
+MAX_TOTAL_BYTES = 6_000_000
+MAX_TEXT_PER_PAGE = 12_000
+PAGE_TIMEOUT = 10.0
+_LINK_RE = re.compile(r'<a[^>]*href="([^"#]+)"', re.IGNORECASE)
+_TITLE_RE = re.compile(r"<title[^>]*>(.*?)</title>", re.IGNORECASE | re.DOTALL)
+
+
+def _same_host(url: str, host: str) -> bool:
+    return (urlparse(url).hostname or "") == host
+
+
+def _extract_links(raw: str, base_url: str) -> list[str]:
+    import html as html_lib
+
+    links: list[str] = []
+    for match in _LINK_RE.finditer(raw):
+        href = html_lib.unescape(match.group(1)).strip()
+        if not href or href.lower().startswith(("javascript:", "mailto:", "tel:")):
+            continue
+        absolute = urljoin(base_url, href)
+        if absolute.lower().endswith((".png", ".jpg", ".jpeg", ".gif", ".svg", ".webp", ".pdf", ".zip")):
+            continue
+        links.append(absolute.split("#", 1)[0])
+    return links
+
+
+def _fetch_page(url: str) -> tuple[str, str]:
+    """Fetch one page (SSRF-guarded, manual redirects) → (title, text)."""
+    current = _assert_public_http_url(url)
+    resp = None
+    for _hop in range(5):
+        resp = httpx.get(
+            current,
+            headers={"User-Agent": USER_AGENT, "Accept": "text/html,*/*"},
+            timeout=PAGE_TIMEOUT,
+            follow_redirects=False,
+        )
+        if resp.status_code in (301, 302, 303, 307, 308):
+            location = resp.headers.get("location") or ""
+            if not location:
+                break
+            current = _assert_public_http_url(str(httpx.URL(current).join(location)))
+            continue
+        break
+    assert resp is not None
+    resp.raise_for_status()
+    ctype = (resp.headers.get("content-type") or "").lower()
+    if "html" not in ctype and "text" not in ctype:
+        raise ToolError(
+            f"Type de contenu non pris en charge: {ctype.split(';')[0] or 'inconnu'}",
+            code="unsupported_content_type",
+        )
+    raw = (resp.content[:MAX_PAGE_BYTES]).decode(resp.encoding or "utf-8", errors="replace")
+    title_match = _TITLE_RE.search(raw)
+    import html as html_lib
+
+    title = html_lib.unescape(title_match.group(1)).strip()[:300] if title_match else ""
+    return title, _html_to_text(raw)[:MAX_TEXT_PER_PAGE]
+
+
+@tool(
+    name="crawl_site",
+    description=(
+        "Crawl a small public site (same-host only, max 20 pages) starting at "
+        "a URL and save a Markdown digest (title, url, readable text per page) "
+        "into a vault. Use to capture an online documentation for offline use."
+    ),
+    input_model=CrawlSiteInput,
+    risk=ToolRisk.WRITE,
+    requires_vault=True,
+)
+def crawl_site(ctx: ToolContext, params: CrawlSiteInput) -> dict[str, Any]:
+    """Bounded BFS crawl; writes the digest file and returns a summary."""
+    from backend.services.errors import ServiceError
+    from backend.services.mutations import save_raw_file
+
+    start = _assert_public_http_url(params.url.strip())
+    host = urlparse(start).hostname or ""
+    if not host:
+        raise ToolError("URL sans hôte", code="invalid_url")
+
+    queue: list[str] = [start]
+    seen: set[str] = {start}
+    pages: list[dict[str, Any]] = []
+    total_bytes = 0
+    failures: list[str] = []
+
+    while queue and len(pages) < params.max_pages and total_bytes < MAX_TOTAL_BYTES:
+        url = queue.pop(0)
+        try:
+            title, text = _fetch_page(url)
+        except ToolError as e:
+            failures.append(url)
+            logger.warning("crawl_site page failed %s: %s", url, e.code)
+            continue
+        except httpx.HTTPError as e:
+            failures.append(url)
+            logger.warning("crawl_site page failed %s: %s", url, e)
+            continue
+        pages.append({"url": url, "title": title, "text": text})
+        total_bytes += len(text)
+        if len(pages) >= params.max_pages:
+            break
+        try:
+            raw_resp = httpx.get(
+                url, headers={"User-Agent": USER_AGENT}, timeout=PAGE_TIMEOUT,
+                follow_redirects=False,
+            )
+            raw = _response_text(raw_resp)
+        except (httpx.HTTPError, ValueError):
+            continue
+        for link in _extract_links(raw, url):
+            if len(pages) + len(queue) >= params.max_pages:
+                break
+            if link in seen or not _same_host(link, host):
+                continue
+            try:
+                _assert_public_http_url(link)
+            except ToolError:
+                continue
+            seen.add(link)
+            queue.append(link)
+
+    if not pages:
+        raise ToolError(
+            "Aucune page n'a pu être récupérée pour ce site.",
+            code="crawl_failed",
+        )
+
+    lines = [
+        f"# Crawl de {host}",
+        "",
+        f"> {len(pages)} page(s) capturée(s) depuis {start} — {time.strftime('%Y-%m-%d %H:%M')}",
+        "",
+    ]
+    for page in pages:
+        lines.append(f"## {page['title'] or page['url']}")
+        lines.append("")
+        lines.append(f"Source : {page['url']}")
+        lines.append("")
+        lines.append(page["text"])
+        lines.append("")
+    digest = "\n".join(lines).encode("utf-8")
+    try:
+        saved = save_raw_file(
+            params.vault, params.path, digest, overwrite=True, allow_docs=False
+        )
+    except ServiceError as e:
+        raise ToolError(e.message, code=e.code, details=e.details) from e
+    return {
+        "url": start,
+        "vault": params.vault,
+        "path": saved.get("path", params.path),
+        "pages": len(pages),
+        "failed": failures[:10],
+        "size": saved.get("size", len(digest)),
+    }
@@ -0,0 +1,229 @@
+"""Document-production tools (phase 2 #92) — WRITE, confirmation required.
+
+The assistant can generate real files inside a vault:
+
+* ``create_xlsx`` — spreadsheet (openpyxl);
+* ``create_docx`` — Word document (python-docx);
+* ``create_csv``  — CSV (stdlib);
+* ``create_pdf``  — PDF (reportlab, from markdown-ish content).
+
+Every tool is ``WRITE`` (two-step confirm in the UI / propose-apply over MCP),
+vault-scoped through ``requires_vault`` and saved via the shared mutation
+service (path safety, read-only check, backup on overwrite).
+"""
+
+from __future__ import annotations
+
+import csv as csv_lib
+import io
+import logging
+import re
+from typing import Any
+from xml.sax import saxutils
+
+from backend.services.errors import ServiceError
+from backend.services.mutations import save_raw_file
+from backend.tools.context import ToolContext, ToolError, ToolRisk
+from backend.tools.registry import tool
+from backend.tools.schemas import CsvInput, DocxInput, PdfInput, SpreadsheetInput
+
+logger = logging.getLogger("obsigate.tools.documents")
+
+MAX_PDF_CHARS = 200_000
+MAX_ROWS = 5_000
+
+
+def _save(vault: str, path: str, content: bytes, overwrite: bool) -> dict[str, Any]:
+    """Shared save helper (maps ServiceError to ToolError)."""
+    try:
+        return save_raw_file(vault, path, content, overwrite=overwrite, allow_docs=True)
+    except ServiceError as e:
+        raise ToolError(e.message, code=e.code, details=e.details) from e
+
+
+def _check_rows(rows: list[list[Any]]) -> None:
+    if not rows:
+        raise ToolError("Aucune ligne fournie", code="invalid_arguments")
+    if len(rows) > MAX_ROWS:
+        raise ToolError(
+            f"Trop de lignes ({len(rows)} > {MAX_ROWS})", code="invalid_arguments"
+        )
+
+
+def _check_extension(path: str, expected: str) -> str:
+    """Enforce the document extension; return the normalized path."""
+    path = (path or "").strip()
+    if not path.lower().endswith(expected):
+        raise ToolError(
+            f"Extension attendue : {expected}", code="invalid_arguments"
+        )
+    return path
+
+
+@tool(
+    name="create_xlsx",
+    description=(
+        "Create an .xlsx spreadsheet in a vault from rows of cell values "
+        "(first row = header). Use for tables, budgets, checklists the user "
+        "asked to turn into an Excel file."
+    ),
+    input_model=SpreadsheetInput,
+    risk=ToolRisk.WRITE,
+    requires_vault=True,
+)
+def create_xlsx(ctx: ToolContext, params: SpreadsheetInput) -> dict[str, Any]:
+    """Build the workbook with openpyxl and save it into the vault."""
+    from openpyxl import Workbook
+
+    _check_rows(params.rows)
+    path = _check_extension(params.path, ".xlsx")
+    wb = Workbook()
+    ws = wb.active
+    ws.title = params.sheet_name[:31] or "Feuille1"
+    for row in params.rows:
+        ws.append(list(row))
+    buffer = io.BytesIO()
+    wb.save(buffer)
+    return _save(params.vault, path, buffer.getvalue(), params.overwrite)
+
+
+@tool(
+    name="create_docx",
+    description=(
+        "Create a .docx Word document in a vault from an optional title and "
+        "ordered paragraphs. Use for letters, reports, structured drafts."
+    ),
+    input_model=DocxInput,
+    risk=ToolRisk.WRITE,
+    requires_vault=True,
+)
+def create_docx(ctx: ToolContext, params: DocxInput) -> dict[str, Any]:
+    """Build the document with python-docx and save it into the vault."""
+    from docx import Document
+
+    if not params.paragraphs:
+        raise ToolError("Aucun paragraphe fourni", code="invalid_arguments")
+    path = _check_extension(params.path, ".docx")
+    doc = Document()
+    if params.title.strip():
+        doc.add_heading(params.title.strip(), level=1)
+    for paragraph in params.paragraphs:
+        doc.add_paragraph(paragraph)
+    buffer = io.BytesIO()
+    doc.save(buffer)
+    return _save(params.vault, path, buffer.getvalue(), params.overwrite)
+
+
+@tool(
+    name="create_csv",
+    description=(
+        "Create a .csv file in a vault from rows of cell values (first row = "
+        "header). Use for flat data exports, simple tables."
+    ),
+    input_model=CsvInput,
+    risk=ToolRisk.WRITE,
+    requires_vault=True,
+)
+def create_csv(ctx: ToolContext, params: CsvInput) -> dict[str, Any]:
+    """Serialize the rows and save the CSV into the vault."""
+    _check_rows(params.rows)
+    path = _check_extension(params.path, ".csv")
+    delimiter = params.delimiter if params.delimiter in (",", ";", "\t") else ","
+    buffer = io.StringIO()
+    writer = csv_lib.writer(buffer, delimiter=delimiter, lineterminator="\n")
+    writer.writerows(params.rows)
+    return _save(params.vault, path, buffer.getvalue().encode("utf-8"), params.overwrite)
+
+
+_HEADING_RE = re.compile(r"^(#{1,6})\s+(.*)$")
+
+
+def _markdown_to_flowables(content: str) -> list[tuple[str, str]]:
+    """Split markdown-ish content into (style, text) blocks for reportlab."""
+    blocks: list[tuple[str, str]] = []
+    for raw_line in content.splitlines():
+        line = raw_line.rstrip()
+        if not line.strip():
+            continue
+        heading = _HEADING_RE.match(line)
+        if heading:
+            blocks.append((f"H{min(3, len(heading.group(1)))}", heading.group(2).strip()))
+        else:
+            blocks.append(("P", line.strip()))
+    return blocks
+
+
+def _render_markdown_pdf(content: str, title: str) -> bytes | None:
+    """Render markdown → HTML → PDF through the document-page pipeline.
+
+    Uses the same stack as the « Download PDF » button of the document viewer
+    (mistune with the table plugin + WeasyPrint print CSS), so tables, code
+    blocks and lists are laid out correctly. Returns ``None`` when WeasyPrint
+    is not importable (missing GTK on some hosts) so the caller can fall back
+    to the simplified reportlab renderer.
+    """
+    try:
+        import mistune
+
+        from backend.pdf_export import build_pdf_html, generate_pdf
+
+        renderer = mistune.create_markdown(
+            escape=False,
+            plugins=["table", "strikethrough", "footnotes", "task_lists"],
+        )
+        html = renderer(content)
+        return generate_pdf(build_pdf_html(html, title), title)
+    except Exception as e:
+        # WeasyPrint loads GTK lazily: a missing native library can surface at
+        # import OR render time. Fall back to the simple renderer either way.
+        logger.warning("WeasyPrint pipeline unavailable for create_pdf: %s", e)
+        return None
+
+
+def _render_reportlab_pdf(content: str, title: str) -> bytes:
+    """Fallback renderer (no WeasyPrint): headings + paragraphs, no tables."""
+    from reportlab.lib.pagesizes import A4
+    from reportlab.lib.styles import getSampleStyleSheet
+    from reportlab.platypus import Paragraph, SimpleDocTemplate, Spacer
+
+    styles = getSampleStyleSheet()
+    style_map = {
+        "P": styles["BodyText"],
+        "H1": styles["Heading1"],
+        "H2": styles["Heading2"],
+        "H3": styles["Heading3"],
+    }
+    buffer = io.BytesIO()
+    doc = SimpleDocTemplate(buffer, pagesize=A4, title=title[:200])
+    story: list[Any] = [Paragraph(saxutils.escape(title[:300]), styles["Title"])]
+    for style, line in _markdown_to_flowables(content):
+        story.append(Spacer(1, 4))
+        story.append(Paragraph(saxutils.escape(line), style_map[style]))
+    doc.build(story)
+    return buffer.getvalue()
+
+
+@tool(
+    name="create_pdf",
+    description=(
+        "Create a .pdf document in a vault from markdown content (headings, "
+        "paragraphs, tables, code blocks, lists). Use for printable "
+        "deliverables; tables are laid out like the document-page PDF export."
+    ),
+    input_model=PdfInput,
+    risk=ToolRisk.WRITE,
+    requires_vault=True,
+)
+def create_pdf(ctx: ToolContext, params: PdfInput) -> dict[str, Any]:
+    """Render the content and save the PDF into the vault.
+
+    Primary path: mistune (tables) + WeasyPrint — identical to the viewer's
+    « Download PDF » export. Fallback (WeasyPrint unavailable): simplified
+    reportlab layout without tables.
+    """
+    path = _check_extension(params.path, ".pdf")
+    content = params.content[:MAX_PDF_CHARS]
+    pdf_bytes = _render_markdown_pdf(content, params.title[:300])
+    if pdf_bytes is None:
+        pdf_bytes = _render_reportlab_pdf(content, params.title[:300])
+    return _save(params.vault, path, pdf_bytes, params.overwrite)
@@ -47,6 +47,14 @@ _STEP_LABELS: dict[str, tuple[str, str | None]] = {
    "restore_backup": ("backup_restore", "path"),
    "web_search": ("web_search", "query"),
    "fetch_url": ("fetch_url", "url"),
+    "crawl_site": ("crawl", "url"),
+    "git_list_repos": ("git_repos", "provider"),
+    "git_search_issues": ("git_issues", "query"),
+    "git_get_file": ("git_file", "path"),
+    "create_xlsx": ("xlsx_create", "path"),
+    "create_docx": ("docx_create", "path"),
+    "create_csv": ("csv_create", "path"),
+    "create_pdf": ("pdf_create", "path"),
 }

 GENERIC_KEY = "generic"
@@ -251,6 +251,90 @@ class FetchUrlInput(BaseModel):
    """Fetch one public web page and return its readable text."""

    url: str = Field(..., description="Absolute http(s) URL of a public page")
+    render: bool = Field(
+        False,
+        description="Render JavaScript with the optional Playwright worker (dynamic SPA pages)",
+    )
+
+
+class CrawlSiteInput(BaseModel):
+    """Crawl a small public site (same-host only) and save a digest into a vault."""
+
+    url: str = Field(..., description="Absolute http(s) URL where the crawl starts")
+    vault: str = Field(..., description="Vault name")
+    path: str = Field(..., description="Vault-relative path of the digest file to write (.md)")
+    max_pages: int = Field(5, ge=1, le=20, description="Maximum number of pages to crawl")
+
+
+class GitProviderInput(BaseModel):
+    """Base fields for connected-source tools (Gitea / GitHub)."""
+
+    provider: str = Field(..., description="'gitea' (OBSIGATE_GITEA_URL) or 'github'")
+    repo: str = Field("", description="Optional 'owner/name' repository filter")
+    limit: int = Field(20, ge=1, le=50, description="Maximum number of entries")
+
+
+class GitSearchIssuesInput(BaseModel):
+    """Search issues/pull requests on a connected Gitea or GitHub instance."""
+
+    provider: str = Field(..., description="'gitea' or 'github'")
+    query: str = Field(..., min_length=1, description="Search keywords")
+    repo: str = Field("", description="Optional 'owner/name' scope (empty = instance-wide)")
+    state: str = Field("open", description="'open' or 'closed'")
+    limit: int = Field(10, ge=1, le=20, description="Maximum number of issues")
+
+
+class GitGetFileInput(BaseModel):
+    """Read a file from a connected Gitea or GitHub repository."""
+
+    provider: str = Field(..., description="'gitea' or 'github'")
+    repo: str = Field(..., description="'owner/name' repository")
+    path: str = Field(..., description="Repository-relative file path")
+    ref: str = Field("", description="Optional branch/tag/commit (empty = default branch)")
+
+
+class SpreadsheetInput(BaseModel):
+    """Create an .xlsx spreadsheet in a vault from rows of cells."""
+
+    vault: str = Field(..., description="Vault name")
+    path: str = Field(..., description="Vault-relative path of the file to write (.xlsx)")
+    rows: list[list[str | int | float | bool | None]] = Field(
+        ..., description="Rows of cell values (first row = header)"
+    )
+    sheet_name: str = Field("Feuille1", description="Worksheet name")
+    overwrite: bool = Field(True, description="Replace an existing file (with backup)")
+
+
+class DocxInput(BaseModel):
+    """Create a .docx Word document in a vault from paragraphs."""
+
+    vault: str = Field(..., description="Vault name")
+    path: str = Field(..., description="Vault-relative path of the file to write (.docx)")
+    title: str = Field("", description="Optional document title (heading 1)")
+    paragraphs: list[str] = Field(..., description="Paragraph texts, in order")
+    overwrite: bool = Field(True, description="Replace an existing file (with backup)")
+
+
+class CsvInput(BaseModel):
+    """Create a .csv file in a vault from rows of cells."""
+
+    vault: str = Field(..., description="Vault name")
+    path: str = Field(..., description="Vault-relative path of the file to write (.csv)")
+    rows: list[list[str | int | float | bool | None]] = Field(
+        ..., description="Rows of cell values (first row = header)"
+    )
+    delimiter: str = Field(",", description="Field separator (',' ';' '\\t')")
+    overwrite: bool = Field(True, description="Replace an existing file (with backup)")
+
+
+class PdfInput(BaseModel):
+    """Create a .pdf document in a vault from markdown-ish content."""
+
+    vault: str = Field(..., description="Vault name")
+    path: str = Field(..., description="Vault-relative path of the file to write (.pdf)")
+    title: str = Field("Document", description="Document title")
+    content: str = Field(..., description="Content (headings with #/##, then paragraphs)")
+    overwrite: bool = Field(True, description="Replace an existing file (with backup)")


 class ToolResult(BaseModel):
@@ -0,0 +1,109 @@
+"""Tool-layer secrets — user-configured tokens & API keys (#103).
+
+The connected-source (Gitea / GitHub) and keyed web-search (Tavily, Brave,
+SerpAPI, Exa) tools read their credentials through this module instead of
+``os.environ`` directly. The value comes from the store the user edits in the
+configuration page (``data/api_keys.json`` — the same file the AI provider
+keys use) first, then falls back to the environment (Infisical-injected in
+production). Nothing is ever hard-coded and no tool result carries a secret
+(the registry redacts payloads).
+
+Allowed names are whitelisted: only the variables below can be stored or
+deleted from the configuration page.
+"""
+
+from __future__ import annotations
+
+import json
+import logging
+import os
+from pathlib import Path
+
+logger = logging.getLogger("obsigate.tools.secrets")
+
+# Whitelisted configuration names (config page « Sources connectées & recherche »).
+TOOL_KEY_NAMES: tuple[str, ...] = (
+    "OBSIGATE_TAVILY_API_KEY",
+    "OBSIGATE_BRAVE_API_KEY",
+    "OBSIGATE_SERPAPI_API_KEY",
+    "OBSIGATE_EXA_API_KEY",
+    "OBSIGATE_GITEA_URL",
+    "OBSIGATE_GITEA_TOKEN",
+    "OBSIGATE_GITHUB_TOKEN",
+)
+
+_SECRET_MARKERS = ("API_KEY", "TOKEN")
+
+
+def _keys_file() -> Path:
+    base = os.environ.get("OBSIGATE_DATA_DIR", "data")
+    return Path(base) / "api_keys.json"
+
+
+def _read_keys() -> dict:
+    path = _keys_file()
+    if not path.exists():
+        return {}
+    try:
+        data = json.loads(path.read_text(encoding="utf-8"))
+    except (OSError, ValueError) as e:
+        logger.warning("tool key store unreadable (%s): %s", path, e)
+        return {}
+    return data if isinstance(data, dict) else {}
+
+
+def _write_keys(data: dict) -> None:
+    path = _keys_file()
+    path.parent.mkdir(parents=True, exist_ok=True)
+    tmp = path.with_suffix(".tmp")
+    tmp.write_text(json.dumps(data, indent=2), encoding="utf-8")
+    tmp.replace(path)
+
+
+def is_secret_name(name: str) -> bool:
+    """True for API keys / tokens (masked in API responses); URLs are clear."""
+    return any(marker in name for marker in _SECRET_MARKERS)
+
+
+def mask_value(name: str, value: str) -> str:
+    """Mask a secret for display; non-secret values (URLs) are returned as-is."""
+    if not value:
+        return ""
+    if not is_secret_name(name):
+        return value
+    return value[:4] + "..." + value[-4:] if len(value) > 8 else "***"
+
+
+def get_tool_key(name: str) -> str:
+    """Stored (configuration page) value first, then environment fallback."""
+    if name not in TOOL_KEY_NAMES:
+        return os.environ.get(name, "").strip()
+    stored = _read_keys().get(name)
+    if isinstance(stored, str) and stored.strip():
+        return stored.strip()
+    return os.environ.get(name, "").strip()
+
+
+def set_tool_key(name: str, value: str) -> None:
+    """Persist one whitelisted key into the store (admin configuration page)."""
+    if name not in TOOL_KEY_NAMES:
+        raise ValueError(f"Clé non prise en charge: {name}")
+    value = (value or "").strip()
+    keys = _read_keys()
+    if value:
+        keys[name] = value
+    else:
+        keys.pop(name, None)
+    _write_keys(keys)
+
+
+def delete_tool_key(name: str) -> bool:
+    """Remove one key from the store; return True when it existed."""
+    if name not in TOOL_KEY_NAMES:
+        raise ValueError(f"Clé non prise en charge: {name}")
+    keys = _read_keys()
+    if name in keys:
+        del keys[name]
+        _write_keys(keys)
+        return True
+    return False
@@ -8,6 +8,16 @@ Phase 1 of the documented web-toolset roadmap:
  answering « je n'ai pas accès à internet ».
 * ``fetch_url``   — retrieve a public web page and return readable text.

+Phase 2 (#92) additions:
+
+* keyed providers — Tavily, Brave Search, SerpAPI and Exa are used first when
+  their API key is configured (env, injected by Infisical in production);
+* SQLite cache — search/fetch results are cached with a TTL
+  (:mod:`backend.tools.webcache`);
+* retry with backoff — transient network errors get one extra attempt;
+* dynamic rendering — ``fetch_url(render=True)`` uses an isolated Playwright
+  worker (optional dependency, graceful degradation).
+
 All are READ-risk tools (no confirmation), rate-limited through the shared
 registry, SSRF-guarded (scheme + private-address rejection), and size-capped.

@@ -16,6 +26,14 @@ Configuration (environment):
 * ``OBSIGATE_WEB_TIMEOUT``   — seconds, default 10
 * ``OBSIGATE_WEB_FALLBACK``  — ``0``/``false`` disables the keyless HTML
  fallbacks (SearXNG only), default enabled
+* ``OBSIGATE_TAVILY_API_KEY`` / ``OBSIGATE_BRAVE_API_KEY`` /
+  ``OBSIGATE_SERPAPI_API_KEY`` / ``OBSIGATE_EXA_API_KEY`` — optional keyed
+  providers, tried before SearXNG when set
+* ``OBSIGATE_WEB_PROVIDERS`` — optional comma-separated provider order
+  (e.g. ``brave,searxng``); keyed providers without a key are skipped
+* ``OBSIGATE_WEB_RETRY``     — extra attempts for transient network errors
+  (default 1)
+* ``OBSIGATE_WEB_CACHE_TTL`` — cache TTL seconds, ``0`` disables (default 900)
 """

 from __future__ import annotations
@@ -28,15 +46,18 @@ import logging
 import os
 import re
 import socket
+import time
 from collections.abc import Callable
 from typing import Any
 from urllib.parse import parse_qs, urlparse

 import httpx

+from backend.tools import webcache
 from backend.tools.context import ToolError, ToolRisk, ToolScope
 from backend.tools.registry import tool
 from backend.tools.schemas import FetchUrlInput, WebSearchInput
+from backend.tools.secrets import get_tool_key

 logger = logging.getLogger("obsigate.tools.web")

@@ -48,6 +69,7 @@ WEB_FALLBACK_ENABLED = os.environ.get("OBSIGATE_WEB_FALLBACK", "1").strip().lowe
    "no",
    "off",
 }
+WEB_RETRY_ATTEMPTS = int(os.environ.get("OBSIGATE_WEB_RETRY", "1"))
 USER_AGENT = "ObsiGateAssistant/1.0 (+self-hosted vault AI)"
 # Search engines reject non-browser agents on their public HTML endpoints.
 BROWSER_UA = (
@@ -163,6 +185,115 @@ def _result(
    }


+def _with_retry(call: Callable[[], Any]) -> Any:
+    """Run *call* with one extra attempt on transient network errors.
+
+    House-made backoff (the roadmap's « tenacity ou boucle maison »): DNS
+    blips and rate-limit hiccups are the common failure mode, and a single
+    retry keeps the fallback chain from being consumed too early.
+    """
+    for attempt in range(1 + max(0, WEB_RETRY_ATTEMPTS)):
+        try:
+            return call()
+        except httpx.TransportError:
+            if attempt >= max(0, WEB_RETRY_ATTEMPTS):
+                raise
+            time.sleep(0.2 * (attempt + 1))
+    raise RuntimeError("unreachable")  # pragma: no cover
+
+
+def _env_key(name: str) -> str:
+    """Read an API key: configuration-page store first, then environment."""
+    return get_tool_key(name)
+
+
+def _search_tavily(query: str, params: WebSearchInput) -> tuple[list[dict[str, Any]], list[str]]:
+    """Tavily Search API (agent-oriented results, key required)."""
+    resp = httpx.post(
+        "https://api.tavily.com/search",
+        json={
+            "api_key": _env_key("OBSIGATE_TAVILY_API_KEY"),
+            "query": query,
+            "max_results": params.max_results,
+            "search_depth": "basic",
+            "include_answer": False,
+        },
+        headers={"User-Agent": USER_AGENT},
+        timeout=WEB_TIMEOUT,
+    )
+    resp.raise_for_status()
+    data = resp.json()
+    return [
+        _result(item.get("title") or "", item.get("url") or "", item.get("content") or "")
+        for item in (data.get("results") or [])
+    ], []
+
+
+def _search_brave(query: str, params: WebSearchInput) -> tuple[list[dict[str, Any]], list[str]]:
+    """Brave Search API (key required)."""
+    resp = httpx.get(
+        "https://api.search.brave.com/res/v1/web/search",
+        params={"q": query, "count": params.max_results, "safesearch": "moderate"},
+        headers={
+            "X-Subscription-Id": _env_key("OBSIGATE_BRAVE_API_KEY"),
+            "Accept": "application/json",
+            "User-Agent": USER_AGENT,
+        },
+        timeout=WEB_TIMEOUT,
+    )
+    resp.raise_for_status()
+    data = resp.json()
+    return [
+        _result(item.get("title") or "", item.get("url") or "", item.get("description") or "")
+        for item in ((data.get("web") or {}).get("results") or [])
+    ], []
+
+
+def _search_serpapi(query: str, params: WebSearchInput) -> tuple[list[dict[str, Any]], list[str]]:
+    """SerpAPI (Google SERP, key required)."""
+    resp = httpx.get(
+        "https://serpapi.com/search",
+        params={"q": query, "api_key": _env_key("OBSIGATE_SERPAPI_API_KEY"),
+                "num": params.max_results},
+        headers={"User-Agent": USER_AGENT},
+        timeout=WEB_TIMEOUT,
+    )
+    resp.raise_for_status()
+    data = resp.json()
+    return [
+        _result(item.get("title") or "", item.get("link") or "", item.get("snippet") or "")
+        for item in (data.get("organic_results") or [])
+    ], []
+
+
+def _search_exa(query: str, params: WebSearchInput) -> tuple[list[dict[str, Any]], list[str]]:
+    """Exa neural search (key required)."""
+    resp = httpx.post(
+        "https://api.exa.ai/search",
+        json={"query": query, "numResults": params.max_results},
+        headers={
+            "x-api-key": _env_key("OBSIGATE_EXA_API_KEY"),
+            "User-Agent": USER_AGENT,
+        },
+        timeout=WEB_TIMEOUT,
+    )
+    resp.raise_for_status()
+    data = resp.json()
+    return [
+        _result(item.get("title") or "", item.get("url") or "", (item.get("text") or "")[:600])
+        for item in (data.get("results") or [])
+    ], []
+
+
+# Keyed providers: name -> (implementation, API key env var)
+_KEYED_PROVIDERS: dict[str, tuple[_Provider, str]] = {
+    "tavily": (_search_tavily, "OBSIGATE_TAVILY_API_KEY"),
+    "brave": (_search_brave, "OBSIGATE_BRAVE_API_KEY"),
+    "serpapi": (_search_serpapi, "OBSIGATE_SERPAPI_API_KEY"),
+    "exa": (_search_exa, "OBSIGATE_EXA_API_KEY"),
+}
+
+
 def _search_searxng(
    query: str, params: WebSearchInput
 ) -> tuple[list[dict[str, Any]], list[str]]:
@@ -288,8 +419,22 @@ _Provider = Callable[[str, WebSearchInput], "tuple[list[dict[str, Any]], list[st


 def _provider_chain() -> list[tuple[str, _Provider]]:
-    """Ordered providers: self-hosted meta-search first, then keyless fallbacks."""
-    chain: list[tuple[str, _Provider]] = [("searxng", _search_searxng)]
+    """Ordered providers: keyed APIs first, then self-hosted, then keyless.
+
+    ``OBSIGATE_WEB_PROVIDERS`` (comma-separated) overrides the default order;
+    unknown names are ignored and keyed providers without their key are skipped.
+    """
+    chain: list[tuple[str, _Provider]] = []
+    configured = [
+        name.strip().lower()
+        for name in os.environ.get("OBSIGATE_WEB_PROVIDERS", "").split(",")
+        if name.strip()
+    ]
+    for name in configured or list(_KEYED_PROVIDERS):
+        entry = _KEYED_PROVIDERS.get(name)
+        if entry and _env_key(entry[1]):
+            chain.append((name, entry[0]))
+    chain.append(("searxng", _search_searxng))
    if WEB_FALLBACK_ENABLED:
        chain.append(("duckduckgo", _search_duckduckgo))
        chain.append(("bing", _search_bing))
@@ -313,6 +458,17 @@ def web_search(ctx, params: WebSearchInput) -> dict[str, Any]:
    if not query:
        raise ToolError("Requête vide", code="invalid_arguments")

+    key = webcache.cache_key("search", {
+        "q": query,
+        "max_results": params.max_results,
+        "category": params.category,
+        "language": params.language,
+        "page": params.page,
+    })
+    cached = webcache.cache_get(key)
+    if cached is not None:
+        return {**cached, "cached": True}
+
    attempts: list[str] = []
    unresponsive: list[str] = []
    reachable = False
@@ -320,8 +476,12 @@ def web_search(ctx, params: WebSearchInput) -> dict[str, Any]:

    for name, provider in _provider_chain():
        attempts.append(name)
+
+        def _attempt(p: _Provider = provider) -> tuple[list[dict[str, Any]], list[str]]:
+            return p(query, params)
+
        try:
-            results, engines = provider(query, params)
+            results, engines = _with_retry(_attempt)
        except (httpx.HTTPError, ValueError, AttributeError) as e:
            logger.warning("web_search provider %s failed: %s", name, e)
            last_error = e
@@ -338,6 +498,7 @@ def web_search(ctx, params: WebSearchInput) -> dict[str, Any]:
            }
            if unresponsive:
                payload["unresponsive_engines"] = unresponsive[:8]
+            webcache.cache_set(key, payload)
            return payload

    if not reachable:
@@ -378,6 +539,20 @@ def web_search(ctx, params: WebSearchInput) -> dict[str, Any]:
 def fetch_url(ctx, params: FetchUrlInput) -> dict[str, Any]:
    """Retrieve one page, guard against SSRF, and extract its text."""
    url = _assert_public_http_url(params.url.strip())
+    key = webcache.cache_key("fetch", {"url": url, "render": params.render})
+    cached = webcache.cache_get(key)
+    if cached is not None:
+        return {**cached, "cached": True}
+
+    if params.render:
+        # Dynamic pages (SPA/React): delegated to the isolated Playwright
+        # worker; the browser dependency stays optional (graceful error).
+        from backend.tools.webrender import render_page
+
+        payload = render_page(url)
+        webcache.cache_set(key, payload)
+        return payload
+
    try:
        # Follow redirects manually so every hop is re-checked against the
        # private-address SSRF guard (a public page can redirect to 127.0.0.1).
@@ -414,10 +589,12 @@ def fetch_url(ctx, params: FetchUrlInput) -> dict[str, Any]:
    title_match = re.search(r"<title[^>]*>(.*?)</title>", raw, re.IGNORECASE | re.DOTALL)
    title = html_lib.unescape(title_match.group(1)).strip()[:300] if title_match else ""
    text = _html_to_text(raw)[:MAX_TEXT_CHARS]
-    return {
+    payload = {
        "url": str(resp.url),
        "status": resp.status_code,
        "title": title,
        "text": text,
        "truncated": len(raw) > MAX_TEXT_CHARS,
    }
+    webcache.cache_set(key, payload)
+    return payload
@@ -0,0 +1,138 @@
+"""SQLite cache for web tool results (search results, fetched pages).
+
+Phase 2 of the web-toolset roadmap (« Transverse »): repeated web searches and
+page fetches (common in agent loops, where the model re-reads a source) must
+not hammer the providers. Results are cached in a dedicated SQLite table with
+a TTL; the cache is best-effort — any error silently disables it so a broken
+database file never takes the assistant down.
+
+Configuration (environment):
+* ``OBSIGATE_DATA_DIR``        — base data directory (default ``data``)
+* ``OBSIGATE_WEB_CACHE_PATH``  — explicit cache file override
+* ``OBSIGATE_WEB_CACHE_TTL``   — seconds, ``0`` disables the cache (default 900)
+"""
+
+from __future__ import annotations
+
+import hashlib
+import json
+import logging
+import os
+import sqlite3
+import threading
+import time
+from pathlib import Path
+from typing import Any
+
+logger = logging.getLogger("obsigate.tools.webcache")
+
+DEFAULT_TTL_SECONDS = 900
+_schema_ready = False
+_write_lock = threading.Lock()
+
+
+def ttl_seconds() -> float:
+    """Configured TTL in seconds (``0`` = cache disabled)."""
+    return float(os.environ.get("OBSIGATE_WEB_CACHE_TTL", str(DEFAULT_TTL_SECONDS)))
+
+
+def _cache_path() -> Path:
+    override = os.environ.get("OBSIGATE_WEB_CACHE_PATH", "").strip()
+    if override:
+        return Path(override)
+    return Path(os.environ.get("OBSIGATE_DATA_DIR", "data")) / "web_cache.sqlite3"
+
+
+def _connect() -> sqlite3.Connection:
+    """Open (and lazily create) the cache database."""
+    global _schema_ready
+    path = _cache_path()
+    path.parent.mkdir(parents=True, exist_ok=True)
+    conn = sqlite3.connect(path, timeout=5, check_same_thread=False)
+    if not _schema_ready:
+        conn.execute(
+            "CREATE TABLE IF NOT EXISTS web_cache ("
+            "key TEXT PRIMARY KEY, value TEXT NOT NULL, created REAL NOT NULL)"
+        )
+        conn.commit()
+        _schema_ready = True
+    return conn
+
+
+def cache_key(prefix: str, payload: dict[str, Any]) -> str:
+    """Deterministic cache key from a prefix and the normalized arguments."""
+    raw = json.dumps(payload, ensure_ascii=False, sort_keys=True, default=str)
+    digest = hashlib.sha256(raw.encode("utf-8")).hexdigest()[:32]
+    return f"{prefix}:{digest}"
+
+
+def cache_get(key: str) -> Any | None:
+    """Return the cached payload for *key*, or ``None`` (miss/expiry/disabled)."""
+    if ttl_seconds() <= 0:
+        return None
+    try:
+        conn = _connect()
+        row = conn.execute(
+            "SELECT value, created FROM web_cache WHERE key = ?", (key,)
+        ).fetchone()
+        conn.close()
+    except sqlite3.Error as e:
+        logger.warning("web cache read failed (%s): %s", key, e)
+        return None
+    if row is None:
+        return None
+    value, created = row
+    if time.time() - float(created) > ttl_seconds():
+        return None
+    try:
+        return json.loads(value)
+    except (ValueError, TypeError):
+        return None
+
+
+def cache_set(key: str, value: Any) -> None:
+    """Store *value* under *key* (best effort, never raises)."""
+    if ttl_seconds() <= 0:
+        return
+    try:
+        with _write_lock:
+            conn = _connect()
+            conn.execute(
+                "INSERT INTO web_cache (key, value, created) VALUES (?, ?, ?) "
+                "ON CONFLICT(key) DO UPDATE SET value = excluded.value, created = excluded.created",
+                (key, json.dumps(value, ensure_ascii=False, default=str), time.time()),
+            )
+            conn.commit()
+            conn.close()
+    except sqlite3.Error as e:
+        logger.warning("web cache write failed (%s): %s", key, e)
+
+
+def purge_expired() -> int:
+    """Delete expired rows; return the number of removed entries (maintenance)."""
+    try:
+        conn = _connect()
+        cursor = conn.execute(
+            "DELETE FROM web_cache WHERE created < ?", (time.time() - ttl_seconds(),)
+        )
+        conn.commit()
+        deleted = cursor.rowcount
+        conn.close()
+        return int(deleted)
+    except sqlite3.Error as e:
+        logger.warning("web cache purge failed: %s", e)
+        return 0
+
+
+def clear_cache() -> int:
+    """Drop every cached entry (tests / admin); returns the number of rows."""
+    try:
+        conn = _connect()
+        cursor = conn.execute("DELETE FROM web_cache")
+        conn.commit()
+        deleted = cursor.rowcount
+        conn.close()
+        return int(deleted)
+    except sqlite3.Error as e:
+        logger.warning("web cache clear failed: %s", e)
+        return 0
@@ -0,0 +1,100 @@
+"""Dynamic page rendering (Playwright) — ``fetch_url(render=True)``.
+
+Static pages are fetched with httpx inside :mod:`backend.tools.web`. Dynamic
+pages (SPA/React, JS-loaded content) need a real browser engine; this module
+runs one Playwright call inside a dedicated worker thread so browser
+crashes/timeouts never take over the tool layer, and the heavyweight
+dependency stays optional:
+
+* not installed → ``ToolError(code="playwright_unavailable")`` with a clear
+  message (the assistant explains the limitation instead of hanging);
+* installed → ``pip install playwright && playwright install chromium``.
+
+The SSRF guard (scheme + private-address rejection) is applied before the
+browser navigates. Note: unlike the httpx path, internal redirects performed
+by the browser engine are not re-checked hop by hop.
+"""
+
+from __future__ import annotations
+
+import html as html_lib
+import logging
+import re
+from concurrent.futures import ThreadPoolExecutor
+from typing import Any
+
+from backend.tools.context import ToolError
+from backend.tools.web import (
+    MAX_TEXT_CHARS,
+    USER_AGENT,
+    _assert_public_http_url,
+    _html_to_text,
+)
+
+logger = logging.getLogger("obsigate.tools.webrender")
+
+# One worker: browser automation is serialized on purpose (one Chromium at a
+# time keeps memory predictable on small hosts).
+_executor = ThreadPoolExecutor(max_workers=1, thread_name_prefix="obsigate-playwright")
+GOTO_TIMEOUT_MS = 20_000
+
+
+def _playwright_available() -> bool:
+    try:
+        import playwright  # noqa: F401
+    except ImportError:
+        return False
+    return True
+
+
+def _render_in_worker(url: str) -> dict[str, Any]:
+    """Synchronous Playwright render — runs in the dedicated worker thread."""
+    from playwright.sync_api import sync_playwright
+
+    status = 0
+    with sync_playwright() as p:
+        browser = p.chromium.launch(headless=True)
+        try:
+            page = browser.new_page(user_agent=USER_AGENT)
+            response = page.goto(url, wait_until="networkidle", timeout=GOTO_TIMEOUT_MS)
+            if response is not None:
+                status = response.status
+            raw = page.content()
+            title = html_lib.unescape(page.title() or "").strip()
+            text = _html_to_text(raw)[:MAX_TEXT_CHARS]
+        finally:
+            browser.close()
+    title = re.sub(r"\s+", " ", title)[:300]
+    return {
+        "url": url,
+        "status": status,
+        "title": title,
+        "text": text,
+        "rendered": True,
+        "truncated": len(raw) > MAX_TEXT_CHARS,
+    }
+
+
+def render_page(url: str) -> dict[str, Any]:
+    """Render *url* (JavaScript included) and return readable text.
+
+    Raises:
+        ToolError: ``playwright_unavailable`` when the optional dependency is
+            missing, ``render_unavailable`` when the render itself failed.
+    """
+    _assert_public_http_url(url)
+    if not _playwright_available():
+        raise ToolError(
+            "Rendu dynamique indisponible : Playwright n'est pas installé "
+            "(pip install playwright && playwright install chromium).",
+            code="playwright_unavailable",
+        )
+    try:
+        return _executor.submit(_render_in_worker, url).result(timeout=GOTO_TIMEOUT_MS / 1000 + 40)
+    except ToolError:
+        raise
+    except Exception as e:
+        logger.warning("render_page failed for %s: %s", url, e)
+        raise ToolError(
+            "Le rendu dynamique de la page a échoué.", code="render_unavailable"
+        ) from e
@@ -2626,7 +2626,7 @@ dependencies = [

 [[package]]
 name = "obsigate-desktop"
-version = "2.7.4"
+version = "2.16.6"
 dependencies = [
 "chrono",
 "env_logger",
@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.7.4"
+version = "2.16.6"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"
@@ -1,7 +1,7 @@
 {
  "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
  "productName": "ObsiGate",
-  "version": "2.7.4",
+  "version": "2.16.6",
  "identifier": "com.obsigate.desktop",
  "build": {
    "frontendDist": "../frontend",
@@ -308,7 +308,7 @@ Pour répondre au besoin de cibler un fournisseur/modèle sans dépendre uniquem
 - Lecture : `backend/ai.py` (`_read_app_config`, `get_default_provider`, `_load_provider_keys`).
 - Écriture : `POST /api/config` (admin) — clés ajoutées à `_DEFAULT_CONFIG` (`backend/main.py:4270`).
 - Rechargement à chaud : `reload_ai_config()` met à jour `PROVIDERS` **en place** (les imports existants restent valides).
- UI : section « Clés API Intelligence Artificielle » (`frontend/index.html` `#cfg-ai`), sélecteurs « Fournisseur par défaut » + « Modèle par défaut », sauvegardés par `saveAIKeys()` (`frontend/js/config.js`).
+- UI : section « Clés API Intelligence Artificielle » (`frontend/index.html` `#cfg-ai`, cartes dépliables par fournisseur — #104), sélecteurs « Fournisseur par défaut » + « Modèle par défaut », sauvegardés par `saveAIKeys()` (`frontend/js/config.js`).

 **Précédence de résolution du modèle** : override par requête > `ai_default_models[provider]` > variable d'environnement `*_MODEL` > défaut codé en dur.

@@ -347,7 +347,7 @@ Pour répondre au besoin de cibler un fournisseur/modèle sans dépendre uniquem
 | **0 — Fondations** | `backend/tools/` (registry, context, service, audit) + extraction des services métier + tests unitaires | Couche d'outils testable sans IA |
 | **1 — Function calling in-app** | Abstraction tool-calling multi-provider, agent loop, confirmations UI, SSE réel, outils de navigation | Assistant qui lit/cherche/lit/ouvre/modifie avec confirmation |
 | **2 — Serveur MCP** | `backend/mcp/server.py` (tools + resources + prompts), **Streamable HTTP** (`/mcp`, auth JWT), confirmation two-step | ObsiGate accessible comme serveur MCP (local + distant, multi-utilisateur) |
-| **3 — Durcissement** ✅ | Rate limiting (`backend/tools/ratelimit.py`), quotas `BOOKSLM_MAX_*`, redaction systématique des résultats (`backend/tools/redaction.py`), doc OpenAPI (tag/path MCP) + [guide MCP](./MCP_GUIDE.md), tests E2E | Observabilité et sécurité complètes |
+| **3 — Durcissement** ✅ | Rate limiting (`backend/tools/ratelimit.py`), quotas `BOOKSLM_MAX_*`, redaction systématique des résultats (`backend/tools/redaction.py`), doc OpenAPI (tag/path MCP) + [guide MCP](./GUIDES/MCP.md), tests E2E | Observabilité et sécurité complètes |

 Voir `docs/ROADMAP.md` (item dédié) pour le détail des activités.

@@ -380,7 +380,7 @@ Voir `docs/ROADMAP.md` (item dédié) pour le détail des activités.
 - `backend/mcp/confirmations.py` — jetons de confirmation signés (two-step, anti-rejeu)
 - `backend/tools/ratelimit.py` — rate limiting par jeton/outil (phase F)
 - `backend/tools/redaction.py` — redaction récursive des résultats d'outils (phase F)
- `docs/MCP_GUIDE.md` — guide d'installation et d'utilisation des clients MCP
+- `docs/GUIDES/MCP.md` — guide d'installation et d'utilisation des clients MCP
 - `backend/bookslm.py`, `backend/bookslm_routes.py` — assistant contextuel (+ endpoint `/agent`)
 - `frontend/js/ai.js`, `frontend/js/bookslm.js` — UI IA
 - `backend/auth/middleware.py` — permissions
@@ -0,0 +1,326 @@
+# 🔌 Guide de l'API REST
+
+ObsiGate expose une **API REST complète** couvrant toute l'application :
+vaults, fichiers, recherche, sauvegardes, exports, IA, partage, webhooks et
+administration. Ce guide explique l'authentification, la création de clés et
+donne des exemples prêts à l'emploi.
+
+> **Public :** développeurs, intégrateurs, scripts d'automatisation
+> **Doc interactive :** `/docs` (Swagger UI) · `/redoc` (ReDoc) · `/openapi.json`
+> **Voir aussi :** [Serveur MCP](./MCP.md) · [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md)
+
+---
+
+## 1. Base et conventions
+
+| Élément | Valeur |
+|---|---|
+| URL de base | `http://<hôte>:2020` (Docker) ou `http://127.0.0.1:17890` (desktop) |
+| Préfixe API | `/api` |
+| Format | JSON (`application/json`) |
+| Version | suit la version d'ObsiGate (header `X-…`, `/api/health`) |
+| Erreurs | `{"detail": "..."}` + code HTTP (`400`, `401`, `403`, `404`, `409`, `422`, `500`) |
+
+Quand l'authentification est **désactivée** (`OBSIGATE_AUTH_ENABLED=false`), tous
+les endpoints sont accessibles sans jeton (utilisateur anonyme avec accès à tous
+les vaults).
+
+---
+
+## 2. Authentification
+
+### 2.1 Jeton de session (JWT)
+
+Obtenu via `POST /api/auth/login`. Le jeton d'accès a une durée de vie courte
+(`OBSIGATE_ACCESS_TOKEN_TTL`, défaut 3600 s) et un refresh token longue durée est
+posé en cookie HTTP-only.
+
+```bash
+curl -s -X POST http://localhost:2020/api/auth/login \
+  -H "Content-Type: application/json" \
+  -d '{"username":"admin","password":"votre_mot_de_passe"}'
+```
+
+Réponse (extrait) :
+
+```json
+{
+  "access_token": "eyJ...",
+  "token_type": "bearer",
+  "expires_in": 3600,
+  "user": { "username": "admin", "role": "admin", "vaults": ["*"] }
+}
+```
+
+Deux façons de présenter le jeton :
+
+```http
+Authorization: Bearer <access_token>
+```
+
+ou, pour un client navigateur, le cookie HTTP-only avec
+`credentials: "include"` (le login pose aussi un cookie `access_token`).
+
+### 2.2 Clés API longue durée (recommandé pour scripts & MCP)
+
+Une **seule clé** authentifie **l'API REST et le serveur MCP**. Créez-la depuis
+l'interface (Configurations → **🔑 Clés API & MCP**) ou par API :
+
+```bash
+# 1. Se connecter, récupérer le token (section 2.1)
+# 2. Créer une clé valable 30 jours
+curl -s -X POST http://localhost:2020/api/auth/tokens \
+  -H "Authorization: Bearer $TOKEN" \
+  -H "Content-Type: application/json" \
+  -d '{"name":"Script backup","expiry":"30d"}'
+```
+
+Réponse (`token` affiché **une seule fois**) :
+
+```json
+{
+  "token": "eyJ...",
+  "jti": "…",
+  "name": "Script backup",
+  "created_at": 1790000000,
+  "expires_at": 1792592000,
+  "expiry_key": "30d"
+}
+```
+
+| `expiry` | Durée |
+|---|---|
+| `1d` | 1 jour |
+| `30d` | 1 mois |
+| `180d` | 6 mois |
+| `365d` | 1 an |
+| `never` | sans expiration |
+
+Gestion :
+
+| Endpoint | Rôle |
+|---|---|
+| `GET /api/auth/tokens` | Lister vos clés (`last_used_at`, statut) |
+| `POST /api/auth/tokens` | Créer (`{name, expiry}`) |
+| `DELETE /api/auth/tokens/{jti}` | Révoquer immédiatement (API **et** MCP) |
+
+> Le JWT brut n'est **jamais persisté** : copiez-le à la création. Plafond :
+> 50 clés actives par utilisateur.
+
+---
+
+## 3. Référence des endpoints
+
+> Liste non exhaustive — la référence faisant foi est `/openapi.json`. Les
+> colonnes **Auth** indiquent le niveau requis (`—`, `Oui`, `Admin`).
+
+### 3.1 Système
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/health` | Santé (statut, version, stats) | GET | — |
+| `/api/health/detailed` | Santé détaillée | GET | — |
+| `/api/config` | Lire / écrire la configuration | GET/POST | Oui/Admin |
+| `/api/diagnostics` | Statistiques index & mémoire | GET | Admin |
+| `/api/dashboard` | Statistiques du tableau de bord | GET | Oui |
+| `/api/events` | Flux SSE temps réel | GET | Oui |
+
+### 3.2 Vaults
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/vaults` | Liste (filtrée par permissions) | GET | Oui |
+| `/api/vaults/status` | Statut de toutes les vaults | GET | Oui |
+| `/api/vaults/add` | Ajouter une vault (volume déjà monté) | POST | Admin |
+| `/api/vaults/{name}` | Supprimer une vault | DELETE | Admin |
+| `/api/index/reload` | Réindexation complète | GET | Admin |
+| `/api/index/reload/{vault}` | Réindexer une vault | GET | Oui |
+| `/api/vaults/{vault}/settings` | Lire / écrire les réglages | GET/POST | Oui |
+| `/api/attachments/rescan/{vault}` | Rescanner les attachements | POST | Oui |
+
+### 3.3 Fichiers
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/browse/{vault}?path=` | Naviguer dans les dossiers | GET | Oui |
+| `/api/file/{vault}?path=` | Contenu rendu (Markdown) | GET | Oui |
+| `/api/file/{vault}/raw?path=` | Contenu brut | GET | Oui |
+| `/api/file/{vault}/download?path=` | Télécharger | GET | Oui |
+| `/api/file/{vault}/save?path=` | Enregistrer | PUT | Oui |
+| `/api/file/{vault}` | Créer | POST | Oui |
+| `/api/file/{vault}` | Renommer | PATCH | Oui |
+| `/api/file/{vault}` | Supprimer | DELETE | Oui |
+| `/api/directory/{vault}` | Créer / renommer / supprimer un dossier | POST/PATCH/DELETE | Oui |
+| `/api/move/{vault}` | Déplacer un fichier/dossier | POST | Oui |
+| `/api/vault/{vault}/batch-upload` | Upload multiple (multipart) | POST | Oui |
+| `/api/image/{vault}?path=` | Servir une image | GET | Oui |
+
+### 3.4 Recherche & graphe
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/search` | Recherche simple (legacy) | GET | Oui |
+| `/api/search/advanced` | Recherche TF-IDF avancée (facettes, tri, pagination, `semantic=`) | GET | Oui |
+| `/api/search/replace` | Recherche/remplacement multi-fichiers | POST | Oui |
+| `/api/tags?vault=` | Tags uniques avec compteurs | GET | Oui |
+| `/api/suggest?q=` | Autocomplétion de titres | GET | Oui |
+| `/api/tags/suggest?q=` | Autocomplétion de tags | GET | Oui |
+| `/api/tree-search` | Recherche de fichiers/dossiers | GET | Oui |
+| `/api/vault/{vault}/paths` | Liste de chemins | GET | Oui |
+| `/api/graph/{vault}` | Graphe de liens | GET | Oui |
+
+### 3.5 Sauvegardes
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/file/{vault}/backups` | Backups d'un fichier | GET | Oui |
+| `/api/file/{vault}/diff` | Diff avec une version | GET | Oui |
+| `/api/file/{vault}/restore` | Restaurer une version | POST | Oui |
+| `/api/backups` | Lister les backups | GET | Oui |
+| `/api/backups/content` | Contenu d'un backup | GET | Oui |
+| `/api/backups/delete` / `/purge` / `/compress` / `/auto` | Gestion & purge | POST | Oui |
+
+### 3.6 Exports
+
+| Endpoint | Description | Méthode |
+|---|---|---|
+| `/api/export/html` | Exporter en HTML | GET |
+| `/api/export/md-bundle` | Exporter en bundle Markdown (ZIP) | GET |
+| `/api/export/epub` | Exporter en ePub | GET |
+| `/api/guide/download?format=md\|pdf&lang=fr\|en` | Télécharger le guide intégré | GET |
+
+### 3.7 PDF
+
+| Endpoint | Description | Méthode |
+|---|---|---|
+| `/api/file/{vault}/pdf/info` | Métadonnées sans transfert | GET |
+| `/api/file/{vault}/pdf/stream` | Streaming (HTTP Range, 206) | GET |
+
+### 3.8 IA
+
+| Endpoint | Description | Méthode |
+|---|---|---|
+| `/api/ai/status` | Statut des fournisseurs | GET |
+| `/api/ai/improve`, `/fix-spelling`, `/summarize`, `/translate`, `/rewrite`, `/to-list`, `/to-table`, `/frontmatter`, `/inline-complete`, `/to-canvas`… | Actions éditeur IA | POST |
+| `/api/ai/model-capabilities?provider=&model=` | Capacités d'un modèle | GET |
+| `/api/ai/bookslm/*` | Console IA par répertoire | POST/GET |
+| `/api/ai/skills` | Lister / créer / supprimer des skills | GET/POST/DELETE |
+| `/api/config/ai-keys` · `/api/config/tool-keys` | Clés fournisseurs & sources | GET/POST/DELETE |
+
+### 3.9 Authentification & administration
+
+| Endpoint | Description | Méthode | Auth |
+|---|---|---|---|
+| `/api/auth/status` | Statut de l'auth | GET | — |
+| `/api/auth/login` · `/refresh` · `/logout` | Cycle de session | POST | — / Cookie / Oui |
+| `/api/auth/me` | Profil courant | GET/PATCH | Oui |
+| `/api/auth/change-password` | Changer le mot de passe | POST | Oui |
+| `/api/auth/mfa/*` | TOTP, WebAuthn, recovery | POST/GET | Oui |
+| `/api/auth/tokens` | Clés API (voir §2.2) | GET/POST/DELETE | Oui |
+| `/api/auth/admin/users` | Lister / créer des utilisateurs | GET/POST | Admin |
+| `/api/auth/admin/users/{u}` | Modifier / supprimer | PATCH/DELETE | Admin |
+| `/api/admin/stats` · `/audit` · `/backup-stats` · `/stream` | Monitoring admin | GET | Admin |
+
+### 3.10 Partage, webhooks, conflits, plugins, push
+
+| Endpoint | Description | Méthode |
+|---|---|---|
+| `/api/share/{vault}` | Créer un lien de partage public | POST |
+| `/api/shares` | Lister / supprimer les partages | GET/DELETE |
+| `/api/webhooks` | CRUD webhooks (HMAC-SHA256) | GET/POST/PATCH/DELETE |
+| `/api/conflicts` · `/api/conflicts/resolve` | Conflits Syncthing | GET/POST |
+| `/api/plugins` | Installer / activer / désactiver | GET/POST/DELETE |
+| `/api/push/*` | Abonnement Web Push (VAPID) | GET/POST/DELETE |
+
+---
+
+## 4. Exemples `curl`
+
+```bash
+BASE=http://localhost:2020
+TOKEN=$(curl -s -X POST $BASE/api/auth/login \
+  -H "Content-Type: application/json" \
+  -d '{"username":"admin","password":"secret"}' | jq -r .access_token)
+
+# Santé
+curl -s $BASE/api/health
+
+# Lister les vaults
+curl -s $BASE/api/vaults -H "Authorization: Bearer $TOKEN"
+
+# Naviguer
+curl -s "$BASE/api/browse/Recettes?path=" -H "Authorization: Bearer $TOKEN"
+
+# Lire un fichier (rendu Markdown)
+curl -s "$BASE/api/file/Recettes?path=pizza.md" -H "Authorization: Bearer $TOKEN"
+
+# Lire en brut
+curl -s "$BASE/api/file/Recettes/raw?path=pizza.md" -H "Authorization: Bearer $TOKEN"
+
+# Sauvegarder
+curl -s -X PUT "$BASE/api/file/Recettes/save?path=pizza.md" \
+  -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
+  -d '{"content":"# Pizza\n\nNouvelle recette."}'
+
+# Recherche avancée
+curl -s "$BASE/api/search/advanced?q=tag:cuisine%20pizza&vault=all&limit=20&offset=0&sort=relevance" \
+  -H "Authorization: Bearer $TOKEN"
+
+# Autocomplétion
+curl -s "$BASE/api/suggest?q=piz&vault=all" -H "Authorization: Bearer $TOKEN"
+
+# Forcer une réindexation
+curl -s $BASE/api/index/reload -H "Authorization: Bearer $TOKEN"
+```
+
+> Le mot de passe peut aussi être fourni par une clé API dans `Authorization`.
+> Quand l'auth est désactivée, omettez l'en-tête.
+
+---
+
+## 5. Temps réel
+
+### 5.1 SSE — `/api/events`
+
+Flux d'événements de changement d'index (fichiers créés/supprimés/modifiés), avec
+reconnexion automatique côté client.
+
+```bash
+curl -N "$BASE/api/events"
+```
+
+### 5.2 WebSocket — collaboration
+
+`ws(s)://<hôte>/ws/collab/{vault}/{path}` transporte les mises à jour
+Yjs/CRDT et la présence (curseurs distants). Authentification par cookie
+`access_token` ou paramètre `?token=`, avec contrôle d'accès par vault.
+Voir [Édition & collaboration](./COLLABORATION.md).
+
+---
+
+## 6. Limites et bonnes pratiques
+
+- **Rate limiting** : les endpoints de login et les outils IA sont limités ;
+  respectez `retry_after` en cas de `429`.
+- **Permissions** : chaque endpoint fichier vérifie l'accès au vault et rejette
+  les chemins hors vault (path traversal).
+- **Clés API** : préférez-les aux mots de passe pour les scripts ; révoquez-les
+  dès qu'elles ne servent plus.
+- **Gros volumes** : utilisez la pagination (`limit`/`offset`) et le streaming
+  HTTP Range pour les PDF.
+- **Exports** : `md-bundle` et `epub` renvoient un fichier binaire — utilisez
+  `-o` avec `curl`.
+
+---
+
+## 7. Dépannage
+
+| Code | Cause probable |
+|---|---|
+| `401` | Jeton absent, expiré ou révoqué |
+| `403` | Compte sans accès à cette vault / réservé admin |
+| `404` | Vault, fichier ou chemin inexistant |
+| `409` | Conflit (fichier déjà existant, etc.) |
+| `422` | Corps de requête invalide (schéma Pydantic) |
+| `429` | Rate limit dépassé — voir `retry_after` |
+| `501` | Export PDF indisponible (WeasyPrint/GTK absent) |
@@ -0,0 +1,217 @@
+# 🤖 Guide Assistant IA & Forge
+
+ObsiGate intègre un **assistant IA** capable de lire, rechercher et modifier vos
+notes, ainsi qu'un **éditeur IA** (CodeMirror + toolbar) et une console
+contextuelle par répertoire (**BooksLM**). Ce guide explique comment les
+configurer et les utiliser.
+
+> **Fiches techniques :** [`ai-tools-mcp.md`](../features/ai-tools-mcp.md) ·
+> [`ai-assistant-commands.md`](../features/ai-assistant-commands.md) ·
+> [`ai-quick-actions.md`](../features/ai-quick-actions.md) ·
+> [`forge-assistant.md`](../features/forge-assistant.md) ·
+> [`bookslm.md`](../features/bookslm.md) ·
+> [`ai-tools-roadmap.md`](../features/ai-tools-roadmap.md)
+> **Voir aussi :** [Serveur MCP](./MCP.md) · [API REST](./API_REST.md)
+
+---
+
+## 1. Vue d'ensemble
+
+L'IA d'ObsiGate se compose de plusieurs surfaces complémentaires :
+
+| Surface | Rôle |
+|---|---|
+| **Éditeur IA** | Toolbar d'actions sur le document ouvert (CodeMirror) |
+| **Assistant IA** | Panneau de discussion avec *function calling* sur vos vaults |
+| **BooksLM** | Console IA contextuelle sur un **répertoire** (style NotebookLM) |
+| **Forge** | Éditeur avancé avec assistant IA intégré |
+| **Outils (tools)** | Lecture, recherche, écriture, opérations destructives (two-step) |
+| **MCP** | Exposition des mêmes outils à Claude Desktop, Cursor, Cline… |
+
+---
+
+## 2. Configurer un fournisseur
+
+### 2.1 Fournisseurs supportés
+
+ObsiGate est **multi-fournisseur** :
+
+- **DeepSeek**
+- **OpenRouter**
+- **Google Gemini**
+
+Chaque fournisseur se configure au choix :
+
+1. **Depuis l'interface** — menu → Configurations → **Clés API IA**. La clé saisie
+   est stockée dans `data/api_keys.json` et **prime** sur la variable
+   d'environnement.
+2. **Par variable d'environnement** — voir `.env.example`.
+
+### 2.2 Modèle et capacités
+
+L'interface affiche les **capacités** de chaque modèle (8 indicateurs : vision,
+tool calling, contexte long, etc.), via
+`GET /api/ai/model-capabilities?provider=&model=`. Le picker de l'assistant
+propose une recherche de modèle et une bulle d'information ⓘ.
+
+Vous pouvez définir un **modèle par défaut** et un fournisseur par défaut dans la
+configuration. Le fournisseur/modèle est **partagé** entre l'assistant et Forge.
+
+### 2.3 Tester la configuration
+
+`POST /api/config/ai-keys/test` vérifie qu'une clé fonctionne. En cas d'échec,
+un message explicite s'affiche.
+
+---
+
+## 3. Éditeur IA (toolbar)
+
+Quand un document Markdown est ouvert dans l'éditeur, une **toolbar IA** propose
+des actions qui remplacent ou insèrent du contenu. Actions principales :
+
+| Action | Effet |
+|---|---|
+| **Améliorer** | Relecture et amélioration générale |
+| **Corriger** | Correction orthographique et grammaticale |
+| **Raccourcir / Allonger** | Ajuste la longueur du texte |
+| **Simplifier** | Vulgarise le contenu |
+| **Ton** | Adapte le registre (formel, neutre…) |
+| **Traduire** | Traduit la sélection ou le document |
+| **Expliquer** | Explique un passage |
+| **Résumer** | Produit un résumé |
+| **Continuer** | Prolonge le texte |
+| **Réécrire** | Réécriture personnalisée libre |
+| **En liste / En tableau** | Convertit en liste à puces ou tableau Markdown |
+| **Frontmatter** | Génère ou met à jour le frontmatter YAML |
+| **Complétion inline** | `Ctrl + J` — complétion directement dans l'éditeur |
+| **En canvas** | Transforme en diagramme canvas |
+
+> Les actions sont exposées par `backend/ai_routes.py` (préfixe `/api/ai`). Le
+> contexte ad-hoc (fichiers ouverts, répertoire, recherche, récents) est injecté
+> automatiquement.
+
+---
+
+## 4. Forge et Editer
+
+- **Editer** ouvre le document dans l'éditeur CodeMirror classique.
+- **Forge** ouvre l'**éditeur avancé** : mêmes capacités d'édition, mais avec
+  l'**assistant IA partagé** intégré (bouton AI Panel), insertion rapide
+  (`Alt + I`), aide (`F1`) et mode plein écran.
+
+Dans les deux cas, `Editer` et `Forge` **remplacent** la vue lecture ; revenez en
+lecture avec `✓` / `×` ou `Échap`. Le panneau de l'assistant reste accessible à
+côté.
+
+---
+
+## 5. Assistant IA & BooksLM
+
+### 5.1 Discussion avec outils
+
+L'assistant (panneau latéral) discute et **appelle des outils** pour agir sur
+vos vaults : `list_vaults`, `read_file`, `search_fulltext`, `get_backlinks`,
+`list_tags`, etc. Les opérations d'écriture passent par une **confirmation en
+deux temps** (aperçu + jeton, puis application).
+
+### 5.2 Contexte `@`
+
+Tapez `@` pour attacher :
+
+- un **fichier** (chip de contexte) ;
+- un **répertoire** (chip de contexte) ;
+- une **image** (pièce jointe, si le modèle gère la vision).
+
+Le menu est alimenté par `/api/tree-search` (repli sur la liste des fichiers du
+vault). Les chips sont retirables et rechargent le contexte.
+
+### 5.3 Commandes `/` et skills
+
+Tapez `/` pour ouvrir le **menu de commandes** (navigation `↑`/`↓`/`Entrée`/`Échap`).
+
+**30 skills intégrés**, répartis par familles :
+
+| Famille | Exemples |
+|---|---|
+| Base | `/research`, `/resume`, `/reformuler`, `/correction`, `/brainstorm`, `/plan`, `/ask`, `/meeting-note`, `/livrable` |
+| Extraction & structuration | `/extract`, `/timeline`, `/glossary`, `/tag` |
+| Transformation & adaptation | `/translate`, `/adapt`, `/clean`, `/summary-progressive` |
+| Analyse critique & décision | `/critique`, `/compare`, `/prioritize`, `/swot`, `/debate` |
+| Apprentissage & mémorisation | `/quiz`, `/reading-note`, `/qa-generator` |
+| Méta-gestion & confidentialité | `/link`, `/anonymize`, `/estimate` |
+
+Chaque skill applique un bloc de règles commun (français, notes traitées comme
+données, anti-hallucination, conservation des noms/dates/chiffres).
+
+**Skills utilisateur** : `/create-new-skill` ouvre une modale et persiste le
+skill dans `data/skills.json` (par utilisateur). Ils sont listés par
+`GET /api/ai/skills` et supprimables.
+
+**Commandes admin** (exécutées localement, sans LLM) : `/help`, `/providers`,
+`/provider <nom>`, `/model <nom>`, `/keys`.
+
+### 5.4 Actions rapides
+
+Un catalogue de **25 actions** en 6 catégories est proposé sous forme de boutons
+contextuels (« Résumer en 3 points », « Checklist d'actions », « Générer le
+frontmatter », « Expliquer le code », « Fusionner », « Traduire »…). Un tiroir
+**« Toutes les actions »** permet de rechercher dans le catalogue.
+
+### 5.5 Deep Research
+
+Le mode **Deep Research** enchaîne recherche web et synthèse. Il est activé via
+le panneau **« + »** de l'assistant (fichiers, contextes, skills, Deep Research).
+
+### 5.6 Historique
+
+Les conversations sont **persistées côté backend** et accessibles depuis la
+sidebar « Historique IA », avec filtre de recherche.
+
+---
+
+## 6. Outils (function calling)
+
+Les outils sont définis dans `backend/tools/` — **source unique de vérité**,
+partagée par l'assistant in-app et le serveur MCP.
+
+| Catégorie | Outils |
+|---|---|
+| Vaults / navigation | `list_vaults`, `list_directory`, `list_all_files` |
+| Lecture | `read_file`, `read_file_raw`, `get_backlinks`, `list_backups`, `diff_backup`, `get_graph` |
+| Recherche | `search_fulltext`, `search_advanced`, `search_paths`, `list_tags`, `suggest_tags`, `list_recent` |
+| Écriture (propose/apply) | `create_file`, `create_directory`, `edit_file`, `append_to_file`, `restore_backup` |
+| Destructif (propose/apply) | `rename_file`, `rename_directory`, `move_path`, `replace_in_files`, `delete_file`, `delete_directory` |
+| Web / sources connectées | `web_search`, `fetch_url`, sources Gitea/GitHub… |
+
+Les mutations suivent un flux **two-step** : `propose_<tool>` renvoie un aperçu
+et un **jeton signé à usage unique**, puis `apply_<tool>` exécute.
+
+---
+
+## 7. Sécurité
+
+- **Permissions par vault** appliquées à chaque outil.
+- **Anti path-traversal** via `resolve_safe_path`.
+- **Confirmation two-step** pour toute mutation.
+- **Toggle `aiDestructiveTools`** par vault : le désactiver bloque
+  rename/move/replace/delete, sans bloquer create/edit/append.
+- **Backup automatique** avant chaque opération destructive.
+- **Rate limiting** par identité et par outil.
+- **Redaction des secrets** dans tous les retours d'outils.
+- **Audit** de chaque appel (`data/audit.log`, action `ai_tool_call`).
+
+Détails : [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md) et
+[`MCP.md`](./MCP.md) §5.
+
+---
+
+## 8. Dépannage
+
+| Symptôme | Piste |
+|---|---|
+| « Aucun fournisseur configuré » | Saisir une clé API (Configurations → Clés API IA) et la tester |
+| L'IA n'a pas accès à un fichier | Vérifier `list_vaults` et les permissions du compte |
+| L'image est refusée | Le modèle ne supporte pas la vision (400) — choisir un modèle multimodal |
+| Une mutation reste bloquée | Vérifier `aiDestructiveTools` et le flux `propose_` → `apply_` |
+| Quota d'outils atteint | Respecter `OBSIGATE_TOOL_RATE_LIMIT` / `retry_after` |
+| Réponse tronquée | Ajuster `BOOKSLM_MAX_TOOL_READ_BYTES` / le modèle |
@@ -0,0 +1,229 @@
+# 🔒 Guide Authentification & sécurité
+
+ObsiGate embarque un système d'authentification optionnel **JWT + Argon2id**,
+un contrôle d'accès **par vault**, du MFA (TOTP, WebAuthn, codes de secours) et
+des mécanismes de durcissement. Ce guide couvre l'activation, la gestion des
+comptes et les bonnes pratiques.
+
+> **Public :** administrateurs · **Voir aussi :**
+> [`features/api-mcp-tokens-107.md`](../features/api-mcp-tokens-107.md) ·
+> [API REST](./API_REST.md) · [MCP](./MCP.md) · [Déploiement Docker](./DEPLOIEMENT_DOCKER.md)
+
+---
+
+## 1. Vue d'ensemble
+
+- **Désactivée par défaut** (`OBSIGATE_AUTH_ENABLED=false`) — compatible avec
+  toutes les installations existantes.
+- Quand elle est activée, l'écran de connexion s'affiche et chaque endpoint
+  vérifie l'utilisateur et ses permissions.
+- Les données d'auth (`users.json`, `secret.key`, `api_tokens.json`) vivent dans
+  `/app/data` — **montez ce dossier en volume** pour les persister.
+
+---
+
+## 2. Activer l'authentification
+
+### 2.1 Fichier `.env`
+
+```bash
+cp .env.example .env
+```
+
+```bash
+OBSIGATE_AUTH_ENABLED=true
+OBSIGATE_ADMIN_USER=admin
+OBSIGATE_ADMIN_PASSWORD=votre_mot_de_passe   # vide = auto-généré (voir logs)
+# OBSIGATE_SECURE_COOKIES=false              # true si derrière HTTPS
+```
+
+### 2.2 `docker-compose.yml`
+
+```yaml
+env_file:
+  - .env
+```
+
+> **Ne mettez jamais de mot de passe dans `docker-compose.yml` !** Utilisez
+> toujours `.env` (non committé).
+
+### 2.3 Premier démarrage
+
+Si aucun utilisateur n'existe, ObsiGate crée un compte admin et affiche le mot de
+passe **une seule fois dans les logs** :
+
+```bash
+docker compose logs obsigate | grep -A4 "FIRST"
+```
+
+```
+============================================================
+FIRST STARTUP — Admin account created automatically
+  Username : admin
+  Password : xK9mQ3pLr7wN2jT5
+CHANGE THIS PASSWORD on first login!
+============================================================
+```
+
+Changez-le immédiatement (menu profil → *Changer le mot de passe*).
+
+---
+
+## 3. Gestion des utilisateurs
+
+### 3.1 Interface d'administration
+
+Un compte **admin** voit une icône 🛡️ dans le header. Le panneau permet de :
+
+- lister tous les utilisateurs ;
+- créer / modifier / supprimer des comptes ;
+- assigner les vaults accessibles par utilisateur ;
+- activer / désactiver des comptes.
+
+### 3.2 Ligne de commande
+
+```bash
+# Créer un utilisateur
+docker exec obsigate python backend/create_admin.py create alice MotDePasse --role user --vaults Recettes IT
+
+# Créer un admin avec accès total
+docker exec obsigate python backend/create_admin.py create bob SecretPass --role admin --vaults "*"
+
+# Lister
+docker exec obsigate python backend/create_admin.py list
+
+# Supprimer
+docker exec obsigate python backend/create_admin.py delete alice
+```
+
+### 3.3 Contrôle d'accès par vault
+
+| Valeur `vaults` | Accès |
+|---|---|
+| `["*"]` | Toutes les vaults (y compris futures) — défaut admin |
+| `["Recettes", "IT"]` | Uniquement ces vaults |
+| `[]` | Aucun accès |
+
+Les permissions sont revérifiées à chaque requête (et à chaque connexion
+WebSocket de collaboration).
+
+---
+
+## 4. MFA (authentification multifacteur)
+
+ObsiGate propose trois secondes facteurs, configurables par l'utilisateur.
+
+### 4.1 TOTP (application d'authentification)
+
+1. Menu profil → **Sécurité** → *Configurer TOTP* (`POST /api/auth/mfa/totp/setup`).
+2. Scannez le QR code avec Google Authenticator, Authy, etc.
+3. Validez le code (`POST /api/auth/mfa/totp/enable`).
+4. Désactivation : `POST /api/auth/mfa/totp/disable` (mot de passe requis).
+
+### 4.2 Clés de sécurité & biométrie (WebAuthn)
+
+- Enregistrement : `POST /api/auth/mfa/webauthn/register/options` puis
+  `POST /api/auth/mfa/webauthn/register`.
+- Connexion : `POST /api/auth/mfa/webauthn/options` puis `/verify`.
+- Gestion des clés : `GET /api/auth/mfa/webauthn/credentials`,
+  `POST /api/auth/mfa/webauthn/credentials/remove`.
+
+> Le *relying party* (domaine) est **dérivé de la requête** (hôte exact, port
+> inclus) ; derrière un reverse proxy, activez `OBSIGATE_TRUST_PROXY=true` pour
+> que `X-Forwarded-Host/Proto` soient pris en compte.
+
+### 4.3 Codes de secours
+
+À l'activation du MFA, des **codes de récupération** sont générés. Utilisez-en un
+via `POST /api/auth/mfa/recovery` si vous perdez votre second facteur. Conservez-
+les hors ligne.
+
+### 4.4 Statut
+
+`GET /api/auth/mfa/status` indique les facteurs actifs pour le compte courant.
+
+---
+
+## 5. Clés API & MCP
+
+Pour les scripts et les clients externes, créez une **clé API longue durée**
+(1 j, 1 mois, 6 mois, 1 an, sans fin) depuis Configurations → 🔑 **Clés API &
+MCP**. Une seule clé authentifie l'API REST **et** le serveur MCP.
+
+- Le secret n'est **affiché qu'une fois** (pattern GitHub) et n'est jamais persisté.
+- La révocation est **immédiate** des deux côtés.
+- Une colonne « dernière utilisation » (throttlée) aide à repérer les clés
+  dormantes.
+
+Détails : [API REST §2.2](./API_REST.md#22-clés-api-longue-durée-recommandé-pour-scripts--mcp)
+et [`features/api-mcp-tokens-107.md`](../features/api-mcp-tokens-107.md).
+
+---
+
+## 6. Mécanismes de durcissement
+
+| Mécanisme | Détail |
+|---|---|
+| **Path traversal** | Chaque endpoint fichier valide que le chemin résolu reste dans la vault |
+| **Rate limiting** | 10 tentatives de login max par IP / 15 min + lockout par compte |
+| **Rate limiting MFA** | Appliqué aux endpoints TOTP/WebAuthn/recovery |
+| **Audit log** | Écritures, suppressions, config dans `data/audit.log` (JSON lines, rotation 10 Mo) |
+| **Backup automatique** | Avant chaque modification/suppression dans `.obsigate-backup/` |
+| **Redaction** | Masquage des JWT, clés API, tokens dans les aperçus et retours d'outils |
+| **CSP** | `object-src`, `base-uri`, `form-action`, `frame-ancestors` restreints |
+| **Cookie HttpOnly** | Jeton retiré de `sessionStorage`, porté par cookie HTTP-only |
+| **Utilisateur non-root** | Conteneur sous `obsigate` (UID 1000) |
+| **Volumes read-only** | Vaults montées `:ro` par défaut |
+| **Atomic writes** | `users.json`, `shares.json`, `webhooks.json` écrits en tmp+replace |
+| **Symlinks ignorés** | L'index n'indexe pas les liens symboliques |
+
+### Politique de mot de passe
+
+Une politique minimale est validée à la création d'un compte. Choisissez des mots
+de passe longs et uniques ; activez le MFA pour les comptes admin.
+
+---
+
+## 7. Variables d'environnement
+
+| Variable | Description | Défaut |
+|---|---|---|
+| `OBSIGATE_AUTH_ENABLED` | Activer l'authentification | `false` |
+| `OBSIGATE_ADMIN_USER` | Nom de l'admin auto-créé | `admin` |
+| `OBSIGATE_ADMIN_PASSWORD` | Mot de passe admin (vide = auto-généré) | *(auto)* |
+| `OBSIGATE_SECURE_COOKIES` | Cookie `Secure` (HTTPS uniquement) | `false` |
+| `OBSIGATE_ACCESS_TOKEN_TTL` | Durée de vie du token d'accès (s) | `3600` |
+| `OBSIGATE_REFRESH_TOKEN_TTL` | Durée de vie du refresh token (s) | `2592000` |
+| `OBSIGATE_LOGIN_MAX_ATTEMPTS` | Tentatives de login max par IP | `10` |
+| `OBSIGATE_ACCOUNT_MAX_ATTEMPTS` | Tentatives de login max par compte | `10` |
+| `OBSIGATE_LOGIN_WINDOW_SECONDS` | Fenêtre de rate limiting (s) | `900` |
+| `OBSIGATE_TRUST_PROXY` | Faire confiance à `X-Forwarded-For` / `Host` | `false` |
+
+Toutes ces variables sont documentées dans `.env.example`.
+
+---
+
+## 8. Déploiement sécurisé (checklist)
+
+- [ ] `OBSIGATE_AUTH_ENABLED=true` sur toute instance exposée.
+- [ ] Mot de passe admin fort, changé après le premier démarrage.
+- [ ] MFA activé pour les comptes admin.
+- [ ] HTTPS via reverse proxy + `OBSIGATE_SECURE_COOKIES=true`.
+- [ ] `OBSIGATE_TRUST_PROXY=true` **uniquement** derrière un proxy de confiance.
+- [ ] Volume `./data:/app/data` monté et **sauvegardé**.
+- [ ] Vaults montées en `:ro` (lecture seule) sauf besoin d'écriture.
+- [ ] Clés API révoquées dès qu'elles ne servent plus.
+- [ ] Accès réseau restreint (VPN / pare-feu) si possible.
+
+---
+
+## 9. Dépannage
+
+| Symptôme | Piste |
+|---|---|
+| Login bloqué `429` | Rate limit : attendre la fenêtre (`OBSIGATE_LOGIN_WINDOW_SECONDS`) |
+| WebAuthn refuse l'enregistrement | Domaine/port non dérivés — activer `OBSIGATE_TRUST_PROXY` derrière un proxy |
+| TOTP « challenge inattendu » | Relancer la cérémonie ; les 5 derniers challenges sont acceptés |
+| Perte du second facteur | Utiliser un code de secours (`/api/auth/mfa/recovery`) |
+| Sessions perdues au redémarrage | Le volume `./data` n'est pas monté |
+| Clé API `401` | Clé expirée ou révoquée — en créer une nouvelle |
@@ -0,0 +1,86 @@
+# 📝 Guide Édition & collaboration temps réel
+
+Plusieurs utilisateurs peuvent éditer le **même document Markdown
+simultanément**, façon Google Docs, grâce à Yjs (CRDT) et à un canal WebSocket.
+Ce guide explique le fonctionnement et l'utilisation.
+
+> **Public :** tous les utilisateurs · **Fiche technique :**
+> [`features/collaboration.md`](../features/collaboration.md)
+> **Voir aussi :** [Prise en main](./PRISE_EN_MAIN.md) · [API REST](./API_REST.md)
+
+---
+
+## 1. Ce que fait la collaboration
+
+- **Fusion sans conflit** via **Yjs (CRDT)** : deux personnes peuvent taper au
+  même endroit, aucune modification n'est perdue.
+- **Curseurs distants colorés** et sélections visibles dans CodeMirror, étiquetés
+  avec le nom de chaque utilisateur.
+- **Indicateur de présence** dans l'en-tête de l'éditeur (avatars + statut de
+  connexion).
+- **Reconnexion automatique** (backoff exponentiel) : l'état est fusionné au retour.
+- **Persistance serveur** : le document est écrit sur disque **2 s** après la
+  dernière modification.
+
+---
+
+## 2. Utilisation
+
+Aucune configuration n'est nécessaire :
+
+1. Ouvrez le même fichier dans **deux navigateurs** (ou deux fenêtres).
+2. Passez en mode **Editer** (ou **Forge**) dans les deux.
+3. Tapez : les modifications apparaissent en temps réel des deux côtés, avec les
+   curseurs de chacun.
+
+> L'édition collaborative nécessite que la vault soit **accessible en écriture**
+> (le volume Docker doit être monté **sans** `:ro` pour les vaults modifiables).
+
+---
+
+## 3. Transport & protocole
+
+| Élément | Valeur |
+|---|---|
+| Endpoint | `ws(s)://<hôte>/ws/collab/{vault}/{chemin}` |
+| Authentification | Cookie `access_token` (ou paramètre `?token=`) |
+| Autorisation | Contrôle d'accès **par vault** appliqué à chaque connexion |
+| Protocole | Yjs / CRDT — updates + awareness (curseurs) |
+| Persistance | Écriture disque débouncée (2 s) côté serveur |
+
+Le canal est mis à niveau à partir de la même origine que l'application. Derrière
+un reverse proxy, autorisez les **upgrades WebSocket** et augmentez
+`proxy_read_timeout` (voir [Déploiement Docker](./DEPLOIEMENT_DOCKER.md)).
+
+---
+
+## 4. Sécurité
+
+- L'accès au document est **revérifié à la connexion** (permissions du compte).
+- Un utilisateur sans droit sur la vault ne peut pas rejoindre la session.
+- Les échanges passent par le même domaine que l'application (pas de serveur
+  tiers).
+
+---
+
+## 5. Limitations & bonnes pratiques
+
+- La collaboration vise les fichiers **Markdown**.
+- Évitez d'éditer le même fichier simultanément depuis ObsiGate **et** une
+  application de synchronisation externe (risque de conflits au niveau fichier).
+- Le document est écrit après un court délai ; attendez la fin de la sauvegarde
+  avant de fermer brutalement l'onglet.
+- En cas de conflit de synchronisation externe (Syncthing), l'écran
+  **Conflits** (`/api/conflicts`) aide à résoudre.
+
+---
+
+## 6. Dépannage
+
+| Symptôme | Piste |
+|---|---|
+| Les curseurs des autres n'apparaissent pas | Vérifier le WebSocket (proxy sans support `Upgrade`) |
+| Reconnecté sans cesse | Réseau instable ou timeout proxy trop court |
+| Modifications non persistées | Vault montée en lecture seule (`:ro`) ? |
+| `401` à la connexion | Session expirée — se reconnecter |
+| Accès refusé | Le compte n'a pas la permission sur cette vault |
@@ -0,0 +1,221 @@
+# 🐳 Guide de déploiement Docker
+
+Ce guide couvre l'installation, la configuration et l'exploitation d'ObsiGate
+avec Docker / Docker Compose, y compris le reverse proxy HTTPS et les mises à jour.
+
+> **Public :** administrateurs, ops
+> **Voir aussi :** [Prise en main](./PRISE_EN_MAIN.md) ·
+> [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md) ·
+> [`DEVELOPMENT_AND_RELEASES.md`](../DEVELOPMENT_AND_RELEASES.md)
+
+---
+
+## 1. Prérequis
+
+| Composant | Version minimale |
+|---|---|
+| Docker | ≥ 20.10 |
+| docker-compose | ≥ 2.0 |
+| Espace disque | ~200 Mo pour l'image |
+
+Systèmes supportés : Linux (Ubuntu, Debian…), macOS (Intel & Apple Silicon),
+Windows (Docker Desktop), NAS compatibles Docker (Synology, QNAP…).
+
+---
+
+## 2. Configuration de `docker-compose.yml`
+
+```yaml
+services:
+  obsigate:
+    build:
+      context: .
+    image: obsigate:latest
+    container_name: obsigate
+    restart: unless-stopped
+    ports:
+      - "2020:8080"          # port local 2020 → conteneur 8080
+    volumes:
+      - /home/user/Documents/Obsidian-Recettes:/vaults/Recettes:ro
+      - /home/user/Documents/Obsidian-IT:/vaults/IT:ro
+      - ./data:/app/data     # persistance auth/config/backups
+    environment:
+      - VAULT_1_NAME=Recettes
+      - VAULT_1_PATH=/vaults/Recettes
+      - VAULT_2_NAME=IT
+      - VAULT_2_PATH=/vaults/IT
+      - OBSIGATE_AUTH_ENABLED=true
+      - OBSIGATE_ADMIN_USER=admin
+    env_file:
+      - .env                 # secrets (mot de passe admin…)
+```
+
+> **Important :** les chemins de vaults doivent être **absolus** et montés en
+> **lecture seule** (`:ro`) sauf si vous voulez autoriser l'édition depuis
+> ObsiGate. Le dossier `./data` doit être **persistant**.
+
+### Variables de vault
+
+| Variable | Description | Exemple |
+|---|---|---|
+| `VAULT_N_NAME` | Nom affiché | `Recettes` |
+| `VAULT_N_PATH` | Chemin dans le conteneur | `/vaults/Recettes` |
+| `VAULT_N_ATTACHMENTS_PATH` | Dossier d'attachements (optionnel) | `Assets/Images` |
+| `VAULT_N_SCAN_ATTACHMENTS` | Scanner les images au démarrage | `true` |
+
+**Nommage :** lettres, chiffres et tirets uniquement ; le nom doit correspondre au
+chemin interne.
+
+---
+
+## 3. Construire et lancer
+
+### 3.1 Script `build.sh` (recommandé)
+
+```bash
+chmod +x build.sh   # une seule fois
+./build.sh
+```
+
+Le script :
+
+1. vérifie Docker et Docker Compose (versions) ;
+2. valide `docker-compose.yml` (présence + syntaxe) ;
+3. contrôle chaque volume monté (avertit si la source n'existe pas) ;
+4. construit l'image (multi-stage, ~180 Mo) ;
+5. démarre le conteneur ;
+6. affiche le statut puis les logs en temps réel.
+
+| Option | Description |
+|---|---|
+| `--help`, `-h` | Aide complète |
+| `--build-only` | Construire sans démarrer |
+| `--no-cache` | Rebuild complet sans cache **(défaut)** |
+| `--cache` | Utiliser le cache Docker (plus rapide) |
+| `--progress=plain` / `--progress=tty` | Sortie verbeuse / interactive |
+
+### 3.2 Alternative manuelle
+
+```bash
+docker compose build --no-cache
+docker compose up -d
+```
+
+### 3.3 Exploitation
+
+```bash
+docker compose down      # arrêter
+docker compose up -d     # redémarrer sans rebuild
+docker compose logs -f   # logs temps réel
+docker compose logs --tail=100 obsigate
+```
+
+> **Compatibilité Docker :** l'image utilise une variante `uvicorn` minimale et
+> `fastapi 0.110.3` pour éviter des dépendances natives optionnelles
+> (`watchfiles`, `uvloop`, `httptools`, `fastapi-cli`…) qui échouent sur Alpine,
+> ARM ou i386.
+
+---
+
+## 4. Reverse proxy & HTTPS
+
+ObsiGate sert du HTTP en clair ; placez un reverse proxy devant pour TLS.
+
+### 4.1 Nginx (exemple)
+
+```nginx
+server {
+    listen 443 ssl http2;
+    server_name obsigate.example.com;
+
+    ssl_certificate     /etc/letsencrypt/live/obsigate.example.com/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/obsigate.example.com/privkey.pem;
+
+    location / {
+        proxy_pass http://127.0.0.1:2020;
+        proxy_http_version 1.1;
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+        proxy_set_header Upgrade           $http_upgrade;   # WebSocket collab
+        proxy_set_header Connection        "upgrade";
+        proxy_read_timeout 3600s;                            # SSE / WebSocket
+    }
+}
+```
+
+### 4.2 Variables à activer derrière un proxy
+
+```bash
+OBSIGATE_SECURE_COOKIES=true   # cookie Secure (HTTPS uniquement)
+OBSIGATE_TRUST_PROXY=true      # confiance à X-Forwarded-For / Host
+```
+
+> N'activez `OBSIGATE_TRUST_PROXY` **que** derrière un proxy de confiance, sinon
+> l'adresse IP client peut être usurpée (rate limiting, audit).
+
+Cloudflare Tunnel, Caddy et Traefik fonctionnent de la même façon (pensez au
+support WebSocket et aux longs timeouts pour le SSE).
+
+---
+
+## 5. Healthcheck & supervision
+
+L'image intègre un healthcheck sur `/api/health` (statut, version, stats). Vous
+pouvez aussi l'interroger depuis l'hôte :
+
+```bash
+curl -s http://localhost:2020/api/health
+curl -s http://localhost:2020/api/health/detailed   # admin
+```
+
+`/api/admin/stream` fournit un flux d'administration (admin uniquement).
+
+---
+
+## 6. Mises à jour
+
+```bash
+git pull
+./build.sh            # reconstruit et redémarre
+```
+
+Vos données (`./data`) et vos vaults (volumes `:ro`) sont conservées. Pour un
+rebuild propre sans cache : `./build.sh --no-cache`.
+
+> **Version :** le fichier `VERSION` à la racine est la source unique de vérité ;
+> l'image et l'UI affichent la même version. Voir
+> [`DEVELOPMENT_AND_RELEASES.md`](../DEVELOPMENT_AND_RELEASES.md).
+
+---
+
+## 7. Sauvegardes
+
+- **Données applicatives** : sauvegardez `./data` (utilisateurs, clés, partages,
+  webhooks, jetons).
+- **Vos notes** : ObsiGate n'écrit dans les vaults que si elles sont montées en
+  écriture. Un backup automatique interne est créé dans `.obsigate-backup/` avant
+  chaque modification (rotation 10 Mo d'audit).
+- **Backups desktop** : voir [Desktop](./DESKTOP.md).
+
+---
+
+## 8. Multi-plateforme
+
+L'image est publiée pour `linux/amd64`, `linux/arm64`, `linux/arm/v7` et
+`linux/386`. Sur un NAS ou un Raspberry Pi, choisissez la variante correspondante
+(Buildx / `platform:` dans le compose).
+
+---
+
+## 9. Dépannage
+
+| Symptôme | Piste |
+|---|---|
+| Port déjà utilisé | `sudo netstat -tulpn \| grep 2020` puis changer `ports: "2021:8080"` |
+| Vault introuvable | Chemin absolu, permissions de lecture, redémarrer après modif |
+| Build qui échoue | `docker system prune -f` puis `./build.sh --progress=plain` |
+| Logs | `docker compose logs -f obsigate` |
+| Widgets temps réel inopérants derrière un proxy | Autoriser les upgrades WebSocket et augmenter `proxy_read_timeout` |
+| Login « insecure cookie » | Passer en HTTPS ou retirer `OBSIGATE_SECURE_COOKIES` |
@@ -0,0 +1,201 @@
+# 🖥️ Guide de l'application desktop (Tauri)
+
+ObsiGate Desktop est une application native construite avec
+[Tauri](https://tauri.app/) (Rust + webview système). Elle embarque le backend
+Python et le frontend dans un exécutable autonome — **zéro Docker, zéro ligne de
+commande**.
+
+> **Public :** tous les utilisateurs · **Statut :** version 2.x, binaires en
+> cours de stabilisation (build depuis les sources recommandé)
+> **Fiche technique :** [`features/desktop-tauri.md`](../features/desktop-tauri.md) ·
+> **Checklist E2E :** [`DESKTOP_E2E_CHECKLIST.md`](../DESKTOP_E2E_CHECKLIST.md)
+
+---
+
+## 1. Fonctionnalités natives
+
+| Fonctionnalité | Web | Desktop |
+|---|---|---|
+| Accès fichiers local | Via upload | Natif (sélecteur de dossier) |
+| Thème système | Manuel | Auto (suit l'OS clair/sombre) |
+| Notifications | Service Worker | Natif OS |
+| Association `.md` | ❌ | ✅ « Ouvrir avec ObsiGate » |
+| Icône de barre des tâches (tray) | ❌ | ✅ |
+| Auto-update | ❌ | ✅ (vérifie les releases Gitea) |
+| Mode hors-ligne | Limité | Complet (backend local) |
+
+---
+
+## 2. Téléchargement des binaires
+
+Les releases sont publiées sur
+[Gitea](https://git.dracodev.net/Projets/ObsiGate/releases) :
+
+| Plateforme | Formats |
+|---|---|
+| **Linux** | `.deb` + `.AppImage` |
+| **Windows** | `.msi` + `.exe` (NSIS) |
+
+### Linux
+
+```bash
+# .deb (Debian / Ubuntu / Deepin)
+sudo dpkg -i obsigate_2.0.0_amd64.deb
+# Lancer : ObsiGate depuis le menu applications, ou `obsigate-desktop`
+
+# .AppImage (toute distribution)
+chmod +x ObsiGate_2.0.0_amd64.AppImage
+./ObsiGate_2.0.0_amd64.AppImage
+```
+
+### Windows
+
+```cmd
+:: Double-cliquer sur ObsiGate_2.0.0_x64.msi (ou le setup NSIS)
+:: Ou lancer ObsiGate depuis le menu Démarrer
+```
+
+---
+
+## 3. Démarrage
+
+1. **Lancez l'application** depuis le menu ou la ligne de commande.
+2. Le backend Python démarre automatiquement sur `127.0.0.1:17890`
+   (splash « Démarrage… » pendant le boot).
+3. La fenêtre s'ouvre et charge l'interface ObsiGate.
+4. **Premier lancement** : sélectionnez le dossier de vos vaults Obsidian via le
+   sélecteur natif.
+5. Pour fermer : icône tray → **Quitter** (arrêt propre du backend).
+
+---
+
+## 4. Construire depuis les sources
+
+Guide détaillé : [`desktop/README.md`](../../desktop/README.md).
+
+### 4.1 Prérequis communs
+
+| Outil | Version | Installation |
+|---|---|---|
+| Rust (cargo) | ≥ 1.75 | `rustup` |
+| Tauri CLI | ≥ 2.0 | `cargo install tauri-cli` |
+| Git | — | — |
+| Dépendances système Linux | — | `sudo apt install libwebkit2gtk-4.1-dev libgtk-3-dev libayatana-appindicator3-dev` |
+
+> **Important — staging :** `tauri.conf.json` embarque `backend/**` et
+> `frontend/**` **depuis le dossier `desktop/`**. Les scripts de build copient
+> automatiquement `../backend` et `../frontend` dans `desktop/` avant
+> `cargo tauri build`. Sans ce staging, le build échoue avec
+> « glob pattern backend/**/* path not found ».
+
+### 4.2 Windows — `build-windows.bat`
+
+```cmd
+REM Prérequis (via Scoop) : rustup, curl, git
+scoop install rustup curl git
+rustup default stable
+cargo install tauri-cli
+
+cd desktop
+build-windows.bat
+```
+
+Étapes du script :
+
+1. Tue les processus Python résiduels (`taskkill /F /IM python.exe`).
+2. Télécharge **Python 3.11 embed** (python.org) → `desktop\python-embed\` +
+   active pip (`python311._pth`).
+3. `pip install -r ..\backend\requirements.txt` dans l'embed.
+4. **Staging** : copie `..\backend` et `..\frontend` dans `desktop\`.
+5. `cargo tauri build --target x86_64-pc-windows-msvc --bundles nsis`.
+6. Copie `python-embed` à côté de l'exécutable pour le mode dev local.
+7. Nettoie les dossiers stagés.
+
+→ **Artefact :** `desktop\target\x86_64-pc-windows-msvc\release\bundle\nsis\ObsiGate_2.0.0_x64-setup.exe`
+
+### 4.3 Linux — `build-linux.sh`
+
+```bash
+cd desktop
+chmod +x build-linux.sh
+./build-linux.sh
+```
+
+Étapes du script :
+
+1. Vérifie Rust + Tauri CLI, installe les dépendances système (apt).
+2. Crée un venv `desktop/python-embed/venv` + `pip install -r ../backend/requirements.txt`.
+3. **Staging** : copie `../backend` et `../frontend` dans `desktop/`.
+4. `cargo tauri build --target x86_64-unknown-linux-gnu --bundles deb,appimage`.
+5. Copie le runtime (`python-embed/`, `backend/`, `frontend/`) à côté de l'exécutable.
+
+→ **Artefacts :**
+
+- `desktop/target/x86_64-unknown-linux-gnu/release/bundle/deb/obsigate_2.0.0_amd64.deb`
+- `desktop/target/x86_64-unknown-linux-gnu/release/bundle/appimage/ObsiGate_2.0.0_amd64.AppImage`
+
+---
+
+## 5. Builds CI/CD automatiques
+
+Le workflow [`.gitea/workflows/desktop-build.yml`](../../.gitea/workflows/desktop-build.yml)
+construit les binaires desktop à chaque push sur `main` touchant `desktop/**`,
+`frontend/**` ou `backend/**` (et manuellement via `workflow_dispatch`), sur des
+**runners self-hosted** :
+
+| Job | Runner | Artefacts (30 jours) |
+|---|---|---|
+| `build-windows` | `[self-hosted, windows, desktop]` | `desktop/target/release/bundle/msi/*.msi` |
+| `build-linux` | `[self-hosted, linux, desktop]` | `*.AppImage` + `*.deb` |
+
+Les artefacts sont téléchargeables depuis la page **Actions** du run Gitea ; la
+publication en **Gitea Release** est prévue sur les tags `v*`.
+
+---
+
+## 6. Architecture desktop
+
+```
+┌────────────────────────────────────────────┐
+│ Tauri (Rust)                               │
+│  ├─ Webview (webview système)              │
+│  │   └─ Frontend (HTML/JS/CSS)             │
+│  └─ Sidecar Python                         │
+│      └─ uvicorn backend.main:app           │
+│           └─ port 127.0.0.1:17890          │
+└────────────────────────────────────────────┘
+```
+
+Cycle de vie : Tauri spawn le backend Python → health check → splash → webview.
+À la fermeture : arrêt propre du backend (SIGTERM / kill).
+
+---
+
+## 7. Mises à jour
+
+L'application vérifie les **releases Gitea** et propose la mise à jour (updater
+Tauri signé). Le manifeste `latest.json` est généré automatiquement.
+
+> La **signature de code Windows** n'est pas retenue (pas de certificat) : le
+> binaire peut déclencher un avertissement SmartScreen. Alternatives possibles :
+> SignPath.io (OSS gratuit), Certum OSS, Azure Trusted Signing, certificat EV.
+
+---
+
+## 8. Logs & dépannage
+
+Les logs du backend sont écrits dans :
+
+- **Windows** : `%APPDATA%\ObsiGate\logs\backend.log`
+- **Linux** : `~/.config/obsigate/logs/backend.log`
+
+| Symptôme | Piste |
+|---|---|
+| « Backend ne répond pas » | Vérifier le port `17890` (conflit) et relancer |
+| Build « glob pattern backend/**/* not found » | Le staging n'a pas été fait — utiliser les scripts fournis |
+| Le sélecteur de dossier ne s'ouvre pas | Permissions système / dialogue natif bloqué |
+| Fenêtre blanche | Consulter `backend.log` ; le backend a peut-être échoué au boot |
+| Mise à jour non proposée | Vérifier la connectivité aux releases Gitea |
+
+Voir aussi [Prise en main](./PRISE_EN_MAIN.md) et
+[Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md).
@@ -0,0 +1,191 @@
+# 🧩 Guide MCP (Model Context Protocol)
+
+ObsiGate expose ses vaults à des **clients MCP externes** (Claude Desktop, Cursor,
+Cline, tout client compatible MCP) via un serveur **Streamable HTTP** monté sur
+`/mcp`. Les outils sont les **mêmes** que ceux de l'assistant in-app : la couche
+`backend/tools/` est la source unique de vérité.
+
+> **Statut :** livré (#79 phase E + F) · **Dernière mise à jour :** 2026-09
+> **Voir aussi :** [`features/ai-tools-mcp.md`](../features/ai-tools-mcp.md) ·
+> [`AI_ARCHITECTURE_GUIDE.md`](../AI_ARCHITECTURE_GUIDE.md) ·
+> [API REST](./API_REST.md) · [Assistant IA & Forge](./ASSISTANT_IA_FORGE.md)
+
+---
+
+## 1. Prérequis
+
+1. Une instance ObsiGate accessible (locale ou distante).
+2. Une **clé API** (recommandé) ou un **jeton JWT** valide
+   (`Authorization: Bearer <token>`). Une seule clé fonctionne pour l'API REST
+   **et** le MCP. Créez-la depuis l'interface (Configurations → 🔑 Clés API & MCP)
+   ou via `POST /api/auth/tokens` — voir [API REST §2.2](./API_REST.md#22-clés-api-longue-durée-recommandé-pour-scripts--mcp).
+3. Si l'authentification est désactivée (`OBSIGATE_AUTH_ENABLED=false`), le
+   serveur MCP accepte un utilisateur anonyme disposant de tous les vaults.
+
+> Le transport `stdio` n'est pas encore supporté ; utilisez le transport HTTP
+> (un pont local type `mcp-remote` si votre client ne gère pas nativement le
+> Streamable HTTP distant).
+
+---
+
+## 2. Endpoint & protocole
+
+| Élément | Valeur |
+|---|---|
+| URL | `https://<obsigate>/mcp` |
+| Transport | Streamable HTTP (`POST` JSON-RPC 2.0, `Accept: application/json, text/event-stream`) |
+| Auth | `Authorization: Bearer <JWT>` |
+| Protocole MCP | `2025-03-26` (négocié à l'`initialize`) |
+| Réponses | JSON (`json_response=True`) |
+
+Handshake minimal :
+
+```bash
+curl -sS https://obsigate.example/mcp \
+  -H "Authorization: Bearer $TOKEN" \
+  -H "Accept: application/json, text/event-stream" \
+  -H "Content-Type: application/json" \
+  -d '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{
+        "protocolVersion":"2025-03-26","capabilities":{},
+        "clientInfo":{"name":"curl","version":"1.0"}}}'
+```
+
+La réponse contient l'en-tête `Mcp-Session-Id` à réutiliser pour les appels
+suivants (`tools/list`, `tools/call`, `resources/read`, …).
+
+---
+
+## 3. Configuration des clients
+
+### Claude Desktop (via pont `mcp-remote`)
+
+```json
+{
+  "mcpServers": {
+    "obsigate": {
+      "command": "npx",
+      "args": [
+        "-y", "mcp-remote",
+        "https://obsigate.example/mcp",
+        "--header", "Authorization: Bearer ${OBSIGATE_TOKEN}"
+      ],
+      "env": { "OBSIGATE_TOKEN": "eyJ..." }
+    }
+  }
+}
+```
+
+### Cursor
+
+`.cursor/mcp.json` :
+
+```json
+{
+  "mcpServers": {
+    "obsigate": {
+      "url": "https://obsigate.example/mcp",
+      "headers": { "Authorization": "Bearer eyJ..." }
+    }
+  }
+}
+```
+
+### Client générique (config raccourcie)
+
+```json
+{"mcpServers": {"obsigate": {
+  "url": "http://localhost:2020/mcp",
+  "headers": {"Authorization": "Bearer <clé API>"}
+}}}
+```
+
+---
+
+## 4. Primitives exposées
+
+### 4.1 Tools
+
+Les outils de **lecture/recherche** sont exposés directement. Les outils
+**d'écriture/destructifs** sont exposés via une paire **two-step** :
+`propose_<tool>` (aperçu + jeton de confirmation, aucune modification) puis
+`apply_<tool>` (consomme le jeton et exécute).
+
+| Catégorie | Outils |
+|---|---|
+| Vaults / navigation | `list_vaults`, `list_directory`, `list_all_files` |
+| Lecture | `read_file`, `read_file_raw`, `get_backlinks`, `list_backups`, `diff_backup`, `get_graph` |
+| Recherche | `search_fulltext`, `search_advanced`, `search_paths`, `list_tags`, `suggest_tags`, `list_recent` |
+| Écriture (propose/apply) | `create_file`, `create_directory`, `edit_file`, `append_to_file`, `restore_backup` |
+| Destructif (propose/apply) | `rename_file`, `rename_directory`, `move_path`, `replace_in_files`, `delete_file`, `delete_directory` |
+
+Flux d'une mutation :
+
+```text
+1. tools/call { name: "propose_edit_file",
+                arguments: { vault, path, content } }
+   → { tool, arguments, diff, confirmation_token, expires_in }
+
+2. (l'utilisateur / l'agent valide)
+
+3. tools/call { name: "apply_edit_file",
+                arguments: { confirmation_token } }
+   → { ok: true, data: { ... } }
+```
+
+Le jeton est **signé (JWT), à usage unique et à durée de vie limitée**
+(`OBSIGATE_MCP_CONFIRMATION_TTL`, défaut 300 s). Un rejeu renvoie `token_reused`.
+
+### 4.2 Resources
+
+| URI | Contenu |
+|---|---|
+| `vault://<name>` | Vault accessible (métadonnées, nombre de fichiers) |
+| `vault://<name>/<path>` | Contenu d'un fichier (lecture seule, **secrets redactés**) |
+
+### 4.3 Prompts
+
+`summarize-directory`, `generate-note`, `find-related`.
+
+---
+
+## 5. Sécurité
+
+- **Permissions par vault** : `check_vault_access` est appliqué à chaque outil
+  et chaque resource ; un utilisateur ne voit que ses vaults.
+- **Anti path-traversal** : `resolve_safe_path` rejette tout chemin hors du vault.
+- **Confirmation two-step** pour toute mutation (jeton signé, usage unique).
+- **Toggle par vault** `aiDestructiveTools` (défaut : activé) : le désactiver
+  bloque rename/move/replace/delete tout en laissant create/edit/append.
+- **Backup automatique** avant chaque opération destructive.
+- **Rate limiting** : par jeton et par outil
+  (`OBSIGATE_TOOL_RATE_LIMIT`, `OBSIGATE_TOOL_RATE_LIMIT_PER_TOOL`,
+  `OBSIGATE_TOOL_RATE_WINDOW`). Une limite dépassée renvoie le code `rate_limited`.
+- **Redaction des secrets** : les résultats d'outils (lectures, diffs, extraits
+  de recherche) sont nettoyés avant tout retour au client.
+- **Audit** : chaque appel est journalisé (`data/audit.log`, action
+  `ai_tool_call`) avec arguments sensibles résumés.
+
+### Variables d'environnement
+
+| Variable | Défaut | Rôle |
+|---|---|---|
+| `OBSIGATE_MCP_CONFIRMATION_TTL` | `300` | Durée de vie (s) des jetons de confirmation |
+| `OBSIGATE_TOOL_RATE_LIMIT` | `60` | Appels d'outils max par identité et par fenêtre |
+| `OBSIGATE_TOOL_RATE_LIMIT_PER_TOOL` | = global | Appels max par outil et par fenêtre |
+| `OBSIGATE_TOOL_RATE_WINDOW` | `60` | Longueur de la fenêtre (s) |
+| `BOOKSLM_MAX_TOOL_CALLS` | `25` | Quota d'appels d'outils par run d'agent |
+| `BOOKSLM_MAX_TOOL_READ_BYTES` | `200000` | Taille max renvoyée par `read_file` |
+
+---
+
+## 6. Dépannage
+
+| Symptôme | Cause probable / remède |
+|---|---|
+| `401 Authentification requise` | En-tête `Authorization: Bearer` absent ou jeton expiré |
+| `vault_access_denied` | Le jeton n'a pas accès à ce vault (`vaults` / `_token_vaults`) |
+| `destructive_tools_disabled` | `aiDestructiveTools=false` pour ce vault |
+| `confirmation_required` | Appeler d'abord `propose_<tool>` puis `apply_<tool>` |
+| `token_reused` / `invalid_confirmation` | Jeton déjà consommé ou expiré → refaire un `propose_` |
+| `rate_limited` | Quota dépassé ; respecter `retry_after` |
+| Le client ne se connecte pas | Vérifier le transport Streamable HTTP / le pont `mcp-remote` |
@@ -0,0 +1,236 @@
+# 🚀 Guide de prise en main
+
+Ce guide vous fait passer d'une installation fraîche à une utilisation courante
+d'ObsiGate : première connexion, découverte de l'interface, navigation dans vos
+vaults Obsidian et raccourcis essentiels.
+
+> **Public :** tous les utilisateurs · **Durée de lecture :** ~10 min
+> **Voir aussi :** [Déploiement Docker](./DEPLOIEMENT_DOCKER.md) ·
+> [Recherche, PDF & Excalidraw](./RECHERCHE_PDF_EXCALIDRAW.md) ·
+> [API REST](./API_REST.md)
+
+---
+
+## 1. Qu'est-ce qu'ObsiGate ?
+
+ObsiGate est une **porte d'entrée web ultra-légère** vers vos vaults Obsidian.
+Il indexe vos notes en mémoire, les rend accessibles depuis n'importe quel
+navigateur (ordinateur, tablette, téléphone) et ajoute une couche moderne :
+recherche avancée, lecture Markdown, liens `[[wikilinks]]`, images, PDF,
+Excalidraw, Mermaid, assistant IA, collaboration temps réel.
+
+Points clés :
+
+- **Aucune modification de vos vaults** : les volumes sont montés en lecture seule (`:ro`) par défaut.
+- **Pas de base de données** : tout l'état tient dans des fichiers JSON sous `data/`.
+- **Temps réel** : un watcher surveille le système de fichiers et met l'index à jour à chaud.
+- **Multi-vault** : plusieurs vaults peuvent être affichés et recherchés simultanément.
+
+---
+
+## 2. Prérequis
+
+| Composant | Version | Remarque |
+|---|---|---|
+| Docker | ≥ 20.10 | ou Node/`uv` pour un lancement manuel |
+| docker-compose | ≥ 2.0 | inclus avec Docker Desktop |
+| Navigateur | récent | Chrome, Edge, Firefox, Safari |
+
+Vous aurez aussi besoin du **chemin absolu** de chaque vault Obsidian sur la
+machine qui héberge Docker.
+
+---
+
+## 3. Lancer ObsiGate en 3 étapes
+
+> La procédure complète (reverse proxy, HTTPS, mises à jour) est détaillée dans le
+> [Guide de déploiement Docker](./DEPLOIEMENT_DOCKER.md).
+
+### 3.1 Cloner le dépôt
+
+```bash
+git clone https://git.dracodev.net/Projets/ObsiGate.git
+cd ObsiGate
+```
+
+### 3.2 Déclarer vos vaults
+
+Éditez `docker-compose.yml` pour monter vos dossiers (chemins absolus, lecture seule) :
+
+```yaml
+volumes:
+  - /home/user/Documents/Obsidian-Recettes:/vaults/Recettes:ro
+  - /home/user/Documents/Obsidian-IT:/vaults/IT:ro
+  - ./data:/app/data   # persistance auth/config
+environment:
+  - VAULT_1_NAME=Recettes
+  - VAULT_1_PATH=/vaults/Recettes
+  - VAULT_2_NAME=IT
+  - VAULT_2_PATH=/vaults/IT
+```
+
+Créez le fichier de secrets à partir du modèle :
+
+```bash
+cp .env.example .env
+# Éditez .env (mot de passe admin, options d'auth…)
+```
+
+### 3.3 Construire et démarrer
+
+```bash
+chmod +x build.sh   # une seule fois
+./build.sh
+```
+
+`build.sh` vérifie Docker, valide les volumes, construit l'image et démarre le
+conteneur. Ouvrez ensuite **http://localhost:2020**.
+
+> Options utiles : `./build.sh --help`, `./build.sh --cache` (rebuild rapide),
+> `./build.sh --build-only` (construire sans démarrer).
+
+---
+
+## 4. Premier accès
+
+### 4.1 Si l'authentification est désactivée (défaut)
+
+Vous arrivez directement sur l'interface. Toutes les fonctionnalités sont
+accessibles sans compte — **à réserver à un usage sur réseau de confiance**.
+
+### 4.2 Si l'authentification est activée
+
+L'écran de connexion s'affiche. Au **tout premier démarrage**, ObsiGate crée un
+compte admin et affiche le mot de passe **une seule fois dans les logs** :
+
+```bash
+docker compose logs obsigate | grep -A4 "FIRST"
+```
+
+Changez ce mot de passe dès la première connexion (menu → profil →
+*Changer le mot de passe*). La gestion complète des comptes, du MFA et des
+permissions est décrite dans le
+[Guide Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md).
+
+---
+
+## 5. Découvrir l'interface
+
+L'interface se compose de trois zones principales.
+
+### 5.1 L'en-tête (header)
+
+| Élément | Rôle |
+|---|---|
+| 🔍 **Barre de recherche globale** | Recherche dans toutes les vaults autorisées |
+| Filtre | Restreint la recherche (type, tag, vault…) |
+| Sélecteur de vault | Bascule l'arborescence sur une vault ou « Toutes les vaults » |
+| Utilisateur | Nom du compte connecté (si auth activée) |
+| Version | Version courante d'ObsiGate |
+| ⚙️ **Options** | Configuration, thème, guide d'utilisation, administration |
+
+### 5.2 La barre latérale (sidebar)
+
+Elle regroupe les vues principales via des icônes :
+
+- **Arborescence** — parcourt les dossiers et fichiers de la vault sélectionnée.
+- **Graphe** — vue force-directed des liens entre notes.
+- **Récents** — derniers fichiers ouverts.
+- **Signets** — vos fichiers et recherches enregistrés.
+- **Partagés** — liens de partage public que vous avez créés.
+
+Un champ **« Filtrer fichiers… »** restreint l'arborescence en temps réel, et le
+bouton **Aa** ajuste l'affichage des libellés.
+
+### 5.3 La zone de contenu
+
+Elle affiche l'onglet actif : tableau de bord **Statistiques**, **Bookmarks**,
+**Récents**, **Partagés**, ou le document ouvert. Les documents s'ouvrent dans
+des **onglets** (avec possibilité de vue multi-panneaux / split view).
+
+---
+
+## 6. Navigation et lecture
+
+1. **Déployez une vault** dans la sidebar (clic sur son nom).
+2. **Cliquez sur un dossier** pour l'ouvrir, sur un **fichier** pour l'afficher.
+3. Le **breadcrumb** en haut du document permet de remonter rapidement.
+4. Les **wikilinks** `[[note]]` sont cliquables ; les images et diagrammes
+   s'affichent automatiquement.
+5. Utilisez **Ctrl + clic** sur un lien pour l'ouvrir en aperçu rapide selon le
+   contexte, ou ouvrir le graphe centré sur un nœud.
+
+### Créer et modifier
+
+- **Bouton « Editer »** : ouvre le document dans l'éditeur Markdown (CodeMirror).
+- **Bouton « Forge »** (éditeur avancé) : ouvre la version enrichie avec
+  assistant IA intégré. Voir [Assistant IA & Forge](./ASSISTANT_IA_FORGE.md).
+- **Nouveau fichier / dossier** : depuis les actions de la sidebar ou la palette
+  de commandes.
+- **Sauvegarde** : `Ctrl + S` (et auto-sauvegarde dans l'éditeur IA).
+
+> Selon le mode, la lecture et l'édition se remplacent : `Editer` et `Forge`
+> prennent la place de la vue lecture ; revenez avec `✓` / `×` ou `Échap`.
+
+---
+
+## 7. Rechercher
+
+La recherche est un point fort d'ObsiGate : index inversé TF-IDF, stemming
+français, normalisation des accents, facettes et pagination. La syntaxe complète
+(`tag:`, `#`, `vault:`, `title:`, `path:`, `ext:`, phrases exactes) est décrite
+dans le [Guide Recherche, PDF & Excalidraw](./RECHERCHE_PDF_EXCALIDRAW.md).
+
+Démarrage rapide :
+
+- Tapez dans la barre de recherche, `Ctrl + K` pour y revenir.
+- `/` focalise la recherche hors champ de saisie.
+- `/` + `↑`/`↓` navigue dans les suggestions.
+
+---
+
+## 8. Apparence et confort
+
+- **Thème clair/sombre** : bascule persistée en `localStorage` ; le desktop suit
+  aussi le thème du système.
+- **Thèmes** : clair, sombre, contraste élevé, sépia — import/export possible.
+- **Responsive** : l'interface s'adapte au mobile (éditeur tactile, barre
+  d'outils flottante).
+- **PWA** : installable comme application native, mode hors-ligne partiel.
+
+Voir [PWA & mode hors-ligne](./PWA_HORS_LIGNE.md).
+
+---
+
+## 9. Raccourcis clavier essentiels
+
+| Action | Raccourci |
+|---|---|
+| Palette de commandes | `Ctrl + Shift + Space` |
+| Palette de fichiers (navigation rapide) | `Ctrl + Alt + Space` |
+| Focus barre de recherche | `Ctrl + K` |
+| Recherche rapide (hors champ texte) | `/` |
+| Sauvegarder le fichier ouvert | `Ctrl + S` |
+| Rechercher dans le document | `Ctrl + F` |
+| Completion IA inline (éditeur) | `Ctrl + J` |
+| Insertion rapide (éditeur Forge) | `Alt + I` |
+| Fermer l'éditeur / modale | `Échap` |
+| Aide de l'éditeur Forge | `F1` |
+| Naviguer dans les suggestions | `↑` / `↓` |
+| Lancer la recherche / valider | `Entrée` |
+
+> Le panneau **Raccourcis & Astuces** du tableau de bord Statistiques récapitule
+> ces raccourcis directement dans l'application.
+
+---
+
+## 10. Et ensuite ?
+
+| Objectif | Guide |
+|---|---|
+| Mieux chercher, lire PDF et Excalidraw | [Recherche, PDF & Excalidraw](./RECHERCHE_PDF_EXCALIDRAW.md) |
+| Utiliser l'IA intégrée | [Assistant IA & Forge](./ASSISTANT_IA_FORGE.md) |
+| Éditer à plusieurs | [Édition & collaboration](./COLLABORATION.md) |
+| Sécuriser l'accès | [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md) |
+| Automatiser via API/MCP | [API REST](./API_REST.md) · [MCP](./MCP.md) |
+| Installer l'application native | [Desktop (Tauri)](./DESKTOP.md) |
@@ -0,0 +1,136 @@
+# 📱 Guide PWA & mode hors-ligne
+
+ObsiGate est une **Progressive Web App (PWA)** : installez-la comme une
+application native, consultez vos notes **hors-ligne**, recevez des
+notifications et synchronisez vos modifications à la reconnexion.
+
+> **Public :** tous les utilisateurs · **Guides techniques :**
+> [`PWA_GUIDE.md`](../PWA_GUIDE.md) · [`INSTALLATION_PWA.md`](../INSTALLATION_PWA.md)
+> **Voir aussi :** [Prise en main](./PRISE_EN_MAIN.md) · [Édition & collaboration](./COLLABORATION.md)
+
+---
+
+## 1. Qu'est-ce que la PWA d'ObsiGate ?
+
+Une PWA combine le meilleur du web et du natif :
+
+- **Installation** sur l'écran d'accueil, sans store.
+- **Mode hors-ligne** : interface et dernières données consultées mises en cache.
+- **Notifications** : alertes de mise à jour et Web Push.
+- **Performance** : chargement rapide via cache intelligent.
+- **Multi-plateforme** : desktop, mobile, tablette.
+
+---
+
+## 2. Installer la PWA
+
+### Desktop (Chrome, Edge, Brave)
+
+1. Ouvrez ObsiGate dans le navigateur.
+2. Cliquez sur l'icône d'installation dans la barre d'adresse (➕ / ⬇️).
+3. Cliquez sur **Installer** dans la popup.
+4. ObsiGate apparaît dans vos applications.
+
+*Alternative :* menu ⋮ → **Installer ObsiGate…**
+
+### Android (Chrome)
+
+1. Ouvrez ObsiGate dans Chrome.
+2. Menu ⋮ → **Ajouter à l'écran d'accueil**.
+3. Confirmez.
+
+### iOS / iPadOS (Safari)
+
+1. Ouvrez ObsiGate dans Safari.
+2. Bouton Partager 📤 → **Sur l'écran d'accueil**.
+3. Nommez l'application puis **Ajouter**.
+
+---
+
+## 3. Mode hors-ligne
+
+Le **Service Worker** (`frontend/sw.js`) met en cache :
+
+- l'interface (HTML, CSS, JavaScript, manifeste) ;
+- les ressources statiques (icônes, polices) ;
+- les dernières données API consultées.
+
+### Stratégies de cache
+
+| Ressource | Stratégie |
+|---|---|
+| Code (HTML/JS/CSS/manifest) | **Network-first** (cache en secours hors-ligne) |
+| API | **Network-first** (+ cache hors-ligne) |
+| Autres assets (images, polices) | **Stale-while-revalidate** |
+| Nettoyage | Purge des caches d'une version antérieure à l'activation |
+
+> Le choix **network-first** est délibéré : les assets ne sont pas fingerprintés,
+> un cache-first servirait indéfiniment un ancien build sur mobile.
+
+### File de synchronisation & conflits
+
+- Les modifications faites hors-ligne sont stockées (IndexedDB) et rejouées à la
+  reconnexion.
+- Les conflits éventuels sont détectés et peuvent être résolus (écran
+  **Conflits**, `GET /api/conflicts`).
+
+### Tester hors-ligne
+
+1. DevTools (F12) → onglet **Network**.
+2. Cochez **Offline**.
+3. Rechargez : l'application doit fonctionner avec le cache.
+
+---
+
+## 4. Notifications (Web Push)
+
+- Abonnement à partir de l'interface (permission navigateur requise).
+- Endpoints : `GET /api/push/vapid-public-key`,
+  `POST /api/push/subscribe`, `DELETE /api/push/subscribe`,
+  `GET /api/push/subscriptions`.
+- Les notifications sont signées **VAPID** et peuvent prévenir de changements
+  (collaboration, mises à jour).
+
+---
+
+## 5. Mises à jour
+
+- Vérification régulière des mises à jour.
+- Notification quand une nouvelle version est disponible.
+- Mise à jour en un clic, **sans perte de données**.
+- Le numéro `SW_VERSION` invalide l'ancien cache à chaque livraison.
+
+### Forcer une mise à jour (console)
+
+```javascript
+navigator.serviceWorker.getRegistration().then(reg => reg.update());
+```
+
+---
+
+## 6. Débogage
+
+### Vérifier l'installation
+
+Chrome DevTools → onglet **Application** :
+
+- **Manifest** : métadonnées ;
+- **Service Workers** : enregistrement ;
+- **Cache Storage** : contenu du cache.
+
+### Désinstaller le Service Worker
+
+```javascript
+navigator.serviceWorker.getRegistrations().then(regs => regs.forEach(r => r.unregister()));
+```
+
+---
+
+## 7. Limites
+
+- Le hors-ligne dépend des données déjà mises en cache.
+- Les actions d'écriture hors-ligne s'appliquent à la reconnexion (pas en temps
+  réel).
+- iOS applique des contraintes spécifiques (persistance, notifications).
+
+Voir [Édition & collaboration](./COLLABORATION.md) pour le temps réel.
@@ -0,0 +1,54 @@
+# 📚 Guides d'utilisation ObsiGate
+
+Bienvenue dans le répertoire des **guides utilisateur** d'ObsiGate. Chaque guide est
+autonome, écrit en français et illustré d'exemples concrets (commandes, configuration,
+captures conceptuelles).
+
+> **Vous découvrez ObsiGate ?** Commencez par le **[Guide de prise en main](./PRISE_EN_MAIN.md)**.
+> Une aide rapide est aussi intégrée directement dans l'application (menu Options →
+> **Guide d'utilisation**, FR/EN, téléchargeable en Markdown et PDF).
+
+---
+
+## 🗂️ Sommaire des guides
+
+| Guide | Public | Contenu |
+|---|---|---|
+| 🚀 [Prise en main](./PRISE_EN_MAIN.md) | Tous | Premier lancement, interface, navigation, vaults, raccourcis |
+| 🔍 [Recherche, PDF & Excalidraw](./RECHERCHE_PDF_EXCALIDRAW.md) | Tous | Syntaxe de requête, recherche sémantique, lecteur PDF, diagrammes |
+| 🤖 [Assistant IA & Forge](./ASSISTANT_IA_FORGE.md) | Tous | Fournisseurs, éditeur IA, BooksLM, Forge, commandes `@` / `/` |
+| 📝 [Édition & collaboration](./COLLABORATION.md) | Tous | Édition simultanée, curseurs distants, persistance |
+| 📱 [PWA & mode hors-ligne](./PWA_HORS_LIGNE.md) | Tous | Installation PWA, cache, file de synchronisation, notifications |
+| 🔌 [API REST](./API_REST.md) | Développeurs | Authentification, clés API, endpoints, exemples `curl`, SSE |
+| 🧩 [Serveur MCP](./MCP.md) | Développeurs / IA | Brancher Claude Desktop, Cursor, Cline… sur vos vaults |
+| 🔒 [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md) | Admin | Utilisateurs, MFA, permissions par vault, bonnes pratiques |
+| 🐳 [Déploiement Docker](./DEPLOIEMENT_DOCKER.md) | Admin / Ops | `docker-compose`, volumes, reverse proxy, mises à jour |
+| 🖥️ [Application desktop (Tauri)](./DESKTOP.md) | Tous | Installation, premier lancement, build depuis les sources |
+
+---
+
+## 🧭 Par où commencer ?
+
+- **Je veux juste utiliser l'application** → [Prise en main](./PRISE_EN_MAIN.md)
+- **Je veux sécuriser mon instance** → [Authentification & sécurité](./AUTHENTIFICATION_SECURITE.md)
+- **Je veux brancher une IA** → [Assistant IA & Forge](./ASSISTANT_IA_FORGE.md) puis [MCP](./MCP.md)
+- **Je veux scripter/automatiser** → [API REST](./API_REST.md)
+- **Je veux héberger sur un serveur** → [Déploiement Docker](./DEPLOIEMENT_DOCKER.md)
+
+---
+
+## 📖 Documentation associée
+
+| Type | Où |
+|---|---|
+| Vue d'ensemble produit | [`README.fr.md`](../../README.fr.md) · [`README.md`](../../README.md) |
+| Conception détaillée par fonctionnalité | [`docs/features/`](../features/) |
+| Standards de code | [`docs/CONTRIBUTING.md`](../CONTRIBUTING.md) |
+| Méthode de livraison (Definition of Done) | [`docs/DELIVERY_WORKFLOW.md`](../DELIVERY_WORKFLOW.md) |
+| Roadmap / travail à venir | [`docs/ROADMAP.md`](../ROADMAP.md) |
+| Historique des versions | [`CHANGELOG.md`](../../CHANGELOG.md) |
+| API interactive (Swagger / ReDoc) | `/docs` · `/redoc` (instance ObsiGate) |
+
+> **Convention :** ce répertoire est la **porte d'entrée utilisateur**. Le *comment*
+> (utilisation) vit ici ; le *pourquoi* (conception technique) vit dans
+> [`docs/features/`](../features/). Ne jamais dupliquer le détail technique des fiches.
@@ -0,0 +1,193 @@
+# 🔍 Guide Recherche, PDF & Excalidraw
+
+ObsiGate va au-delà de la simple lecture : recherche puissante, rendu des
+documents riches (PDF, diagrammes) et indexation de leur contenu pour que tout
+soit retrouvable.
+
+> **Public :** tous les utilisateurs
+> **Fiches techniques :** [`features/semantic-search.md`](../features/semantic-search.md) ·
+> [`features/pdf.md`](../features/pdf.md) · [`features/excalidraw.md`](../features/excalidraw.md)
+
+---
+
+## 1. Recherche plein texte (TF-IDF)
+
+Le moteur d'ObsiGate s'appuie sur un **index inversé** et un scoring **TF-IDF**
+avec :
+
+- **Boost titre** — une correspondance dans le titre pèse 3× plus.
+- **Normalisation des accents** — `resume` trouve `résumé`, `elephant` trouve `éléphant`.
+- **Stemming français** — les variantes des mots sont rapprochées.
+- **Snippets surlignés** — les termes trouvés sont mis en `<mark>` dans l'extrait.
+- **Facettes** — compteurs par vault et par tag sur les résultats.
+- **Pagination** — 50 résultats par page.
+- **Tri** — par pertinence (TF-IDF) ou par date de modification.
+- **Chips de filtres** — les filtres actifs apparaissent sous forme de puces retirables.
+- **Historique** — les 50 dernières recherches sont conservées en `localStorage`.
+
+La recherche s'effectue **sans I/O disque** : le contenu est déjà en mémoire.
+
+---
+
+## 2. Syntaxe de requête
+
+| Opérateur | Description | Exemple |
+|---|---|---|
+| `tag:<nom>` | Filtre par tag | `tag:recette docker` |
+| `#<nom>` | Raccourci de tag | `#linux serveur` |
+| `vault:<nom>` | Filtre par vault | `vault:IT kubernetes` |
+| `title:<texte>` | Filtre par titre | `title:pizza` |
+| `path:<texte>` | Filtre par chemin | `path:recettes/soupes` |
+| `ext:<type>` | Filtre par type de fichier | `ext:md kubernetes` |
+| `"phrase exacte"` | Recherche d'une phrase | `tag:"multi mots"` |
+
+Les opérateurs sont **combinables** :
+
+```text
+tag:linux vault:IT ext:md serveur web
+```
+
+Cette requête cherche « serveur web » dans les fichiers Markdown de la vault
+`IT` portant le tag `linux`.
+
+### Filtres par extension
+
+| Extension | Contenu |
+|---|---|
+| `ext:md` | Notes Markdown |
+| `ext:py`, `ext:sh`, `ext:js` | Scripts et code |
+| `ext:pdf` | Documents PDF (texte extrait) |
+| `ext:excalidraw` | Diagrammes Excalidraw (texte extrait) |
+
+---
+
+## 3. Autocomplétion et suggestions
+
+- **`/api/suggest`** — suggère des titres de fichiers.
+- **`/api/tags/suggest`** — suggère des tags.
+- Navigation clavier : `↑` / `↓` puis `Entrée` ; `Échap` ferme les suggestions.
+
+### Raccourcis de recherche
+
+| Raccourci | Action |
+|---|---|
+| `Ctrl + K` / `Cmd + K` | Focaliser la barre de recherche |
+| `/` | Focaliser la recherche (hors champ texte) |
+| `↑` / `↓` | Naviguer dans les suggestions |
+| `Entrée` | Sélectionner la suggestion active ou lancer la recherche |
+| `Échap` | Fermer les suggestions / quitter la recherche |
+
+Recherches sauvegardées et signets sont disponibles via l'API
+(`/api/saved-searches`, `/api/bookmarks`).
+
+---
+
+## 4. Recherche sémantique (optionnelle)
+
+Au classement TF-IDF peut s'ajouter un classement **par embeddings**, fusionné
+via la méthode **RRF** (Reciprocal Rank Fusion). Activation : touche `~`
+(ou `Alt + S`) dans la recherche.
+
+Deux modes :
+
+1. **Sans dépendance** — un *embedder* par hachage fournit une base utilisable
+   immédiatement.
+2. **Embeddings réels** — installez `backend/requirements-semantic.txt` et/ou
+   renseignez les variables `OBSIGATE_EMBEDDING_*` pour utiliser
+   `all-MiniLM-L6-v2`.
+
+Détails et configuration :
+[`features/semantic-search.md`](../features/semantic-search.md).
+
+---
+
+## 5. Support PDF
+
+### Lecture
+
+Les fichiers PDF de vos vaults s'affichent **en ligne** dans le navigateur via le
+visualiseur PDF natif (iframe + `<embed>`). Le fichier est **streamé** en HTTP
+Range (`206 Partial Content`) : les gros PDF se chargent progressivement.
+
+### Recherche
+
+Le texte est **extrait à l'indexation** (`pypdf` / `pymupdf`), donc le contenu
+des PDF est recherchable via la recherche plein texte. Utilisez `ext:pdf` pour
+limiter les résultats aux PDF.
+
+### Métadonnées
+
+`GET /api/file/{vault}/pdf/info` renvoie les métadonnées (pages, titre, auteur)
+**sans transférer** le document.
+
+```bash
+curl "http://localhost:2020/api/file/Recettes/pdf/info?path=menu.pdf"
+```
+
+### Limites
+
+- **Pas d'OCR** : les PDF scannés (images) ne sont pas recherchables.
+- Pas d'annotation ni d'édition du PDF lui-même.
+
+---
+
+## 6. Diagrammes Excalidraw
+
+Les fichiers `.excalidraw` et `.excalidraw.md` (dont le format compressé du
+**plugin Obsidian Excalidraw**) s'ouvrent dans un **éditeur visuel Excalidraw
+complet**, dans une iframe sandboxée.
+
+- **Dessin et édition** sans quitter ObsiGate.
+- **Sauvegarde automatique** (débounce 2 s) ou `Ctrl + S`.
+- **Thème** clair/sombre suivi automatiquement.
+- **Texte indexé** : le texte des éléments du diagramme est extrait à
+  l'indexation et donc recherchable (`ext:excalidraw`).
+
+Fiche technique : [`features/excalidraw.md`](../features/excalidraw.md).
+
+---
+
+## 7. Autres contenus riches
+
+### Mermaid
+
+Les blocs de code ` ```mermaid ` sont rendus en diagrammes interactifs (live
+preview, thèmes, zoom, plein écran, pré-processeur compatible syntaxe Obsidian).
+
+### Images Obsidian
+
+Toutes les syntaxes d'images sont supportées avec résolution intelligente en
+7 stratégies :
+
+1. chemin absolu ;
+2. dossier d'attachements configuré (`VAULT_N_ATTACHMENTS_PATH`) ;
+3. index de démarrage (correspondance unique) ;
+4. même répertoire que la note ;
+5. racine de la vault ;
+6. index de démarrage (correspondance la plus proche) ;
+7. repli : `[image not found: fichier.ext]`.
+
+Rescan manuel des attachements :
+
+```bash
+curl -X POST "http://localhost:2020/api/attachments/rescan/Recettes"
+```
+
+### Graphe et backlinks
+
+- **Graphe** : vue force-directed (Barnes-Hut), filtres (tag, type), profondeur,
+  mode focus, export PNG, aperçu au survol (`Ctrl + clic`).
+- **Backlinks** : `GET /api/file/{vault}/backlinks?path=…` liste les notes
+  pointant vers un document.
+
+---
+
+## 8. Dépannage
+
+| Symptôme | Piste |
+|---|---|
+| Un PDF ne s'affiche pas | Vérifier la taille (`OBSIGATE_PDF_MAX_SIZE_MB`, défaut 50 Mo) |
+| Le texte d'un PDF scanné n'est pas trouvé | Pas d'OCR : normal |
+| Une image reste introuvable | Configurer `VAULT_N_ATTACHMENTS_PATH`, puis rescan |
+| La recherche sémantique ne s'active pas | Vérifier le toggle `~` et `OBSIGATE_EMBEDDING_*` |
+| Résultats obsolètes | Forcer une réindexation : `GET /api/index/reload` |
@@ -14,7 +14,7 @@

 - **Projet** : ObsiGate — Porte d'entrée web pour vaults Obsidian
 - **Stack** : Python 3.11+ (backend FastAPI) · JavaScript/Vanilla (frontend) · Tauri/Rust (desktop)
- **Dernière mise à jour** : 2026-09-16
+- **Dernière mise à jour** : 2026-09-17

 ---

@@ -144,12 +144,12 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-032* | [🟡 IMPORTANT] Indexation : symlinks suivis (contenu hors vault indexé) + scan initial coûteux | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/indexer.py` | Placer un symlink dans le vault vers un dossier externe puis relancer l'index | `_scan_vault` réécrit avec `os.walk(followlinks=False)` + refus des symlinks sortant de la racine ; test `TestSymlinkIndexing` | Scan incrémental/index persistant : voir #86 (phase 3) |
 | *BUG-033* | [🟡 IMPORTANT] Recherche classique et tool IA `search_fulltext` en O(N) sans inverted index | 🟢 corrigé | P1 | ⚙️ backend | IA | `backend/search.py`, `backend/tools/service.py` | `GET /api/search` sur un vault de 50 000 fichiers | `search()` récupère les candidats via l'inverted index (intersection des termes + expansion de préfixes), repli sur le scan pendant la construction | `search_fulltext` en bénéficie automatiquement |
 | *BUG-034* | [🟡 IMPORTANT] CSP affaiblie (`'unsafe-inline'` + CDN distants) et token d'accès en sessionStorage | 🟢 corrigé | P1 | 🔐 sécurité | IA | `backend/main.py`, `frontend/js/auth.js`, `frontend/js/admin.js`, `frontend/js/sync.js` | Inspecter les en-têtes CSP ; lire sessionStorage en console | Token en mémoire + cookie HttpOnly (plus de `sessionStorage`) ; CSP durcie (`object-src 'none'`, `base-uri`, `form-action`, `frame-ancestors`). *Reste : migration nonce* | `'unsafe-inline'` conservé tant que les gestionnaires inline n'ont pas été convertis (résidu documenté) |
-| *BUG-035* | [🔵 MINEUR] `secret_redactor` : faux positifs sur les hashs hex (git, SHA) | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/secret_redactor.py` | Lire une note contenant un commit git (40 caractères hexadécimaux) | Restreindre le périmètre de détection (contexte clé/token) + whitelist | Contenus mutilés dans les lectures et réponses IA |
-| *BUG-036* | [🔵 MINEUR] Collab WebSocket : token en query string | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/collab.py` | Observer l'URL du websocket dans le trafic réseau | Passer le token en header / étape d'authentification initiale ; borner la taille des messages | Jeton visible dans les logs/proxys |
-| *BUG-037* | [🔵 MINEUR] Compte « anonymous » administrateur si auth désactivée | 🔴 ouvert | P2 | 🔐 sécurité | IA | `backend/auth/middleware.py` | Démarrer avec l'authentification désactivée | Avertissement explicite au démarrage + refus de déploiement public sans auth | Comportement par conception mais risqué si mal configuré |
-| *BUG-038* | [🔵 MINEUR] Argon2 à 64 MB par vérification : risque d'épuisement mémoire | 🔴 ouvert | P2 | 🔐 sécurité | IA | `backend/auth/password.py:8` | Lancer de nombreux `POST /api/auth/login` simultanés | Recalibrer (~19 MB, t=2, p=1, norme OWASP actuelle) + maintien du rate-limit | DoS mémoire possible sur les petites instances |
-| *BUG-039* | [🔵 MINEUR] Enumération de comptes : 429 (verrouillé) vs 401 (inconnu) | 🔴 ouvert | P3 | 🔐 sécurité | IA | `backend/auth/router.py:120` | Tenter un login sur un compte verrouillé puis un nom inconnu | Répondre 401 uniforme avec un timing équivalent | Le statut HTTP distingue l'existence d'un compte |
-| *BUG-040* | [🔵 MINEUR] Extraction PDF intégrale (100 ko) au scan de démarrage | 🔴 ouvert | P2 | ⚙️ backend | IA | `backend/indexer.py:465` | Démarrer sur un vault contenant de nombreux PDF | Analyser les PDF en tâche de fond / à la demande (lazy) | Ralentit fortement le démarrage et le rebuild d'index |
+| *BUG-035* | [🔵 MINEUR] `secret_redactor` : faux positifs sur les hashs hex (git, SHA) | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/secret_redactor.py` | Lire une note contenant un commit git (40 caractères hexadécimaux) | Masquage hex conditionné au contexte (`_redact_bare_hex_secrets`) : secret exigé dans les 60 caractères précédents, exemption explicite pour `commit`/`sha*`/`hash`/`checksum`/`git`/`etag`. Tests : `tests/test_api_main.py::TestSecretRedactor` (+4) | Contenus mutilés dans les lectures et réponses IA |
+| *BUG-036* | [🔵 MINEUR] Collab WebSocket : token en query string | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/collab.py` | Observer l'URL du websocket dans le trafic réseau | `authenticate_websocket` ne lit plus `?token=` : cookie HttpOnly `access_token` uniquement ; rejet des trames > `MAX_MESSAGE_CHARS` (16 Mio) avant analyse. Tests : `tests/test_collab.py` (+3) | Jeton visible dans les logs/proxys |
+| *BUG-037* | [🔵 MINEUR] Compte « anonymous » administrateur si auth désactivée | 🟢 corrigé | P2 | 🔐 sécurité | IA | `backend/auth/middleware.py`, `backend/main.py` | Démarrer avec l'authentification désactivée | `_guard_insecure_auth()` : avertissement explicite + refus de démarrage sur bind non-loopback sans `OBSIGATE_ALLOW_INSECURE=true`. Tests : `tests/test_auth.py::TestInsecureAuthGuard` (+6) | Comportement par conception mais risqué si mal configuré |
+| *BUG-038* | [🔵 MINEUR] Argon2 à 64 MB par vérification : risque d'épuisement mémoire | 🟢 corrigé | P2 | 🔐 sécurité | IA | `backend/auth/password.py` | Lancer de nombreux `POST /api/auth/login` simultanés | Recalibré à `m=19456 Kio (19 Mio), t=2, p=1` (OWASP) ; anciens hachages valides + rehash auto. Test : `tests/test_auth.py::TestPasswordHashing::test_argon2_memory_recalibrated` | DoS mémoire possible sur les petites instances |
+| *BUG-039* | [🔵 MINEUR] Enumération de comptes : 429 (verrouillé) vs 401 (inconnu) | 🟢 corrigé | P3 | 🔐 sécurité | IA | `backend/auth/router.py` | Tenter un login sur un compte verrouillé puis un nom inconnu | Login uniforme : inconnu / désactivé / verrouillé / rate-limit par compte → `401 Identifiants invalides` + hachage factice (timing équivalent) ; seul le rate-limit IP reste `429`. Tests : `tests/test_auth_api.py` (+3) | Le statut HTTP distinguait l'existence d'un compte |
+| *BUG-040* | [🔵 MINEUR] Extraction PDF intégrale (100 ko) au scan de démarrage | 🟢 corrigé | P2 | ⚙️ backend | IA | `backend/indexer.py`, `backend/main.py` | Démarrer sur un vault contenant de nombreux PDF | `_scan_vault` ne lit que les métadonnées ; `enrich_pdf_texts()` extrait le texte après l'index (démarrage) et après chaque réindexation. Tests : `tests/test_pdf.py` (+3) | Ralentit fortement le démarrage et le rebuild d'index |
 | *BUG-041* | [🟡 IMPORTANT] Assistant IA : échec sur un répertoire vide (« Aucun fichier markdown trouvé dans ce dossier ») au lieu de répondre | 🟢 corrigé | P1 | 📱 frontend + ⚙️ backend | IA | `backend/bookslm_routes.py`, `backend/bookslm.py`, `frontend/js/bookslm.js` | Ouvrir l'assistant sur un dossier vide puis envoyer une question | `_resolve_system_prompt` dégrade vers le prompt Général + bloc « Dossier vide » (plus de 404) ; contexte applicatif `app_context` enrichi (documents ouverts, répertoire, recherche, fichiers récents) | Le 404 bloquait toute la requête. Feature #88, fiche `docs/features/ai-app-context.md`. Tests : `tests/test_bookslm.py` (+3), `tests/frontend/ai.test.mjs` |
 | *BUG-042* | [🟡 IMPORTANT] Assistant IA : liens de fichiers non fiables (« File not found: ») — pas de règle déterministe nom / dossier / chemin | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/bookslm.js` | Cliquer les liens de fichiers/dossiers dans une réponse de l'assistant (noms avec espaces et/ou accents, chemin préfixé par le nom du vault) | `_classifyPath` distingue `name` (copie presse-papiers) / `dir` (révélation arborescence) / `file` (ouverture) ; `_activatePath()` résout le chemin contre l'index du vault (exact → suffixe → basename unique) avant d'agir ; espaces + accents pris en charge (classes Unicode `\p{L}\p{N}\p{M}`, comparaison normalisée NFC, markdown `<…>`/`%20`, code inline, mentions brutes confirmées par l'index) ; `_splitVaultPrefix` retire un préfixe `Vault/…` et ouvre dans ce vault (`_fetchPathsForVault`) | Les liens morts ouvraient un fichier inexistant. Feature #88. Tests : `tests/frontend/ai.test.mjs` (+11) |
 | *BUG-043* | [🟡 IMPORTANT] Assistant IA : la liste des fournisseurs de la barre latérale ne suit pas les ajouts/retraits de clés API dans la configuration du projet | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/ai.js`, `frontend/js/bookslm.js`, `frontend/js/config.js` | Ajouter (ou supprimer) une clé de fournisseur AI dans la configuration puis observer le menu Fournisseur de l'assistant sans recharger la page | Le picker lit `/api/ai/status` **une seule fois**, à sa construction, et le panneau de l'assistant est un singleton monté pour toute la session → liste figée. Nouveau `refreshAIPickers()` (exporté par `ai.js`) qui reconstruit chaque picker monté dans son emplacement `.ai-picker-slot` (conservé même sans fournisseur configuré, donc un premier fournisseur s'y monte aussi) ; appelé après `saveAIKeys()` et `deleteAIKey()` (`config.js`) ; une sélection dont le fournisseur n'est plus configuré est purgée de `obsigate_ai_picker` (retour au défaut + modèle effacé au lieu d'un nom fantôme) | Il fallait recharger la page pour voir un nouveau fournisseur (ou en voir disparaître un). Feature #82. Tests : `tests/frontend/ai.test.mjs` (+4) |
@@ -163,6 +163,23 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | *BUG-051* | [🟡 IMPORTANT] Assistant IA : la recherche web répond toujours « je ne peux pas accéder à internet » (mode agent ou non) | 🟢 corrigé | P1 | ⚙️ backend + 🤖 ia | IA | `backend/tools/web.py`, `tests/test_web_tools.py` | Assistant : « fais une recherche sur l'horaire du Canadien de Montréal 2026-2027 » | `backend/tools/web.py` : chaîne de repli sans clé — SearXNG puis DuckDuckGo (HTML sans JS) puis Bing (HTML), premier fournisseur non vide retenu (`provider`), replis désactivables via `OBSIGATE_WEB_FALLBACK=0` | Cause : l'instance SearXNG par défaut (`search.dracodev.net`) remonte 0 résultat (moteurs amont suspendus/CAPTCHA) → le modèle en déduisait une absence d'accès réseau. Tests : `tests/test_web_tools.py` (+4) |
 | *BUG-052* | [🟡 IMPORTANT] Assistant IA : recherche web sans réponse finale (10 étapes + sources affichées, aucun texte dans la conversation) | 🟢 corrigé | P1 | ⚙️ backend + 🤖 ia | IA | `backend/agent/loop.py`, `tests/test_agent_loop.py` | Assistant (mode agent) : recherche web qui enchaîne 10 étapes puis n'affiche aucune réponse | `backend/agent/loop.py` : `_finalize_answer` — dernier appel LLM sans outil (instruction de synthèse) quand le budget d'itérations/quota est épuisé, repli déterministe `_fallback_summary` (liste des sources), résultats `deferred` pour les appels non atteints du lot en quota | Cause : `content=""` renvoyé sur `STOP_MAX_ITERATIONS`/`STOP_QUOTA_EXCEEDED` alors que le modèle appelait encore des outils. Tests : `tests/test_agent_loop.py` (+2) |
 | *BUG-053* | [🟡 IMPORTANT] Assistant IA (mode agent) : le fichier demandé n'est pas créé — le modèle émet un bloc texte `obsigate-action` au lieu d'appeler l'outil `create_file` | 🟢 corrigé | P1 | ⚙️ backend + 🤖 ia | IA | `backend/bookslm.py`, `backend/bookslm_routes.py`, `tests/test_bookslm.py` | Mode agent, contexte Général (ou dossier vide) : « créer le fichier TestVault/sport/… avec le tableau des 84 matchs » → réponse avec un bloc ```obsigate-action``` tronqué, aucun fichier | `backend/bookslm.py` : protocole d'action scindé — `GENERAL_ACTION_TOOL_PROTOCOL` (outils natifs, interdiction des blocs `obsigate-action`) utilisé quand `agent=True`, protocole texte conservé pour le chat classique ; `backend/bookslm_routes.py` : `_resolve_system_prompt(..., agent=True)` depuis l'endpoint agent + règle « Mode agent » pour les prompts dossier/documents, `max_tokens` agent 4096 → 8192 (contenu de fichier complet) | Cause : le prompt Général enseignait encore le protocole texte alors que l'agent dispose du function calling. Tests : `tests/test_bookslm.py` (+3) |
+| *BUG-054* | [🟡 IMPORTANT] Éditeur « Editer » : le bouton Sauvegarder reste bloqué sur le spinner de chargement (retour au crochet uniquement après un refresh complet) | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/utils.js` | Ouvrir un fichier → Editer → cliquer Sauvegarder (ou Ctrl+S) ; rouvrir l'éditeur : le bouton reste un spinner désactivé | Nouveau helper `resetSaveButton()` (crochet `&#10003;` + `disabled=false` + styles en ligne nettoyés) appelé à l'ouverture (`openEditor`), à la fermeture (`closeEditor`) et en cas d'échec (`saveFile`). Tests : `tests/frontend/editor-inline.test.mjs` (+4) | Le nœud `#editor-save` est partagé entre sessions : l'état « spinner + désactivé » posé par une sauvegarde manuelle n'était jamais remis à zéro (succès → fermeture puis réouverture, Forge, ou échec réseau dans le `catch`). Seul un rechargement de `index.html` restaurait le crochet |
+| *BUG-055* | [🟡 IMPORTANT] Éditeur Forge : l'autocomplétion (Tab) ajoute des espaces parasites, l'effacement détruit le mot complété et la complétion fantôme est illisible | 🟢 corrigé | P1 | 📱 frontend + ⚙️ backend | IA | `frontend/editor-poc.html`, `frontend/js/autocomplete.js`, `backend/ai.py`, `.gitea/workflows/ci.yml`, `tests/frontend/forge-completion.test.mjs` (nouveau) | Forge : taper un mot, puis Tab pour compléter ; un espace (voire deux) s'insère avant le mot complété, et le retour arrière efface l'ajout. La prédiction IA s'affichait décalée (texte miroir du document entier) | **Cause** : trois gestionnaires `keydown` Tab indépendants s'exécutaient tous — l'indentation (`insertAtCursor('  ')`) s'ajoutait à la complétion de mot et à l'acceptation du ghost. **Correctif** : gestion **unifiée** de Tab (`liste ouverte > ghost > mot du document > indentation`, une seule action), helpers purs partagés (`getWordFragment`, `findWordCompletions`, `normalizeGhost`, `chooseTabAction`) dans `autocomplete.js`, liste déroulante si plusieurs candidats, dropdown positionné au curseur, ghost **positionné au curseur** (fini le miroir du document, nettoyé au déplacement/scroll), complétion de mot sans espace garanti (`normalizeGhost` tronque au premier espace) et prompt `/api/ai/inline-complete` simplifié. Tests : `tests/frontend/forge-completion.test.mjs` (28). | Cause du bug : l'indentation Tab n'était pas conditionnée à l'absence de suggestion. Le ghost re-rendait tout le texte transparent + prédiction, d'où l'impression d'espaces et les erreurs d'effacement |
+| *BUG-056* | [🟡 IMPORTANT] Éditeur Forge en plein écran : l'Assistant IA s'ouvre en arrière-plan et reste invisible | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/editor-poc.html`, `frontend/js/sync.js`, `tests/frontend/forge-completion.test.mjs`, `tests/frontend/editor-inline.test.mjs` | Forge : passer en plein écran puis cliquer le bouton « Assistant IA » (ou `Ctrl+J`) — le panneau s'ouvre dans le document parent, masqué par l'iframe plein écran | Sortie du plein écran **avant** d'ouvrir le panneau, des deux côtés : côté iframe (`openAssistant` → `document.exitFullscreen()` puis `postMessage` à la résolution) **et** côté parent (`sync.js` sur `forge-open-ai` → `document.exitFullscreen()` puis `openForCurrentContext()`), car le plein écran peut être détenu par le document parent et non par l'iframe (dans ce cas `document.fullscreenElement` est nul dans l'iframe et sa sortie échoue). Tests : `forge-completion.test.mjs` (+1), `editor-inline.test.mjs` (+1) | Le panneau assistant est monté dans `document.body` du parent : l'API Fullscreen ne rend que l'élément plein écran et ses descendants, donc il ne peut pas s'afficher au-dessus de l'iframe Forge en plein écran. La sortie côté iframe seule ne suffisait pas quand le parent détient le plein écran |
+| *BUG-057* | [🟡 IMPORTANT] Assistant IA : le bouton « Ajouter » est inopérant dans l'éditeur Forge (fonctionne seulement dans « Editer ») | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/bookslm.js`, `frontend/editor-poc.html` | Ouvrir un document dans Forge, demander une réponse à l'assistant puis cliquer « Ajouter » | `_insertIntoEditor()` cible Forge (`#forge-iframe`) : `postMessage({ type: 'parent-insert', text })` ; `editor-poc.html` insère au curseur (`insertAtCursor`) et marque le tampon modifié. Repli textarea inclus. Tests : `tests/frontend/ai.test.mjs` (+3), `tests/frontend/editor-inline.test.mjs` (+1) | `state.editorView` (CodeMirror) est nul en Forge : le clic affichait « Aucun document ouvert dans l'éditeur » |
+| *BUG-058* | [🔵 MINEUR] Éditeur « Editer » : la barre de numérotation de ligne ne suit pas la couleur du thème (gutter clair `#f5f5f5` en thème sombre) | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css` | Ouvrir un document → Editer en thème sombre : la colonne des numéros de ligne reste gris clair alors que le fond de l'éditeur est sombre | Thème du gutter CodeMirror via les variables CSS (`color-mix(var(--text-primary) …)` pour le fond, `--text-secondary` pour les numéros, `--border` pour la séparation, `--text-primary` pour la ligne active) au lieu des valeurs codées en dur de CodeMirror ; test de non-régression dans `tests/frontend/editor-inline.test.mjs`. Vérifié Playwright (instance de test) : sombre `color(srgb 0.90 0.93 0.95 / 0.05)` + bordure `#21262d`, clair `color(srgb 0.12 0.14 0.16 / 0.05)` + bordure `#d0d7de` | CodeMirror applique `background:#f5f5f5` par défaut, indépendamment du thème ObsiGate ; en mode sombre le fond de l'éditeur suit `--bg-secondary` mais pas le gutter |
+| *BUG-060* | [🟡 IMPORTANT] Viewer PDF : l'affichage des pages ne fonctionne pas — seule la barre d'outils « PDF — N pages » s'affiche, le contenu reste vide | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs` (nouveau), `tests/e2e/pdf-viewer.spec.js` (nouveau) | Cliquer un fichier `.pdf` dans l'arborescence | `frontend/js/viewer.js` : le rendu PDF passe de `<embed type="application/pdf">` à `<iframe>` (autorisée par `frame-src 'self'`, le stream étant same-origin). Tests : `tests/frontend/pdf-viewer.test.mjs` (+6) et `tests/e2e/pdf-viewer.spec.js` (fixture `test_vault/sample-pdf.pdf`) | Cause : la CSP durcie en BUG-034 pose `object-src 'none'`, directive qui gouverne `<embed>`/`<object>` → le lecteur PDF natif était bloqué (barre d'outils rendue, corps vide). Le test E2E échoue bien avec l'ancien `<embed>`. `object-src 'none'` conservé (le correctif ne désarme pas la CSP) |
+| *BUG-061* | [🟡 IMPORTANT] Assistant IA : le bouton « Plein écran » n'agrandit plus le panneau | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css`, `tests/frontend/ai.test.mjs` | Ouvrir l'assistant, redimensionner le panneau, puis cliquer « Plein écran » | La largeur du panneau est écrite en ligne par la poignée de redimensionnement / la largeur persistée (`localStorage`) ; l'inline l'emportait sur `.bookslm-panel.fullscreen { width: 100vw }`. Ajout de `!important` sur la règle plein écran. Tests : `ai.test.mjs` (+1 : classe basculée + règle CSS). Vérifié Playwright : 640 px → 1400 px (viewport) |
+| *BUG-062* | [🟡 IMPORTANT] Viewer PDF : le document ne prend pas toute la largeur quand la navigation est masquée | 🟢 corrigé | P2 | 📱 frontend | IA | `frontend/style.css`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js` | Ouvrir un PDF puis masquer la barre de navigation gauche | La règle `.sidebar.hidden ~ .content-wrapper .content-area { max-width: 1200px }` (colonne de lecture centrée) s'appliquait aussi aux viewers plein cadre. Ajout de `.content-area:has(.pdf-viewer-container)` (et `.image-viewer-container`) avec `max-width: none; margin: 0`. Test E2E : `max-width` calculé = `none`, conteneur = largeur du contenu |
+| *BUG-063* | [🟡 IMPORTANT] Viewer PDF : la table des matières s'affiche mais ne navigue pas | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js` (fixture `test_vault/sample-pdf-toc.pdf`) | Ouvrir un PDF avec signets, puis cliquer une entrée de la TOC | Deux causes : (1) `contentWindow.location.hash='page=N'` n'atteint pas le document (lecteur PDF natif dans une fenêtre `about:blank`) ; (2) un simple changement de fragment sur `iframe.src` est une navigation same-document **ignorée** par le lecteur natif. `navigatePdfToPage()` (liens `data-page` + listeners, plus d'`onclick` inline) recharge réellement l'iframe via un paramètre de query qui change (`&_pdfpage=<ts>#page=N`). Test E2E : `src` finit par `&_pdfpage=<n>#page=3`. Vérifié en Chrome *headful* : page 1 → page 8 → page 1 (captures identiques au retour) | Le fragment seul ne suffisait pas : Chrome applique `#page=N` au **chargement**, pas lors d'un changement de fragment |
+| *BUG-064* | [🟡 IMPORTANT] Éditeur Excalidraw : le diagramme ne s'affiche jamais (canvas vide), pour tout fichier `.excalidraw` / `.excalidraw.md` | 🟢 corrigé | P1 | 📱 frontend + ⚙️ backend | IA | `frontend/excalidraw-editor.html`, `backend/main.py`, `tests/frontend/excalidraw-viewer.test.mjs`, `tests/test_security_hardening.py`, `tests/e2e/excalidraw.spec.js`, `test_vault/diagram-app-export.excalidraw` | Ouvrir un `.excalidraw` (ou `.excalidraw.md`) dans ObsiGate | Deux causes : (1) la feuille de style d'Excalidraw n'était jamais chargée → éditeur non stylisé + `.excalidraw` sans hauteur fixe → boucle de resize jusqu'au plafond `2^25` (33 554 432 px) → scène blanche. Correctif : `<link>` CSS depuis esm.sh + `style-src` CSP autorisant `https://esm.sh`. (2) `appState.collaborators` objet JSON → `collaborators.forEach is not a function` ; `sanitizeAppState()` reconvertit en `Map` et écarte `width/height/offsetLeft/offsetTop`. | Vérifié navigateur : hauteur canvas 525 px (avant 33 554 432), dessin affiché, UI stylisée, 0 erreur. E2E + tests statiques CSP/CSS ajoutés. |
+| *BUG-065* | [🟡 IMPORTANT] Éditeur Excalidraw : l'auto-save recharge la page en pleine édition | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/js/excalidraw-viewer.js`, `frontend/js/utils.js`, `frontend/excalidraw-editor.html`, `tests/frontend/excalidraw-viewer.test.mjs` | Ouvrir un `.excalidraw` puis modifier un élément : au bout de 2 s la vue se recharge | Chaque modification déclenchait un `PUT save` 2 s plus tard → SSE `index_updated` → `reloadExternalWrite` → `openFile` → **recréation de l'iframe** (refresh visible). Auto-save supprimée : sauvegarde explicite (bouton 💾 / Ctrl+S). `reloadExternalWrite` ignore le fichier si un iframe Excalidraw est ouvert (`iframe[data-excalidraw-vault/path]`). Le badge « Modified » ne réagit plus aux changements d'`appState` (resize/zoom) mais à la signature des éléments. | Vérifié Playwright : plus de refresh, badge stable après bascule plein écran. Test statique (absence de `requestSave`/`saveTimer`). |
+| *BUG-066* | [🔵 MINEUR] Configuration : icônes manquantes dans la table des matières (« Fichiers cachés », « Partages publics ») | 🟢 corrigé | P3 | 📱 frontend | IA | `frontend/locales/{fr,en}.json` | Ouvrir Configuration → observer le sommaire : les entrées « Fichiers cachés » et « Partages publics » n'ont pas d'icône | `config.section_hidden` → « 🗂️ Fichiers cachés » / « 🗂️ Hidden files », `config.section_shares` → « 📤 Partages publics » (EN avait déjà l'icône). Test : `tests/frontend/unit.test.mjs` (+1 : toutes les entrées du sommaire portent une icône FR/EN) | Les libellés du sommaire utilisent des clés i18n distinctes des titres de section (`auto.f8ba6127`, `config.section_partages-publics`) qui, elles, avaient l'icône |
+| *BUG-067* | [🔵 MINEUR] Guide d'utilisation : l'entrée « 📱 Mobile » du sommaire ne fait rien (section absente) | 🟢 corrigé | P3 | 📱 frontend | IA | `frontend/index.html` | Ouvrir le Guide → cliquer « 📱 Mobile » dans le sommaire : rien ne se passe | L'ancre `#help-mobile-editor` était présente dans la TOC mais aucune section `id="help-mobile-editor"` n'existait (l'édition mobile n'était qu'un h3 de `help-edition`). Fix #105 : section dédiée créée avec ancre + entrée de nav cohérente. | Vérifié par test statique `tests/test_guide.py::test_nav_anchors_resolve` |
+| *BUG-068* | Configuration — section « 🔒 Sécurité du compte » inachevée : boutons hors thème, QR code invisible, fiabilité des fonctions à valider | 🟢 corrigé | P1 | 📱 frontend + ⚙️ backend | IA | `frontend/js/auth.js`, `frontend/style.css`, `backend/auth/router.py` | Configuration → 🔒 Sécurité du compte | `frontend/style.css` (+`config-btn-primary`/`danger` thème), `backend/auth/router.py` (`qr_data_url` segno local), `frontend/js/auth.js` (QR local + fallback, recovery WebAuthn, carte mot de passe, escapeHtml labels), locales FR/EN, `backend/requirements.txt` (+segno) ; tests `tests/test_mfa.py` (+1) + `tests/frontend/mfa-settings.test.mjs` (nouveau, 9) | pytest 1241 passed / 6 skipped, ruff 0, mypy 0, frontend unit + validate-imports verts |
+| *BUG-069* | Login 2FA bloqué sans erreur : après user+pwd corrects, la page de login reste affichée et le challenge MFA n'apparaît jamais | 🟢 corrigé | P0 | 📱 frontend | IA | `frontend/js/auth.js`, `frontend/index.html` | Activer 2FA → logout → login (bon user+pwd) | `frontend/js/auth.js` (`showMfaChallenge` → `.login-card` + erreur `mfa.challenge_unavailable` si montage impossible), locales FR/EN ; tests `tests/frontend/mfa-settings.test.mjs` (+2) | Reproduit au navigateur avant correctif (challenge jamais affiché), vérifié après : challenge affiché, code erroné → erreur, code valide (200) → app ; frontend mfa-settings 11/11, unit + validate-imports verts |
+| *BUG-070* | Activation clé physique WebAuthn impossible : « Validation du credential WebAuthn échouée » à chaque tentative | 🟢 corrigé | P0 | ⚙️ backend | IA | `backend/auth/webauthn_mfa.py`, `backend/auth/router.py` | Config → Sécurité → Ajouter une clé → cérémonie navigateur → 400 | `resolve_relying_party()` (rp_id/origines dérivés de la requête, config explicite prioritaire, forwarded si TRUST_PROXY) sur les 4 endpoints ; challenges multiples (5 derniers) acceptés ; `.env.example` ; tests `tests/test_webauthn.py` (+8) | Logs : origin `http://localhost:2020` rejetée + challenge mismatch au retry. Vérifié navigateur (authentificateur virtuel CDP) : register 200 + clé listée, clé de test retirée (admin de nouveau TOTP seul) ; pytest 1249 passed, ruff/mypy 0 |
+| *BUG-071* | Configuration « Configurations » inutilisable en mode mobile : sommaire masqué sans bouton d'accès, navigation par ancre sans JS, grilles 2 colonnes et rangées d'ajout qui débordent (≤768px) | 🟢 corrigé | P1 | 📱 frontend | IA | `frontend/index.html`, `frontend/js/config.js`, `frontend/js/i18n.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json` | Mobile (≤768px) : ouvrir Configurations → aucun sommaire ni moyen d'atteindre une section ; champs « Clés IA » / jetons / webhooks débordent | `index.html` (+`#config-hamburger` `.help-hamburger`, `config.toc_toggle` FR/EN) ; `config.js` (toggle, scroll doux + actif + repli auto mobile, reset à l'ouverture) ; `i18n.js` (`data-i18n-attr` multi-paires `;`) ; `style.css` (bloc mobile `#config-modal` : sommaire haut 46vh, grilles 1fr, add-rows wrap + `!important`, items wrap, 44px) ; tests `tests/frontend/config-mobile.test.mjs` (nouveau, 11) + CI ; E2E `tests/e2e/config-mobile.spec.js` (nouveau, 3/3 projet chromium-mobile, ignoré en desktop) | pytest 1249 passed / 6 skipped, ruff 0, mypy 0, validate-imports 39 modules, unit 10/10, JSDOM ai 93/93 + sidebar 6/6 + mobile 35/35 + ai-keys 7/7 |
 |  | | | | | | | | | | |

 ### TODOs techniques (améliorations / nouvelles tâches)
@@ -217,6 +234,30 @@ Avant de corriger quoi que ce soit, un agent IA doit :
 | 2026-09-16 | BUG-051 (complément) | Correction | `backend/tools/web.py`, `CHANGELOG.md` | **BUG-051** suite : un `User-Agent` navigateur seul ne suffit pas — Bing renvoie une SERP factice (résultats sans rapport, ex. « highest paying jobs » / « Sam Reid ») aux requêtes sans en-têtes de navigation. Ajout de `BROWSER_HEADERS` (`Accept-Language`, `Sec-Fetch-*`, `Upgrade-Insecure-Requests`) pour DuckDuckGo et Bing. Vérifié **en conteneur** (`obsigate-test`, v2.7.1) : `web_search('Canadien de Montreal horaire matchs 2026 2027')` → `provider: bing`, 5 résultats pertinents (nhl.com/fr/canadiens, rds.ca, fr.wikipedia.org). | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-16 | BUG-052 | Correction | `backend/agent/loop.py`, `tests/test_agent_loop.py`, `CHANGELOG.md` | **BUG-052** : la boucle d'agent ne rendait plus jamais de réponse vide. `_finalize_answer` : à l'épuisement du budget d'itérations (`STOP_MAX_ITERATIONS`) ou du quota d'appels (`STOP_QUOTA_EXCEEDED`), un dernier appel LLM **sans outil** reçoit une instruction de synthèse (« N'appelle plus aucun outil. Réponds maintenant… ») et son texte devient la réponse ; si l'appel échoue ou reste vide, `_fallback_summary` compose une liste déterministe des sources (`web_search`/`fetch_url`) pour ne jamais renvoyer un tour vide. Les `tool_calls` non atteints lors d'un arrêt sur quota reçoivent un résultat `deferred` (conversation valide pour la synthèse). Vérifié : `tests/test_agent_loop.py` 16/16 (+2 : synthèse finale, repli sources), suite complète 1084 passed / 6 skipped (14 erreurs MCP préexistantes), ruff 0 (backend), mypy 0 (`backend/agent/loop.py`). | 🟢 corrigé (en attente vérif utilisateur) |
 | 2026-09-16 | BUG-053 | Correction | `backend/bookslm.py`, `backend/bookslm_routes.py`, `tests/test_bookslm.py`, `CHANGELOG.md` | **BUG-053** : en mode agent, le prompt Général (et dossier vide) enseignait le protocole texte `obsigate-action` ; le modèle décrivait donc l'action au lieu d'appeler l'outil natif `create_file` (bloc volumineux de surcroît tronqué avant fermeture → aucun fichier créé). Le prompt est scindé : `GENERAL_ACTION_TOOL_PROTOCOL` (appel direct des outils natifs, interdiction explicite des blocs `obsigate-action`) pour `build_general_system_prompt(agent=True)`, le protocole texte restant utilisé par le chat classique ; `_resolve_system_prompt` propage `agent` et ajoute une règle « Mode agent » aux prompts dossier/documents ; `max_tokens` de l'agent porté à 8192 pour un contenu de fichier complet. Vérifié : `tests/test_bookslm.py` 68/68 (+3 : prompt agent sans protocole texte, prompt classique inchangé, prompt système de l'endpoint agent), suite complète 1087 passed / 6 skipped (14 erreurs MCP préexistantes), ruff 0 (backend), mypy 0 (`backend/bookslm.py`, `backend/bookslm_routes.py`). | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-054 | Correction | `frontend/js/utils.js`, `tests/frontend/editor-inline.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-054** : le bouton `#editor-save` (nœud partagé entre toutes les sessions d'édition) restait bloqué sur le spinner de chargement et désactivé — une sauvegarde manuelle (clic ou Ctrl+S) remplaçait le crochet par le loader et ne le restaurait jamais : succès (l'éditeur se ferme, la réouverture réaffichait le spinner), sauvegarde Forge, ou échec réseau (le `catch` ne restaurait ni l'icône ni l'état). Nouveau helper `resetSaveButton()` (crochet `&#10003;`, `disabled=false`, styles en ligne nettoyés) appelé à l'ouverture (`openEditor`), à la fermeture (`closeEditor`) et en cas d'échec (`saveFile`). Vérifié : `tests/frontend/editor-inline.test.mjs` 29/29 (+4), validate-imports 38 modules / 0 erreur. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | #101 | Feature | `frontend/editor-poc.html`, `frontend/js/sync.js`, `frontend/js/viewer.js`, `frontend/js/utils.js`, `frontend/index.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/editor-inline.test.mjs`, `docs/features/forge-assistant.md` (nouvelle), `docs/ROADMAP.md`, `CHANGELOG.md` | **#101** : le bouton « AI Panel » de Forge ouvre désormais l'**Assistant IA** partagé (`postMessage forge-open-ai` → `bookslm.openForCurrentContext()`) au lieu du mini-chat isolé (supprimé) ; Forge lit `localStorage['obsigate_ai_picker']` (`aiPickerSelection()`) pour ses appels `/api/ai/*` et sa complétion fantôme (repli `ollama`), endpoints corrigés (`make-longer`/`make-shorter`, `target_lang`) ; bouton **plein écran** natif ajouté à Forge (iframe `allow="fullscreen"`) et à Editer (`#editor-fullscreen`, conteneur `#editor-container`, sortie à la fermeture, Échap laissé au navigateur) ; i18n `editor.fullscreen`/`editor.exit_fullscreen`. Vérifié : `tests/frontend/editor-inline.test.mjs` 40/40 (+10), unit 9/9, validate-imports 38 modules, 13 suites JSDOM vertes. | 🟢 livré (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-055 | Correction | `frontend/editor-poc.html`, `frontend/js/autocomplete.js`, `backend/ai.py`, `.gitea/workflows/ci.yml`, `tests/frontend/forge-completion.test.mjs` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-055** : trois gestionnaires `keydown` Tab indépendants s'exécutaient à chaque appui — l'indentation (`insertAtCursor('  ')`) s'ajoutait à la complétion de mot (`insertAtCursor(suffixe)`) et à l'acceptation du ghost text, d'où l'espace parasite avant le mot complété puis un effacement destructeur. Gestion **unifiée** de Tab (`liste ouverte > ghost > mot du document > indentation`), helpers purs partagés (`getWordFragment`/`findWordCompletions`/`normalizeGhost`/`chooseTabAction`) extraits dans `autocomplete.js`, liste déroulante au curseur quand plusieurs mots correspondent, ghost **positionné au curseur** (plus de miroir du document entier, nettoyé au déplacement/scroll), complétion de mot sans espace garantie et prompt `/api/ai/inline-complete` simplifié (128 tokens). Vérifié : `tests/frontend/forge-completion.test.mjs` 28/28 (nouveau), `unit.test.mjs` 9/9, `editor-inline.test.mjs` 40/40, `ai.test.mjs` 88/88, validate-imports 38 modules, pytest 1101 passed / 6 skipped, ruff 0, mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-055 (complément) | Correction | `frontend/editor-poc.html`, `frontend/js/utils.js`, `tests/frontend/forge-completion.test.mjs`, `tests/frontend/editor-inline.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-055 (complément)** : une complétion acceptée au `Tab` disparaissait 1–2 s plus tard. Cause : l'auto-sauvegarde (2 s) déclenche un `index_updated` SSE sur le fichier affiché, et `reloadExternalWrite` rechargeait le tampon Forge **depuis le disque**, écrasant toute frappe postérieure à la sauvegarde. Le rechargement SSE est désormais ignoré si le tampon est modifié (`parent-reload` sans `force` + `isDirty` ; garde équivalente sur le point d'auto-sauvegarde CodeMirror) ; seul `obsigate:file-written` (assistant IA) passe `force=true`. L'auto-sauvegarde ne remet plus l'état « enregistré » si des modifications sont arrivées pendant la requête (Forge + CodeMirror), et `acceptGhost()` annule la requête de prédiction en attente. Vérifié : `forge-completion.test.mjs` 31/31 (+3), `editor-inline.test.mjs` 41/41 (+1), 14 suites frontend vertes, validate-imports 38 modules. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-056 | Correction | `frontend/editor-poc.html`, `frontend/js/sync.js`, `tests/frontend/forge-completion.test.mjs`, `tests/frontend/editor-inline.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-056** : en plein écran Forge, l'Assistant IA s'ouvrait en arrière-plan. La sortie du plein écran est désormais faite **côté iframe** (`openAssistant` → `document.exitFullscreen()` puis `postMessage` à la résolution) **et côté parent** (`sync.js` sur `forge-open-ai` → `document.exitFullscreen()` puis `openForCurrentContext()`), car le plein écran peut appartenir au document parent (l'iframe voit alors `fullscreenElement` nul et sa sortie échoue — c'était le cas non couvert par le premier correctif). Vérifié : `forge-completion.test.mjs` 32/32 (+1), `editor-inline.test.mjs` 42/42 (+1), 14 suites frontend vertes, validate-imports 38 modules. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-057, #102 | Correction + feature | `frontend/js/bookslm.js`, `frontend/editor-poc.html`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/ai.test.mjs`, `tests/frontend/editor-inline.test.mjs`, `docs/archive/COMPLETED_v1-v2.md`, `docs/ROADMAP.md`, `CHANGELOG.md` | **BUG-057** : le bouton « Ajouter » de l'assistant ne ciblait que `state.editorView` (CodeMirror) ; en Forge il affichait « Aucun document ouvert dans l'éditeur ». `_insertIntoEditor()` gère désormais les trois surfaces : CodeMirror, l'iframe Forge (`postMessage({ type: 'parent-insert', text })` → `insertAtCursor` dans `editor-poc.html`) et le textarea de repli. **#102** : chaque bloc de code d'une réponse reçoit un bouton « Ajouter la section » (`.bookslm-code-insert`, révélé au survol) qui insère le contenu du bloc sans les délimiteurs ` ``` `. Vérifié : `ai.test.mjs` 91/91 (+3), `editor-inline.test.mjs` 43/43 (+1), `forge-completion.test.mjs` 32/32, unit 9/9, validate-imports 38 modules, pytest 1101 passed / 6 skipped, ruff 0, mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-058 | Correction | `frontend/style.css`, `tests/frontend/editor-inline.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-058** : la barre de numérotation de ligne de l'éditeur « Editer » ne suivait pas le thème — CodeMirror peint `.cm-gutters` avec des valeurs claires codées en dur (`#f5f5f5`, bordure `#ddd`), visibles en thème sombre. Correctif : le gutter dérive des variables CSS ObsiGate (`background: color-mix(in srgb, var(--text-primary) 5%, transparent)`, `color: var(--text-secondary)`, `border-right: 1px solid var(--border)`, ligne active `color-mix(… 10% …)` / `--text-primary`), donc il suit les 15 thèmes et les 4 modes. Vérifié : `editor-inline.test.mjs` 44/44 (+1), unit 9/9, validate-imports 38 modules, pytest 1101 passed / 6 skipped, ruff 0, mypy 0, et Playwright sur l'instance de test (route `style.css` remplacée par le fichier local) — sombre `color(srgb 0.90 0.93 0.95 / 0.05)` + bordure `#21262d`, clair `color(srgb 0.12 0.14 0.16 / 0.05)` + bordure `#d0d7de`, plus de `rgb(245,245,245)`. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-059 | Correction | `frontend/js/bookslm.js`, `tests/frontend/ai.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-059** : dans une conversation ouverte (post ancré en haut), **tout clic** dans la fenêtre de messages — lien de fichier, étapes, sélection de texte — faisait sauter toute la conversation au bas de la fenêtre. Cause : le gestionnaire `mousedown` de dépintage (prévu pour la molette/tactile/poignée de scroll) se déclenchait aussi sur un simple clic, et le retrait du padding d'ancre (`paddingBottom`) bornait le `scrollTop` à la nouvelle hauteur max → saut au bas. Correctif : helper pur `isScrollbarPress(target, clientX, container)` — un appui ne dépine que s'il vise la **poignée de scroll** (cible = conteneur + zone de gouttière droite) ; molette et tactile conservent leur comportement. Vérifié : `ai.test.mjs` 92/92 (+1), unit 9/9, validate-imports 38 modules, pytest / ruff / mypy inchangés côté backend. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-060 | Correction | `frontend/js/viewer.js`, `.gitea/workflows/ci.yml`, `tests/frontend/pdf-viewer.test.mjs` (nouveau), `tests/e2e/pdf-viewer.spec.js` (nouveau), `test_vault/sample-pdf.pdf` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-060** : l'ouverture d'un PDF n'affichait aucune page (barre d'outils « PDF — N pages » présente, corps vide). Cause : la CSP durcie en BUG-034 pose `object-src 'none'` — directive qui gouverne `<embed>`/`<object>` — alors que le viewer rendait le PDF via `<embed type="application/pdf">` : le lecteur natif était bloqué. Correctif : rendu dans une `<iframe>` (autorisée par `frame-src 'self'`, le stream `/api/file/{vault}/pdf/stream` étant same-origin) ; `object-src 'none'` conservé. Tests : `pdf-viewer.test.mjs` 6/6 (statique : pas d'`<embed>`, CSP `frame-src 'self'`, iframe pleine hauteur), `pdf-viewer.spec.js` (E2E : iframe + stream `application/pdf` 200/206 + zéro violation CSP ; échoue bien avec l'ancien `<embed>`). Vérifié : pytest 1184 passed / 6 skipped, frontend 14 suites JSDOM vertes, validate-imports 38 modules, ruff/mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-035, BUG-036, BUG-037, BUG-038, BUG-039, BUG-040 | Correction | `backend/secret_redactor.py`, `backend/collab.py`, `backend/auth/{middleware,password,router}.py`, `backend/indexer.py`, `backend/main.py`, `tests/test_api_main.py`, `tests/test_auth.py`, `tests/test_auth_api.py`, `tests/test_collab.py`, `tests/test_pdf.py`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **Lot de 6 bugs mineurs (P2/P3)** : BUG-035 masquage hex conditionné au contexte (git/SHA épargnés) ; BUG-036 jeton WebSocket cookie-only (plus de `?token=`) + plafond de trame 16 Mio ; BUG-037 garde-fou au démarrage (refus d'un bind public sans auth sauf `OBSIGATE_ALLOW_INSECURE=true`) ; BUG-038 Argon2 recalibré 19 Mio/t=2/p=1 ; BUG-039 login uniforme 401 (fini 429/403 distinctifs) ; BUG-040 extraction PDF différée via `enrich_pdf_texts()`. Vérifié : pytest 1204 passed / 6 skipped, ruff 0, mypy 0 (77 fichiers), frontend validate-imports 38 modules + unit 9/9. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-061, BUG-062, BUG-063 | Correction | `frontend/style.css`, `frontend/js/viewer.js`, `tests/frontend/ai.test.mjs`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js`, `test_vault/sample-pdf-toc.pdf` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **Viewer PDF & assistant IA** : BUG-061 le bouton plein écran du panneau assistant l'emportait mal sur la largeur inline (redimensionnement/persistée) → `width: 100vw !important` ; BUG-062 le plafond de lecture 1200 px s'appliquait au PDF quand la navigation était masquée → `:has(.pdf-viewer-container)` en `max-width:none` ; BUG-063 la TOC PDF ne naviguait pas (`contentWindow` = `about:blank`) → `navigatePdfToPage()` recharge l'iframe avec `#page=N`, liens `data-page` sans `onclick` inline. Vérifié : `ai.test.mjs` 93/93, `pdf-viewer.test.mjs` 8/8, validate-imports 38 modules (311 exports), unit 9/9, E2E `pdf-viewer.spec.js` 3/3, et Playwright sur l'instance de test (plein écran 640→1400 px, `src` → `#page=3`, `max-width:none`). | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-063 (complément) | Correction | `frontend/js/viewer.js`, `tests/frontend/pdf-viewer.test.mjs`, `tests/e2e/pdf-viewer.spec.js`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-063 non résolu au premier correctif** : définir `iframe.src = base + '#page=N'` ne change que le fragment → navigation same-document que le lecteur PDF natif ignore. Diagnostic en Chrome *headful* (comparaison de captures) : fragment présent au chargement = OK ; changement de fragment après chargement = aucun effet ; changement de query + fragment = OK. `navigatePdfToPage()` ajoute donc un paramètre de query horodaté (`&_pdfpage=<ts>#page=N`) pour forcer un vrai rechargement. Vérifié via l'UI de l'app (Chrome headful) : page 1 → page 8 → retour page 1 (hash de capture identique au retour). Tests : `pdf-viewer.test.mjs` 8/8, E2E `pdf-viewer.spec.js` 3/3. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-064 | Correction | `frontend/excalidraw-editor.html`, `backend/main.py`, `tests/frontend/excalidraw-viewer.test.mjs`, `tests/test_security_hardening.py`, `tests/e2e/excalidraw.spec.js`, `test_vault/diagram-app-export.excalidraw` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-064** : aucun diagramme Excalidraw ne s'affichait (canvas vide). Diagnostic navigateur : `.excalidraw` sans hauteur fixe → boucle de redimensionnement 525 → 56 181 → **33 554 432 px** (`2^25`, plafond Excalidraw) ; canvas de 33 Mpx impossible à dessiner → scène blanche. **Cause 1** : la feuille de style `@excalidraw/excalidraw` n'était jamais chargée (seuls 18 règles CSS présentes, toutes ObsiGate) — l'éditeur était non stylisé. Correctif : `<link rel="stylesheet" href="https://esm.sh/@excalidraw/[email protected]/dist/prod/index.css">` + `https://esm.sh` ajouté à `style-src` de la CSP. **Cause 2** : `appState.collaborators` (Map sérialisée en objet JSON par l'app/plugin) faisait planter Excalidraw 0.18 (`collaborators.forEach is not a function`) ; `sanitizeAppState()` reconvertit en `Map` et écarte la géométrie de viewport importée (`width/height/offsetLeft/offsetTop`). Vérifié Playwright sur l'instance de test (port 2020) : hauteur canvas 525 px, rectangle + losange affichés, UI stylisée, 0 `pageerror`. Tests : `excalidraw-viewer.test.mjs` 8/8 (dont 3 nouveaux), `TestCspExcalidrawStylesheet` (pytest), E2E (hauteur de canvas bornée). | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-064 (complément) | Correction | `frontend/style.css`, `tests/frontend/excalidraw-viewer.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-064 (complément)** : quand la barre de navigation gauche est masquée, le viewer Excalidraw restait borné à la colonne de lecture centrée de 1200 px. La règle `.sidebar.hidden ~ .content-wrapper .content-area { max-width: 1200px }` s'appliquait au viewer comme aux notes. Ajout de `.content-area:has(iframe[src*="excalidraw-editor.html"])` en `max-width: none; margin: 0` (même traitement que les viewers PDF/image, BUG-062). Vérifié Playwright (viewport 1400 px) : contenu 1115 → 1400 px, iframe 1035 → 1320 px, `max-width` calculé `none`. Test statique ajouté (`excalidraw-viewer.test.mjs` 9/9). | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | BUG-065, #78 (complément) | Correction + feature | `frontend/js/excalidraw-viewer.js`, `frontend/js/utils.js`, `frontend/excalidraw-editor.html`, `tests/frontend/excalidraw-viewer.test.mjs`, `docs/features/excalidraw.md`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-065** : l'auto-save Excalidraw (débounce 2 s) déclenchait `PUT save` → SSE `index_updated` → `reloadExternalWrite` → `openFile` → recréation de l'iframe = refresh visible pendant le dessin. Auto-save retirée (`excalidraw-viewer.js` : plus de `requestSave`/`saveTimer`), sauvegarde explicite (bouton 💾 / Ctrl+S) ; `reloadExternalWrite` (utils.js) court-circuite le re-rendu si un iframe Excalidraw est ouvert sur ce fichier (attributs `data-excalidraw-vault`/`data-excalidraw-path`) ; le badge « Modified » suit désormais une signature des éléments (`id:versionNonce`) au lieu de tout `onChange` — resize/zoom/plein écran ne marquent plus le fichier modifié. **#78 (complément)** : bouton **plein écran** `#btn-fullscreen` dans la barre d'outils de l'éditeur (`requestFullscreen` sur le document de l'iframe) + iframe créée avec `allow="fullscreen" allowfullscreen`. Vérifié Playwright : bascule plein écran OK (`document.fullscreenElement` true→false), badge non modifié après bascule ; tests statiques `excalidraw-viewer.test.mjs` 12/12, validate-imports 38 modules, unit 9/9. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-17 | #78 (complément) | UI | `frontend/excalidraw-editor.html`, `docs/features/excalidraw.md`, `CHANGELOG.md` | **#78 (complément)** : la barre d'outils de l'éditeur Excalidraw passe en **colonne d'icônes** (34×34 px, SVG seuls), **collée au bord droit** (`right: 0` ; `top: 45%` ; empilement vertical), avec `title`/`aria-label`. L'icône du bouton Save est remplacée par une coche pendant 1,2 s après une sauvegarde réussie. Badge « Modifié » réduit à une pastille. Vérifié Playwright : bord droit au bord de l'iframe, haut 45 %, 4 boutons empilés ; bascule plein écran OK, cycle d'icône Save + `PUT save` observés. | 🟢 livré (en attente vérif utilisateur) |
+| 2026-09-18 | BUG-066 | Correction | `frontend/locales/fr.json`, `frontend/locales/en.json`, `tests/frontend/unit.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-066** : la table des matières de la page de configuration n'affichait aucune icône pour « Fichiers cachés » et « Partages publics ». Les libellés du sommaire proviennent de clés i18n (`config.section_hidden`, `config.section_shares`) distinctes des titres de section qui, eux, portaient déjà l'icône. Alignement : 🗂️ / 📤 en FR **et** EN. Test de non-régression : `unit.test.mjs` vérifie que **toutes** les entrées `.help-nav-link` du sommaire portent une icône dans les deux langues (17/17). Vérifié : `unit.test.mjs` 10/10, `validate-imports` 38 modules. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-18 | #105, BUG-067 | Documentation + correction | `frontend/index.html`, `frontend/js/config.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `backend/guide_export.py`, `backend/main.py`, `tests/test_guide.py`, `docs/features/guide-coverage-105.md`, `CHANGELOG.md`, `docs/ROADMAP.md`, `docs/ISSUES_TODOLIST.md` | **#105** : audit complet de couverture du Guide d'utilisation — 8 nouvelles sections (Architecture + diagramme Mermaid, API & intégrations, Diagrammes Mermaid & Excalidraw, Hors-ligne & synchronisation, Collaboration temps réel, Application desktop, Bibliothèque & signets, Multilingue) et compléments (recherche sémantique, MFA/WebAuthn, notifications push, exports HTML/ePub/ZIP, PDF, vue multi-panneaux, admin). Téléchargement du guide en Markdown et PDF (`GET /api/guide/download?format=md|pdf`, FR/EN, rendu par le moteur d'export existant). Guide plus large en desktop. **BUG-067** : ancre morte `#help-mobile-editor` → section dédiée créée. | 🟢 corrigé (en attente vérif utilisateur)
+| 2026-09-18 | #105 (ajustements) | Amélioration | `frontend/index.html`, `frontend/js/config.js`, `frontend/sw.js`, `frontend/locales/{fr,en}.json`, `backend/guide_export.py`, `backend/pdf_export.py`, `Dockerfile`, `scripts/build_guide_diagrams.py`, `scripts/render_guide_diagram.mjs`, `scripts/guide_content.py`, `backend/assets/guide_diagrams/df7366a40db6a5a2.png`, `tests/test_guide.py`, `docs/features/guide-coverage-105.md`, `CHANGELOG.md` | **#105 (retour utilisateur)** : 1) boutons de téléchargement du guide passés en icônes seules (tooltips i18n conservés) ; 2) le diagramme Mermaid de la section Architecture est désormais rendu en **vraie image** dans le PDF (pipeline de pré-rendu PNG Chromium+mermaid v11, PNG commité sous `backend/assets/guide_diagrams/<sha1>.png`, résolu par `diagram_png_for()` ; le Markdown garde le fenced mermaid) ; 3) emoji du PDF rendus **en couleur** au lieu de rectangles : `fonts-noto-color-emoji` ajouté au Dockerfile + `"Noto Color Emoji"` en fin de pile de polices PDF. Vérifié : pytest 1218 (test_guide ×13), ruff/mypy 0, validate-imports 38, unit 10/10 ; PDF live conteneur 2020 : 24 pages, 0 glyphes tofu, diagramme 3568x1174 embarqué. | 🟢 livré
+| 2026-09-22 | BUG-068 | Correction | `backend/auth/router.py`, `backend/requirements.txt`, `frontend/js/auth.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/test_mfa.py`, `tests/frontend/mfa-settings.test.mjs` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-068** : section « 🔒 Sécurité du compte » finalisée. (1) Boutons hors thème : `config-btn-primary`/`config-btn-danger` n'existaient pas en CSS → définis depuis les variables du thème (+ états disabled). (2) QR invisible : l'image tierce était bloquée par la CSP (`img-src 'self' data: blob:`) et exposait le secret TOTP → QR SVG `data:` généré en local par le backend (`qr_data_url`, segno) avec repli saisie manuelle. (3) Codes de récupération perdus à la 1re activation WebAuthn → `_showRecoveryCodes(codes, targetId)` avec repli `webauthn-flow-area`. (4) Carte « Mot de passe » ajoutée (endpoint `change-password` existant, jusque-là sans UI) + échappement des libellés de clés WebAuthn. Vérifié : pytest 1241 passed / 6 skipped, ruff 0, mypy 0 (78 fichiers), `mfa-settings.test.mjs` 9/9, unit 10/10, validate-imports 39 modules. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-23 | BUG-069 | Correction | `frontend/js/auth.js`, `frontend/locales/{fr,en}.json`, `tests/frontend/mfa-settings.test.mjs`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-069** : login 2FA bloqué sans erreur — après user+pwd corrects, `showMfaChallenge` cherchait `.login-box` (inexistant dans `index.html`, marquage réel `#login-screen > .login-card`) et faisait un `return` silencieux : page de login figée, aucune erreur. Correctif : montage dans `.login-card` (repli `#login-screen`) + erreur visible `mfa.challenge_unavailable` (FR/EN) si le point de montage manque. **Reproduit au navigateur** (Playwright, instance Docker `obsigate-test`, compte jetable avec TOTP) : avant → challenge jamais affiché ; après → challenge affiché, code erroné → erreur, code valide (verify 200) → app. Tests : `mfa-settings.test.mjs` 11/11 (+2 ancrage DOM), unit 10/10, validate-imports 39 modules. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-23 | BUG-070 | Correction | `backend/auth/webauthn_mfa.py`, `backend/auth/router.py`, `.env.example`, `tests/test_webauthn.py`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-070** : activation WebAuthn rejetée en 400. (1) Défauts `localhost` sans port → `resolve_relying_party()` dérive rp_id/origines de la requête (config explicite prioritaire, forwarded sous TRUST_PROXY), appliqué aux endpoints register + login. (2) Challenge single-use → 5 derniers conservés, vérification contre le challenge de la cérémonie en cours. **Vérifié au navigateur** (authentificateur virtuel CDP, instance Docker) : register 200, clé listée, clé de test retirée. Tests : `test_webauthn.py` 19/19 (+8), suite complète 1249 passed / 6 skipped, ruff/mypy 0. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-23 | BUG-071 | Correction | `frontend/index.html`, `frontend/js/config.js`, `frontend/js/i18n.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`, `tests/frontend/config-mobile.test.mjs` (nouveau), `.gitea/workflows/ci.yml`, `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-071** : page « Configurations » inutilisable en mobile. (1) `#config-nav` masquée sous 768px sans toggle → hamburger `#config-hamburger` ajouté à l'en-tête (`.help-hamburger`, libellé `config.toc_toggle` FR/EN). (2) Ancres brutes sans JS → interception en `config.js` (scroll doux, lien actif, repli auto mobile, reset à l'ouverture). (3) Débordements 360px → bloc CSS mobile `#config-modal` (sommaire haut 46vh, grilles 1fr, add-rows wrap + largeurs inline neutralisées, items wrap, cibles 44px). `data-i18n-attr` multi-paires (`;`). Vérifié : `config-mobile.test.mjs` 11/11 (nouveau, au CI), pytest 1249 passed / 6 skipped, ruff/mypy 0, validate-imports 39 modules, unit 10/10, JSDOM ai 93/93 + ai-sidebar 6/6 + sidebar-filters 8/8 + mobile-editor 35/35 + config-ai-keys 7/7. | 🟢 corrigé (en attente vérif utilisateur) |
+| 2026-09-23 | BUG-071 (complément E2E) | Test | `tests/e2e/config-mobile.spec.js` (nouveau), `CHANGELOG.md`, `docs/ISSUES_TODOLIST.md` | **BUG-071 (complément E2E)** : spec Playwright mobile (convention `mobile-editor.spec.js` : `test.skip` hors viewport ≤768px, donc inactive sur le projet `chromium-desktop` du CI). Vérifié en local sur l'instance de test (port 2029, auth désactivée) : hamburger → sommaire, sélection → scroll + actif + repli, 0 débordement horizontal à 393px (3/3 `chromium-mobile`, 3 ignorés en desktop) ; suite `mobile-editor.spec.js` intacte (3/3). | 🟢 corrigé (en attente vérif utilisateur) |

 ---

@@ -1,182 +1,10 @@
-# ObsiGate — Guide MCP (Model Context Protocol)
+# Guide MCP — déplacé

-> **Statut :** livré (#79 phase E + F) · **Dernière mise à jour :** 2026-09-11
-> **Voir aussi :** [AI_ARCHITECTURE_GUIDE.md](./AI_ARCHITECTURE_GUIDE.md) ·
-> [features/ai-tools-mcp.md](./features/ai-tools-mcp.md) · [ROADMAP.md](./ROADMAP.md)
+> Ce guide a été déplacé dans le répertoire des guides utilisateur :
+> **[docs/GUIDES/MCP.md](./GUIDES/MCP.md)**.

-ObsiGate expose ses vaults à des **clients MCP externes** (Claude Desktop, Cursor,
-tout client compatible MCP) via un serveur **Streamable HTTP** monté sur `/mcp`.
-Les outils sont les **mêmes** que ceux de l'assistant in-app : la couche
-`backend/tools/` est la source unique de vérité.
+Le serveur MCP d'ObsiGate (`/mcp`) expose les mêmes outils que l'assistant IA à
+Claude Desktop, Cursor, Cline et tout client compatible MCP. Configuration,
+outils, resources/prompts, sécurité et dépannage s'y trouvent désormais.

---
-
-## 1. Prérequis
-
-1. Une instance ObsiGate accessible (locale ou distante).
-2. Un **jeton JWT** valide (`Authorization: Bearer <token>`), obtenu via
-   `POST /api/auth/login` (ou une clé API). Le jeton porte les permissions par
-   vault de l'utilisateur — l'autorisation MCP réutilise `get_current_user`.
-3. Si l'authentification est désactivée (`OBSIGATE_AUTH_ENABLED=false`), le
-   serveur MCP accepte un utilisateur anonyme disposant de tous les vaults.
-
-> Le transport `stdio` n'est **pas** encore supporté ; utilisez le transport
-> HTTP (un pont local type `mcp-remote` si votre client ne gère pas nativement
-> le Streamable HTTP distant).
-
---
-
-## 2. Endpoint & protocole
-
-| Élément | Valeur |
-|---|---|
-| URL | `https://<obsigate>/mcp` |
-| Transport | Streamable HTTP (`POST` JSON-RPC 2.0, `Accept: application/json, text/event-stream`) |
-| Auth | `Authorization: Bearer <JWT>` |
-| Protocole MCP | `2025-03-26` (négocié à l'`initialize`) |
-| Réponses | JSON (`json_response=True`) |
-
-Handshake minimal :
-
-```bash
-curl -sS https://obsigate.example/mcp \
-  -H "Authorization: Bearer $TOKEN" \
-  -H "Accept: application/json, text/event-stream" \
-  -H "Content-Type: application/json" \
-  -d '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{
-        "protocolVersion":"2025-03-26","capabilities":{},
-        "clientInfo":{"name":"curl","version":"1.0"}}}'
-```
-
-La réponse contient l'en-tête `Mcp-Session-Id` à réutiliser pour les appels
-suivants (`tools/list`, `tools/call`, `resources/read`, …).
-
---
-
-## 3. Configuration des clients
-
-### Claude Desktop (via pont `mcp-remote`)
-
-```json
-{
-  "mcpServers": {
-    "obsigate": {
-      "command": "npx",
-      "args": [
-        "-y", "mcp-remote",
-        "https://obsigate.example/mcp",
-        "--header", "Authorization: Bearer ${OBSIGATE_TOKEN}"
-      ],
-      "env": { "OBSIGATE_TOKEN": "eyJ..." }
-    }
-  }
-}
-```
-
-### Cursor
-
-`.cursor/mcp.json` :
-
-```json
-{
-  "mcpServers": {
-    "obsigate": {
-      "url": "https://obsigate.example/mcp",
-      "headers": { "Authorization": "Bearer eyJ..." }
-    }
-  }
-}
-```
-
---
-
-## 4. Primitives exposées
-
-### 4.1 Tools
-
-Les outils de **lecture/recherche** sont exposés directement. Les outils
-**d'écriture/destructifs** sont exposés via une paire **two-step** :
-`propose_<tool>` (aperçu + jeton de confirmation, aucune modification) puis
-`apply_<tool>` (consomme le jeton et exécute).
-
-| Catégorie | Outils |
-|---|---|
-| Vaults / navigation | `list_vaults`, `list_directory`, `list_all_files` |
-| Lecture | `read_file`, `read_file_raw`, `get_backlinks`, `list_backups`, `diff_backup`, `get_graph` |
-| Recherche | `search_fulltext`, `search_advanced`, `search_paths`, `list_tags`, `suggest_tags`, `list_recent` |
-| Écriture (propose/apply) | `create_file`, `create_directory`, `edit_file`, `append_to_file`, `restore_backup` |
-| Destructif (propose/apply) | `rename_file`, `rename_directory`, `move_path`, `replace_in_files`, `delete_file`, `delete_directory` |
-
-Flux d'une mutation :
-
-```text
-1. tools/call { name: "propose_edit_file",
-                arguments: { vault, path, content } }
-   → { tool, arguments, diff, confirmation_token, expires_in }
-
-2. (l'utilisateur / l'agent valide)
-
-3. tools/call { name: "apply_edit_file",
-                arguments: { confirmation_token } }
-   → { ok: true, data: { ... } }
-```
-
-Le jeton est **signé (JWT), à usage unique et à durée de vie limitée**
-(`OBSIGATE_MCP_CONFIRMATION_TTL`, défaut 300 s). Un rejeu renvoie
-`token_reused`.
-
-### 4.2 Resources
-
-| URI | Contenu |
-|---|---|
-| `vault://<name>` | Vault accessible (métadonnées, nombre de fichiers) |
-| `vault://<name>/<path>` | Contenu d'un fichier (lecture seule, **secrets redactés**) |
-
-### 4.3 Prompts
-
-`summarize-directory`, `generate-note`, `find-related`.
-
---
-
-## 5. Sécurité
-
- **Permissions par vault** : `check_vault_access` est appliqué à chaque outil
-  et chaque resource ; un utilisateur ne voit que ses vaults.
- **Anti path-traversal** : `resolve_safe_path` rejette tout chemin hors du vault.
- **Confirmation two-step** pour toute mutation (jeton signé, usage unique).
- **Toggle par vault** `aiDestructiveTools` (défaut : activé) : le désactiver
-  bloque rename/move/replace/delete tout en laissant create/edit/append.
- **Backup automatique** avant chaque opération destructive.
- **Rate limiting** : par jeton et par outil
-  (`OBSIGATE_TOOL_RATE_LIMIT`, `OBSIGATE_TOOL_RATE_LIMIT_PER_TOOL`,
-  `OBSIGATE_TOOL_RATE_WINDOW`). Une limite dépassée renvoie le code
-  `rate_limited`.
- **Redaction des secrets** : les résultats d'outils (lectures, diffs,
-  extraits de recherche) sont nettoyés avant tout retour au client.
- **Audit** : chaque appel est journalisé (`data/audit.log`, action
-  `ai_tool_call`) avec arguments sensibles résumés.
-
-### Variables d'environnement
-
-| Variable | Défaut | Rôle |
-|---|---|---|
-| `OBSIGATE_MCP_CONFIRMATION_TTL` | `300` | Durée de vie (s) des jetons de confirmation |
-| `OBSIGATE_TOOL_RATE_LIMIT` | `60` | Appels d'outils max par identité et par fenêtre |
-| `OBSIGATE_TOOL_RATE_LIMIT_PER_TOOL` | = global | Appels max par outil et par fenêtre |
-| `OBSIGATE_TOOL_RATE_WINDOW` | `60` | Longueur de la fenêtre (s) |
-| `BOOKSLM_MAX_TOOL_CALLS` | `25` | Quota d'appels d'outils par run d'agent |
-| `BOOKSLM_MAX_TOOL_READ_BYTES` | `200000` | Taille max renvoyée par `read_file` |
-
---
-
-## 6. Dépannage
-
-| Symptôme | Cause probable / remède |
-|---|---|
-| `401 Authentification requise` | En-tête `Authorization: Bearer` absent ou jeton expiré |
-| `vault_access_denied` | Le jeton n'a pas accès à ce vault (`vaults` / `_token_vaults`) |
-| `destructive_tools_disabled` | `aiDestructiveTools=false` pour ce vault |
-| `confirmation_required` | Appeler d'abord `propose_<tool>` puis `apply_<tool>` |
-| `token_reused` / `invalid_confirmation` | Jeton déjà consommé ou expiré → refaire un `propose_` |
-| `rate_limited` | Quota dépassé ; respecter `retry_after` |
-| Le client ne se connecte pas | Vérifier le transport Streamable HTTP / le pont `mcp-remote` |
+Sommaire des guides : [docs/GUIDES/README.md](./GUIDES/README.md).
@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap

-> **Version :** 2.7.4 | **Dernière mise à jour :** 2026-09-17
+> **Version :** 2.16.6 | **Dernière mise à jour :** 2026-09-22
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -78,23 +78,6 @@
  - [x] Personnalisation (clé à molette) : ajouter / supprimer / réordonner les commandes
  - [x] i18n FR/EN + tests frontend (helpers purs) + E2E mobile

-### 92. Assistant IA — Écosystème d'outils (phase 2 : web étendu, sources connectées, documents)
-
- **Effort :** 3-5 jours | **Impact :** 🟠 | **Zone :** backend (`backend/tools/`)
- **Dépend de :** #91 (registre + section « steps » + `web_search`/`fetch_url` livrés)
- **Description :** étendre le catalogue d'outils de l'assistant au-delà du vault, en
-  suivant la feuille de route technique détaillée :
-  [features/ai-tools-roadmap.md](./features/ai-tools-roadmap.md) (frameworks évalués,
-  bibliothèques par catégorie, transverse retry/cache/secrets/async).
- **Sous-tâches :**
-  - [x] `web_search` : chaîne de repli sans clé (SearXNG → DuckDuckGo → Bing, `OBSIGATE_WEB_FALLBACK`) — BUG-051
-  - [ ] `web_search` : fournisseurs optionnels à clé (Tavily, Brave, SerpAPI, Exa)
-  - [ ] `fetch_url` : pages dynamiques via Playwright (worker isolé) ; crawl multi-pages Scrapy en tâche de fond
-  - [ ] Sources connectées : Gitea/GitHub (priorité haute) puis Google Drive / OneDrive (OAuth2 `authlib`)
-  - [ ] Production de documents : conversion, tableurs, PDF/Word (outils WRITE + confirmation)
-  - [ ] Transverse : `tenacity` (backoff), cache SQLite des résultats web avec TTL, secrets via Infisical
-  - [ ] Chaque outil : libellé `labels.py` + clés i18n `ai.step.*` FR/EN + tests (httpx mocké)
-
 ---

 ## ⚪ Backlog — Sécurité, architecture & performance (P0/P1)
@@ -124,15 +107,6 @@
  - [ ] Persister index, JTI révoqués et compteurs de rate-limit (SQLite/Redis)
  - [ ] Verrous asyncio autour de l'index global et des stores JSON ; service de partage public (expiration, révocation, quotas)

-### 86. Optimisation globale des performances (phase 3)
-
- **Effort :** 4-6 jours | **Impact :** 🟡 | **Zone :** backend (`search.py`, `indexer.py`, `mutations.py`)
- **Description :** brancher l'inverted index (déjà construit) sur la recherche simple et le tool IA `search_fulltext`, indexation incrémentale, extraction PDF lazy.
- **Sous-tâches :**
-  - [ ] Recherche simple + tool IA via l'inverted index (suppression du balayage O(N) en mémoire)
-  - [ ] Indexation incrémentale + scan différentiel au démarrage (remplace le `rglob` complet)
-  - [ ] Extraction PDF/excalidraw différée (hors scan) ; caps CPU sur les opérations regex
-
 ### 87. Amélioration continue — tests, CI/CD, revues de sécurité (phase 4)

 - **Effort :** 3-5 jours | **Impact :** 🟡 | **Zone :** `.gitea/workflows/`, `tests/`
@@ -198,6 +172,16 @@
 | 98 | Assistant IA — Filtre de recherche dans la sidebar « Historique IA » | 2.5.0 | [features/ai-assistant-history.md](./features/ai-assistant-history.md) |
 | 99 | Sidebar — Filtrage des vues « Récents » et « Sauvegardes » | 2.6.0 | [features/sidebar-filters.md](./features/sidebar-filters.md) |
 | 100 | Assistant IA — Deep Research en pastille (au lieu du texte injecté) | 2.6.0 | [features/ai-assistant-history.md](./features/ai-assistant-history.md) |
+| 101 | Forge — Assistant IA partagé (bouton AI Panel = assistant, fournisseur/modèle configuré, autocomplétion) + plein écran Forge/Editer | 2.8.0 | [features/forge-assistant.md](./features/forge-assistant.md) |
+| BUG-057 | Assistant IA — bouton « Ajouter » fonctionnel dans l'éditeur Forge (en plus d'« Editer ») | 2.9.0 | [archive](./archive/COMPLETED_v1-v2.md) |
+| 102 | Assistant IA — bouton « Ajouter la section » par bloc de code (insertion du bloc seul) | 2.9.0 | [archive](./archive/COMPLETED_v1-v2.md) |
+| 92 | Assistant IA — Écosystème d'outils phase 2 (recherche à clé, cache/retry, Playwright, crawl, Gitea/GitHub, documents XLSX/DOCX/CSV/PDF) | 2.10.0 | [features/ai-tools-roadmap.md](./features/ai-tools-roadmap.md) |
+| 103 | Configuration — clés utilisateur des sources connectées & recherche à clé (page Configurations, `data/api_keys.json`, priorité sur l'env) | 2.11.0 | [features/ai-tools-roadmap.md](./features/ai-tools-roadmap.md) |
+| 104 | Configuration — Redesign UI de la section « Clés API IA » : recherche fournisseurs, carte défaut 2 colonnes + badges de capacités, cartes dépliables, footer d'actions sticky | 2.12.0 | [features/ai-keys-ui.md](./features/ai-keys-ui.md) |
+| 105 | Guide d'utilisation — audit de couverture complet, téléchargement Markdown/PDF, guide desktop élargi, section Architecture (Mermaid) + BUG-067 | 2.13.0 | [features/guide-coverage-105.md](./features/guide-coverage-105.md) |
+| 106 | Assistant IA — Actions instantanées contextuelles, catalogue « Toutes les actions » & frontmatter complet | 2.14.0 | [features/ai-quick-actions.md](./features/ai-quick-actions.md) |
+| 107 | Configuration — Gestion des clés API & MCP : création/révocation de jetons longue durée (1 j, 1 mois, 6 mois, 1 an, sans fin), une seule clé pour l'API REST et le serveur MCP, « dernière utilisation », store `data/api_tokens.json` sans secret persisté | 2.15.0 | [features/api-mcp-tokens-107.md](./features/api-mcp-tokens-107.md) |
+| 86 | Optimisation globale des performances (phase 3) — scan différentiel, excalidraw différé, garde-fou `replace` (inverted index / PDF lazy / caps regex déjà livrés via BUG-033/040/025) | 2.16.0 | [features/perf-phase3-86.md](./features/perf-phase3-86.md) |

 ---

@@ -205,12 +189,11 @@

 | Priorité | Items | Effort total estimé |
 |---|---|---|
-| ✅ Complété | #1 → #59, #61–72, #74–76, #78–84, #88–93, #94–100 | ~114 jours réalisés |
+| ✅ Complété | #1 → #59, #61–72, #74–76, #78–84, #86, #88–93, #94–100, #102–107, #92 | ~120 jours réalisés |
 | 🔵 P2 restant | #77 Desktop : signature de code (non retenue), 6 tests E2E **manuels** ([protocole](./DESKTOP_E2E_CHECKLIST.md)) | ~0,5-1 jour |
 | ⚪ P4 restant | #73 Sync (6-8j) | 6-8 jours |
-| ⚪ P2 restant | #92 Assistant IA — écosystème d'outils phase 2 (web étendu, sources connectées, documents) | 3-5 jours |
-| ⚪ P0/P1 restant | #85-87 Refonte architecturale, performance, CI/CD (issues BUG-035 → BUG-040) | ~15-23 jours |
-| **Total restant** | **10 items + finitions** | **~30-47 jours** |
+| ⚪ P0/P1 restant | #85, #87 Refonte architecturale, CI/CD (BUG-035 → BUG-040 corrigés, #86 livré) | ~11-17 jours |
+| **Total restant** | **6 items + finitions** | **~23-36 jours** |

 ---

@@ -385,6 +385,25 @@ Fichiers texte non markdown :

 ---

+## #102 — Assistant IA : « Ajouter » dans Forge + ajout d'un bloc de code ✅ TERMINÉ
+
+Deux compléments au bouton « Ajouter » de l'assistant IA.
+
+- **BUG-057 — Forge** : `bookslm.js::_insertIntoEditor()` ne ciblait que
+  `state.editorView` (CodeMirror de « Editer ») et affichait « Aucun document ouvert
+  dans l'éditeur » en Forge. Il prend désormais en charge les trois surfaces :
+  CodeMirror, l'iframe Forge (délégation par `postMessage({ type: 'parent-insert' })`,
+  insert au curseur via `insertAtCursor` côté `editor-poc.html`) et le textarea de
+  repli.
+- **#102 — Ajout d'un bloc** : chaque bloc de code d'une réponse reçoit un bouton
+  « Ajouter la section » (révélé au survol, `.bookslm-code-insert`) qui insère
+  uniquement le contenu du bloc (sans les délimiteurs ` ``` `), au lieu de la réponse
+  complète.
+- **Tests** : `tests/frontend/ai.test.mjs` (+3 : Forge, textarea, bloc de code) ;
+  `tests/frontend/editor-inline.test.mjs` (+1 : handler `parent-insert`).
+
+---
+
 ## Grosses fonctionnalités — fiches dédiées

 | # | Feature | Version | Fiche |
@@ -0,0 +1,88 @@
+# #104 — Configuration : Redesign UI de la section « Clés API Intelligence Artificielle »
+
+> **Statut :** ✅ livré (v2.12.0) · **Zone :** `frontend/index.html`, `frontend/js/config.js`,
+> `frontend/js/ai.js`, `frontend/style.css`, `frontend/locales/{fr,en}.json`
+
+## Problème
+
+La section « 🤖 Clés API IA » du panneau de configuration était une longue liste plate de
+champs de saisie (DeepSeek, OpenRouter, Gemini, NVIDIA, QwenCloud, Xiaomi, Mistral) sans
+structure ni hiérarchie visuelle : les sélecteurs défaut, les clés et les modèles se
+cotoyaient au même niveau, les badges « Configuré » étaient collés à chaque champ, et les
+boutons d'action se perdaient en milieu de section.
+
+## Objectifs
+
+Interface plus professionnelle, mieux structurée, moins fatigante visuellement (style
+SaaS moderne, dark mode, cartes + accordéons), et qui reste utilisable quand la liste de
+fournisseurs s'allonge.
+
+## Structure livrée
+
+### 1. En-tête de section
+
+- Titre + sous-titre explicatif (i18n `config.ai_header_desc`).
+- **Barre de recherche** (`#cfg-ai-search`) filtrant les cartes fournisseurs via
+  `filterAIProviders()` — normalisation insensible à la casse **et aux accents**
+  (`_sidebarNorm`), correspondance sur le nom affiché ou l'identifiant. État vide
+  « Aucun fournisseur ne correspond » (`#cfg-ai-providers-empty`).
+
+### 2. Carte « Configuration par défaut »
+
+- Carte visuellement distincte (`.ai-default-card`) : titre en petites capitales.
+- Grille **2 colonnes** : « Fournisseur par défaut » / « Modèle par défaut »
+  (`#cfg-ai-default-provider`, `#cfg-ai-default-model`).
+- **Capacités du modèle en badges colorés** : nouveau
+  `renderCapabilityBadges(caps)` (`frontend/js/ai.js`) qui n'affiche que les capacités
+  actives sous forme de tags (`.ai-cap-badge`), au lieu de la checklist ☑/□
+  (`renderCapabilityList`, conservée pour les pickers de l'assistant).
+
+### 3. Fournisseurs d'API — cartes dépliables
+
+Rendu dynamique par `_renderAIProviderCards()` depuis `AI_PROVIDER_NAMES` + nouveau
+`AI_PROVIDER_META` (nom affiché, placeholder spécifique au fournisseur). Par carte :
+
+- **Replié** : logo (initiale dans une pastille), nom, **badge de statut**
+  (« Configuré » vert / « Non configuré » gris, `.ai-provider-badge.configured`) et
+  **corbeille discrète** (`cfg-<provider>-delete`, visible uniquement si une clé existe ;
+  `stopPropagation` pour ne pas déplier la carte ; confirmation conservée).
+- **Déplié** : libellés **au-dessus** des champs (`.ai-field-label`), **API key à 60 % /
+  modèle à 40 %** (grille `3fr 2fr`), placeholder par fournisseur.
+- Accessibilité : en-tête en `role="button"` + `tabindex="0"` (clavier Entrée/Espace),
+  `aria-expanded` synchronisé, chevron animé, focus visible.
+- Les boutons « Configuré / × Supprimer » redondants dans les champs sont supprimés —
+  le statut vit dans l'en-tête de la carte.
+
+### 4. Barre d'actions
+
+- Footer **sticky** en bas de section (`.ai-keys-footer`) : « Sauvegarder » (primaire
+  `.config-btn-save`) et « Tester » (outline `.config-btn-secondary`), plus le span de
+  statut du test. Toujours accessible pendant le défilement du panneau.
+
+## Compatibilité
+
+- Les ID `cfg-<provider>-key`, `cfg-<provider>-model`, `cfg-<provider>-badge`,
+  `cfg-<provider>-delete`, `cfg-ai-default-*`, `cfg-ai-status` sont conservés :
+  `saveAIKeys()`, `testAIKeys()`, `deleteAIKey()` et le câblage des événements de
+  `initConfigModal()` ne changent pas, ni la resynchronisation des pickers IA
+  (`refreshAIPickers()` après save/suppression, BUG-043).
+- i18n : nouvelles clés `config.ai_header_desc`, `config.ai_search_placeholder`,
+  `config.ai_default_section`, `config.ai_providers_title`, `config.ai_providers_empty`,
+  `config.ai_status_configured`, `config.ai_status_not_configured`,
+  `config.ai_delete_key_title` (FR + EN).
+
+## Styles
+
+`.ai-keys-*`, `.ai-provider-*`, `.ai-cap-badge`, `.ai-field*` — uniquement des variables
+CSS existantes (`--surface`, `--bg-secondary`, `--border`, `--accent`, `--success`,
+`--danger`, `--accent-bg`…), focus visibles, responsive 1 colonne < 600 px.
+
+## Tests
+
+- `tests/frontend/config-ai-keys.test.mjs` (JSDOM, 7 tests) : rendu des 7 cartes,
+  badges de statut selon les clés masquées renvoyées par `GET /api/config/ai-keys`,
+  bascule replié/déplié (classe `open` + `aria-expanded`), filtre de recherche
+  (casse/accents + état vide), collecte et POST des clés saisies par `saveAIKeys()`,
+  suppression avec confirmation (DELETE sur l'env name), badges de capacités.
+- Suites existantes (38 modules, validate-imports, ai.test.mjs, sidebar-filters…) : vertes.
+- E2E Playwright (chromium-desktop) : 91 passed / 3 skipped, 100 % sans retries.
@@ -0,0 +1,89 @@
+# #106 — Assistant IA : actions instantanées contextuelles & catalogue de prompts
+
+> **Statut :** livré en 2.14.0 · **Domaine :** Assistant IA (frontend) ·
+> **Fichiers :** `frontend/js/ai-quick-actions.js`, `frontend/js/bookslm.js`,
+> `frontend/style.css`, `frontend/locales/{fr,en}.json`,
+> `tests/frontend/ai-quick-actions.test.mjs`
+
+## Problème
+
+La zone d'accueil de l'assistant affichait 3 suggestions **statiques** par mode
+(résumé / thèmes / contradictions), sans lien avec ce que l'utilisateur regarde
+réellement (un fichier de code ? plusieurs documents ? une sélection dans
+l'éditeur ?), et sans point d'accès au reste des prompts utiles.
+
+## Solution
+
+### Catalogue (`frontend/js/ai-quick-actions.js`, module pur sans DOM)
+
+25 actions en 6 catégories, chacune = `{id, cat, icon (lucide), labelKey,
+promptKey, agent?}` — libellés **et** prompts i18n FR/EN (clés `qa.*`) :
+
+| Catégorie | Actions |
+|---|---|
+| 📝 Synthèse & Analyse | Résumer en 3 points clés · Frictions/contradictions · Vulgariser · FAQ |
+| ✅ Productivité & Structuration | Checklist d'actions · Plan d'action · Mémo exécutif · **Générer le frontmatter YAML** · **Mettre à jour le frontmatter** · Liens/backlinks · Sections hiérarchiques |
+| 💻 Code & Scripts | Expliquer · Bugs & failles · Docstrings/types · Tests unitaires |
+| 🔗 Cross-documents | Comparer · Fusionner en note de synthèse · Chronologie |
+| ✍️ Édition & Reformulation | Concis · Corriger le style · Reformuler · Traduire · Expliquer la sélection |
+| ❔ Assistant (général) | Que sais-tu faire · Rechercher efficacement · Créer une note de réunion |
+
+Les deux actions frontmatter sont marquées `agent: true` : un clic bascule
+transparentement le panneau en **mode agent** (comme Deep Research) puis envoie
+le prompt — l'assistant lit le document, propose la mutation via l'outil
+`edit_file`/`append_to_file`, et la **carte de confirmation** (#79) applique le
+nouveau bloc en tête du fichier.
+
+Le prompt « Générer le frontmatter YAML » demande le format complet du vault de
+Bruno (titre, auteur, creation_date/modification_date ISO-8601 avec fuseau,
+catégorie, tags en liste inline, aliases, status, publish, favoris, template,
+task, archive, draft, private, NomDeVoute, Description). « Mettre à jour le
+frontmatter » **conserve les champs existants** : actualise
+`modification_date`, recalcule titre/tags/aliases/catégorie/NomDeVoute/Description
+d'après le contenu, complète les champs manquants.
+
+### Sélection contextuelle (triage par défaut dans l'UI)
+
+`detectContext({mode, docCount, currentPath, hasSelection})` — précédence :
+**sélection > code > multi-docs > doc unique > répertoire > général**.
+
+| Contexte | Boutons suggérés |
+|---|---|
+| 1 doc texte | Résumer 3 points · Checklist · Générer le frontmatter · Mettre à jour le frontmatter |
+| 2+ docs | Fusionner · Comparer · Frictions/contradictions |
+| Fichier de code (.py, .ts, .sh…) | Expliquer · Bugs & failles · Tests unitaires |
+| Sélection dans l'éditeur | Concis · Corriger le style · Expliquer la sélection |
+| Répertoire | Résumer le répertoire · Thèmes · Checklist |
+| Général | Que sais-tu faire · Rechercher · Créer une note |
+
+### Présentation (calquée sur le POC `ai_assistant_quick_actions_poc.html`)
+
+- Badge de contexte dans l'en-tête (« 1 doc ouvert », « Fichier de code »,
+  « Sélection active », « 3 docs ouverts »…).
+- Ligne « Actions suggérées » + bouton **« Toutes les actions »** ouvrant un
+  **tiroir bottom-sheet** : recherche instantanée (insensible aux accents/casse
+  via `normalizeSearch`) + catalogue groupé par catégorie, Échap/backdrop
+  pour fermer.
+- Boutons icône + libellé + flèche au survol ; clic = **envoi immédiat** du
+  prompt dans le composer (chemin `_sendMessage()` : skills, images et mode
+  agent continuent de fonctionner).
+- La rangée se masque dès le premier message du fil (comportement historique) ;
+  le rafraîchissement du contexte à la sélection éditeur est throttled 250 ms
+  (`selectionchange` + `mouseup`/`keyup`, CodeMirror n'émettant pas
+  `selectionchange` natif).
+- CSS 100 % variables de thème (`--surface`, `--accent`, `--accent-bg`…) →
+  conforme aux 15 thèmes ; transitions désactivées en `prefers-reduced-motion`.
+
+## Tests
+
+`tests/frontend/ai-quick-actions.test.mjs` (13 tests, câblé au job lint CI) :
+précédence des contextes, presets 3-4 actions résolvables, table de conception,
+agent-flag des actions frontmatter, **complétude FR+EN** de chaque clé
+catalogue/badge contre les vrais JSON de locales.
+
+## Vérification live (obsigate-test :2020, Playwright)
+
+badge « 1 doc ouvert », 4 suggestions dont les 2 frontmatter, tiroir à 6
+catégories / 25 actions, recherche « frontmatter » → 2 résultats, clic →
+`aria-pressed=true` sur le bouton agent + message envoyé avec le nouveau
+prompt + réponse de l'assistant.
@@ -67,7 +67,7 @@
    `call_tool` (couvre les diffs, extraits de recherche et lectures non pré-redactées).
  - [x] **F3.** Documentation OpenAPI + guide MCP — `backend/openapi_docs.py` : tag `MCP`,
    règle `/mcp`, injection du path `/mcp` (Streamable HTTP, JSON-RPC) dans le schéma ;
-    nouveau [`docs/MCP_GUIDE.md`](../MCP_GUIDE.md) (endpoint, auth, config Claude Desktop /
+    nouveau [`docs/GUIDES/MCP.md`](../GUIDES/MCP.md) (endpoint, auth, config Claude Desktop /
    Cursor, tools/resources/prompts, sécurité, variables, dépannage).
  - [x] **F4.** Tests E2E de bout en bout — `tests/test_ai_e2e.py` : agent in-app
    read→confirmation→write, quota d'outils, rate limiting, redaction, et flux MCP complet
@@ -1,6 +1,6 @@
 # #92 — Assistant IA — Écosystème d'outils : feuille de route technique

-> **Statut :** ⚪ Backlog (phase 1 livrée dans #91)
+> **Statut :** ✅ livré (phase 2, version 2.10.0) — phase 1 livrée dans #91
 > **Effort estimé :** 3-5 jours pour la phase 2 | **Impact :** 🟠
 > **Références :** [Roadmap](../ROADMAP.md) · [Outils & MCP #79](./ai-tools-mcp.md) ·
 > [Fenêtre de discussion #91](./ai-assistant-conversation-ux.md) · [Changelog](../../CHANGELOG.md)
@@ -36,6 +36,17 @@ réécriture de la boucle n'est nécessaire.

 ## 3. Phase 2 — catégories à implémenter

+> **Livré (2.10.0, #92).** Récapitulatif des décisions finales :
+
+| Catégorie | Décision livrée |
+|---|---|
+| Recherche web étendue | Tavily, Brave, SerpAPI, Exa à clé (`OBSIGATE_*_API_KEY`), essayés avant SearXNG ; ordre via `OBSIGATE_WEB_PROVIDERS` |
+| Lecture de pages | `fetch_url(render=True)` → worker Playwright isolé (`backend/tools/webrender.py`), dépendance optionnelle + erreur explicite |
+| Crawl multi-pages | `crawl_site` (WRITE + confirmation) : BFS httpx borné (≤ 20 pages, même hôte, SSRF sur chaque URL) → condensé Markdown dans le vault. Scrapy écarté (dépendance lourde inutile à cette échelle) |
+| Sources connectées | Gitea + GitHub (`git_list_repos`, `git_search_issues`, `git_get_file`) via env/Infisical ; drives cloud (Drive/OneDrive) orientés serveur MCP externe (#79). **#103 (2.11.0)** : les clés (URL Gitea, tokens Gitea/GitHub, clés Tavily/Brave/SerpAPI/Exa) se saisissent aussi dans la page Configurations — `backend/tools/secrets.py`, valeur stockée prioritaire sur l'env |
+| Production de documents | `create_xlsx`, `create_docx`, `create_csv`, `create_pdf` — WRITE + confirmation, écrit via `save_raw_file(allow_docs=True)` (path safety + backup) |
+| Transverse | Cache SQLite (`webcache.py`, TTL `OBSIGATE_WEB_CACHE_TTL`), retry backoff maison (`OBSIGATE_WEB_RETRY`), secrets par env (Infisical-compatible) |
+
 ### 3.1 Recherche web étendue (`web_search`)
 - **Fallback sans clé — ✅ livré (BUG-051)** : chaîne de fournisseurs dans
  `backend/tools/web.py` — SearXNG auto-hébergé (`OBSIGATE_SEARXNG_URL`) puis, si
@@ -0,0 +1,95 @@
+# #107 — Clés API & MCP (panneau de configuration)
+
+**Version : 2.15.0 — statut : complété (septembre 2026)**
+
+## Problème
+
+Pour brancher un client MCP externe (Claude Desktop, Cursor…) ou scripter
+l'API REST, il fallait soit se connecter et voler le JWT de session de 1 h
+dans le navigateur, soit générer un token à la main via `docker exec`
+(`generer_access_token.sh`) — sans expiration maîtrisable ni révocation.
+
+## Décision : une seule clé pour l'API ET le MCP
+
+Le serveur MCP (`/mcp`, `backend/mcp/server.py::_authenticate`) résout
+l'appelant via la même dépendance `get_current_user()` que l'API REST.
+Un jeton HS256 `type=access` authentifie donc **les deux surfaces** — il
+n'y a pas de famille de clés séparée à exposer dans l'UI. C'est dit
+explicitement dans la section (« la même clé fonctionne pour les deux »)
+et verrouillé par tests (REST 200 + MCP initialize 200 avec la même clé ;
+révocation → 401 des deux côtés).
+
+## Conception
+
+### Store — `data/api_tokens.json`
+
+```json
+{"version": 1, "tokens": {"<jti>": {
+  "name": "Claude Desktop", "username": "admin",
+  "created_at": 1790000000, "expires_at": 1792592000,
+  "expiry_key": "30d", "last_used_at": null
+}}}
+```
+
+Le JWT brut n'est **jamais persisté** : affiché une seule fois à la
+création, sinon perdu (pattern GitHub). La révocation fonctionne par
+`jti` : le JWT présenté est rejeté par `is_token_revoked` même s'il est
+encore valide dans sa signature.
+
+### Expirations (choix UI)
+
+| Clé | Durée | `exp` dans le JWT |
+|---|---|---|
+| `1d` | 1 jour | iat + 86 400 |
+| `30d` | 1 mois | iat + 2 592 000 |
+| `180d` | 6 mois | iat + 15 552 000 |
+| `365d` | 1 an | iat + 31 536 000 |
+| `never` | sans fin | **aucun claim exp** |
+
+Plafond : 50 tokens actifs par utilisateur (`API_TOKEN_MAX_PER_USER`).
+
+### Correction induite — révocation longue durée
+
+L'ancien `revoked_tokens.json` bornait toute entrée à 7 jours ; une clé
+1 an révoquée aurait « repris vie » au nettoyage suivant. Le store devient
+un dict `{jti: valid_until}` calé sur l'expiration réelle du jeton
+(« sans fin » → 100 ans). Session tokens inchangés (7 j).
+
+### « Dernière utilisation »
+
+`get_current_user` appelle `maybe_touch_api_token(jti)` pour les jetons
+`api: true` — écriture disque throttlée à 1 h par jti, silencieuse si le
+dossier est en lecture seule ; ne fait jamais échouer une requête.
+
+## Endpoints (`/api/auth`, auth requise, périmètre = l'appelant)
+
+- `GET /api/auth/tokens` → `{tokens: [...], expiry_choices: [...]}`
+- `POST /api/auth/tokens` `{name, expiry}` → `{token, ...record}` (secret unique)
+- `DELETE /api/auth/tokens/{jti}` → révocation immédiate API + MCP
+- Audit : `config_change` / `api_token_create|revoke`.
+
+## UI — panneau Configuration
+
+Nouvelle section `#cfg-tokens` « 🔑 Clés API & MCP » (après Sécurité) :
+liste (badge Active/Expirée, créée/expire/dernière utilisation), champ
+nom + sélecteur d'expiration + Créer, zone secrète en tirets avec Copier,
+bloc « Utilisation » : header `Authorization: Bearer <clé>` + exemple de
+config MCP avec headers sur `<base>/mcp`. 28 clés i18n FR/EN, SW v24.
+
+## Tests — `tests/test_api_tokens.py` (13)
+
+Création/liste (secret jamais restitué), les 5 durées dont l'absence
+d'`exp` pour `never`, expiration invalide → 400, clé identique acceptée
+par REST **et** `/mcp`, refus MCP anonyme, isolation par utilisateur,
+révocation → 401 immédiat des deux côtés, survie de la révocation
+longue durée après reload disque, drapeau `expired`, migration de format
+`revoked_tokens.json`. Suite auth + MCP complète verte (77).
+
+## Config MCP externe (exemple)
+
+```json
+{"mcpServers": {"obsigate": {
+  "url": "http://localhost:2020/mcp",
+  "headers": {"Authorization": "***"}
+}}}
+```
@@ -109,11 +109,14 @@ Serveur → client :

 ## Sécurité

- Authentification obligatoire si `OBSIGATE_AUTH_ENABLED=true` (cookie ou `?token=`).
+- Authentification obligatoire si `OBSIGATE_AUTH_ENABLED=true` : le jeton est lu depuis le cookie
+  HttpOnly `access_token` (envoyé lors du handshake same-origin). Le jeton en query string
+  (`?token=`) n'est **plus accepté** (BUG-036 : URLs journalisées par les proxies).
 - Vérification `check_vault_access()` par connexion (un utilisateur ne peut pas rejoindre une room
  d'une vault non autorisée).
 - `resolve_safe_path()` empêche toute traversée de chemin (`../../`).
- Bornes anti-abus : `MAX_UPDATE_BYTES` (8 Mo) par mise à jour, `MAX_TEXT_CHARS` (8 Mio) par snapshot.
+- Bornes anti-abus : `MAX_UPDATE_BYTES` (8 Mo) par mise à jour, `MAX_TEXT_CHARS` (8 Mio) par snapshot,
+  `MAX_MESSAGE_CHARS` (16 Mio) par trame brute.
 - Le serveur ne décode pas le binaire Yjs : il le stocke et le relaie tel quel (pas de surface
  d'attaque supplémentaire côté parsing).

@@ -1,6 +1,6 @@
 # #78 — Éditeur Excalidraw — Ouverture et édition de fichiers .excalidraw

-> **Statut :** ✅ Terminé (2026-09-10 — éditeur iframe complet, détection, création, autosave, support `.excalidraw.md`, B5 extraction texte pour la recherche, C8 création via menu contextuel, F3 E2E `tests/e2e/excalidraw.spec.js`, doc H1-H3. F2 non retenu. BUG-002 corrigé)
+> **Statut :** ✅ Terminé (2026-09-10 — éditeur iframe complet, détection, création, autosave, support `.excalidraw.md`, B5 extraction texte pour la recherche, C8 création via menu contextuel, F3 E2E `tests/e2e/excalidraw.spec.js`, doc H1-H3. F2 non retenu. BUG-002 et BUG-064 corrigés. 2026-09 : A9 bouton **plein écran** ajouté, auto-save retirée au profit d'une sauvegarde explicite (BUG-065))
 > **Effort :** 3-4 jours | **Impact :** 🟡
 > **Références :** [Roadmap](../ROADMAP.md) · [Changelog — 2.2.0](../../CHANGELOG.md)

@@ -56,17 +56,18 @@
    </script>
    ```
  - [x] **A5. Rendu du composant** : Monter `<ExcalidrawLib.Excalidraw>` dans le conteneur avec les `initialData` reçues. Configurer les callbacks `onChange` pour détecter les modifications.
-  - [x] **A6. Barre d'outils minimaliste** (dans l'iframe, superposée en haut à droite) :
-    - Bouton « 💾 Sauvegarder » → envoie les données au parent
-    - Badge « Modifié » (disparaît après sauvegarde)
-    - Indicateur de thème 🌙/☀️
-    - Optionnel : bouton « Export PNG » et « Export SVG » (natif Excalidraw)
+  - [x] **A6. Barre d'outils minimaliste** (dans l'iframe ; depuis 2026-09 : **colonne d'icônes** collée au bord droit (`right: 0`), début à `45%` de la hauteur, empilement vertical) :
+    - Bouton « Sauvegarder » (icône disquette → coche après sauvegarde) → envoie les données au parent
+    - Boutons « Export PNG » (icône image) et « Export SVG » (icône vectorielle) — infobulles au survol
+    - Bouton plein écran (A9)
+    - Badge « Modifié » réduit à une pastille au-dessus des boutons
  - [x] **A7. Communication postMessage** :
    - Réception : écouter `message` → si `type === "init"`, charger `data.elements` + `data.appState` + `data.files` dans l'état Excalidraw. Si `type === "theme"`, basculer `theme` (dark/light).
    - Émission : `postMessage({type: "save", data: {elements, appState, files}}, "*")` quand l'utilisateur sauvegarde.
    - Émission : `postMessage({type: "ready"}, "*")` au chargement pour signaler que l'iframe est prête.
    - Émission : `postMessage({type: "modified", dirty: true/false}, "*")` pour l'indicateur de modification.
  - [x] **A8. Gestion des erreurs** : Si les données sont invalides (JSON corrompu, pas un fichier Excalidraw), afficher un message d'erreur stylisé dans l'iframe.
+  - [x] **A9. Bouton plein écran** (ajouté 2026-09) : bouton `#btn-fullscreen` dans la barre d'outils de l'iframe → `document.documentElement.requestFullscreen()` (l'iframe parent est créée avec `allow="fullscreen" allowfullscreen`) ; l'icône bascule entrer/sortir via `fullscreenchange`. La feuille de style Excalidraw étant chargée, le canvas suit le redimensionnement. Test statique : `tests/frontend/excalidraw-viewer.test.mjs`.

 ## B. Backend — Détection et API (0.5 jour)
  - [x] **B1. Ajout à `SUPPORTED_EXTENSIONS`** : Ajouter `.excalidraw` dans `backend/indexer.py:56` pour que les fichiers apparaissent dans l'arborescence et soient indexés.
@@ -100,7 +101,7 @@
    - Pour les fichiers `.excalidraw` : remplacer « Éditer (Forge) » par « Ouvrir dans Excalidraw.com » (lien externe, nouvel onglet)
    - Garder « Télécharger » (.excalidraw) et « pop-out »
    - Badge « Excalidraw » avec icône `pen-tool`
-  - [x] **C4. Auto-save** : Débounce 2 secondes après la dernière modification dans l'iframe → sauvegarde automatique silencieuse (comme l'éditeur markdown #29). L'iframe émet `modified` → le parent démarre un timer → au bout de 2s sans nouvelle modification → `postMessage({type: "requestSave"})` → l'iframe répond avec `save` → le parent écrit via l'API.
+  - [x] **C4. Sauvegarde explicite uniquement** (modifié 2026-09 : l'auto-save a été **retirée**, BUG-065) : l'iframe émet `modified` → le badge « Modified » s'affiche, mais **aucune sauvegarde automatique** n'est déclenchée. La sauvegarde se fait par le bouton « 💾 Save » de l'iframe ou `Ctrl+S`. Raison : chaque écriture déclenche l'événement SSE `index_updated`, qui re-rendait la vue et **rechargeait l'iframe** (refresh visible en pleine édition).
  - [x] **C5. Raccourci Ctrl+S** : L'iframe intercepte Ctrl+S → envoie `save` au parent → le parent sauvegarde → confirmation visuelle (toast « Excalidraw sauvegardé »).
  - [x] **C6. Compatibilité Split View (#75)** : L'iframe s'affiche dans le content-area du panneau actif. Le `PaneTabManager` gère le cache : quand on switch d'onglet, l'état de l'iframe est préservé (elle reste dans le DOM, juste masquée). Plusieurs iframes Excalidraw peuvent coexister dans différents panneaux.
  - [x] **C7. Création via la modale « Nouveau fichier »** : Dans `frontend/js/ui.js`, fonction `showCreateFileModal()` :
@@ -141,6 +142,8 @@
  - **Taille du bundle** : React + ReactDOM + Excalidraw ≈ 2.5 Mo minifié. Chargé depuis `esm.sh` (CDN global, cache HTTP). L'impact n'est perceptible qu'à la première ouverture d'un `.excalidraw`. Solution : précharger l'iframe en arrière-plan (`<link rel="prefetch">`) après le chargement de l'app.
  - **Performance React dans iframe** : React dans une iframe fonctionne parfaitement — c'est un contexte JavaScript indépendant. Testé sur Chrome, Firefox, Safari, Edge.
  - **CORS et esm.sh** : Les modules ESM depuis `esm.sh` sont servis avec les headers CORS appropriés. L'iframe est same-origin (`/frontend/excalidraw-editor.html`) donc pas de problème.
+  - **Compatibilité des exports de l'app Excalidraw** (BUG-064) : `appState.collaborators` est une `Map` qu'Excalidraw sérialise en objet JSON (`{}`) ; elle doit être reconvertie en `Map` (`sanitizeAppState()` dans `frontend/excalidraw-editor.html`) avant `initialData`, sinon Excalidraw 0.18 plante (`collaborators.forEach is not a function`). La géométrie de viewport (`width`, `height`, `offsetLeft`, `offsetTop`) est également écartée : ce sont des valeurs mesurées côté fenêtre source, qu'Excalidraw recalcule. Couvert par un test E2E (`diagram-app-export.excalidraw`).
+  - **Feuille de style Excalidraw obligatoire** (BUG-064) : `@excalidraw/excalidraw` n'injecte pas son CSS automatiquement — il faut le charger explicitement (`<link>` vers `…/@excalidraw/[email protected]/dist/prod/index.css`). Sans lui, l'éditeur est non stylisé **et** `.excalidraw` n'a pas de hauteur fixe, ce qui déclenche une boucle de redimensionnement jusqu'au plafond `2^25` (33 554 432 px) : le canvas devient indessinable et la scène reste blanche. Le CDN `esm.sh` doit donc figurer dans `style-src` de la CSP (`backend/main.py`). Garde-fous : `tests/frontend/excalidraw-viewer.test.mjs` et `TestCspExcalidrawStylesheet`.
  - **Mises à jour d'Excalidraw** : La version est épinglée (`@0.18.0`). Pour mettre à jour, changer le numéro dans le HTML + tester. Le format de données `.excalidraw` est stable (v2 depuis 2021).
  - **Sécurité postMessage** : Vérifier `event.origin` dans les deux sens. L'iframe n'accepte que les messages de `window.parent`. Le parent n'accepte que les messages de l'iframe connue. Pas de `"*"` en production.
  - **Tauri Desktop (#77)** : L'iframe se charge depuis le filesystem local (`tauri://localhost/frontend/excalidraw-editor.html`). Les imports ESM depuis `esm.sh` fonctionnent si le réseau est disponible. Pour le mode offline, bundler Excalidraw dans l'app desktop (à traiter dans #77, pas ici).
@@ -0,0 +1,86 @@
+# #101 - Forge : Assistant IA partagé + plein écran (Forge & Editer)
+
+> **Statut :** 🟢 livré (en attente de vérification utilisateur)
+> **Version :** 2.8.0
+> **Composants :** `frontend/editor-poc.html`, `frontend/js/sync.js`,
+> `frontend/js/viewer.js`, `frontend/js/utils.js`, `frontend/index.html`,
+> `frontend/style.css`, `frontend/locales/{fr,en}.json`
+> **Tests :** `tests/frontend/editor-inline.test.mjs` (+10)
+
+## Contexte
+
+L'éditeur **Forge** (`frontend/editor-poc.html`, iframe même origine) embarque son propre
+mini-panneau « AI Panel » : un chat rudimentaire qui appelait `/api/ai/improve` **sans
+fournisseur ni modèle** (donc toujours le défaut serveur), sans historique, sans streaming,
+sans commandes `/` ni contexte `@`. L'éditeur **Editer** (CodeMirror) n'avait aucun bouton
+plein écran, et Forge non plus.
+
+L'utilisateur veut :
+
+1. que le bouton « AI Panel » de Forge affiche **le même contenu** que le panneau
+   **Assistant IA** (fournisseur/modèle, historique, skills `/`, contexte `@`) ;
+2. que Forge utilise le **fournisseur et le modèle configurés** dans l'Assistant IA
+   (actions IA, autocomplétion fantôme) ;
+3. un bouton **plein écran** dans Forge **et** dans Editer.
+
+## Conception
+
+### 1. Forge ouvre l'Assistant IA existant (pas de duplication)
+
+`bookslm.js` est un singleton monté sur le document parent, couplé à `state`, `TabManager`,
+`AuthManager` et au CSS global : le porter dans l'iframe serait une duplication lourde à
+maintenir. Forge étant une **iframe même origine**, son bouton AI se contente de demander au
+parent d'ouvrir l'assistant :
+
+| Côté | Mécanisme |
+|---|---|
+| Iframe | `openAssistant()` → `parent.postMessage({ type: 'forge-open-ai' }, '*')` (`#btn-ai`, `Ctrl+J`) |
+| Parent (`sync.js`) | sur `forge-open-ai` : `import('./bookslm.js')` → `openForCurrentContext()` |
+
+Le mini-panneau Forge (`#ai-panel`, `sendAIChat`, suggestions) est **supprimé** : le contenu,
+le fournisseur/modèle, l'historique, les menus `/` et `@` sont ceux de l'assistant, sans
+double maintenance.
+
+### 2. Fournisseur/modèle partagé
+
+Le sélecteur de l'assistant persiste son choix dans `localStorage['obsigate_ai_picker']`
+(`{provider, model}`), clé **partagée** par l'iframe (même origine). Forge la lit via
+`aiPickerSelection()` et l'injecte :
+
+- dans `aiCall()` (actions IA du menu `/` et de la bulle de sélection) ;
+- dans la **complétion fantôme** (`/api/ai/inline-complete`) — repli `ollama` si aucun
+  fournisseur n'est sélectionné (comportement local conservé).
+
+Les noms d'endpoints erronés sont corrigés au passage : `make-longer` / `make-shorter`
+(au lieu de `lengthen` / `simplify`) et `target_lang` pour la traduction.
+
+### 3. Plein écran natif
+
+- **Forge** : bouton `#btn-fullscreen` dans la barre, `document.documentElement.requestFullscreen()`
+  (l'iframe reçoit `allow="fullscreen"` côté parent, `viewer.js`), icône basculée sur
+  `fullscreenchange`.
+- **Editer** : bouton `#editor-fullscreen` dans l'en-tête ; plein écran sur le conteneur
+  `#editor-container` (`getEditorContainer()`, fonctionne en mode modale **et** inline),
+  styles `:fullscreen` (`width/height: 100vw/100vh`), icône/label basculés, sortie du plein
+  écran à la fermeture (`closeEditor`) et Échap laissé au navigateur pendant le plein écran.
+
+Libellés i18n `editor.fullscreen` / `editor.exit_fullscreen` (FR + EN).
+
+## Fichiers
+
+| Fichier | Modification |
+|---|---|
+| `frontend/editor-poc.html` | suppression du mini-panneau AI ; `openAssistant()` (postMessage) ; `aiPickerSelection()` injecté dans `aiCall`/complétion fantôme ; `AI_MAP` corrigé ; bouton + logique plein écran |
+| `frontend/js/sync.js` | routage `forge-open-ai` → `bookslm.openForCurrentContext()` |
+| `frontend/js/viewer.js` | `allow="fullscreen"` sur `#forge-iframe` |
+| `frontend/index.html` | bouton `#editor-fullscreen` (titre i18n) |
+| `frontend/js/utils.js` | `toggleEditorFullscreen` / `updateFullscreenButton` / `isEditorFullscreen` ; sortie du plein écran dans `closeEditor` |
+| `frontend/style.css` | `.editor-container:fullscreen` |
+| `frontend/locales/{fr,en}.json` | `editor.fullscreen`, `editor.exit_fullscreen` |
+
+## Tests
+
+`tests/frontend/editor-inline.test.mjs` (+10) : suppression du mini-panneau, postMessage
+`forge-open-ai`, routage `sync.js`, lecture de `obsigate_ai_picker`, endpoints corrigés,
+complétion fantôme, boutons plein écran (Forge + Editer), `allow="fullscreen"`, CSS
+`:fullscreen`, clés i18n.
@@ -0,0 +1,139 @@
+# #105 — Guide d'utilisation : couverture, téléchargement MD/PDF, Architecture
+
+> **Statut :** livré | **Version :** 2.13.0 | **Bugs liés :** BUG-067
+> **Roadmap :** [docs/ROADMAP.md](../ROADMAP.md) · **Changelog :** [../../CHANGELOG.md](../../CHANGELOG.md)
+
+## 1. Objectif
+
+Après ~35 features livrées (#70→#104), le guide intégré (modale « Guide
+d'utilisation », `#help-modal` de `frontend/index.html`) ne représentait plus
+l'application : Mermaid, hors-ligne/PWA, collaboration Yjs, desktop Tauri,
+exports HTML/ePub/ZIP, recherche sémantique, MFA/WebAuthn, push, split view,
+API OpenAPI/MCP étaient absents. L'item couvre quatre livrables :
+
+1. **Audit de couverture** — toutes les fonctionnalités visibles ET non visibles
+   (API, MCP, webhooks, endpoints de partage) sont documentées.
+2. **Section Architecture** — diagramme Mermaid des grandes composantes.
+3. **Téléchargement Markdown + PDF** du guide, dans la langue courante.
+4. **Lecture desktop élargie** (mode Tauri + grands viewports web).
+
+## 2. Source de vérité du contenu
+
+Le contenu des nouvelles sections vit dans **`scripts/guide_content.py`** :
+dictionnaire `CONTENT` (clé → FR, EN) + constructeurs HTML qui **ne peuvent
+pas diverger** des locales (le FR inline est généré depuis `CONTENT`).
+
+- `scripts/merge_guide_locales.py` → injecte les clés `guide105.*` dans
+  `frontend/locales/{fr,en}.json` (insertion textuelle, parité assertée).
+- `scripts/insert_guide_sections.py` → insère sections/TOC/compléments dans
+  `index.html` (idempotent, préserve les fins de ligne, vérifie l'équilibre
+  `<section>` et l'absence d'ancre morte).
+- **Règle :** ne jamais éditer les blocs `guide105.*` des JSON ni les sections
+  #105 de `index.html` à la main — modifier `guide_content.py` et relancer les
+  deux scripts (séquence figée, sinon HTML et locales divergent).
+
+## 3. Rendu du guide dans l'app
+
+Les textes portent `data-i18n="guide105.*"` ; `_applyDOM()` (i18n.js) les
+remplit avec la locale courante. Les valeurs FR/EN contiennent du **HTML
+minimal** (`<code>`, `<strong>`, `<a href="https://…">`) — sûre ici car ces
+chaînes sont statiques dans le dépôt (jamais de contenu utilisateur ; même
+convention que `help.desc_*` existant).
+
+Le diagramme d'architecture est un bloc `<pre class="mermaid-code"><code
+class="language-mermaid">` : à l'ouverture de la modale, `renderGuideMermaid()`
+(config.js) appelle `renderMermaidBlocks()` (mermaid-viewer.js) sur la modale —
+le viewer ne rend que les vues document, la modale est donc enrichie ici. Si le
+CDN Mermaid n'est pas prêt, le bloc reste du code lisible et le rendu est
+retenté à l'ouverture suivante (`data-mermaid-rendered` ne se pose qu'après
+succès). Le MD exporté embarque le diagramme en fenced block ` ```mermaid `
+(copiable, rendu par GitHub/VS Code/Obsidian) ; le PDF affiche le PNG pré-rendu
+(section 4 — WeasyPrint n'exécute pas Mermaid).
+
+## 4. Téléchargement (MD + PDF)
+
+`backend/guide_export.py` : parseur stdlib (html.parser → arbre minimal) ;
+extraction de `#help-modal`→`.help-content`, résolution i18n **identique à
+_applyDOM** (un élément `data-i18n` est remplacé par la valeur locale, sinon le
+FR inline sert de repli), conversion Markdown (titres, listes imbriquées,
+tables, fenced code, gras/italique/code/kbd/links http) et HTML propre pour
+WeasyPrint. PDF : pipeline d'export existant (`build_pdf_html` + `generate_pdf`),
+repli `_render_reportlab_pdf` (markdown simplifié) quand GTK manque (Windows
+nu) — même stratégie que le bouton « PDF » des documents (#92).
+`get_guide_document(fmt, lang)` met en cache (octets+signature mtime/size de
+`index.html` et `fr.json`) pour éviter de re-générer à chaque requête.
+
+Endpoint `GET /api/guide/download?format=md|pdf&lang=fr|en`
+(`require_auth`, tag OpenAPI « Guide »), `Content-Disposition: attachment`.
+Côté UI : boutons **icônes seules** 📄/⬇ dans l'en-tête de la modale
+(`#help-download-md`/`#help-download-pdf`, tooltip i18n), handler `downloadGuide()` dans
+`frontend/js/config.js` — fetch avec `AuthManager.getAuthHeaders()` +
+credentials (identique à `viewer.downloadExport()`), blob → lien
+téléchargeable, toasts i18n réutilisés (`viewer.export_*`).
+
+Diagramme d'architecture dans le PDF : WeasyPrint n'exécute pas Mermaid → le code
+Mermaid est **pré-rendu en PNG** (`scripts/build_guide_diagrams.py` +
+`scripts/render_guide_diagram.mjs`, Chromium + mermaid v11 CDN, scale 2) et le PNG
+est **commité** dans `backend/assets/guide_diagrams/<sha1>.png` ; `diagram_png_for()`
+(hash sha1[:16] du code normalisé, même algorithme des deux côtés) remplace le
+bloc par `<img src="file:///…">` dans le HTML d'export. Après modification du
+diagramme dans `guide_content.py` + réinsertion : relancer
+`python scripts/build_guide_diagrams.py` et committer le nouveau PNG.
+Emoji : l'image Docker installe `fonts-noto-color-emoji` et la pile de polices
+PDF finit par `"Noto Color Emoji"` — sans cela les emoji pleine chasse des titres
+de section s'affichent en rectangles (la TOC n'était pas touchée car elle passe
+par DejaVu/Sans).
+
+## 5. Guide desktop élargi
+
+`frontend/js/desktop.js::initDesktopIntegration()` ajoute `body.desktop-mode`
+(une fois, après le garde Tauri). CSS (section « Help Modal: desktop » de
+`style.css`) : conteneur 1760 px / 96 vw, contenu 1440 px, modale 94 vh ; le
+même layout est accordé aux viewports ≥1400 px web via media-query (contenu
+1280 px). Le mobile reste inchangé (≤768 px plein écran).
+
+## 6. Couverture fonctionnelle du guide (après #105)
+
+| Domaine app | Section du guide |
+|---|---|
+| Vaults, arborescence, filtres, breadcrumb | Interface, Navigation |
+| Onglets, popout, split view | Onglets, Personnalisation |
+| Recherche TF-IDF, opérateurs, facettes, sémantique, recherches sauvegardées, signets | Recherche, Bibliothèque |
+| Tags, frontmatter | Tags |
+| Fichiers, types supportés, CodeMirror, PDF, export HTML/ePub/ZIP, anti-doublons upload | Fichiers |
+| Mermaid | Diagrammes |
+| Excalidraw | Excalidraw |
+| Éditeur, AI toolbar, BooksLM, commandes @//, skills, images, outils, historique | Édition, IA |
+| Édition mobile | Mobile (section dédiée, BUG-067) |
+| Graphe, backlinks | Bibliothèque, Graphe |
+| Palette de commandes, raccourcis | Palette, Raccourcis |
+| Partage public, PDF du partage, webhooks HMAC | Partage, Webhooks |
+| Backups, diff, purge, audit log, gestionnaire | Sauvegardes et Audits |
+| JWT/Argon2id, rate limit, MFA TOTP/WebAuthn, admin dashboard, secrets, CSP | Sécurité |
+| PWA hors-ligne, IndexedDB queue, watcher, conflits Syncthing | Hors-ligne, Bibliothèque |
+| Collaboration Yjs/CRDT, awareness, push VAPID | Collaboration, Interface |
+| Tauri desktop (updater signé, wizard, fenêtrage) | Desktop |
+| API REST OpenAPI (/docs, /redoc, /api, /openapi.json), MCP /mcp, automatisation | API & Intégrations |
+| i18n FR/EN, export du guide multilingue | Multilingue |
+| Architecture technique (couches, flux, données, déploiement) | **Architecture** (nouveau) |
+| Plugins sandboxés | Plugins |
+
+## 7. Tests & vérifications
+
+- `tests/test_guide.py` (13) : ancre TOC→sections (garde-fou BUG-067),
+  sections #105 présentes, parité/présence des clés `guide105.*` FR=EN,
+  Markdown FR/EN (titres, mermaid, absence de balises résiduelles), PDF
+  (`%PDF`, taille), **diagramme Architecture rendu en `<img>` PNG dans le HTML
+  d'export**, MD garde le fenced mermaid, metadata `get_guide_document`,
+  endpoint MD/PDF/400 via TestClient, OpenAPI (path + tag « Guide »).
+- Suite backend pytest : 1218 passed · ruff/mypy 0 erreur ·
+  `validate-imports` 38 modules · `unit.test.mjs` 10/10 · E2E complet CI.
+- SW cache busting : `SW_VERSION` v21→v23 (guides + boutons icônes).
+
+## 8. Limites assumées
+
+- Le PDF est généré côté serveur avec les polices système ; en l'absence de
+  GTK (Windows de dev) c'est le repli reportlab (sans tableaux) — la voie
+  WeasyPrint est celle des conteneurs Docker/prod.
+- Le sommaire et les sections sont en dur dans `index.html` : tout ajout futur
+  de section passe par `guide_content.py` + les deux scripts (jamais à la main).
@@ -8,6 +8,7 @@

 - **Implémentation réelle (vérifiée 2026-09-07) :**
  - **Bugs corrigés (2026-09) :** `api_pdf_stream` crashait en 500 (`NameError: current_user` jamais injecté) ; l'indexation incrémentale du watcher faisait `read_text()` sur les PDFs (garbage) ; Range/206 et `pdf/info` absents malgré le texte ci-dessous.
+  - **BUG-060 (2026-09-17) :** l'affichage inline ne fonctionnait plus — la CSP durcie en BUG-034 (`object-src 'none'`) bloquait l'`<embed>` du viewer (barre d'outils rendue, corps vide). Le rendu passe par une `<iframe>` (autorisée par `frame-src 'self'`), conforme à E1. Tests : `tests/frontend/pdf-viewer.test.mjs` + `tests/e2e/pdf-viewer.spec.js`.
  - `GET /api/file/{vault}/pdf/info` — métadonnées seules sans transférer le document (C3)
  - Stream avec `Accept-Ranges` + 206 Partial Content (single range, suffix-range, 416) (C2)
  - `OBSIGATE_PDF_MAX_SIZE_MB` (50) + `OBSIGATE_PDF_EXTRACT_TIMEOUT` (30s via thread-pool) (B4/G3)
@@ -0,0 +1,69 @@
+# #86 — Optimisation globale des performances (phase 3)
+
+> **Statut :** ✅ livré | **Zone :** backend (`indexer.py`, `mutations.py`)
+> **Prérequis déjà livrés :** BUG-033 (recherche via inverted index), BUG-040 (PDF lazy),
+> BUG-025 (caps regex).
+
+## Contexte
+
+La roadmap #86 demandait : recherche simple + tool IA via l'inverted index, indexation
+incrémentale + scan différentiel au démarrage, extraction PDF/excalidraw différée et caps
+CPU sur les opérations regex. Trois de ces cinq points étaient déjà couverts par des
+correctifs antérieurs ; cette livraison ferme les deux points restants.
+
+## Ce qui était déjà livré (rappel)
+
+| Point #86 | Livré par | État |
+|---|---|---|
+| Recherche simple + `search_fulltext` via inverted index | BUG-033 | `search()` récupère ses candidats via l'inverted index (intersection + expansion de préfixes), repli scan pendant la construction |
+| Extraction PDF différée | BUG-040 | `_scan_vault` ne lit que les métadonnées ; `enrich_pdf_texts()` extrait après index |
+| Caps CPU regex | BUG-025 | `validate_regex` (longueur ≤ 500, rejet quantificateurs imbriqués), contenu tronqué à 200 kio, matchs plafonnés à 1 000 |
+
+## Livré ici
+
+### 1. Scan différentiel au démarrage (`backend/indexer.py`)
+
+- `_scan_vault(..., previous_files)` : quand un snapshot `{relative_path: file_info}` est
+  fourni, toute entrée dont `size` **et** `modified` sont inchangés est réutilisée sans
+  lecture disque ni re-parse (copie du dict, tags recomptés, wikilinks ré-enregistrés
+  depuis le contenu caché pour reconstruire l'index de backlinks).
+- `build_index()` capture le snapshot précédent avant le `clear()` et le transmet à
+  chaque scan de vault (via `functools.partial` pour l'executor) ; `reload_single_vault()`
+  fait de même pour son vault. Seuls le `os.walk` + `stat` (bon marché) tournent à
+  chaque passe ; le retour inclut `reused` (hits différentiels, loggé par vault).
+- Premier démarrage (aucun snapshot) : comportement identique à avant.
+
+### 2. Extraction excalidraw différée (`backend/indexer.py`)
+
+- Le scan ne lit plus les `.excalidraw` / `.excalidraw.md` : titre dérivé du nom de
+  fichier, `content` vide, flag `excalidraw_text_pending` (plus de décompression
+  lz-string pendant le scan).
+- `enrich_pdf_texts()` traite désormais les deux flags (`pdf` + `excalidraw`) via
+  `_read_excalidraw_indexable_text()` exécuté dans l'executor, avec notification du hook
+  d'index incrémental comme pour les PDF. Nom conservé pour compatibilité (tests,
+  `main.py`, `reload_index`, `reload_single_vault` inchangés côté appel).
+- Le chemin incrémental fichier-à-fichier (`_index_single_file_sync`, watcher) reste
+  immédiat : un seul fichier ne justifie pas le différé.
+
+### 3. Garde-fou taille sur `replace_in_files` (`backend/services/mutations.py`)
+
+- Nouvelle constante `MAX_REPLACE_FILE_BYTES` (5 Mio) : tout fichier dépassant le plafond
+  est sauté (warning loggé) au lieu d'être lu intégralement puis balayé par le pattern
+  utilisateur. Complète les caps BUG-025 (qui couvrent la recherche, pas le remplacement
+  qui opère sur le contenu disque complet par nature).
+
+## Tests
+
+`tests/test_perf_phase3.py` (9 tests) : différé excalidraw au scan (`.excalidraw` +
+`.excalidraw.md`), remplissage par l'enrichissement, `reused == 0` au premier scan,
+réutilisation à l'identique, re-parse du fichier modifié, ajout/suppression, skip
+`replace` sur fichier surdimensionné + cas passant nominal.
+
+## Limites connues
+
+- Pas de persistance disque de l'index : le différentiel joue sur les rebuilds dans le
+  même processus (`reload_index`, `reload_single_vault`), pas entre deux redémarrages
+  (persistance = #85, phase 2).
+- La comparaison `size + mtime` ne détecte pas une modification qui conserverait taille
+  et mtime à la milliseconde près (cas pathologique, le watcher temps réel couvre les
+  modifications en cours d'exécution).
@@ -100,27 +100,6 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
 .preview-content img { max-width: 100%; border-radius: var(--r); }
 .preview-loading { text-align: center; padding: 40px; color: var(--text3); font-size: 13px; }

-/* AI Panel (right) */
-.ai-panel { width: 320px; min-width: 320px; background: var(--bg2); border-left: 1px solid var(--border); display: flex; flex-direction: column; transition: transform 200ms, min-width 200ms, width 200ms; overflow: hidden; }
-.ai-panel.hidden { transform: translateX(100%); min-width: 0; width: 0; border-left: none; }
-.ai-panel-head { padding: 12px 14px; border-bottom: 1px solid var(--border); display: flex; align-items: center; justify-content: space-between; }
-.ai-panel-title { font-weight: 700; font-size: 13px; color: var(--ai); }
-.ai-panel-close { width: 26px; height: 26px; border-radius: var(--r); border: none; background: transparent; color: var(--text3); cursor: pointer; font-size: 15px; }
-.ai-panel-close:hover { background: var(--bg-hover); color: var(--text); }
-.ai-chat { flex: 1; padding: 14px; overflow-y: auto; display: flex; flex-direction: column; gap: 10px; }
-.ai-suggestions { padding: 10px 14px; border-top: 1px solid var(--border); }
-.ai-sugg { display: block; width: 100%; text-align: left; padding: 7px 10px; margin-bottom: 3px; border-radius: var(--r); border: none; background: transparent; color: var(--text2); cursor: pointer; font-size: 12px; font-family: var(--sans); }
-.ai-sugg:hover { background: var(--bg-hover); color: var(--text); }
-.ai-input-row { padding: 8px 14px; border-top: 1px solid var(--border); display: flex; gap: 6px; }
-.ai-input { flex: 1; padding: 7px 10px; border-radius: var(--r); border: 1px solid var(--border); background: var(--bg3); color: var(--text); font-size: 12px; outline: none; font-family: var(--sans); }
-.ai-input:focus { border-color: var(--ai); }
-.ai-send { padding: 7px 12px; border-radius: var(--r); border: none; background: var(--ai); color: #fff; cursor: pointer; font-size: 12px; font-weight: 600; }
-.ai-msg { padding: 8px 11px; border-radius: var(--r); font-size: 12px; line-height: 1.5; max-width: 90%; white-space: pre-wrap; }
-.ai-msg.user { background: var(--bg3); align-self: flex-end; }
-.ai-msg.bot { background: var(--ai-bg); color: var(--ai); align-self: flex-start; }
-.ai-msg.loading { color: var(--text3); font-style: italic; align-self: flex-start; }
-.ai-chat-placeholder { color: var(--text3); font-size: 12px; padding: 10px; }
-
 /* Slash menu */
 .slash { position: fixed; z-index: 200; width: 300px; max-height: 360px; overflow-y: auto; background: var(--bg4); border: 1px solid var(--border2); border-radius: var(--R); box-shadow: var(--shadow); display: none; }
 .slash.on { display: block; animation: fadeIn 120ms; }
@@ -233,18 +212,14 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
 .ac-item-label { font-family: var(--mono); font-weight: 500; white-space: nowrap; }
 .ac-item-detail { font-size: 10.5px; color: var(--text3); margin-left: auto; white-space: nowrap; overflow: hidden; text-overflow: ellipsis; max-width: 160px; }
 .ac-item-context { font-size: 9px; color: var(--accent); text-transform: uppercase; letter-spacing: 0.5px; margin-bottom: 4px; padding: 2px 10px 4px; }
-/* Ghost text overlay */
+/* Ghost text overlay (AI inline prediction, positioned at the caret) */
 .ghost-overlay {
-  position: absolute; top: 0; left: 0; right: 0; bottom: 0;
+  position: absolute; top: 0; left: 0;
  pointer-events: none; z-index: 1;
-  padding: 24px 16px 24px 12px;
  font-family: var(--mono); font-size: 13.5px; line-height: 1.75;
-  white-space: pre-wrap; word-wrap: break-word;
-  overflow: hidden; color: transparent;
-}
-.ghost-prediction {
-  color: var(--text3); opacity: 0.5;
+  white-space: pre; color: var(--text3); opacity: 0.55;
 }
+.ghost-prediction { color: inherit; }
 </style>
 </head>
 <body>
@@ -264,7 +239,8 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  <div class="bar-right">
    <button class="btn" id="btn-help" title="Aide / Raccourcis (F1)">&#63;</button>
    <button class="btn" id="btn-preview" title="Toggle preview">&#128065;</button>
-    <button class="btn btn-ai off" id="btn-ai" title="AI Panel (Ctrl+J)">&#10024;</button>
+    <button class="btn btn-ai off" id="btn-ai" title="Assistant IA (Ctrl+J)">&#10024;</button>
+    <button class="btn" id="btn-fullscreen" title="Plein écran (F11)" aria-label="Plein écran"><svg width="15" height="15" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3H5a2 2 0 0 0-2 2v3m18 0V5a2 2 0 0 0-2-2h-3m0 18h3a2 2 0 0 0 2-2v-3M3 16v3a2 2 0 0 0 2 2h3"/></svg></button>
    <div class="save-dot ok" id="save-dot"><span class="dot"></span><span id="save-label">Saved</span></div>
  </div>
 </div>
@@ -380,33 +356,13 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
      <div class="bubble-more-item" data-action="ai-continue">&#10133; Continue writing</div>
    </div>
  </div>
-
-  <!-- AI Panel -->
-  <div class="ai-panel hidden" id="ai-panel">
-    <div class="ai-panel-head">
-      <span class="ai-panel-title">&#10024; AI Assistant</span>
-      <button class="ai-panel-close" id="ai-close">&times;</button>
-    </div>
-    <div class="ai-chat" id="ai-chat">
-      <div class="ai-chat-placeholder">Ask AI about your document. Use slash /ai or select text for AI actions.</div>
-    </div>
-    <div class="ai-suggestions">
-      <button class="ai-sugg">&#10024; Improve overall style</button>
-      <button class="ai-sugg">&#10133; Add a conclusion</button>
-      <button class="ai-sugg">&#128221; Summarize document</button>
-    </div>
-    <div class="ai-input-row">
-      <input class="ai-input" id="ai-input" placeholder="Ask AI...">
-      <button class="ai-send" id="ai-send">Send</button>
-    </div>
-  </div>
 </div>

 <!-- Status bar -->
 <div class="stat">
  <div class="stat-left">
    <span>Type <strong>/</strong> for commands  |  <strong>Alt+\</strong> autocomplete  |  <strong>Alt+I</strong> Insert</span>
-    <span>Ctrl+J AI panel</span>
+    <span>Ctrl+J Assistant IA</span>
    <span>Ctrl+S save</span>
    <span>Ctrl+K link</span>
    <span class="stat-ai" id="stat-ai">&#10024; AI processing...</span>
@@ -430,7 +386,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
      <tr><td>/</td><td>Menu de commandes (en debut de ligne)</td></tr>
      <tr><td>Alt+I</td><td>Insertion rapide (Quick Insert)</td></tr>
      <tr><td>F1</td><td>Ce panneau d'aide</td></tr>
-      <tr><td>Tab</td><td>Indenter la ligne / element de liste</td></tr>
+      <tr><td>Tab</td><td>Valider la suggestion / completer le mot / indenter</td></tr>
      <tr><td>Shift+Tab</td><td>Desindenter</td></tr>
    </table>
    <h3>Formatage</h3>
@@ -453,7 +409,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    <table>
      <tr><td>Ctrl+S</td><td>Sauvegarder</td></tr>
      <tr><td>Clic sur le titre</td><td>Renommer le fichier</td></tr>
-      <tr><td>Ctrl+J</td><td>Panneau AI</td></tr>
+      <tr><td>Ctrl+J</td><td>Assistant IA</td></tr>
      <tr><td>Alt+\</td><td>Autocompletion intelligente</td></tr>
      <tr><td>Enter (liste)</td><td>Continue la liste (-, *, 1.) et checkboxes</td></tr>
      <tr><td>Enter (liste vide)</td><td>Termine la liste</td></tr>
@@ -494,7 +450,6 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  var bubble = document.getElementById('bubble');
  var bubbleMore = document.getElementById('bubble-more-menu');
  var qiMenu = document.getElementById('qi-menu');
-  var aiPanel = document.getElementById('ai-panel');
  var btnAI = document.getElementById('btn-ai');
  var btnPreview = document.getElementById('btn-preview');
  var saveDot = document.getElementById('save-dot');
@@ -521,6 +476,11 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  var saveTimer = null;
  var aiConfigured = null;

+  // Shared autocomplete helpers (pure functions from autocomplete.js). Loaded
+  // once at startup so the « Tab » handler can use them synchronously.
+  var ac = null;
+  import('/static/js/autocomplete.js').then(function(m) { ac = m; }).catch(function() {});
+
  // Parse URL params
  (function() {
    var p = new URLSearchParams(window.location.search);
@@ -615,7 +575,11 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
      body: JSON.stringify({ content: content })
    }).then(function(r) {
      if (!r.ok) throw new Error(r.status);
-      isDirty = false; originalContent = content;
+      originalContent = content;
+      // BUG-055 — edits typed while the save was in flight are newer than the
+      // disk: stay dirty (and save again) so a later SSE reload can't drop them.
+      if (val() !== content) { scheduleAutoSave(); return; }
+      isDirty = false;
      saveDot.className = 'save-dot ok'; saveLabel.textContent = 'Saved';
    }).catch(function(e) {
      saveDot.className = 'save-dot err'; saveLabel.textContent = 'Erreur';
@@ -699,6 +663,21 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  }

  // ---- AI calls ----
+  // #101 — Use the provider/model selected in the AI Assistant. The picker
+  // stores its choice in the same-origin `localStorage` key shared with the
+  // parent app (`obsigate_ai_picker`), so Forge AI actions follow the assistant.
+  function aiPickerSelection() {
+    try {
+      var raw = localStorage.getItem('obsigate_ai_picker');
+      if (!raw) return {};
+      var p = JSON.parse(raw);
+      var out = {};
+      if (p && p.provider) out.provider = p.provider;
+      if (p && p.model) out.model = p.model;
+      return out;
+    } catch (e) { return {}; }
+  }
+
  function aiCall(endpoint, text, extra, callback) {
    if (!aiConfigured) {
      // Check status first, then retry
@@ -712,6 +691,8 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    }
    showAIProcessing();
    var body = { text: text };
+    var pick = aiPickerSelection();
+    Object.keys(pick).forEach(function(k) { body[k] = pick[k]; });
    if (extra) Object.keys(extra).forEach(function(k) { body[k] = extra[k]; });
    fetch('/api/ai/' + endpoint, {
      method: 'POST', headers: { 'Content-Type': 'application/json' },
@@ -739,10 +720,10 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig

  function updateAIButton() {
    if (aiConfigured) {
-      btnAI.className = 'btn btn-ai'; btnAI.title = 'AI Panel (Ctrl+J)';
+      btnAI.className = 'btn btn-ai'; btnAI.title = 'Assistant IA (Ctrl+J)';
      document.getElementById('stat-ai-ready').style.display = 'inline';
    } else {
-      btnAI.className = 'btn btn-ai off'; btnAI.title = 'AI not configured';
+      btnAI.className = 'btn btn-ai off'; btnAI.title = 'Assistant IA non configure';
      document.getElementById('stat-ai-ready').style.display = 'none';
    }
  }
@@ -756,9 +737,9 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    'ai-fix':       { ep: 'fix-spelling', desc: 'fix spelling' },
    'ai-continue':  { ep: 'continue', desc: 'continue writing' },
    'ai-summarize': { ep: 'summarize', desc: 'summarize' },
-    'ai-translate': { ep: 'translate', extra: { language: 'en' }, desc: 'translate' },
-    'ai-shorter':   { ep: 'simplify', desc: 'make shorter' },
-    'ai-longer':    { ep: 'lengthen', desc: 'make longer' },
+    'ai-translate': { ep: 'translate', extra: { target_lang: 'en' }, desc: 'translate' },
+    'ai-shorter':   { ep: 'make-shorter', desc: 'make shorter' },
+    'ai-longer':    { ep: 'make-longer', desc: 'make longer' },
  };

  function execAIAction(actionKey) {
@@ -877,7 +858,27 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  })();

  // ---- Caret position to pixel (for monospace textarea) ----
-  function caretToPixel(pos) {
+  // Measured once so the caret math matches the actual font metrics.
+  var _charW = 0;
+  function getCharWidth() {
+    if (_charW) return _charW;
+    var style = getComputedStyle(ta);
+    var span = document.createElement('span');
+    span.style.fontFamily = style.fontFamily;
+    span.style.fontSize = style.fontSize;
+    span.style.fontWeight = style.fontWeight;
+    span.style.fontStyle = style.fontStyle;
+    span.style.position = 'absolute';
+    span.style.visibility = 'hidden';
+    span.style.whiteSpace = 'pre';
+    span.textContent = '0123456789';
+    document.body.appendChild(span);
+    _charW = (span.getBoundingClientRect().width / 10) || (parseFloat(style.fontSize) * 0.615);
+    span.remove();
+    return _charW;
+  }
+
+  function caretToPixel(pos, raw) {
    if (pos == null) pos = getPos().s;
    var v = val();
    var before = v.substring(0, pos);
@@ -888,20 +889,40 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    var fontSize = parseFloat(style.fontSize);
    var lineH = parseFloat(style.lineHeight);
    if (isNaN(lineH)) lineH = fontSize * 1.75;
-    var charW = fontSize * 0.615;
+    var charW = getCharWidth();
    var wrapRect = editorWrap.getBoundingClientRect();
    var taRect = ta.getBoundingClientRect();
-    // Position relative to editorWrap
-    var x = taRect.left - wrapRect.left + 2 + colNum * charW;
+    // Position relative to editorWrap (top of the line below the caret).
+    var x = taRect.left - wrapRect.left + colNum * charW;
    var y = taRect.top - wrapRect.top + (lineNum + 1) * lineH - ta.scrollTop;
-    // Clamp
-    if (x < 4) x = 4;
-    if (x > wrapRect.width - 310) x = wrapRect.width - 310;
-    if (y > wrapRect.height - 360) y = wrapRect.height - 360;
-    if (y < 20) y = 20;
+    if (!raw) {
+      // Clamp for the popup menus (never the inline ghost, which is exact).
+      if (x < 4) x = 4;
+      if (x > wrapRect.width - 310) x = wrapRect.width - 310;
+      if (y > wrapRect.height - 360) y = wrapRect.height - 360;
+      if (y < 20) y = 20;
+    }
    return { x: x, y: y };
  }

+  // Position of the caret itself (same line), used by the inline ghost text.
+  function caretLinePixel(pos) {
+    if (pos == null) pos = getPos().s;
+    var v = val();
+    var before = v.substring(0, pos);
+    var lineNum = before.split('\n').length - 1;
+    var colNum = pos - v.lastIndexOf('\n', pos - 1) - 1;
+    if (colNum < 0) colNum = 0;
+    var style = getComputedStyle(ta);
+    var lineH = parseFloat(style.lineHeight) || parseFloat(style.fontSize) * 1.75;
+    var wrapRect = editorWrap.getBoundingClientRect();
+    var taRect = ta.getBoundingClientRect();
+    return {
+      x: taRect.left - wrapRect.left + colNum * getCharWidth(),
+      y: taRect.top - wrapRect.top + lineNum * lineH - ta.scrollTop
+    };
+  }
+
  // ---- Slash menu ----
  function initSlashItems() { slashItems = Array.from(slashMenu.querySelectorAll('.slash-item')); }

@@ -1173,36 +1194,52 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    showQI();
  }

-  // ---- AI Panel ----
-  function toggleAIPanel() {
-    aiPanel.classList.toggle('hidden');
-    btnAI.classList.toggle('active', !aiPanel.classList.contains('hidden'));
+  // ---- AI Assistant (#101) ----
+  // The rich assistant (provider/model picker, streaming, `/` skills, `@`
+  // context, history) lives in the parent application. Forge is a same-origin
+  // iframe, so the AI button simply asks the parent to open it — no duplicated
+  // panel, and the configured provider/model is shared automatically.
+  function openAssistant() {
+    var notify = function() {
+      try {
+        window.parent.postMessage({ type: 'forge-open-ai' }, '*');
+      } catch (e) { /* not embedded */ }
+    };
+    // The shared assistant lives in the parent document, which cannot render
+    // above a fullscreen Forge iframe: leave fullscreen first so the panel is
+    // actually visible when it opens.
+    if (document.fullscreenElement && document.exitFullscreen) {
+      try {
+        var p = document.exitFullscreen();
+        if (p && p.then) p.then(notify, notify);
+        else notify();
+      } catch (e) { notify(); }
+    } else {
+      notify();
+    }
  }

-  function sendAIChat() {
-    var input = document.getElementById('ai-input');
-    var chat = document.getElementById('ai-chat');
-    var text = input.value.trim();
-    if (!text) return;
-    input.value = '';
+  // ---- Fullscreen (#101) ----
+  var btnFullscreen = document.getElementById('btn-fullscreen');
+  var FS_ENTER = '<svg width="15" height="15" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3H5a2 2 0 0 0-2 2v3m18 0V5a2 2 0 0 0-2-2h-3m0 18h3a2 2 0 0 0 2-2v-3M3 16v3a2 2 0 0 0 2 2h3"/></svg>';
+  var FS_EXIT = '<svg width="15" height="15" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3v3a2 2 0 0 1-2 2H3m18 0h-3a2 2 0 0 1-2-2V3m0 18v-3a2 2 0 0 1 2-2h3M3 16h3a2 2 0 0 1 2 2v3"/></svg>';

-    var um = document.createElement('div'); um.className = 'ai-msg user'; um.textContent = text;
-    chat.appendChild(um);
-
-    var lm = document.createElement('div'); lm.className = 'ai-msg loading';
-    lm.innerHTML = '<span class="spin"></span>Thinking...';
-    chat.appendChild(lm);
-    chat.scrollTop = chat.scrollHeight;
-
-    aiCall('improve', text, null, function(result) {
-      lm.remove();
-      var bm = document.createElement('div'); bm.className = 'ai-msg bot';
-      bm.textContent = result || '(no response)';
-      chat.appendChild(bm);
-      chat.scrollTop = chat.scrollHeight;
-    });
+  function toggleFullscreen() {
+    if (!document.fullscreenElement) {
+      var req = document.documentElement.requestFullscreen && document.documentElement.requestFullscreen();
+      if (req && req.catch) req.catch(function() { showToast('Plein écran indisponible', 'err'); });
+    } else if (document.exitFullscreen) {
+      document.exitFullscreen();
+    }
  }

+  document.addEventListener('fullscreenchange', function() {
+    var on = !!document.fullscreenElement;
+    btnFullscreen.innerHTML = on ? FS_EXIT : FS_ENTER;
+    btnFullscreen.title = on ? 'Quitter le plein écran' : 'Plein écran (F11)';
+    btnFullscreen.classList.toggle('active', on);
+  });
+
  // ---- Drag & Drop ----
  var dragC = 0;
  document.addEventListener('dragenter', function(e) { e.preventDefault(); dragC++; if (dragC === 1) dropOverlay.classList.add('on'); });
@@ -1292,16 +1329,11 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
      var before = l.text.substring(0, p.s - l.start);
      if (before === '' || /^\s*$/.test(before)) setTimeout(showSlash, 20);
    }
-    if (e.ctrlKey && e.key === 'j') { e.preventDefault(); toggleAIPanel(); }
+    if (e.ctrlKey && e.key === 'j') { e.preventDefault(); openAssistant(); }
    if (e.ctrlKey && e.key === 's') { e.preventDefault(); forceSave(); }
    if (e.ctrlKey && e.key === 'b') { e.preventDefault(); wrapSelection('**'); }
    if (e.ctrlKey && e.key === 'i') { e.preventDefault(); wrapSelection('*'); }
    if (e.ctrlKey && e.key === 'k') { e.preventDefault(); promptLink(); }
-    // Tab: indent list items
-    if (e.key === 'Tab') {
-      e.preventDefault();
-      if (e.shiftKey) { dedentLine(); } else { indentLine(); }
-    }
    // Quick Insert: Alt+I
    if (e.altKey && e.key === 'i') { e.preventDefault(); showQI(); }
  });
@@ -1433,16 +1465,8 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    if (langPicker.classList.contains('on') && !langPicker.contains(e.target)) { langPicker.classList.remove('on'); ta.focus(); }
  });

-  btnAI.addEventListener('click', toggleAIPanel);
-  document.getElementById('ai-close').addEventListener('click', toggleAIPanel);
-  document.getElementById('ai-send').addEventListener('click', sendAIChat);
-  document.getElementById('ai-input').addEventListener('keydown', function(e) { if (e.key === 'Enter') sendAIChat(); });
-  document.querySelectorAll('.ai-sugg').forEach(function(b) {
-    b.addEventListener('click', function() {
-      document.getElementById('ai-input').value = b.textContent.trim();
-      sendAIChat();
-    });
-  });
+  btnAI.addEventListener('click', openAssistant);
+  btnFullscreen.addEventListener('click', toggleFullscreen);

  btnPreview.addEventListener('click', togglePreview);

@@ -1450,11 +1474,23 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  window.addEventListener('message', function(e) {
    if (!e.data || !e.data.type) return;
    if (e.data.type === 'parent-save') { forceSave(); }
+    // #102/BUG-057 — the parent AI assistant's « Ajouter » button inserts its
+    // answer (or a single code block) at the current cursor position.
+    if (e.data.type === 'parent-insert' && typeof e.data.text === 'string') {
+      var p = getPos();
+      insertAtCursor((p.s > 0 ? '\n' : '') + e.data.text);
+      showToast('Texte ajoute au document', 'ok');
+    }
    // #93 — the parent reloads the document after an external write (AI
    // assistant edit_file / append_to_file / create_file): re-read from disk
    // and drop the stale local buffer that would otherwise be autosaved back
    // over the assistant's change.
    if (e.data.type === 'parent-reload') {
+      // #93/BUG-055 — the SSE `index_updated` broadcast is often caused by this
+      // editor's own autosave. Reloading from disk then would clobber edits made
+      // after the save (e.g. a Tab completion accepted in the meantime). Only an
+      // external write (AI assistant) forces the reload past unsaved changes.
+      if (!e.data.force && isDirty) return;
      clearTimeout(saveTimer);
      isDirty = false;
      loadFile();
@@ -1532,10 +1568,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    if (lnGutter) {
      document.getElementById('ln-gutter').scrollTop = editorWrap.scrollTop;
    }
-    // Sync ghost overlay scroll
-    if (ghostOverlay) {
-      ghostOverlay.scrollTop = editorWrap.scrollTop;
-    }
+    clearGhost();
  });

  // Update line numbers on input
@@ -1554,32 +1587,61 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    if (e.key === 'Escape' && helpOverlay.classList.contains('on')) { helpOverlay.classList.remove('on'); }
  });

-  // ---- Autocomplete (Tab completion from existing words) ----
-  var _acTimer = null;
+  // ---- Autocomplete : gestion unifiée de la touche Tab ----
+  // Priorité : liste ouverte > prédiction IA (ghost) > complétion de mot du
+  // document > indentation. Une seule action par appui (avant ce correctif,
+  // l'indentation s'exécutait *en plus* de la complétion et ajoutait des espaces).
  ta.addEventListener('keydown', function(e) {
-    if (e.key === 'Tab' && !e.shiftKey && !e.ctrlKey && !e.altKey && !e.metaKey && !slashVisible && !qiMenu.classList.contains('on')) {
-      var p = getPos();
-      if (p.s !== p.e) return; // Don't autocomplete when selection exists (let indent handle it)
-      var v = val();
-      // Find the word fragment before cursor
-      var start = p.s;
-      while (start > 0 && /[\w\-\.\/]/.test(v.charAt(start - 1))) start--;
-      var fragment = v.substring(start, p.s);
-      if (fragment.length < 2) return; // Need at least 2 chars
-      // Find matching words in the document
-      var re = new RegExp('\\b' + fragment.replace(/[.*+?^${}()|[\]\\]/g, '\\$&') + '[\\w\\-\\.\\/]+', 'gi');
-      var matches = [];
-      var m;
-      while ((m = re.exec(v)) !== null) {
-        if (matches.indexOf(m[0]) === -1) matches.push(m[0]);
-      }
-      if (matches.length === 1) {
-        e.preventDefault();
-        insertAtCursor(matches[0].substring(fragment.length), 0);
+    if (e.key !== 'Tab' || e.ctrlKey || e.altKey || e.metaKey) return;
+    if (slashVisible || qiMenu.classList.contains('on')) return; // ces menus gèrent Tab
+
+    // 1. Liste d'autocomplétion ouverte → valider l'élément surligné
+    if (acDropdown.classList.contains('active')) {
+      e.preventDefault();
+      if (acIdx >= 0 && acItems[acIdx]) applyAutocomplete(acItems[acIdx]);
+      return;
+    }
+
+    // 2. Prédiction IA affichée → l'accepter
+    if (_ghostText) {
+      e.preventDefault();
+      acceptGhost();
+      return;
+    }
+
+    // 3. Complétion à partir des mots du document
+    var p = getPos();
+    if (!e.shiftKey && p.s === p.e && ac) {
+      var frag = ac.getWordFragment(val(), p.s);
+      if (frag.fragment.length >= 2) {
+        var candidates = ac.findWordCompletions(val(), p.s, frag.fragment, 8);
+        var action = ac.chooseTabAction({ candidates: candidates });
+        if (action === 'word') {
+          e.preventDefault();
+          insertAtCursor(candidates[0].slice(frag.fragment.length), 0);
+          return;
+        }
+        if (action === 'word-list') {
+          e.preventDefault();
+          showWordCompletions(candidates, frag);
+          return;
+        }
      }
    }
+
+    // 4. Défaut : indenter / désindenter
+    e.preventDefault();
+    if (e.shiftKey) { dedentLine(); } else { indentLine(); }
  });

+  // Suggestion list for several document words sharing the typed prefix.
+  function showWordCompletions(words, frag) {
+    var items = words.map(function(w) {
+      return { label: w, detail: 'mot du document', insert: w.slice(frag.fragment.length), kind: 'word' };
+    });
+    showAutocomplete(items, 'Mots du document');
+  }
+
  // ---- Title sync: first heading line <-> title bar (NO rename) ----
  function syncTitleFromContent() {
    var v = val();
@@ -1681,13 +1743,24 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    acItems = items;
    acIdx = -1;
    if (!items.length) { hideAutocomplete(); return; }
-    // Position: centered below the textarea (simple, reliable)
-    var rect = ta.getBoundingClientRect();
-    acDropdown.style.left = (rect.left + rect.width / 2) + 'px';
-    acDropdown.style.top = (rect.bottom + 6) + 'px';
-    acDropdown.style.transform = 'translateX(-50%)';
-    // Keep dropdown within viewport
-    acDropdown.style.maxWidth = Math.min(380, rect.width - 32) + 'px';
+    // Position: just below the caret, clamped to the viewport (natural place
+    // for a completion list instead of a fixed centered dropdown).
+    var pt = caretToPixel(ta.selectionStart, true);
+    var wr = editorWrap.getBoundingClientRect();
+    var width = Math.min(380, Math.max(220, editorWrap.clientWidth - 32));
+    var estH = Math.min(items.length * 26 + 30, 260);
+    var left = wr.left + pt.x;
+    var top = wr.top + pt.y + 4;
+    if (left + width > window.innerWidth - 8) left = window.innerWidth - width - 8;
+    if (left < 8) left = 8;
+    if (top + estH > window.innerHeight - 8) {
+      top = Math.max(8, wr.top + pt.y - estH - 2);
+    }
+    acDropdown.style.width = width + 'px';
+    acDropdown.style.maxWidth = width + 'px';
+    acDropdown.style.left = left + 'px';
+    acDropdown.style.top = top + 'px';
+    acDropdown.style.transform = 'none';

    var html = context ? '<div class="ac-item-context">' + context + '</div>' : '';
    items.forEach(function(item, i) {
@@ -1728,6 +1801,23 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig

  function applyAutocomplete(item) {
    if (!item || !item.insert) return;
+
+    // Document word completions are inserted plainly at the caret — no
+    // context-aware replacement (which would wipe the line in frontmatter).
+    if (item.kind === 'word') {
+      var wp = getPos();
+      ta.value = val().slice(0, wp.s) + item.insert + val().slice(wp.e);
+      var wnp = wp.s + item.insert.length;
+      ta.setSelectionRange(wnp, wnp);
+      hideAutocomplete();
+      clearGhost();
+      ta.focus();
+      markDirty();
+      autoHeight();
+      updateLineNumbers();
+      return;
+    }
+
    var start = ta.selectionStart;
    var end = ta.selectionEnd;
    var before = ta.value.slice(0, start);
@@ -1757,6 +1847,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
      }

      hideAutocomplete();
+      clearGhost();
      ta.focus();
      markDirty();
      autoHeight();
@@ -1798,25 +1889,28 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig

  function clearGhost() {
    _ghostText = '';
-    ghostOverlay.innerHTML = '';
+    if (ghostPred) ghostPred.textContent = '';
  }

  function showGhost(prediction) {
    if (!prediction) { clearGhost(); return; }
    _ghostText = prediction;
-    var before = ta.value.slice(0, ta.selectionStart);
-    // Show: existing text (transparent) + prediction (visible faded)
-    ghostOverlay.innerHTML = escHtml(before) + '<span class="ghost-prediction">' + escHtml(prediction) + '</span>';
+    // Only the prediction is rendered, positioned exactly at the caret: no
+    // mirror of the whole document, so no misalignment and no phantom spaces.
+    ghostPred.textContent = prediction;
+    var pt = caretLinePixel(ta.selectionStart);
+    ghostOverlay.style.left = pt.x + 'px';
+    ghostOverlay.style.top = pt.y + 'px';
  }

  function acceptGhost() {
    if (!_ghostText) return;
+    if (_ghostTimer) { clearTimeout(_ghostTimer); _ghostTimer = null; }
    var start = ta.selectionStart;
    var before = ta.value.slice(0, start);
    var after = ta.value.slice(start);
-    // Trim to avoid double spaces
    var insert = _ghostText.replace(/^\s+/, '');
-    if (!insert) return;
+    if (!insert) { clearGhost(); return; }
    ta.value = before + insert + after;
    ta.setSelectionRange(start + insert.length, start + insert.length);
    clearGhost();
@@ -1827,51 +1921,39 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  }

  function requestGhostCompletion() {
+    if (acDropdown.classList.contains('active')) return; // list open: don't compete
+    if (ta.selectionStart !== ta.selectionEnd) return;   // no prediction over a selection
    var fullText = ta.value.slice(0, ta.selectionStart);
-    if (fullText.trim().length < 1) return;
+    if (!fullText.trim()) return;
    var lastChar = fullText.slice(-1);
-    var midWord = /[a-zA-Z0-9\u00C0-\u024F]$/.test(lastChar);
+    var midWord = /[\w\u00C0-\u024F]$/.test(lastChar);
+    var inputText = midWord ? (fullText.match(/([\w\u00C0-\u024F]+)$/) || [''])[0] : fullText;

-    // Get user's preferred language
-    var lang = 'fr';
-    try { lang = localStorage.getItem('obsigate-lang') || 'fr'; } catch(e) {}
-    var langNames = { fr: 'French', en: 'English', es: 'Spanish', de: 'German' };
-    var langName = langNames[lang] || 'French';
-
-    var prompt, inputText;
-    if (midWord) {
-      var wordMatch = fullText.match(/([\w\u00C0-\u024F]+)$/);
-      var partialWord = wordMatch ? wordMatch[1] : fullText;
-      inputText = partialWord;
-      var context = fullText.slice(0, -partialWord.length).trim();
-      prompt = 'Complete this ' + langName + ' word. The word is: "' + partialWord +
-        '". Context: "' + (context || '(start of line)') +
-        '". Return ONLY the remaining letters. Do NOT add spaces. Example: "famil" → "ial" for "familial".';
-    } else {
-      inputText = fullText;
-      prompt = 'Continue this ' + langName + ' text naturally. Return ONLY the new text (do NOT repeat):\n' + fullText;
-    }
+    // The backend turns this text into a short « continue this text » prompt.
+    var ghostBody = { text: fullText };
+    // #101 — follow the AI Assistant's configured provider/model; fall back to
+    // the local Ollama model when the assistant has no explicit selection.
+    var ghostPick = aiPickerSelection();
+    ghostBody.provider = ghostPick.provider || 'ollama';
+    if (ghostPick.model) ghostBody.model = ghostPick.model;

    fetch('/api/ai/inline-complete', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
-      body: JSON.stringify({ text: prompt, provider: 'ollama' })
+      body: JSON.stringify(ghostBody)
    })
    .then(function(r) { if (!r.ok) throw new Error('HTTP ' + r.status); return r.json(); })
    .then(function(data) {
-      var raw = (data.result || '').trim();
-      if (!raw || raw.length < 1) return;
-      var prediction = raw;
-      if (midWord && prediction.toLowerCase().startsWith(inputText.toLowerCase())) {
-        prediction = prediction.slice(inputText.length);
-      } else if (!midWord && prediction.startsWith(inputText)) {
-        prediction = prediction.slice(inputText.length);
-      }
-      prediction = prediction.trim();
+      var prediction = ac
+        ? ac.normalizeGhost(data.result || '', inputText, midWord)
+        : String(data.result || '').trim();
+      if (!prediction) return;
+      // Don't suggest text that is already present after the cursor.
      var alreadyThere = ta.value.slice(ta.selectionStart).trimStart();
-      if (prediction && prediction.length > 0 && !alreadyThere.startsWith(prediction.slice(0, Math.min(6, prediction.length)))) {
-        showGhost(prediction);
-      }
+      if (alreadyThere.startsWith(prediction.slice(0, Math.min(6, prediction.length)))) return;
+      // Ignore a stale response if the caret moved while we were waiting.
+      if (ta.selectionStart !== ta.selectionEnd) return;
+      showGhost(prediction);
    })
    .catch(function() { /* silent */ });
  }
@@ -1883,15 +1965,14 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    _ghostTimer = setTimeout(requestGhostCompletion, 600);
  });

+  // Clear the prediction as soon as the caret moves elsewhere.
+  document.addEventListener('selectionchange', function() {
+    if (document.activeElement === ta) clearGhost();
+  });
+
  function escHtml(s) { return String(s).replace(/&/g,'&amp;').replace(/</g,'&lt;').replace(/>/g,'&gt;').replace(/"/g,'&quot;'); }

  ta.addEventListener('keydown', function(e) {
-    // Tab: accept ghost text prediction
-    if (e.key === 'Tab' && _ghostText && !acDropdown.classList.contains('active')) {
-      e.preventDefault();
-      acceptGhost();
-      return;
-    }
    // Escape: clear ghost text
    if (e.key === 'Escape' && _ghostText && !acDropdown.classList.contains('active')) {
      clearGhost();
@@ -1900,7 +1981,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
    if (acDropdown.classList.contains('active')) {
      if (e.key === 'ArrowDown') { e.preventDefault(); acIdx = Math.min(acIdx + 1, acItems.length - 1); highlightAcItem(); }
      else if (e.key === 'ArrowUp') { e.preventDefault(); acIdx = Math.max(acIdx - 1, 0); highlightAcItem(); }
-      else if (e.key === 'Enter' || e.key === 'Tab') {
+      else if (e.key === 'Enter') {
        e.preventDefault();
        if (acIdx >= 0 && acItems[acIdx]) applyAutocomplete(acItems[acIdx]);
      }
@@ -2000,7 +2081,7 @@ body { font-family: var(--sans); background: var(--bg); color: var(--text); heig
  console.log('ObsiGate Editor v2 ready');
  console.log('  File: ' + (fileVault ? fileVault + '/' + filePath : 'demo mode'));
  console.log('  AI: checking...');
-  console.log('  Type / for commands | Select text for bubble | Alt+\\ autocomplete | Ctrl+J AI | Ctrl+S save');
+  console.log('  Type / for commands | Select text for bubble | Alt+\\ autocomplete | Ctrl+J Assistant IA | Ctrl+S save');

 })();
 </script>
@@ -7,34 +7,48 @@
  <meta http-equiv="Expires" content="0">
  <meta name="viewport" content="width=device-width, initial-scale=1.0">
  <title>Excalidraw Editor</title>
+  <!-- Excalidraw's stylesheet MUST be loaded: without it the editor is
+       unstyled AND `.excalidraw` has no fixed height, so Excalidraw's
+       ResizeObserver feedback loop grows the canvas to the 2^25 hard cap and
+       the scene renders blank. Loaded from esm.sh (same origin as the JS
+       modules, already allowed by `font-src` for the relative font URLs). -->
+  <link rel="stylesheet" href="https://esm.sh/@excalidraw/[email protected]/dist/prod/index.css">
  <style>
    * { margin: 0; padding: 0; box-sizing: border-box; }
    html, body, #root { width: 100%; height: 100%; overflow: hidden; }
    body { background: #ffffff; }

-    /* Toolbar overlay in top-right corner */
+    /* Icon-only toolbar, vertical, flush against the right edge:
+       right edge at 100% of the viewport width, group starts at 45% of the
+       viewport height from the top. */
    #excalidraw-toolbar {
      position: fixed;
-      top: 8px;
-      right: 12px;
+      right: 0;
+      top: 45%;
      z-index: 1000;
      display: flex;
+      flex-direction: column;
      gap: 6px;
      align-items: center;
    }
    #excalidraw-toolbar button {
-      padding: 5px 10px;
+      width: 34px;
+      height: 34px;
+      padding: 0;
      border: 1px solid #d0d0d0;
      border-radius: 6px;
      background: #ffffff;
      cursor: pointer;
-      font-size: 12px;
-      font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, sans-serif;
      display: flex;
      align-items: center;
-      gap: 4px;
+      justify-content: center;
      transition: background 0.15s;
    }
+    #excalidraw-toolbar button svg {
+      width: 18px;
+      height: 18px;
+      display: block;
+    }
    #excalidraw-toolbar button:hover { background: #f0f0f0; }
    #excalidraw-toolbar button.primary {
      background: #6965db;
@@ -43,11 +57,12 @@
    }
    #excalidraw-toolbar button.primary:hover { background: #5b57c4; }

-    /* Dirty indicator */
+    /* Dirty indicator (small dot above the buttons) */
    #dirty-badge {
-      font-size: 11px;
+      font-size: 12px;
+      line-height: 1;
      color: #e07b39;
-      font-weight: 500;
+      font-weight: 700;
      display: none;
    }
    #dirty-badge.visible { display: inline; }
@@ -86,10 +101,11 @@
  <div id="loading">Loading Excalidraw…</div>
  <div id="root"></div>
  <div id="excalidraw-toolbar">
-    <span id="dirty-badge">● Modified</span>
-    <button id="btn-save" class="primary" title="Save (Ctrl+S)">💾 Save</button>
-    <button id="btn-export-png" title="Export PNG">🖼 PNG</button>
-    <button id="btn-export-svg" title="Export SVG">📐 SVG</button>
+    <span id="dirty-badge" title="Modified">●</span>
+    <button id="btn-save" class="primary" title="Save (Ctrl+S)" aria-label="Save"><svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M19 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h11l5 5v11a2 2 0 0 1-2 2z"/><polyline points="17 21 17 13 7 13 7 21"/><polyline points="7 3 7 8 15 8"/></svg></button>
+    <button id="btn-export-png" title="Export PNG" aria-label="Export PNG"><svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><rect x="3" y="3" width="18" height="18" rx="2" ry="2"/><circle cx="9" cy="9" r="2"/><path d="m21 15-3.086-3.086a2 2 0 0 0-2.828 0L6 21"/></svg></button>
+    <button id="btn-export-svg" title="Export SVG" aria-label="Export SVG"><svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M19.5 7a24 24 0 0 1 0 10M4.5 7a24 24 0 0 0 0 10M7 19.5a24 24 0 0 1 10 0M7 4.5a24 24 0 0 0 10 0"/><rect x="2" y="2" width="5" height="5" rx="1"/><rect x="17" y="2" width="5" height="5" rx="1"/><rect x="17" y="17" width="5" height="5" rx="1"/><rect x="2" y="17" width="5" height="5" rx="1"/></svg></button>
+    <button id="btn-fullscreen" title="Fullscreen" aria-label="Fullscreen"></button>
  </div>

  <!-- Excalidraw is loaded from esm.sh WITHOUT the `?alias=react:…` query.
@@ -129,6 +145,11 @@
    const btnSave = document.getElementById("btn-save");
    const btnExportPng = document.getElementById("btn-export-png");
    const btnExportSvg = document.getElementById("btn-export-svg");
+    const btnFullscreen = document.getElementById("btn-fullscreen");
+
+    // Icon swapped in on a successful save (floppy → checkmark → floppy).
+    const SAVE_ICON = btnSave.innerHTML;
+    const CHECK_ICON = '<svg viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><polyline points="20 6 9 17 4 12"/></svg>';

    // --- postMessage helpers ---
    function sendToParent(msg) {
@@ -177,8 +198,8 @@
      }
      sendToParent({ type: "save", data });
      markClean();
-      btnSave.textContent = "💾 Saved!";
-      setTimeout(() => { btnSave.textContent = "💾 Save"; }, 1200);
+      btnSave.innerHTML = CHECK_ICON;
+      setTimeout(() => { btnSave.innerHTML = SAVE_ICON; }, 1200);
    }

    function setTheme(theme) {
@@ -189,9 +210,45 @@
      }
    }

+    // Excalidraw serializes its Map-typed appState fields (notably
+    // `collaborators`) to plain JSON objects on save — that is what files
+    // exported by the Excalidraw app / Obsidian plugin contain. Feeding such a
+    // plain object back through `initialData.appState` makes Excalidraw 0.18
+    // call `.forEach()` on it and crash with
+    // "e.appState.collaborators.forEach is not a function", leaving the canvas
+    // blank. Restore the expected Map shape (and drop anything unusable).
+    function sanitizeAppState(appState) {
+      if (!appState || typeof appState !== "object") return {};
+      // Viewport geometry is computed by Excalidraw from the container size.
+      // Files exported by the Excalidraw app carry whatever the *source* window
+      // measured (Obsidian pane, browser tab, …) and can contain absurd values
+      // (e.g. `height: 22369622`). Importing them makes Excalidraw size its
+      // canvas beyond the browser limit, so the scene renders off-screen /
+      // blank. Drop them and let Excalidraw recompute.
+      for (const key of ["width", "height", "offsetLeft", "offsetTop"]) {
+        delete appState[key];
+      }
+      if (appState.collaborators && !(appState.collaborators instanceof Map)) {
+        try {
+          appState.collaborators = new Map(Object.entries(appState.collaborators));
+        } catch (e) {
+          appState.collaborators = new Map();
+        }
+      }
+      return appState;
+    }
+
+    // Signature of the drawn content only. Excalidraw's onChange also fires for
+    // appState-only changes (resize, fullscreen, zoom, scroll); those must not
+    // flag the diagram as modified.
+    function sceneSignature(elements) {
+      return (elements || []).map((el) => `${el.id}:${el.versionNonce}`).join("|");
+    }
+
    // --- Excalidraw component ---
    function App({ initialData, theme }) {
      const [appState, setAppState] = React.useState(null);
+      const lastSigRef = React.useRef(null);

      // Excalidraw 0.18 exposes its imperative API through the `excalidrawAPI`
      // prop, called with the API object once mounted (NOT the legacy
@@ -204,13 +261,20 @@
          if (theme === "dark") {
            api.updateScene({ appState: { theme: "dark" } });
          }
-          // Stop ignoring changes once the initial mount settles.
-          setTimeout(() => { ignoreChanges = false; }, 800);
+          // Stop ignoring changes once the initial mount settles, and snapshot
+          // the loaded scene so a later appState-only change is not "dirty".
+          setTimeout(() => {
+            ignoreChanges = false;
+            lastSigRef.current = sceneSignature(api.getSceneElements());
+          }, 800);
        }
      }, [theme]);

      const onChange = React.useCallback((elements, state, files) => {
        if (ignoreChanges) return;
+        const sig = sceneSignature(elements);
+        if (sig === lastSigRef.current) return;
+        lastSigRef.current = sig;
        markDirty();
      }, []);

@@ -257,6 +321,7 @@
              appState = msg.data.appState || {};
              files = msg.data.files || {};
            }
+            appState = sanitizeAppState(appState);
            const initialData = { elements, appState, files };
            currentTheme = msg.theme || "light";
            setTheme(currentTheme);
@@ -340,6 +405,35 @@
        console.error("SVG export failed:", err);
      }
    });
+
+    // --- Fullscreen ---
+    // The parent iframe is created with `allow="fullscreen" allowfullscreen`, so
+    // requesting fullscreen on this document makes the whole editor fill the
+    // screen. Excalidraw's ResizeObserver then grows the canvas to match.
+    const FS_ENTER = '<svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3H5a2 2 0 0 0-2 2v3m18 0V5a2 2 0 0 0-2-2h-3m0 18h3a2 2 0 0 0 2-2v-3M3 16v3a2 2 0 0 0 2 2h3"/></svg>';
+    const FS_EXIT = '<svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3v3a2 2 0 0 1-2 2H3m18 0h-3a2 2 0 0 1-2-2V3m0 18v-3a2 2 0 0 1 2-2h3M3 16h3a2 2 0 0 1 2 2v3"/></svg>';
+
+    function toggleFullscreen() {
+      if (!document.fullscreenElement) {
+        const req = document.documentElement.requestFullscreen
+          && document.documentElement.requestFullscreen();
+        if (req && typeof req.catch === "function") {
+          req.catch((err) => console.warn("Fullscreen request failed:", err));
+        }
+      } else if (document.exitFullscreen) {
+        document.exitFullscreen();
+      }
+    }
+
+    document.addEventListener("fullscreenchange", () => {
+      const on = !!document.fullscreenElement;
+      btnFullscreen.innerHTML = on ? FS_EXIT : FS_ENTER;
+      btnFullscreen.title = on ? "Exit fullscreen" : "Fullscreen";
+      btnFullscreen.classList.toggle("active", on);
+    });
+
+    btnFullscreen.innerHTML = FS_ENTER;
+    btnFullscreen.addEventListener("click", toggleFullscreen);
  </script>
 </body>
 </html>
@@ -1436,6 +1436,15 @@
                        ><span class="dot"></span
                        ><span id="editor-save-label">Saved</span></span
                    >
+                    <button
+                        class="editor-btn"
+                        id="editor-fullscreen"
+                        title="Plein écran"
+                        aria-label="Plein écran"
+                        data-i18n-attr="title:editor.fullscreen"
+                    >
+                        <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3H5a2 2 0 0 0-2 2v3m18 0V5a2 2 0 0 0-2-2h-3m0 18h3a2 2 0 0 0 2-2v-3M3 16v3a2 2 0 0 0 2 2h3"/></svg>
+                    </button>
                    <button
                        class="editor-btn danger"
                        id="editor-delete"
@@ -1477,6 +1486,18 @@
        <div class="editor-modal" id="config-modal">
            <div class="editor-container">
                <div class="editor-header">
+                    <button
+                        class="help-hamburger"
+                        id="config-hamburger"
+                        data-i18n-attr="title:config.toc_toggle;aria-label:config.toc_toggle"
+                        title="Afficher le sommaire"
+                        aria-label="Afficher le sommaire"
+                    >
+                        <i
+                            data-lucide="menu"
+                            style="width: 18px; height: 18px"
+                        ></i>
+                    </button>
                    <div class="editor-title" data-i18n="header.menu_config">Configurations</div>
                    <div class="editor-actions">
                        <button
@@ -1534,9 +1555,11 @@
 <li><a href="#cfg-hidden-files" class="help-nav-link" data-i18n="config.section_hidden"></a></li>
 <li><a href="#cfg-diags" class="help-nav-link" data-i18n="settings.diagnostics"></a></li>
 <li><a href="#cfg-ai" class="help-nav-link" data-i18n="settings.ai"></a></li>
+<li><a href="#cfg-sources" class="help-nav-link" data-i18n="config.section_sources">Sources connectées</a></li>
 <li><a href="#cfg-themes" class="help-nav-link" data-i18n="settings.themes"></a></li>
 <li><a href="#cfg-profile" class="help-nav-link" data-i18n="settings.profile"></a></li>
 <li><a href="#cfg-security" class="help-nav-link" data-i18n="settings.security"></a></li>
+<li><a href="#cfg-tokens" class="help-nav-link" data-i18n="config.nav_tokens">🔑 Clés API & MCP</a></li>
 <li><a href="#cfg-push" class="help-nav-link" data-i18n="config.section_push">Notifications push</a></li>
 <li><a href="#cfg-plugins" class="help-nav-link" data-i18n="config.section_plugins">🧩 Plugins</a></li>
 <li><a href="#cfg-about" class="help-nav-link" data-i18n="settings.about"></a></li>
@@ -2028,210 +2051,95 @@
                                </button>
                            </section>

-                            <!-- Cles API AI -->
+                            <!-- Cles API AI (#104 — accordéon fournisseurs) -->
                            <section
                                class="config-section help-section"
                                id="cfg-ai"
                            >
-                                <h2>🤖 Cles API Intelligence Artificielle</h2>
-                                <p class="config-description">
-                                    Configurez vos cles API. Cliquez sur
-                                    <strong data-i18n="config.test">Tester</strong> pour charger les
-                                    modeles.
-                                </p>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-ai-default-provider"
-                                        data-i18n="config.ai_default_provider"
-                                        >Fournisseur par defaut</label
-                                    >
-                                    <select
-                                        id="cfg-ai-default-provider"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">--</option>
-                                    </select>
+                                <div class="ai-keys-header">
+                                    <div class="ai-keys-header-text">
+                                        <h2 data-i18n="config.section_cles-api-intelligence-artificielle">🤖 Cles API Intelligence Artificielle</h2>
+                                        <p class="config-description" data-i18n="config.ai_header_desc">
+                                            Configurez vos cles API fournisseur par fournisseur. Dépliez une carte pour saisir une
+                                            clé, puis cliquez sur <strong data-i18n="config.test">Tester</strong> pour charger les
+                                            modeles.
+                                        </p>
+                                    </div>
+                                    <div class="ai-keys-search">
+                                        <i data-lucide="search" class="icon"></i>
+                                        <input
+                                            type="search"
+                                            id="cfg-ai-search"
+                                            data-i18n-placeholder="config.ai_search_placeholder"
+                                            placeholder="Rechercher un fournisseur…"
+                                            autocomplete="off"
+                                        />
+                                    </div>
                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-ai-default-model"
-                                        data-i18n="config.ai_default_model"
-                                        >Modele par defaut</label
-                                    >
-                                    <select
-                                        id="cfg-ai-default-model"
-                                        class="config-select"
-                                        style="width: 220px"
-                                    >
-                                        <option value="">--</option>
-                                    </select>
+
+                                <div class="ai-default-card">
+                                    <div class="ai-card-title" data-i18n="config.ai_default_section">Configuration par defaut</div>
+                                    <div class="ai-default-grid">
+                                        <div class="ai-field">
+                                            <label
+                                                class="ai-field-label"
+                                                for="cfg-ai-default-provider"
+                                                data-i18n="config.ai_default_provider"
+                                                >Fournisseur par defaut</label
+                                            >
+                                            <select
+                                                id="cfg-ai-default-provider"
+                                                class="config-select"
+                                            >
+                                                <option value="">--</option>
+                                            </select>
+                                        </div>
+                                        <div class="ai-field">
+                                            <label
+                                                class="ai-field-label"
+                                                for="cfg-ai-default-model"
+                                                data-i18n="config.ai_default_model"
+                                                >Modele par defaut</label
+                                            >
+                                            <select
+                                                id="cfg-ai-default-model"
+                                                class="config-select"
+                                            >
+                                                <option value="">--</option>
+                                            </select>
+                                        </div>
+                                    </div>
+                                    <div class="ai-field">
+                                        <span
+                                            class="ai-field-label"
+                                            data-i18n="config.ai_capabilities"
+                                            >Capacites du modele</span
+                                        >
+                                        <div
+                                            id="cfg-ai-default-model-caps"
+                                            class="ai-caps-badges"
+                                        ></div>
+                                    </div>
                                </div>
-                                <div class="config-row" style="align-items: flex-start">
-                                    <label
-                                        class="config-label"
-                                        data-i18n="config.ai_capabilities"
-                                        >Capacites du modele</label
+
+                                <div class="ai-providers-header">
+                                    <h3
+                                        class="ai-card-title"
+                                        data-i18n="config.ai_providers_title"
                                    >
-                                    <div
-                                        id="cfg-ai-default-model-caps"
-                                        class="ai-picker-caps"
-                                        style="flex: 1"
-                                    ></div>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-deepseek-key"
-                                        >DeepSeek API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-deepseek-key"
-                                        class="config-input"
-                                        placeholder="sk-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-deepseek-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-openrouter-key"
-                                        >OpenRouter API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-openrouter-key"
-                                        class="config-input"
-                                        placeholder="sk-or-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-openrouter-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-gemini-key"
-                                        >Gemini API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-gemini-key"
-                                        class="config-input"
-                                        placeholder="AIza..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-gemini-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-nvidia-key"
-                                        >NVIDIA API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-nvidia-key"
-                                        class="config-input"
-                                        placeholder="nvapi-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-nvidia-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-qwencloud-key"
-                                        >QwenCloud API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-qwencloud-key"
-                                        class="config-input"
-                                        placeholder="sk-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-qwencloud-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-xiaomi-key"
-                                        >Xiaomi API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-xiaomi-key"
-                                        class="config-input"
-                                        placeholder="xm-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-xiaomi-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
-                                </div>
-                                <div class="config-row">
-                                    <label
-                                        class="config-label"
-                                        for="cfg-mistral-key"
-                                        >Mistral API Key</label
-                                    >
-                                    <input
-                                        type="password"
-                                        id="cfg-mistral-key"
-                                        class="config-input"
-                                        placeholder="sk-..."
-                                        autocomplete="off"
-                                    />
-                                    <select
-                                        id="cfg-mistral-model"
-                                        class="config-select"
-                                        style="width: 200px"
-                                    >
-                                        <option value="">-- Modele --</option>
-                                    </select>
+                                        Fournisseurs d'API
+                                    </h3>
                                </div>
+                                <div id="cfg-ai-providers" class="ai-providers-list"></div>
                                <div
-                                    class="config-actions-row"
-                                    style="margin-top: 16px"
+                                    id="cfg-ai-providers-empty"
+                                    class="ai-providers-empty hidden"
+                                    data-i18n="config.ai_providers_empty"
                                >
+                                    Aucun fournisseur ne correspond
+                                </div>
+
+                                <div class="ai-keys-footer">
                                    <button class="config-btn-save"
                                        id="cfg-save-ai-keys" data-i18n="help.shortcut_save">
                                        Sauvegarder
@@ -2242,15 +2150,138 @@
                                    </button>
                                    <span
                                        id="cfg-ai-status"
-                                        style="
-                                            font-size: 12px;
-                                            color: var(--text-muted);
-                                            margin-left: 12px;
-                                        "
+                                        class="ai-keys-status"
                                    ></span>
                                </div>
                            </section>

+                            <!-- Connected sources & keyed web search (#103) -->
+                            <section
+                                class="config-section help-section"
+                                id="cfg-sources"
+                            >
+                                <h2 data-i18n="config.section_sources"
+                                    >Sources connectées & recherche web</h2
+                                >
+                                <p
+                                    class="config-description"
+                                    data-i18n="config.sources_desc"
+                                >
+                                    Clés utilisées par les outils de l'Assistant IA
+                                    (recherche web à clé, Gitea, GitHub). Elles sont
+                                    stockées localement et priment sur les variables
+                                    d'environnement.
+                                </p>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-tavily-key"
+                                        >Tavily API Key</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-tavily-key"
+                                        class="config-input"
+                                        placeholder="tvly-..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-brave-key"
+                                        >Brave Search API Key</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-brave-key"
+                                        class="config-input"
+                                        placeholder="BSA..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-serpapi-key"
+                                        >SerpAPI Key</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-serpapi-key"
+                                        class="config-input"
+                                        placeholder="..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-exa-key"
+                                        >Exa API Key</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-exa-key"
+                                        class="config-input"
+                                        placeholder="..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-gitea-url"
+                                        data-i18n="config.gitea_url"
+                                        >URL Gitea</label
+                                    >
+                                    <input
+                                        type="text"
+                                        id="cfg-gitea-url"
+                                        class="config-input"
+                                        placeholder="https://git.example.net"
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-gitea-token"
+                                        >Gitea Token</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-gitea-token"
+                                        class="config-input"
+                                        placeholder="token personnel..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div class="config-row">
+                                    <label
+                                        class="config-label"
+                                        for="cfg-github-token"
+                                        >GitHub Token</label
+                                    >
+                                    <input
+                                        type="password"
+                                        id="cfg-github-token"
+                                        class="config-input"
+                                        placeholder="ghp_..."
+                                        autocomplete="off"
+                                    />
+                                </div>
+                                <div
+                                    class="config-actions-row"
+                                    style="margin-top: 16px"
+                                >
+                                    <button class="config-btn-save"
+                                        id="cfg-save-tool-keys" data-i18n="help.shortcut_save">
+                                        Sauvegarder
+                                    </button>
+                                </div>
+                            </section>
+
                            <!-- Themes -->
                            <section
                                class="config-section help-section"
@@ -2317,6 +2348,46 @@
                                </div>
                            </section>

+                            <!-- Clés API / MCP (#107) -->
+                            <section id="cfg-tokens" class="config-section help-section">
+                                <h2 data-i18n="config.section_tokens">🔑 Clés API &amp; MCP</h2>
+                                <p class="config-description" data-i18n="config.tokens_desc">
+                                    Jetons longue durée pour l'API REST et le serveur MCP.
+                                    La même clé fonctionne pour les deux (en-tête Authorization: Bearer).
+                                </p>
+                                <div id="tokens-list"></div>
+                                <div class="config-add-row" id="tokens-create-row">
+                                    <input
+                                        type="text"
+                                        id="token-name-input"
+                                        data-i18n-placeholder="config.token_name_placeholder"
+                                        placeholder="Nom (ex: Claude Desktop)"
+                                        class="config-input"
+                                        style="width: 180px"
+                                    />
+                                    <select id="token-expiry-select" class="config-input" style="width: 140px">
+                                        <option value="1d" data-i18n="config.token_expiry_1d">1 jour</option>
+                                        <option value="30d" selected data-i18n="config.token_expiry_30d">1 mois</option>
+                                        <option value="180d" data-i18n="config.token_expiry_180d">6 mois</option>
+                                        <option value="365d" data-i18n="config.token_expiry_365d">1 an</option>
+                                        <option value="never" data-i18n="config.token_expiry_never">Sans fin</option>
+                                    </select>
+                                    <button class="config-btn-add" id="token-create-btn" data-i18n="config.token_create">Créer une clé</button>
+                                </div>
+                                <div id="token-secret-area" class="token-secret-area hidden">
+                                    <p class="config-description" data-i18n="config.token_secret_warning">Copiez cette clé maintenant — elle ne sera plus jamais affichée.</p>
+                                    <textarea id="token-secret-value" class="config-input token-secret-text" rows="3" readonly></textarea>
+                                    <div class="config-add-row">
+                                        <button class="config-btn-add" id="token-copy-btn" data-i18n="config.token_copy">Copier</button>
+                                        <button class="config-btn-add" id="token-dismiss-btn" data-i18n="config.token_done">Terminé</button>
+                                    </div>
+                                </div>
+                                <div class="qh-tip" style="margin-top:10px">
+                                    <strong data-i18n="config.token_usage">Utilisation</strong>
+                                    <span data-i18n="config.token_usage_detail">: en-tête `Authorization: Bearer ` sur l'API, et config MCP (`claude_desktop_config.json`) : `{"mcpServers":{"obsigate":{"url":"<base>/mcp","headers":{"Authorization":"Bearer "}}}}`.</span>
+                                </div>
+                            </section>
+
                                                        <!-- Notifications push -->
                                                        <section
                                                            class="config-section help-section"
@@ -2851,6 +2922,28 @@
                        Guide d'utilisation ObsiGate
                    </div>
                    <div class="editor-actions">
+                        <button
+                            class="editor-btn"
+                            id="help-download-md"
+                            title="Télécharger ce guide en Markdown"
+                            data-i18n-attr="title:guide105.dl_md_title"
+                        >
+                            <i
+                                data-lucide="file-code-2"
+                                style="width: 16px; height: 16px"
+                            ></i>
+                        </button>
+                        <button
+                            class="editor-btn"
+                            id="help-download-pdf"
+                            title="Télécharger ce guide en PDF"
+                            data-i18n-attr="title:guide105.dl_pdf_title"
+                        >
+                            <i
+                                data-lucide="file-down"
+                                style="width: 16px; height: 16px"
+                            ></i>
+                        </button>
                        <button
                            class="editor-btn"
                            id="help-close"
@@ -2874,7 +2967,7 @@
                                type="text"
                                class="help-nav-search"
                                id="help-nav-search"
-                                 data-i18n-placeholder="help.search_placeholder" data-i18n-placeholder="help.search_placeholder" placeholder="Rechercher dans l'aide..."
+                                 data-i18n-placeholder="help.search_placeholder" placeholder="Rechercher dans l'aide..."
                                autocomplete="off"
                                spellcheck="false"
                            />
@@ -2904,7 +2997,10 @@
                                     data-i18n="help.nav_intro">📘 Introduction</a
                                >
                            </li>
-                            <li>
+                                                        <li>
+                                <a href="#help-architecture" class="help-nav-link" data-i18n="guide105.nav_architecture">🏗️ Architecture</a>
+                            </li>
+<li>
                                <a href="#help-interface" class="help-nav-link"
                                     data-i18n="help.nav_interface">🧭 Interface</a
                                >
@@ -2939,7 +3035,10 @@
                                     data-i18n="help.nav_excalidraw">🎨 Excalidraw</a
                                >
                            </li>
-                            <li>
+                                                        <li>
+                                <a href="#help-diagrams" class="help-nav-link" data-i18n="guide105.nav_diagrams">📊 Diagrammes</a>
+                            </li>
+<li>
                                <a href="#help-edition" class="help-nav-link"
                                     data-i18n="help.nav_editing">✏️ Édition</a
                                >
@@ -2949,7 +3048,10 @@
                                     data-i18n="help.nav_mobile_editor">📱 Mobile</a
                                >
                            </li>
-                            <li>
+                                                        <li>
+                                <a href="#help-library" class="help-nav-link" data-i18n="guide105.nav_library">⭐ Bibliothèque</a>
+                            </li>
+<li>
                                <a href="#help-graphe" class="help-nav-link"
                                     data-i18n="help.nav_graph">🗺️ Graphe</a
                                >
@@ -2968,8 +3070,17 @@
                                <a href="#help-raccourcis" class="help-nav-link"
                                     data-i18n="help.nav_shortcuts">⌨️ Raccourcis</a
                                >
+                            </li>
+                                                        <li>
+                                <a href="#help-offline" class="help-nav-link" data-i18n="guide105.nav_offline">📴 Hors-ligne</a>
                            </li>
                            <li>
+                                <a href="#help-collab" class="help-nav-link" data-i18n="guide105.nav_collab">👥 Collaboration</a>
+                            </li>
+                            <li>
+                                <a href="#help-desktop" class="help-nav-link" data-i18n="guide105.nav_desktop">🖥️ Desktop</a>
+                            </li>
+<li>
                                <a href="#help-partage" class="help-nav-link"
                                     data-i18n="help.nav_sharing">🔗 Partage</a
                                >
@@ -3002,8 +3113,14 @@
                                <a href="#help-astuces" class="help-nav-link"
                                     data-i18n="help.nav_tips">💡 Astuces</a
                                >
+                            </li>
+                                                        <li>
+                                <a href="#help-api" class="help-nav-link" data-i18n="guide105.nav_api">🔌 API</a>
                            </li>
                            <li>
+                                <a href="#help-languages" class="help-nav-link" data-i18n="guide105.nav_languages">🌍 Multilingue</a>
+                            </li>
+<li>
                                <a href="#help-plugins" class="help-nav-link"
                                     data-i18n="help.nav_plugins">🧩 Plugins</a
                                >
@@ -3062,7 +3179,74 @@
                            </div>
                        </section>

-                        <section class="help-section" id="help-interface">
+                                                <section class="help-section" id="help-architecture">
+                            <h2 data-i18n="guide105.nav_architecture">🏗️ Architecture</h2>
+                            <p data-i18n-html="guide105.arch_intro">ObsiGate est une application web complète construite en couches indépendantes, sans base de données externe : les notes vivent dans vos dossiers Obsidian, l'état applicatif dans des fichiers JSON de <code>data/</code>, l'index de recherche en mémoire.</p>
+                            <pre class="mermaid-code"><code class="language-mermaid">flowchart TB
+    subgraph client["Clients"]
+        UI["SPA vanilla JS\n(frontend/js)"]
+        PWA["PWA hors-ligne\n(service worker + IndexedDB)"]
+        DESK["App desktop Tauri\n(fenêtre native)"]
+    end
+    subgraph server["Serveur FastAPI (Python 3.11)"]
+        API["REST /api\nJWT + Argon2id"]
+        IDX["Index recherche\nTF-IDF + embeddings"]
+        FS["Accès fichiers\nwatchdog + safe paths"]
+        PDF["Rendu markdown\nmistune + WeasyPrint"]
+        AI["Assistant IA\nproviders + outils"]
+        MCP["Serveur MCP\n/mcp (HTTP)"]
+        WS["WebSocket\ncollab Yjs + SSE"]
+        WH["Webhooks\nHMAC-SHA256"]
+    end
+    subgraph data["Données"]
+        V1["Vault 1 (dossier)"]
+        V2["Vault 2 (dossier)"]
+        CFG["data/*.json\nconfig, users, audit"]
+        BK[".obsigate-backup/\nbackups horodatés"]
+    end
+    UI -- HTTP --> API
+    PWA -- "cache + queue" --> API
+    DESK -- embarqué --> API
+    API --> IDX
+    API --> FS
+    API --> PDF
+    API --> AI
+    MCP --> AI
+    WS --> FS
+    FS --> V1
+    FS --> V2
+    IDX --> V1
+    IDX --> V2
+    BK --> V1
+    API --> CFG
+    API -- événements --> WH</code></pre>
+                            <p data-i18n="guide105.arch_diagram_note">Le diagramme est interactif dans l'application : zoom, plein écran, copie SVG ou code.</p>
+                            <h3 data-i18n="guide105.arch_h3_layers">Les grandes composantes</h3>
+                            <ul>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_fe">Frontend</strong><span data-i18n-html="guide105.arch_fe"> — SPA en JavaScript vanilla (modules ES), sans framework ni build npm : <code>frontend/js/</code> (~30 modules). Le CSS utilise des variables pour les thèmes.</span>
+                                </li>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_be">Backend</strong><span data-i18n="guide105.arch_be"> — serveur FastAPI (Python 3.11) : rendu markdown (mistune + wikilinks), recherche TF-IDF stemmisée (index inversé en mémoire), watchers watchdog, JWT + Argon2id, webhooks HMAC, export PDF (WeasyPrint).</span>
+                                </li>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_realtime">Temps réel & MCP</strong><span data-i18n-html="guide105.arch_rt"> — passerelle WebSocket (collaboration Yjs, notifications SSE/push) et serveur MCP (Streamable HTTP, <code>/mcp</code>) pour les clients externes.</span>
+                                </li>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_ai">Couche IA</strong><span data-i18n="guide105.arch_ai"> — assistants d'édition et BooksLM multi-providers (DeepSeek, OpenRouter, Gemini, Mistral…), bibliothèque d'outils (function calling, recherche web, crawl, lecture de documents) et embeddings optionnels pour la recherche sémantique.</span>
+                                </li>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_data">Données</strong><span data-i18n-html="guide105.arch_data"> — les vaults Obsidian sur disque (source de vérité), la configuration en JSON (<code>data/</code>), les backups horodatés (<code>.obsigate-backup/</code>), l'audit en JSON lines, les clés API chiffrées dans <code>data/api_keys.json</code>.</span>
+                                </li>
+                                <li>
+                                    <strong data-i18n="guide105.arch_lbl_deploy">Déploiement</strong><span data-i18n="guide105.arch_deploy"> — application desktop Tauri (Rust) embarquant le backend Python, conteneur Docker, ou PWA installable dans le navigateur (mode hors-ligne).</span>
+                                </li>
+                            </ul>
+                            <h3 data-i18n="guide105.arch_h3_flux">Flux typique</h3>
+                            <p data-i18n-html="guide105.arch_flux"> Un clic sur un fichier émet <code>GET /api/file/...</code> ; le backend résout le chemin en sécurité, parse le frontmatter, rend le markdown et renvoie le HTML ; le frontend enrichit l'affichage (Mermaid, coloration, wikilinks cliquables). Chaque écriture crée un backup avant application.</p>
+                        </section>
+
+<section class="help-section" id="help-interface">
                            <h2 data-i18n="help.nav_interface">🧭 Interface utilisateur</h2>

                            <h3 data-i18n="help.header_section">En-tête</h3>
@@ -3152,7 +3336,10 @@
                                    avec wikilinks et images</span>
                                </li>
                            </ul>
-                        </section>
+                                                    <h3 data-i18n="guide105.h3_push">Notifications web (push)</h3>
+                            <p data-i18n="guide105.push_p1">Autorisez les notifications (bouton 🔔 de l'en-tête) pour être averti des fins de synchronisation hors-ligne et des événements importants. La gestion des abonnements est dans les Configurations.</p>
+                            <p data-i18n="guide105.push_p2">Basée sur la Web Push API (clés VAPID) ; fonctionne sur desktop et PWA mobile, sans service tiers : le serveur émet directement vers les endpoints push des navigateurs.</p>
+</section>

                        <section class="help-section" id="help-navigation">
                            <h2 data-i18n="help.733f0559">🗺️ Navigation</h2>
@@ -3311,7 +3498,7 @@
                            <h2 data-i18n="help.adf30d78">🔍 Recherche</h2>

                            <h3 data-i18n="help.simple_search">Recherche simple</h3>
-                            <p data-i18n="help.desc_search_intro">
+                            <p data-i18n-html="help.desc_search_intro">
                                Tapez dans la barre de recherche en haut pour
                                lancer une recherche fulltext :
                            </p>
@@ -3364,7 +3551,7 @@
                                </li>
                            </ul>
                            <p>
-                                <strong>Exemples</strong><span data-i18n="help.desc_examples">:
+                                <strong>Exemples</strong><span data-i18n-html="help.desc_examples">:
                                <code>ext:sh</code> recherche dans les scripts
                                bash, <code>ext:py</code> dans les scripts
                                Python, <code>ext:md</code> dans les fichiers
@@ -3440,13 +3627,16 @@
                                    <strong>Tri par date</strong><span data-i18n="help.desc_42a81347"> : Dernière
                                    modification</span></li>
                            </ul>
-                        </section>
+                                                    <h3 data-i18n="guide105.h3_semantic">Recherche sémantique (hybride)</h3>
+                            <p data-i18n="guide105.sem_p1">Activez le bouton « S » de la barre de recherche (ou Alt-S) pour combiner TF-IDF et similarité vectorielle (fusion RRF) : les concepts approchants (« velours » trouve « tissu doux ») remontent mieux.</p>
+                            <p data-i18n="guide105.sem_p2">Le moteur d'embeddings (modèle multilingue) est optionnel : sans lui, un repli par hash conserve une recherche hybride fonctionnelle. Les vecteurs sont recalculés à chaque indexation du vault.</p>
+</section>

                        <section class="help-section" id="help-tags">
                            <h2 data-i18n="help.2507242f">🏷️ Tags</h2>

                            <h3 data-i18n="help.5f87ea79">Tag cloud</h3>
-                            <p data-i18n="help.desc_tag_cloud_intro">
+                            <p data-i18n-html="help.desc_tag_cloud_intro">
                                L'onglet Tags de la sidebar affiche un nuage de
                                tags :
                            </p>
@@ -3468,15 +3658,15 @@
                            </ul>

                            <h3 data-i18n="help.2c03a7ba">Tags inline vs frontmatter</h3>
-                            <p data-i18n="help.desc_two_tag_types">ObsiGate supporte deux types de tags :</p>
+                            <p data-i18n-html="help.desc_two_tag_types">ObsiGate supporte deux types de tags :</p>
                            <ul>
                                <li>
-                                    <strong>Frontmatter YAML</strong><span data-i18n="help.desc_frontmatter">:
+                                    <strong>Frontmatter YAML</strong><span data-i18n-html="help.desc_frontmatter">:
                                    <code>tags: [docker, linux]</code> ou
                                    <code>tags: docker, linux</code></span>
                                </li>
                                <li>
-                                    <strong>Inline</strong><span data-i18n="help.desc_inline_tags">:
+                                    <strong>Inline</strong><span data-i18n-html="help.desc_inline_tags">:
                                    <code>#docker</code> dans le contenu
                                    markdown</span>
                                </li>
@@ -3486,13 +3676,13 @@
                            </ul>

                            <h3 data-i18n="help.63f024d4">Filtrage de tags template</h3>
-                            <p data-i18n="help.desc_template_intro">
+                            <p data-i18n-html="help.desc_template_intro">
                                Dans les Configurations, vous pouvez masquer les
                                tags de template :
                            </p>
                            <ul>
                                <li>
-                                    <strong>Patterns wildcards</strong><span data-i18n="help.desc_patterns">: Ex:
+                                    <strong>Patterns wildcards</strong><span data-i18n-html="help.desc_patterns">: Ex:
                                    <code>#&lt;% ... %&gt;</code> ou
                                    <code>#{{ ... }}</code></span>
                                </li>
@@ -3512,12 +3702,12 @@
                            <p data-i18n="help.desc_md_render">Les fichiers markdown sont rendus avec :</p>
                            <ul>
                                <li>
-                                    <strong>Wikilinks cliquables</strong><span data-i18n="help.desc_wikilinks">:
+                                    <strong>Wikilinks cliquables</strong><span data-i18n-html="help.desc_wikilinks">:
                                    <code>[[lien]]</code> et
                                    <code>[[lien|texte]]</code></span>
                                </li>
                                <li>
-                                    <strong>Images Obsidian</strong><span data-i18n="help.desc_images">: Support
+                                    <strong>Images Obsidian</strong><span data-i18n-html="help.desc_images">: Support
                                    de <code>![[image.png]]</code></span>
                                </li>
                                <li>
@@ -3617,7 +3807,13 @@
                                    .csv
                                </li>
                            </ul>
-                        </section>
+                                                    <h3 data-i18n="guide105.h3_pdf">Export PDF</h3>
+                            <p data-i18n-html="guide105.pdf_p">Le bouton « PDF » d'un document le rend avec le même moteur que la vue (WeasyPrint) : titres, tableaux, listes et code sont conservés. Depuis un lien public, la route <code>/s/{token}/pdf</code> produit le même PDF.</p>
+                            <h3 data-i18n="guide105.h3_exports">Export HTML / ePub / ZIP</h3>
+                            <p data-i18n="guide105.exp_p">Le menu « Exporter » propose trois formats : HTML autonome (fichier unique, images incluses), ePub pour les liseuses et, pour un dossier, un bundle Markdown en ZIP — liens et ressources résolus pendant l'export.</p>
+                            <h3 data-i18n="guide105.h3_dupe">Anti-doublons à l'upload</h3>
+                            <p data-i18n="guide105.dupe_p">L'upload en masse (glisser-déposer un dossier sur la sidebar) compare chaque fichier au contenu existant : un fichier déjà présent est ignoré plutôt que dupliqué avec un suffixe « (1) ». Utile pour restaurer un vault sans créer de doublons.</p>
+</section>

                        <!-- 🎨 Excalidraw -->
                        <section class="help-section" id="help-excalidraw">
@@ -3664,7 +3860,21 @@
                        </section>

                        <!-- ✏️ Édition -->
-                        <section class="help-section" id="help-edition">
+                                                <section class="help-section" id="help-diagrams">
+                            <h2 data-i18n="guide105.nav_diagrams">📊 Diagrammes</h2>
+                            <p data-i18n-html="guide105.dia_intro">Les blocs <code>```mermaid</code> de vos notes sont rendus en diagrammes interactifs (Mermaid v11, chargé depuis un CDN).</p>
+                            <ul>
+                                <li data-i18n="guide105.dia_zoom">Zoom : boutons + / − dans la barre d'outils du diagramme.</li>
+                                <li data-i18n="guide105.dia_fs">Plein écran : idéal pour les grandes matrices.</li>
+                                <li data-i18n="guide105.dia_copy">Copie : exportez le SVG ou le code source (boutons dédiés).</li>
+                                <li data-i18n="guide105.dia_toggle">Bascule Aperçu / Code pour éditer la source sans quitter la vue.</li>
+                                <li data-i18n="guide105.dia_theme">Thème : le diagramme suit le thème clair/sombre de l'application.</li>
+                            </ul>
+                            <p data-i18n="guide105.dia_types">Types supportés : flowchart, sequence, class, state, ER, gantt, pie, journey, quadrant, radar, mindmap, timeline, C4, xychart, sankey — plus un préprocesseur qui comprend la syntaxe Obsidian.</p>
+                            <p data-i18n-html="guide105.dia_excalidraw_ref">Les dessins à main levée (<code>.excalidraw</code>, <code>.excalidraw.md</code>) sont couverts dans la section 🎨 Excalidraw.</p>
+                        </section>
+
+<section class="help-section" id="help-edition">
                            <h2 data-i18n="auto.f346076a">✏️ Édition avancée</h2>

                            <h3 data-i18n="auto.695d9e47">Éditeur CodeMirror 6</h3>
@@ -3701,11 +3911,15 @@
                                <li>
                                    <strong data-i18n="help.toolbar_section">Barre d'outils AI</strong><span data-i18n="help.desc_c8532869"> :
                                    Complétion, réécriture, traduction (voir
-                                    section</span><a href="#help-ia" data-i18n="settings.ai">🤖 IA</a>)
+                                    section</span><a href="#help-ai" data-i18n="settings.ai">🤖 IA</a>)
                                </li>
                            </ul>

-                            <h3 data-i18n="help.mobile_editor_title">📱 Édition mobile</h3>
+                            </section>
+
+                        <!-- 🗺️ Graphe -->
+                                                <section class="help-section" id="help-mobile-editor">
+<h2 data-i18n="help.mobile_editor_title">📱 Édition mobile</h2>
                            <p data-i18n="help.mobile_editor_intro">
                                Sur téléphone et tablette, l'édition s'adapte au
                                tactile : barre d'outils flottante, gestes et mode
@@ -3742,8 +3956,21 @@
                            </ul>
                        </section>

-                        <!-- 🗺️ Graphe -->
-                        <section class="help-section" id="help-graphe">
+                        <section class="help-section" id="help-library">
+                            <h2 data-i18n="guide105.nav_library">⭐ Bibliothèque</h2>
+                            <h3 data-i18n="guide105.lib_h3_bookmarks">Signets & récents</h3>
+                            <p data-i18n="guide105.lib_bookmarks">Marquez un fichier d'un ★ (bouton Signet de la barre d'actions) : il rejoint la liste des signets du dashboard. Les fichiers récemment ouverts sont listés automatiquement dans l'onglet « Récents » de la sidebar, avec un filtre de recherche dédié.</p>
+                            <h3 data-i18n="guide105.lib_h3_saved">Recherches sauvegardées</h3>
+                            <p data-i18n="guide105.lib_saved">Enregistrez une recherche depuis la page de résultats pour la relancer en un clic depuis la sidebar : chaque recherche sauvegardée conserve ses opérateurs et filtres.</p>
+                            <h3 data-i18n="guide105.lib_h3_backlinks">Backlinks & graphe</h3>
+                            <p data-i18n="guide105.lib_backlinks">Le panneau Backlinks liste toutes les notes qui pointent vers le fichier ouvert. La vue Graphe (bouton 🕸️) affiche les liens entre fichiers : glissez les nœuds, zoomez à la molette, double-cliquez pour ouvrir une note.</p>
+                            <h3 data-i18n="guide105.lib_h3_conflicts">Conflits de synchronisation</h3>
+                            <p data-i18n="guide105.lib_conflicts">Si vous synchronisez le vault avec Syncthing, ObsiGate détecte les fichiers de conflit (copies « sync-conflict ») et propose de les comparer puis résoudre depuis la page dédiée du menu Options.</p>
+                            <h3 data-i18n="guide105.lib_h3_attach">Fichiers joints & médias</h3>
+                            <p data-i18n-html="guide105.lib_attach">Les images <code>![[image.png]]</code>, pièces jointes et médias (audio, vidéo, PDF intégrés) dans les notes sont rendus dans le viewer et indexés pour la recherche ; le bouton « Rescan attachments » de la configuration recrée l'index des pièces jointes.</p>
+                        </section>
+
+<section class="help-section" id="help-graphe">
                            <h2 data-i18n="help.9c7a0a8d">🗺️ Vue Graphe</h2>
                            <p data-i18n="help.desc_graph_intro">
                                La vue graphe offre une visualisation
@@ -3896,7 +4123,9 @@
                                    rescan des vaults
                                </li>
                            </ul>
-                        </section>
+                                                    <h3 data-i18n="guide105.h3_panes">Vue multi-panneaux (split view)</h3>
+                            <p data-i18n="guide105.panes_p">Le bouton « Diviser » de la barre d'actions ouvre le document dans un panneau jumeau ; empilez plusieurs panneaux pour comparer deux notes ou lire et éditer en parallèle. Les largeurs se règlent au bord des panneaux et sont mémorisées.</p>
+</section>

                        <!-- ⌨️ Palette de commandes -->
                        <section class="help-section" id="help-palette">
@@ -4310,6 +4539,12 @@
                                    Réponses formatées : titres, listes, tableaux, citations et
                                    blocs de code.
                                </li>
+                                <li data-i18n="help.assistant_insert">
+                                    Le bouton « Ajouter » (au survol d'une réponse) insère la
+                                    réponse dans le document ouvert dans l'éditeur (Editer ou
+                                    Forge) ; chaque bloc de code propose « Ajouter la section »
+                                    pour n'insérer que ce bloc.
+                                </li>
                                <li data-i18n="help.assistant_links">
                                    Les fichiers et chemins cités sont des liens : cliquez sur un
                                    fichier pour l'ouvrir, sur un dossier pour le révéler dans
@@ -4349,7 +4584,37 @@
                        </section>

                        <!-- 🔗 Partage -->
-                        <section class="help-section" id="help-partage">
+                                                <section class="help-section" id="help-offline">
+                            <h2 data-i18n="guide105.nav_offline">📴 Hors-ligne</h2>
+                            <ul>
+                                <li data-i18n="guide105.off_pwa">ObsiGate est une PWA : installez-la (icône d'installation de la barre d'adresse) pour l'ouvrir comme une application. Le service worker met en cache l'interface et vos derniers documents consultés.</li>
+                                <li data-i18n="guide105.off_edit">Hors-ligne, vous pouvez lire les documents en cache et même les éditer : les modifications sont mises en file d'attente dans IndexedDB.</li>
+                                <li data-i18n="guide105.off_sync">Au retour en ligne, la file se rejoue automatiquement (badge de synchronisation dans l'en-tête). Si la version serveur a divergé entre-temps, le fichier est marqué en conflit et la version serveur est préservée en backup.</li>
+                                <li data-i18n="guide105.off_watch">Les modifications externes (Obsidian sur disque) sont détectées par le watcher : la vue se recharge sans perte de position, ou signale « modifié en externe » pendant une édition.</li>
+                            </ul>
+                        </section>
+
+                        <section class="help-section" id="help-collab">
+                            <h2 data-i18n="guide105.nav_collab">👥 Collaboration</h2>
+                            <ul>
+                                <li data-i18n="guide105.col_intro">Ouvrez un document en mode Édition : plusieurs personnes peuvent travailler simultanément sur le même fichier via un WebSocket Yjs (CRDT). Les modifications fusionnent sans verrou.</li>
+                                <li data-i18n="guide105.col_cursors">Les curseurs et sélections des collaborateurs apparaissent avec une couleur et un nom par personne (awareness).</li>
+                                <li data-i18n="guide105.col_save">La fusion est persistée côté serveur après 2 s d'inactivité ; chaque écriture crée un backup horodaté avant application.</li>
+                                <li data-i18n="guide105.col_perm">Accès limité aux utilisateurs authentifiés disposant de la permission sur la vault.</li>
+                            </ul>
+                        </section>
+
+                        <section class="help-section" id="help-desktop">
+                            <h2 data-i18n="guide105.nav_desktop">🖥️ Desktop</h2>
+                            <ul>
+                                <li data-i18n="guide105.des_get">L'application desktop ObsiGate (Tauri) embarque le serveur Python : aucune installation de Docker nécessaire. Elle se télécharge sur la page des Releases du dépôt et se met à jour automatiquement (updater signé).</li>
+                                <li data-i18n="guide105.des_wizard">Au premier lancement, un assistant demande le dossier de vos vaults (ou crée un vault de démonstration). Chaque document peut être détaché en fenêtre native séparée.</li>
+                                <li data-i18n="guide105.des_data">Les données desktop restent dans le répertoire applicatif ; les vaults pointent sur vos dossiers existants. Toutes les fonctionnalités web (recherche, IA, partage) sont disponibles.</li>
+                                <li data-i18n="guide105.des_native">Menu système natif, raccourci global optionnel pour afficher/masquer la fenêtre et jumplist des vaults récents.</li>
+                            </ul>
+                        </section>
+
+<section class="help-section" id="help-partage">
                            <h2 data-i18n="help.8c65b2f2">🔗 Partage et Webhooks</h2>

                            <h3 data-i18n="help.public_shares">Publication publique</h3>
@@ -4932,7 +5197,11 @@ curl -X POST https://votre-serveur.com/webhook \
                                    tourne avec UID 1000
                                </li>
                            </ul>
-                        </section>
+                                                    <h3 data-i18n="guide105.h3_mfa">MFA : TOTP, WebAuthn, codes de secours</h3>
+                            <p data-i18n="guide105.mfa_p">Activez la double authentification dans Réglages → Profil : applications TOTP (Authy, Aegis…), clés de sécurité et passkeys (WebAuthn, y compris Windows Hello) et 10 codes de secours à conserver hors ligne. Chaque méthode s'active et se désactive indépendamment.</p>
+                            <h3 data-i18n="guide105.h3_admin">Tableau de bord administrateur</h3>
+                            <p data-i18n-html="guide105.admin_p">Le rôle admin ouvre une page dédiée <code>/admin.html</code> (bouton du menu Options) : statut du serveur en direct, utilisateurs, vaults, sessions actives et journal d'audit. Le CRUD utilisateurs est aussi disponible dans les Configurations.</p>
+</section>

                        <section class="help-section" id="help-astuces">
                            <h2 data-i18n="help.686f8313">💡 Astuces et bonnes pratiques</h2>
@@ -5038,7 +5307,33 @@ curl -X POST https://votre-serveur.com/webhook \
                        </section>

                                                                        <!-- 🧩 Plugins -->
-                        <section class="help-section" id="help-plugins">
+                                                <section class="help-section" id="help-api">
+                            <h2 data-i18n="guide105.nav_api">🔌 API</h2>
+                            <p data-i18n="guide105.api_intro">ObsiGate expose une API REST couvrant toute l'application (vaults, fichiers, recherche, backups, export, IA, partage, admin), documentée en OpenAPI 3.1 :</p>
+                            <ul>
+                                <li data-i18n-html="guide105.api_docs_url"><code>/docs</code> — interface Swagger UI pour essayer les requêtes en direct.</li>
+                                <li data-i18n-html="guide105.api_redoc"><code>/redoc</code> — référence alternative plus compacte.</li>
+                                <li data-i18n-html="guide105.api_landing"><code>/api</code> — page de garde regroupant les endpoints par catégorie.</li>
+                                <li data-i18n-html="guide105.api_schema"><code>/openapi.json</code> — le schéma machine, à importer dans Postman ou Insomnia.</li>
+                            </ul>
+                            <h3 data-i18n="guide105.api_h3_auth">Authentification</h3>
+                            <p data-i18n-html="guide105.api_auth">Connectez-vous via <code>POST /api/auth/login</code> pour obtenir un token Bearer (le même jeton est accepté en cookie HttpOnly, ce qui permet aux clients navigateur d'utiliser <code>credentials: "include"</code>). Toutes les routes <code>/api/*</code> exigent ce jeton sauf mention contraire.</p>
+                            <h3 data-i18n="guide105.api_h3_mcp">Serveur MCP</h3>
+                            <p data-i18n-html="guide105.api_mcp">Les outils de l'assistant IA (lire, lister, chercher, ouvrir, écrire…) sont exposés à tout client MCP (Claude Desktop, Cursor, Cline…) sur <code>https://votre-instance/mcp</code> avec un token d'API. Configuration et exemples : <code>docs/MCP_GUIDE.md</code>.</p>
+                            <h3 data-i18n="guide105.api_h3_autom">Automatisation</h3>
+                            <p data-i18n-html="guide105.api_autom">Pour automatiser depuis l'extérieur : <code>GET /api/search?q=…</code> et <code>GET /api/file/{vault}?path=…</code> permettent d'indexer ou relire vos notes dans un autre outil ; les webhooks sortants (section 🪝) évitent le polling.</p>
+                        </section>
+
+                        <section class="help-section" id="help-languages">
+                            <h2 data-i18n="guide105.nav_languages">🌍 Multilingue</h2>
+                            <ul>
+                                <li data-i18n="guide105.lng_how">L'interface est intégralement bilingue français / anglais. Réglages → Profil → Langue : le choix est enregistré sur votre compte et vous suit sur tous les appareils.</li>
+                                <li data-i18n="guide105.lng_scope">Tout est traduit : menus, messages, notifications, et le présent guide. Les réponses de l'assistant IA suivent la langue de vos documents.</li>
+                                <li data-i18n="guide105.lng_export">Les boutons Markdown / PDF de ce guide téléchargent la version dans votre langue.</li>
+                            </ul>
+                        </section>
+
+<section class="help-section" id="help-plugins">
                            <h2 data-i18n="help.plugins_title">🧩 Plugins</h2>
                            <p data-i18n="help.plugins_intro">
                                Les plugins étendent ObsiGate : affichage personnalisé des
@@ -0,0 +1,159 @@
+// ObsiGate — #106 : Actions instantanées de l'assistant IA.
+//
+// Two responsibilities, deliberately framework-free and DOM-free so the
+// context rules stay unit-testable (tests/frontend/ai-quick-actions.test.mjs):
+//
+//   1. ACTION_CATALOG — every prompt action grouped by category. Each action
+//      carries an id, a lucide icon name, an i18n label key and an i18n
+//      prompt key; both strings are resolved through t() at render time so
+//      the FR/EN switch is live.
+//   2. detectContext / suggestionsFor — a pure function of the assistant's
+//      live state (mode, open documents, current file, editor selection)
+//      returning the context key, then the 3 top action ids for that context
+//      (contextual triage table, see docs/features/ai-quick-actions.md).
+//
+// Context precedence (first match wins):
+//   selection  — the user has a live text selection in the open editor
+//   code       — the focused document is a source file (.py, .js, .sh…)
+//   multi_doc  — two or more documents are open in tabs/panes
+//   single_doc — exactly one text document (.md, .txt, …) is open
+//   directory  — a vault folder was opened from the tree context menu
+//   general    — nothing open: app-help assistant
+import { t } from './i18n.js';
+
+/** Categories of the action catalogue (order = drawer display order). */
+export const CATEGORIES = Object.freeze([
+  { id: 'synthesis', icon: 'sparkles', labelKey: 'qa.cat_synthesis' },
+  { id: 'structure', icon: 'list-checks', labelKey: 'qa.cat_structure' },
+  { id: 'code', icon: 'code', labelKey: 'qa.cat_code' },
+  { id: 'cross', icon: 'git-compare', labelKey: 'qa.cat_cross' },
+  { id: 'edition', icon: 'pen-tool', labelKey: 'qa.cat_edition' },
+  { id: 'general', icon: 'help-circle', labelKey: 'qa.cat_general' },
+]);
+
+/**
+ * The full catalogue. `labelKey` is the button text, `promptKey` the message
+ * actually sent to the assistant (kept richer than the label on purpose:
+ * labels stay scannable, prompts stay precise).
+ */
+export const ACTION_CATALOG = Object.freeze([
+  // ── Synthèse & Analyse ──────────────────────────────────────────────
+  { id: 'summarize_3', cat: 'synthesis', icon: 'align-left', labelKey: 'qa.summarize_3', promptKey: 'qa.summarize_3.prompt' },
+  { id: 'frictions', cat: 'synthesis', icon: 'alert-triangle', labelKey: 'qa.frictions', promptKey: 'qa.frictions.prompt' },
+  { id: 'vulgarize', cat: 'synthesis', icon: 'lightbulb', labelKey: 'qa.vulgarize', promptKey: 'qa.vulgarize.prompt' },
+  { id: 'faq', cat: 'synthesis', icon: 'help-circle', labelKey: 'qa.faq', promptKey: 'qa.faq.prompt' },
+  // ── Productivité & Structuration ────────────────────────────────────
+  { id: 'checklist', cat: 'structure', icon: 'list-checks', labelKey: 'qa.checklist', promptKey: 'qa.checklist.prompt' },
+  { id: 'plan', cat: 'structure', icon: 'list-ordered', labelKey: 'qa.plan', promptKey: 'qa.plan.prompt' },
+  { id: 'memo', cat: 'structure', icon: 'scroll-text', labelKey: 'qa.memo', promptKey: 'qa.memo.prompt' },
+  { id: 'frontmatter', cat: 'structure', icon: 'braces', labelKey: 'qa.frontmatter', promptKey: 'qa.frontmatter.prompt', agent: true },
+  { id: 'frontmatter_update', cat: 'structure', icon: 'refresh-cw', labelKey: 'qa.frontmatter_update', promptKey: 'qa.frontmatter_update.prompt', agent: true },
+  { id: 'backlinks', cat: 'structure', icon: 'link-2', labelKey: 'qa.backlinks', promptKey: 'qa.backlinks.prompt' },
+  { id: 'sections', cat: 'structure', icon: 'heading', labelKey: 'qa.sections', promptKey: 'qa.sections.prompt' },
+  // ── Code & Scripts ───────────────────────────────────────────────────
+  { id: 'explain_code', cat: 'code', icon: 'file-code', labelKey: 'qa.explain_code', promptKey: 'qa.explain_code.prompt' },
+  { id: 'audit_code', cat: 'code', icon: 'bug', labelKey: 'qa.audit_code', promptKey: 'qa.audit_code.prompt' },
+  { id: 'doc_code', cat: 'code', icon: 'braces', labelKey: 'qa.doc_code', promptKey: 'qa.doc_code.prompt' },
+  { id: 'test_code', cat: 'code', icon: 'flask-conical', labelKey: 'qa.test_code', promptKey: 'qa.test_code.prompt' },
+  // ── Cross-documents ──────────────────────────────────────────────────
+  { id: 'compare', cat: 'cross', icon: 'git-compare', labelKey: 'qa.compare', promptKey: 'qa.compare.prompt' },
+  { id: 'merge', cat: 'cross', icon: 'layers', labelKey: 'qa.merge', promptKey: 'qa.merge.prompt' },
+  { id: 'timeline', cat: 'cross', icon: 'history', labelKey: 'qa.timeline', promptKey: 'qa.timeline.prompt' },
+  // ── Édition & Reformulation (sélection active) ───────────────────────
+  { id: 'concise', cat: 'edition', icon: 'scissors', labelKey: 'qa.concise', promptKey: 'qa.concise.prompt' },
+  { id: 'fix_style', cat: 'edition', icon: 'spell-check', labelKey: 'qa.fix_style', promptKey: 'qa.fix_style.prompt' },
+  { id: 'rephrase', cat: 'edition', icon: 'pen-tool', labelKey: 'qa.rephrase', promptKey: 'qa.rephrase.prompt' },
+  { id: 'translate', cat: 'edition', icon: 'languages', labelKey: 'qa.translate', promptKey: 'qa.translate.prompt' },
+  // ── Général (aucun document ouvert) — reprises des anciennes suggestions
+  { id: 'capabilities', cat: 'general', icon: 'sparkles', labelKey: 'qa.capabilities', promptKey: 'qa.capabilities.prompt' },
+  { id: 'search_help', cat: 'general', icon: 'search', labelKey: 'qa.search_help', promptKey: 'qa.search_help.prompt' },
+  { id: 'create_note', cat: 'general', icon: 'notebook-pen', labelKey: 'qa.create_note', promptKey: 'qa.create_note.prompt' },
+]);
+
+/** id → action record, for O(1) lookup by the preset tables. */
+export const ACTIONS_BY_ID = Object.freeze(
+  ACTION_CATALOG.reduce((acc, a) => { acc[a.id] = a; return acc; }, {}),
+);
+
+/** File extensions treated as source code (drive the `code` context). */
+export const CODE_EXT_RE = /\.(?:py|js|mjs|cjs|ts|tsx|jsx|vue|svelte|go|rs|java|kt|c|h|cpp|hpp|cc|cs|php|rb|swift|sh|bash|zsh|ps1|bat|sql|lua|pl|r|dart|scala)$/i;
+
+/** Text-ish document extensions (everything else stays "single_doc"). */
+export const TEXT_DOC_EXT_RE = /\.(?:md|markdown|mdx|txt|rst|org|adoc)$/i;
+
+/**
+ * Map a set of live facts to one context key.
+ *
+ * @param {object} facts
+ * @param {string} facts.mode         assistant mode ('directory'|'documents'|'general')
+ * @param {number} facts.docCount     number of open documents (tabs/panes)
+ * @param {string|null} facts.currentPath  path of the focused document, if any
+ * @param {boolean} facts.hasSelection true when the open editor holds a text selection
+ * @param {number} [facts.fileCount]  indexed files of the current directory context
+ * @returns {'selection'|'code'|'multi_doc'|'single_doc'|'directory'|'general'}
+ */
+export function detectContext(facts) {
+  const { mode, docCount = 0, currentPath = null, hasSelection = false } = facts || {};
+  // A live editor selection is the strongest intent: act on the selection.
+  if (hasSelection) return 'selection';
+  if (mode === 'documents' || docCount > 0) {
+    if (currentPath && CODE_EXT_RE.test(currentPath)) return 'code';
+    if (docCount >= 2) return 'multi_doc';
+    return 'single_doc';
+  }
+  if (mode === 'directory') return 'directory';
+  return 'general';
+}
+
+/**
+ * Contextual triage: the 3 top action ids per context (the "boutons 1-3" of
+ * the design table). Everything not shown stays reachable via the drawer.
+ */
+export const CONTEXT_PRESETS = Object.freeze({
+  single_doc: ['summarize_3', 'checklist', 'frontmatter', 'frontmatter_update'],
+  multi_doc: ['merge', 'compare', 'frictions'],
+  code: ['explain_code', 'audit_code', 'test_code'],
+  selection: ['concise', 'fix_style', 'explain_selection'],
+  directory: ['summarize_dir', 'themes', 'checklist'],
+  general: ['capabilities', 'search_help', 'create_note'],
+});
+
+// Preset ids that are context phrasings rather than catalogue entries
+// (their prompt needs the directory/list framing, so they are synthesized).
+const EXTRA_ACTIONS = Object.freeze({
+  explain_selection: { id: 'explain_selection', cat: 'edition', icon: 'lightbulb', labelKey: 'qa.explain_selection', promptKey: 'qa.explain_selection.prompt' },
+  summarize_dir: { id: 'summarize_dir', cat: 'synthesis', icon: 'align-left', labelKey: 'bookslm.suggestion_summary', promptKey: 'bookslm.suggestion_summary' },
+  themes: { id: 'themes', cat: 'synthesis', icon: 'library', labelKey: 'bookslm.suggestion_themes', promptKey: 'bookslm.suggestion_themes' },
+});
+
+/** Resolve an action id (catalogue or preset extra) to its record. */
+export function getAction(id) {
+  return ACTIONS_BY_ID[id] || EXTRA_ACTIONS[id] || null;
+}
+
+/**
+ * The ordered action records suggested for one context key.
+ * Unknown keys fall back to the general preset (never throws).
+ */
+export function suggestionsFor(contextKey) {
+  const ids = CONTEXT_PRESETS[contextKey] || CONTEXT_PRESETS.general;
+  return ids.map((id) => getAction(id)).filter(Boolean);
+}
+
+/** Translated label + prompt for an action record (empty string when absent). */
+export function actionTexts(action) {
+  if (!action) return { label: '', prompt: '' };
+  return { label: t(action.labelKey), prompt: t(action.promptKey) };
+}
+
+/** Badge text for the contextual header chip. */
+export function contextBadgeKey(contextKey, docCount) {
+  switch (contextKey) {
+    case 'selection': return 'qa.badge_selection';
+    case 'code': return 'qa.badge_code';
+    case 'multi_doc': return 'qa.badge_multi';
+    case 'single_doc': return 'qa.badge_single';
+    case 'directory': return 'qa.badge_directory';
+    default: return docCount > 0 ? 'qa.badge_single' : 'qa.badge_general';
+  }
+}
@@ -82,6 +82,24 @@ function renderCapabilityList(caps) {
  return box;
 }

+/**
+ * Render only the *enabled* capabilities as colored tags (#104). Used by the
+ * config panel where a compact read-only summary reads better than checkboxes.
+ */
+function renderCapabilityBadges(caps) {
+  const box = document.createElement('div');
+  box.className = 'ai-caps-badges';
+  if (!caps) return box;
+  AI_CAPABILITY_KEYS.forEach((key) => {
+    if (!caps[key]) return;
+    const item = document.createElement('span');
+    item.className = 'ai-cap-badge';
+    item.textContent = t(`ai.cap_${key}`);
+    box.appendChild(item);
+  });
+  return box;
+}
+
 /** Accent-insensitive, case-insensitive normalization for model search. */
 function _normalizeText(value) {
  return String(value || '')
@@ -1019,6 +1037,7 @@ export {
  AI_CAPABILITY_KEYS,
  getModelCapabilities,
  renderCapabilityList,
+  renderCapabilityBadges,
  _buildPickerUI as buildAIPickerUI,
  refreshAIPickers,
  PICKER_SLOT_CLASS,
@@ -1,6 +1,6 @@
 /* ObsiGate — Authentication: API helper, AuthManager, login form, AdminPanel */
 import { state } from './state.js';
-import { safeCreateIcons } from './utils.js';
+import { safeCreateIcons, escapeHtml } from './utils.js';
 import { showToast, closeHeaderMenu } from './ui.js';
 import { t, getLocale, setLocale } from './i18n.js';
 import { showWelcome } from './viewer.js';
@@ -266,6 +266,13 @@ const AuthManager = {
    });
  },

+  async changePassword(currentPassword, newPassword) {
+    return await api("/api/auth/change-password", {
+      method: "POST",
+      body: JSON.stringify({ current_password: currentPassword, new_password: newPassword }),
+    });
+  },
+
  async logout() {
    try {
      const token = this.getToken();
@@ -545,8 +552,22 @@ function _startWebauthnLogin(mfaSection, username, rememberMe) {


 function showMfaChallenge(username, rememberMe, loginBtn, loginErrorEl, mfaMethod) {
-  const loginBox = document.querySelector(".login-box");
-  if (!loginBox) return;
+  // BUG-069: the challenge used to mount into `.login-box`, which does not
+  // exist in index.html (the login markup is `#login-screen > .login-card >
+  // #login-form`) — querySelector returned null and the function silently
+  // returned, leaving the user stuck on the login page with no error after
+  // entering correct credentials. Mount into the real card, and never fail
+  // silently: surface the problem in the login error box instead.
+  const loginBox = document.querySelector(".login-card")
+    || document.getElementById("login-screen");
+  if (!loginBox) {
+    const fallback = loginErrorEl || document.getElementById("login-error");
+    if (fallback) {
+      fallback.textContent = t("mfa.challenge_unavailable");
+      fallback.classList.remove("hidden");
+    }
+    return;
+  }

  // Hide the normal login form
  const loginForm = document.getElementById("login-form");
@@ -1058,11 +1079,79 @@ async function initMfaSettings() {
    });
  }

+  // Password change (BUG-068: the "Sécurité du compte" section had no way to
+  // change the password although POST /api/auth/change-password exists).
+  _renderPasswordSection(area);
+
  // WebAuthn security keys section (ROADMAP #64)
  _renderWebauthnSection(area);
 }


+function _renderPasswordSection(container) {
+  if (!container || document.getElementById("password-settings")) return;
+  const section = document.createElement("div");
+  section.id = "password-settings";
+  section.className = "password-settings";
+  section.innerHTML = `
+    <h4 class="webauthn-title">${t("mfa.password_change_title")}</h4>
+    <p class="mfa-info-text">${t("mfa.password_change_desc")}</p>
+    <div class="form-group">
+      <label>${t("mfa.current_password_label")}</label>
+      <input type="password" id="pwd-current" class="config-input"
+             placeholder="${t('mfa.current_password_placeholder')}" autocomplete="current-password">
+    </div>
+    <div class="form-group">
+      <label>${t("mfa.new_password_label")}</label>
+      <input type="password" id="pwd-new" class="config-input"
+             placeholder="${t('mfa.new_password_placeholder')}" autocomplete="new-password">
+    </div>
+    <div class="form-group">
+      <label>${t("mfa.new_password_confirm_label")}</label>
+      <input type="password" id="pwd-confirm" class="config-input"
+             placeholder="${t('mfa.new_password_confirm_placeholder')}" autocomplete="new-password">
+    </div>
+    <div class="mfa-recovery-actions">
+      <button class="config-btn-primary" id="pwd-change-btn">${t("mfa.password_change_btn")}</button>
+    </div>
+    <p class="mfa-error hidden" id="pwd-change-error"></p>
+  `;
+  container.appendChild(section);
+
+  section.querySelector("#pwd-change-btn").addEventListener("click", async () => {
+    const errEl = section.querySelector("#pwd-change-error");
+    const current = section.querySelector("#pwd-current").value;
+    const next = section.querySelector("#pwd-new").value;
+    const confirm = section.querySelector("#pwd-confirm").value;
+    const btn = section.querySelector("#pwd-change-btn");
+    errEl.classList.add("hidden");
+    if (!current || !next || !confirm) {
+      errEl.textContent = t("mfa.fill_all_fields");
+      errEl.classList.remove("hidden");
+      return;
+    }
+    if (next !== confirm) {
+      errEl.textContent = t("mfa.password_mismatch");
+      errEl.classList.remove("hidden");
+      return;
+    }
+    btn.disabled = true;
+    try {
+      await AuthManager.changePassword(current, next);
+      showToast(t("mfa.password_changed"), "success");
+      section.querySelector("#pwd-current").value = "";
+      section.querySelector("#pwd-new").value = "";
+      section.querySelector("#pwd-confirm").value = "";
+    } catch (err) {
+      errEl.textContent = err.message || String(err);
+      errEl.classList.remove("hidden");
+    } finally {
+      btn.disabled = false;
+    }
+  });
+}
+
+
 async function _renderWebauthnSection(container) {
  if (!container || !window.PublicKeyCredential) return;

@@ -1085,10 +1174,10 @@ async function _renderWebauthnSection(container) {
  const listHtml = keys.length
    ? `<ul class="webauthn-key-list">${keys.map((k) => `
        <li class="webauthn-key-item">
-          <span class="webauthn-key-label">🔑 ${k.label || "Security key"}</span>
-          <span class="webauthn-key-meta">${(k.transports || []).join(", ") || "—"}</span>
+          <span class="webauthn-key-label">🔑 ${escapeHtml(k.label || "Security key")}</span>
+          <span class="webauthn-key-meta">${escapeHtml((k.transports || []).join(", ") || "—")}</span>
          <button class="config-btn-secondary config-btn-sm webauthn-key-remove"
-                  data-id="${k.credential_id}">${t("mfa.webauthn_remove")}</button>
+                  data-id="${escapeHtml(k.credential_id)}">${t("mfa.webauthn_remove")}</button>
        </li>`).join("")}</ul>`
    : `<p class="mfa-info-text">${t("mfa.webauthn_none")}</p>`;

@@ -1111,7 +1200,10 @@ async function _renderWebauthnSection(container) {
      const label = prompt(t("mfa.webauthn_label_prompt"), "Ma clé");
      const result = await AuthManager.webauthnRegister(credential, label || "Security key");
      if (result.recovery_codes && result.recovery_codes.length) {
-        _showRecoveryCodes(result.recovery_codes);
+        // BUG-068: first-time WebAuthn enable issues recovery codes. There is
+        // no #mfa-setup-flow-area in the "already enabled" view, so render
+        // them into the WebAuthn flow area instead of losing them.
+        _showRecoveryCodes(result.recovery_codes, "webauthn-flow-area");
      } else {
        showToast(t("mfa.webauthn_added"), "success");
      }
@@ -1145,16 +1237,28 @@ async function _startMfaSetup() {

  try {
    const data = await AuthManager.mfaSetup();
+    // BUG-068: the QR code comes from the backend as a local SVG data: URI
+    // (see POST /api/auth/mfa/totp/setup → qr_data_url). The previous
+    // third-party QR image was blocked by the CSP
+    // (img-src 'self' data: blob:) so it never displayed — and it leaked the
+    // otpauth URI (TOTP secret) to a third party. Fall back to the manual
+    // secret when the backend has no QR generator available.
+    const qrImg = data.qr_data_url
+      ? `<img id="mfa-qr-img" alt="QR Code" class="mfa-qr-code-img"
+              src="${data.qr_data_url}"
+              onerror="this.style.display='none';document.getElementById('mfa-qr-fallback').style.display='block';">`
+      : "";
+    const fallbackStyle = data.qr_data_url ? "display:none" : "";
    flowArea.innerHTML = `
      <div class="mfa-setup-card">
        <h4>${t("mfa.scan_qr")}</h4>
        <div class="mfa-qr-container">
-          <img id="mfa-qr-img" alt="QR Code" class="mfa-qr-code"
-               src="https://api.qrserver.com/v1/create-qr-code/?size=200x200&data=${encodeURIComponent(data.otpauth_uri)}">
+          ${qrImg}
+          <p class="mfa-info-text" id="mfa-qr-fallback" style="${fallbackStyle}">${t("mfa.qr_unavailable")}</p>
        </div>
-        <details class="mfa-secret-details">
+        <details class="mfa-secret-details" ${data.qr_data_url ? "" : "open"}>
          <summary>${t("mfa.manual_entry")}</summary>
-          <code class="mfa-secret-code">${data.secret}</code>
+          <code class="mfa-secret-code">${escapeHtml(data.secret)}</code>
        </details>
        <div class="mfa-verify-section">
          <label>${t("mfa.enter_code")}</label>
@@ -1201,12 +1305,16 @@ async function _startMfaSetup() {
 }


-function _showRecoveryCodes(codes) {
-  const flowArea = document.getElementById("mfa-setup-flow-area");
-  const area = document.getElementById("mfa-setup-area");
+function _showRecoveryCodes(codes, targetId) {
+  // BUG-068: the recovery codes must be visible wherever the enable flow ran.
+  // The TOTP flow owns #mfa-setup-flow-area, but the WebAuthn first-enable
+  // path (#webauthn-flow-area) has none — previously those codes were lost.
+  const flowArea = document.getElementById(targetId || "mfa-setup-flow-area")
+    || document.getElementById("webauthn-flow-area")
+    || document.getElementById("mfa-setup-area");
  if (!flowArea) return;

-  const codesHtml = codes.map(c => `<code class="mfa-recovery-code">${c}</code>`).join("\n");
+  const codesHtml = codes.map(c => `<code class="mfa-recovery-code">${escapeHtml(c)}</code>`).join("\n");
  flowArea.innerHTML = `
    <div class="mfa-recovery-card">
      <h4>🔑 ${t("mfa.recovery_codes_title")}</h4>
@@ -347,4 +347,97 @@ function filterFiles(partial) {
  });
 }

-export { suggest, searchWikilinks, detectContext, MERMAID_TYPES, CODE_LANGUAGES, FRONTMATTER_FIELDS, MARKDOWN_FORMAT };
+// ── Word completion (Forge « Tab » completion) ────────────────────────
+// A word character matches the same set used by the editor: letters, digits,
+// underscore, dash, dot and slash (so paths like `docs/guide` complete too).
+var _WORD_CHAR = /[\w\-.\/]/;
+
+function isWordChar(ch) {
+  return !!ch && _WORD_CHAR.test(ch);
+}
+
+/** Return the word fragment immediately before the cursor. */
+function getWordFragment(text, cursorPos) {
+  var start = cursorPos;
+  while (start > 0 && isWordChar(text.charAt(start - 1))) start--;
+  return { start: start, fragment: text.slice(start, cursorPos) };
+}
+
+/**
+ * Collect unique words of `text` that start with `fragment` (case-insensitive).
+ * The occurrence currently being typed at the cursor is ignored. `limit` caps
+ * the number of candidates (0 = no limit).
+ */
+function findWordCompletions(text, cursorPos, fragment, limit) {
+  if (!fragment || fragment.length < 2) return [];
+  var lower = fragment.toLowerCase();
+  var re = /[\w\-.\/]+/g;
+  var seen = Object.create(null);
+  var out = [];
+  var m;
+  while ((m = re.exec(text)) !== null) {
+    var word = m[0];
+    if (word.length <= fragment.length) continue;
+    if (word.toLowerCase().indexOf(lower) !== 0) continue;
+    // Skip the word currently being typed (it starts exactly at the cursor).
+    if (m.index === cursorPos - fragment.length) continue;
+    var key = word.toLowerCase();
+    if (seen[key]) continue;
+    seen[key] = true;
+    out.push(word);
+    if (limit && out.length >= limit) break;
+  }
+  return out;
+}
+
+/**
+ * Clean up a raw AI prediction before displaying/inserting it.
+ *
+ * - strips the echoed input prefix (mid-word or full context),
+ * - for a mid-word completion, keeps only the first token so a word completion
+ *   can never introduce a stray space,
+ * - trims any remaining leading whitespace.
+ */
+function normalizeGhost(raw, inputText, midWord) {
+  var p = raw == null ? '' : String(raw).trim();
+  if (!p) return '';
+  if (inputText) {
+    var inp = String(inputText);
+    if (midWord && p.toLowerCase().indexOf(inp.toLowerCase()) === 0) {
+      p = p.slice(inp.length);
+    } else if (!midWord && p.indexOf(inp) === 0) {
+      p = p.slice(inp.length);
+    }
+  }
+  if (midWord) p = p.split(/\s+/)[0];
+  return p.replace(/^\s+/, '');
+}
+
+/**
+ * Decide what the « Tab » key should do. Kept pure so the editor and the tests
+ * share the exact same priority rules.
+ *
+ *   dropdown  → an autocomplete list is open: accept the highlighted item
+ *   ghost     → an AI inline prediction is displayed: accept it
+ *   dedent    → Shift+Tab: remove indentation
+ *   word      → a single document word matches: insert its suffix
+ *   word-list → several words match: open the suggestion list
+ *   indent    → default: indent the current line
+ */
+function chooseTabAction(state) {
+  state = state || {};
+  if (state.dropdownOpen) return 'dropdown';
+  if (state.ghost) return 'ghost';
+  if (state.shiftKey) return 'dedent';
+  if (state.hasSelection) return 'indent';
+  var candidates = state.candidates || [];
+  if (candidates.length === 1) return 'word';
+  if (candidates.length > 1) return 'word-list';
+  return 'indent';
+}
+
+export {
+  suggest, searchWikilinks, detectContext,
+  MERMAID_TYPES, CODE_LANGUAGES, FRONTMATTER_FIELDS, MARKDOWN_FORMAT,
+  isWordChar, getWordFragment, findWordCompletions, normalizeGhost, chooseTabAction,
+};
@@ -10,6 +10,15 @@ import { safeCreateIcons } from './utils.js';
 import { api, AuthManager } from './auth.js';
 import { showToast } from './ui.js';
 import { state } from './state.js';
+// #106 — contextual quick actions (catalogue + triage rules live in ai-quick-actions.js).
+import {
+  detectContext,
+  suggestionsFor,
+  actionTexts,
+  contextBadgeKey,
+  ACTION_CATALOG,
+  CATEGORIES,
+} from './ai-quick-actions.js';

 export const MODE = Object.freeze({
  DIRECTORY: 'directory',
@@ -43,6 +52,25 @@ const PANEL_MIN_WIDTH = 320;
 const PANEL_MAX_WIDTH = 1000;
 const PANEL_WIDTH_KEY = 'obsigate-bookslm-width';

+/**
+ * BUG-059 — Is this pointer press a scrollbar drag (and only that)?
+ *
+ * Only genuine scroll gestures may release the top-pinning of the latest
+ * question (wheel / touchmove / scrollbar drag). A scrollbar drag reports the
+ * scrollable container itself as the event target and lands inside the
+ * vertical scrollbar gutter. A plain click anywhere in the content — a link,
+ * a file path, the steps toggle, text selection — must NOT unpin: clearing
+ * the anchor padding would clamp the scroll position and jump the whole
+ * thread to the bottom of the conversation window.
+ */
+export function isScrollbarPress(target, clientX, container) {
+  if (!container || target !== container) return false;
+  const rect = container.getBoundingClientRect();
+  if (!rect || !Number.isFinite(rect.right)) return false;
+  const GUTTER = 24; // conservative vertical-scrollbar width estimate
+  return clientX >= rect.right - GUTTER;
+}
+
 /**
 * Accent- and case-insensitive normalization used to match `/` commands and
 * `@` mentions: skill ids/labels and vault paths may contain accented
@@ -901,6 +929,7 @@ class BooksLM {
          <span class="bookslm-title"></span>
          <span class="bookslm-subtitle"></span>
        </div>
+        <span class="bookslm-qa-badge hidden" data-qa-context=""></span>
        <div class="bookslm-header-actions">
          <button class="bookslm-btn-agent" title="${t('ai.agent_mode_off')}" aria-label="${t('ai.agent_mode_off')}" aria-pressed="false"><i data-lucide="bot" style="width:16px;height:16px"></i></button>
          <button class="bookslm-btn-history" title="${t('bookslm.session_history')}" aria-label="${t('bookslm.session_history')}"><i data-lucide="history" style="width:16px;height:16px"></i></button>
@@ -985,7 +1014,12 @@ class BooksLM {
      };
      messagesEl.addEventListener('wheel', unpin, { passive: true });
      messagesEl.addEventListener('touchmove', unpin, { passive: true });
-      messagesEl.addEventListener('mousedown', unpin, { passive: true });
+      // BUG-059: a scrollbar drag only — a plain click on the content must
+      // not unpin (it would clear the anchor padding and jump the thread to
+      // the bottom of the window).
+      messagesEl.addEventListener('mousedown', (e) => {
+        if (isScrollbarPress(e.target, e.clientX, messagesEl)) unpin();
+      }, { passive: true });
    }

    // Close the session / command menus when clicking elsewhere in the panel.
@@ -1047,6 +1081,25 @@ class BooksLM {
    });
    textarea.addEventListener('paste', (e) => this._onPaste(e));

+    // #106 — The suggested row flips to "selection" actions while the user
+    // selects text in the open editor; refresh (throttled) on selectionchange.
+    let qaSelTimer = null;
+    const onSelectionChange = () => {
+      if (qaSelTimer) return;
+      qaSelTimer = setTimeout(() => {
+        qaSelTimer = null;
+        if (!this._panel || this._panel.classList.contains('hidden')) return;
+        if (this._messages.length) return;
+        const ctx = this._quickContext();
+        if (ctx !== this._qaContext) this._showSuggestions();
+      }, 250);
+    };
+    document.addEventListener('selectionchange', onSelectionChange);
+    // CodeMirror owns its selection (no native selectionchange on drag), so
+    // the same throttled refresh is bound to pointer/keyboard release too.
+    document.addEventListener('mouseup', onSelectionChange);
+    document.addEventListener('keyup', onSelectionChange);
+
    // Menu navigation is handled at the panel level (capture phase) so the
    // arrow keys keep working even if focus is not exactly on the textarea
    // (e.g. after interacting with the menu). It runs before the textarea
@@ -1991,26 +2044,52 @@ class BooksLM {
    }
  }

-  _suggestionsForContext() {
-    if (this._mode === MODE.GENERAL) {
-      return [
-        t('ai.suggestion_capabilities'),
-        t('ai.suggestion_search'),
-        t('ai.suggestion_create_file'),
-      ];
-    }
-    if (this._mode === MODE.DOCUMENTS) {
-      return [
-        t('ai.suggestion_docs_summary'),
-        t('ai.suggestion_docs_keypoints'),
-        t('ai.suggestion_docs_contradictions'),
-      ];
-    }
-    return [
-      t('bookslm.suggestion_summary'),
-      t('bookslm.suggestion_themes'),
-      t('bookslm.suggestion_contradictions'),
-    ];
+  // ── #106 — Actions instantanées contextuelles ───────────────────────
+  //
+  // The welcome zone above the composer shows the 3 top actions for the
+  // *detected* context (selection > code > multi-doc > single-doc >
+  // directory > general, rules in ai-quick-actions.js); the full catalogue
+  // stays reachable through the "Toutes les actions" drawer.
+
+  /** True when the open editor (CM6, or the mobile textarea fallback)
+   *  holds a non-empty text selection. Best-effort, never throws. */
+  _hasEditorSelection() {
+    try {
+      const view = state.editorView;
+      if (view && view.state && view.state.selection) {
+        const sel = view.state.selection.main;
+        if (sel && sel.from !== sel.to) return true;
+      }
+      const ta = state.fallbackEditorEl;
+      if (ta && document.body.contains(ta)
+          && ta.selectionStart != null && ta.selectionEnd > ta.selectionStart) {
+        return true;
+      }
+    } catch { /* editor not ready */ }
+    return false;
+  }
+
+  /** The live context key driving the suggested-actions row. */
+  _quickContext() {
+    const docs = this._mode === MODE.DOCUMENTS ? this._documents : [];
+    return detectContext({
+      mode: this._mode,
+      docCount: docs.length,
+      currentPath: docs.length ? (docs[0].path || null) : null,
+      hasSelection: this._hasEditorSelection(),
+    });
+  }
+
+  /** Header chip describing the detected context ("1 doc ouvert", …). */
+  _updateQaBadge() {
+    if (!this._panel) return;
+    const badge = this._panel.querySelector('.bookslm-qa-badge');
+    if (!badge) return;
+    const ctx = this._qaContext || this._quickContext();
+    const docCount = this._mode === MODE.DOCUMENTS ? this._documents.length : 0;
+    badge.textContent = t(contextBadgeKey(ctx, docCount), { count: docCount });
+    badge.dataset.qaContext = ctx;
+    badge.classList.remove('hidden');
  }

  _showSuggestions() {
@@ -2018,21 +2097,185 @@ class BooksLM {
    const sugEl = this._panel.querySelector('.bookslm-suggestions');
    if (!sugEl) return;
    sugEl.innerHTML = '';
-    if (this._messages.length) return;
-
-    for (const s of this._suggestionsForContext()) {
-      const btn = document.createElement('button');
-      btn.className = 'bookslm-suggestion';
-      btn.textContent = s;
-      btn.addEventListener('click', () => {
-        const textarea = this._panel.querySelector('textarea');
-        if (textarea) {
-          textarea.value = s;
-          this._sendMessage();
-        }
-      });
-      sugEl.appendChild(btn);
+    if (this._messages.length) {
+      sugEl.classList.add('hidden');
+      return;
    }
+    sugEl.classList.remove('hidden');
+    const ctx = this._quickContext();
+    this._qaContext = ctx;
+    this._updateQaBadge();
+
+    // Welcome hint (mirrors the POC copy: actions or free question).
+    const hint = document.createElement('p');
+    hint.className = 'bookslm-qa-hint';
+    hint.textContent = t('qa.empty_hint');
+    sugEl.appendChild(hint);
+
+    // Row head: label + access to the full catalogue.
+    const head = document.createElement('div');
+    head.className = 'bookslm-qa-head';
+    const label = document.createElement('span');
+    label.className = 'bookslm-qa-label';
+    label.textContent = t('qa.header_suggested');
+    head.appendChild(label);
+    const more = document.createElement('button');
+    more.type = 'button';
+    more.className = 'bookslm-qa-more';
+    more.innerHTML = `<span>${t('qa.all_actions')}</span>`
+      + '<i data-lucide="layout-grid" style="width:13px;height:13px"></i>';
+    more.addEventListener('click', (e) => {
+      e.stopPropagation();
+      this._toggleActionDrawer();
+    });
+    head.appendChild(more);
+    sugEl.appendChild(head);
+
+    const list = document.createElement('div');
+    list.className = 'bookslm-qa-list';
+    for (const action of suggestionsFor(ctx)) {
+      list.appendChild(this._renderQuickActionBtn(action));
+    }
+    sugEl.appendChild(list);
+    if (typeof safeCreateIcons === 'function') safeCreateIcons();
+  }
+
+  /** One action button (icon + label + hover arrow), used in both the row
+   *  and the drawer catalogue. */
+  _renderQuickActionBtn(action, opts = {}) {
+    const { label, prompt } = actionTexts(action);
+    const btn = document.createElement('button');
+    btn.type = 'button';
+    btn.className = 'bookslm-qa-btn' + (opts.compact ? ' compact' : '');
+    btn.dataset.qaAction = action.id;
+    btn.innerHTML = `
+      <i data-lucide="${action.icon}" class="bookslm-qa-icon" style="width:15px;height:15px"></i>
+      <span class="bookslm-qa-text">${label}</span>
+      <i data-lucide="arrow-right" class="bookslm-qa-go" style="width:14px;height:14px"></i>
+    `;
+    btn.title = prompt;
+    btn.addEventListener('click', (e) => {
+      e.stopPropagation();
+      this._runQuickAction(action);
+    });
+    return btn;
+  }
+
+  /** Immediate-send the action prompt through the composer (same path as a
+   *  typed message: skills, agent mode and images all keep working). Actions
+   *  flagged `agent` (they mutate the document) transparently switch the
+   *  assistant to agent mode first — same pattern as Deep Research. */
+  _runQuickAction(action) {
+    if (!this._panel || !action) return;
+    const { prompt } = actionTexts(action);
+    if (!prompt) return;
+    this._closeActionDrawer();
+    if (action.agent && !this._agentMode) this._toggleAgentMode();
+    const textarea = this._panel.querySelector('textarea');
+    if (!textarea) return;
+    textarea.value = prompt;
+    this._sendMessage();
+  }
+
+  // ── Drawer "Toutes les actions" (bottom sheet, searchable) ──────────
+
+  _toggleActionDrawer() {
+    const drawer = this._ensureActionDrawer();
+    if (!drawer) return;
+    if (drawer.classList.contains('open')) this._closeActionDrawer();
+    else this._openActionDrawer();
+  }
+
+  _ensureActionDrawer() {
+    if (!this._panel) return null;
+    let drawer = this._panel.querySelector('.bookslm-qa-drawer');
+    if (drawer) return drawer;
+    drawer = document.createElement('div');
+    drawer.className = 'bookslm-qa-drawer hidden';
+    drawer.innerHTML = `
+      <div class="bookslm-qa-sheet" role="dialog" aria-modal="true" aria-label="${t('qa.drawer_title')}">
+        <div class="bookslm-qa-sheet-head">
+          <span class="bookslm-qa-sheet-title">
+            <i data-lucide="layout-grid" style="width:15px;height:15px"></i>
+            ${t('qa.drawer_title')}
+          </span>
+          <button type="button" class="bookslm-qa-sheet-close" aria-label="${t('ai.close')}">
+            <i data-lucide="x" style="width:15px;height:15px"></i>
+          </button>
+        </div>
+        <div class="bookslm-qa-search">
+          <i data-lucide="search" style="width:14px;height:14px"></i>
+          <input type="text" placeholder="${t('qa.search_placeholder')}" aria-label="${t('qa.search_placeholder')}">
+        </div>
+        <div class="bookslm-qa-sheet-list"></div>
+      </div>
+    `;
+    this._panel.appendChild(drawer);
+    drawer.querySelector('.bookslm-qa-sheet-close').addEventListener('click', () => this._closeActionDrawer());
+    // Clicking the backdrop (outside the sheet) closes the drawer.
+    drawer.addEventListener('click', (e) => {
+      if (e.target === drawer) this._closeActionDrawer();
+    });
+    const input = drawer.querySelector('.bookslm-qa-search input');
+    input.addEventListener('input', () => this._renderActionDrawerList(input.value));
+    input.addEventListener('keydown', (e) => {
+      if (e.key === 'Escape') {
+        e.preventDefault();
+        e.stopPropagation();
+        this._closeActionDrawer();
+      }
+    });
+    if (typeof safeCreateIcons === 'function') safeCreateIcons();
+    return drawer;
+  }
+
+  _openActionDrawer() {
+    const drawer = this._ensureActionDrawer();
+    if (!drawer) return;
+    drawer.classList.remove('hidden');
+    requestAnimationFrame(() => drawer.classList.add('open'));
+    this._renderActionDrawerList('');
+    const input = drawer.querySelector('.bookslm-qa-search input');
+    if (input) { input.value = ''; input.focus(); }
+  }
+
+  _closeActionDrawer() {
+    if (!this._panel) return;
+    const drawer = this._panel.querySelector('.bookslm-qa-drawer');
+    if (!drawer) return;
+    drawer.classList.remove('open');
+    // Let the slide-down transition finish before hiding.
+    setTimeout(() => drawer.classList.add('hidden'), 220);
+  }
+
+  _renderActionDrawerList(filter) {
+    const drawer = this._panel && this._panel.querySelector('.bookslm-qa-drawer');
+    if (!drawer) return;
+    const body = drawer.querySelector('.bookslm-qa-sheet-list');
+    if (!body) return;
+    body.innerHTML = '';
+    const q = normalizeSearch(filter || '');
+    let shown = 0;
+    for (const cat of CATEGORIES) {
+      const actions = ACTION_CATALOG.filter((a) => a.cat === cat.id
+        && (!q || normalizeSearch(actionTexts(a).label).includes(q)));
+      if (!actions.length) continue;
+      const head = document.createElement('p');
+      head.className = 'bookslm-qa-cat';
+      head.innerHTML = `<i data-lucide="${cat.icon}" style="width:13px;height:13px"></i> ${t(cat.labelKey)}`;
+      body.appendChild(head);
+      for (const action of actions) {
+        body.appendChild(this._renderQuickActionBtn(action, { compact: true }));
+        shown++;
+      }
+    }
+    if (!shown) {
+      const empty = document.createElement('div');
+      empty.className = 'bookslm-qa-empty';
+      empty.textContent = t('qa.no_match');
+      body.appendChild(empty);
+    }
+    if (typeof safeCreateIcons === 'function') safeCreateIcons();
  }

  _renderMessages(opts = {}) {
@@ -2153,6 +2396,7 @@ class BooksLM {
      bubble.className = 'bookslm-bubble assistant';
      const { text, actions } = this._extractActions(msg.content || '');
      bubble.innerHTML = this._renderMarkdown(text);
+      this._enhanceCodeBlocks(bubble);
      // Plain chat has no steps block: the pending answer itself carries the
      // animated indicator until the first token arrives.
      if (running && !text && !actions.length) {
@@ -2234,28 +2478,90 @@ class BooksLM {
  }

  /**
-   * Append an assistant answer to the Forge editor document (Notion “Ajouter”).
-   * No-ops with a toast when no editor session is open.
+   * Append an assistant answer (or a single code block) to the document open
+   * in the active editor (Notion “Ajouter”). Supports the three editor
+   * surfaces: CodeMirror (« Editer »), the Forge iframe and the plain textarea
+   * fallback. No-ops with a toast when no editor session is open.
   */
  _insertIntoEditor(text) {
+    const value = String(text == null ? '' : text);
+    if (!value.trim()) return;
+
+    // 1. CodeMirror editor (« Editer »).
    const view = state.editorView;
-    if (!view || !view.state || typeof view.dispatch !== 'function') {
-      showToast(t('bookslm.insert_no_editor'), 'info');
+    if (view && view.state && typeof view.dispatch === 'function') {
+      try {
+        const at = view.state.selection.main.to;
+        const insert = (at > 0 ? '\n' : '') + value;
+        view.dispatch({
+          changes: { from: at, insert },
+          selection: { anchor: at + insert.length },
+        });
+        if (typeof view.focus === 'function') view.focus();
+        showToast(t('bookslm.inserted'), 'success');
+      } catch (e) {
+        console.warn('AI assistant: insert into editor failed', e);
+        showToast(t('bookslm.insert_no_editor'), 'error');
+      }
      return;
    }
-    try {
-      const at = view.state.selection.main.to;
-      const insert = (at > 0 ? '\n' : '') + text;
-      view.dispatch({
-        changes: { from: at, insert },
-        selection: { anchor: at + insert.length },
-      });
-      if (typeof view.focus === 'function') view.focus();
-      showToast(t('bookslm.inserted'), 'success');
-    } catch (e) {
-      console.warn('AI assistant: insert into editor failed', e);
-      showToast(t('bookslm.insert_no_editor'), 'error');
+
+    // 2. Forge editor (same-origin iframe): its buffer lives in the child
+    // document, so the insertion is delegated with a postMessage.
+    const forge = document.getElementById('forge-iframe');
+    if (forge && forge.contentWindow) {
+      try {
+        forge.contentWindow.postMessage({ type: 'parent-insert', text: value }, '*');
+        showToast(t('bookslm.inserted'), 'success');
+      } catch (e) {
+        console.warn('AI assistant: insert into Forge failed', e);
+        showToast(t('bookslm.insert_no_editor'), 'error');
+      }
+      return;
    }
+
+    // 3. Plain textarea fallback (CodeMirror failed to load).
+    const ta = state.fallbackEditorEl;
+    if (ta && typeof ta.value === 'string') {
+      const start = ta.selectionStart != null ? ta.selectionStart : ta.value.length;
+      const end = ta.selectionEnd != null ? ta.selectionEnd : ta.value.length;
+      const insert = (start > 0 ? '\n' : '') + value;
+      ta.value = ta.value.slice(0, start) + insert + ta.value.slice(end);
+      const pos = start + insert.length;
+      if (typeof ta.setSelectionRange === 'function') ta.setSelectionRange(pos, pos);
+      ta.dispatchEvent(new Event('input', { bubbles: true }));
+      if (typeof ta.focus === 'function') ta.focus();
+      showToast(t('bookslm.inserted'), 'success');
+      return;
+    }
+
+    showToast(t('bookslm.insert_no_editor'), 'info');
+  }
+
+  /**
+   * #102 — Add a discreet « Ajouter » button to every fenced code block of an
+   * answer, so a single proposed section can be inserted instead of the whole
+   * reply. The button reuses the message action styling.
+   */
+  _enhanceCodeBlocks(bubble) {
+    if (!bubble || typeof bubble.querySelectorAll !== 'function') return;
+    const blocks = bubble.querySelectorAll('pre');
+    blocks.forEach((pre) => {
+      const code = pre.querySelector('code');
+      if (!code) return;
+      const wrap = document.createElement('div');
+      wrap.className = 'bookslm-code-block';
+      pre.parentNode.insertBefore(wrap, pre);
+      wrap.appendChild(pre);
+      const btn = this._actionBtn(
+        t('bookslm.insert_block'),
+        'insert',
+        t('bookslm.insert_block_hint'),
+        () => this._insertIntoEditor(code.textContent),
+      );
+      btn.classList.add('bookslm-code-insert');
+      wrap.appendChild(btn);
+    });
  }

  _copyText(text) {
@@ -6,7 +6,7 @@ import { syncVaultSelectors, setSelectedVaultContext, refreshSidebarForContext,
 import {  escapeHtml, safeCreateIcons } from './utils.js';
 import { showToast, closeHeaderMenu, closeMobileSidebar } from './ui.js';
 import { t, setLocale, getLocale } from './i18n.js';
-import { getModelCapabilities, renderCapabilityList, refreshAIPickers } from './ai.js';
+import { getModelCapabilities, renderCapabilityBadges, refreshAIPickers } from './ai.js';

 let _recentTimestampTimer = null;
 let _recentFilesCache = [];
@@ -353,6 +353,7 @@ function initHelpModal() {
      initHelpNavigation();
      helpNavInitialized = true;
    }
+    renderGuideMermaid();
  });

  closeBtn.addEventListener("click", closeHelpModal);
@@ -367,6 +368,64 @@ function initHelpModal() {
      closeHelpModal();
    }
  });
+
+  // Guide downloads (#105) — markdown / pdf, current language.
+  const dlMd = document.getElementById("help-download-md");
+  const dlPdf = document.getElementById("help-download-pdf");
+  [dlMd, dlPdf].forEach((btn) => {
+    if (!btn) return;
+    btn.addEventListener("click", () => {
+      downloadGuide(btn.id === "help-download-md" ? "md" : "pdf");
+    });
+  });
+}
+
+// Render any Mermaid blocks inside the guide modal (the architecture diagram,
+// #105). The viewer's own pipeline only touches document views, so the help
+// modal is enriched here — once per modal open, cheap on repeats.
+function renderGuideMermaid() {
+  const modal = document.getElementById("help-modal");
+  if (!modal || modal.dataset.mermaidRendered === "1") return;
+  import("./mermaid-viewer.js")
+    .then((m) => m.renderMermaidBlocks(modal))
+    .then(() => {
+      // Only mark done when the source block actually became a rendered
+      // diagram — if the Mermaid CDN wasn't ready yet, retry on next open.
+      if (!modal.querySelector("code.language-mermaid")) {
+        modal.dataset.mermaidRendered = "1";
+      }
+    })
+    .catch(() => { /* CDN offline: keep the code block readable */ });
+}
+
+// Fetch the generated guide (auth headers + cookie) and trigger the browser
+// download, mirroring viewer.downloadExport().
+async function downloadGuide(format) {
+  showToast(t("viewer.export_start"), "info");
+  try {
+    const headers = AuthManager.getAuthHeaders ? AuthManager.getAuthHeaders() || {} : {};
+    const res = await fetch(
+      `/api/guide/download?format=${format}&lang=${encodeURIComponent(getLocale() || "fr")}`,
+      { credentials: "include", headers },
+    );
+    if (!res.ok) {
+      let detail = "";
+      try { detail = (await res.json()).detail || ""; } catch (_) { /* ignore */ }
+      throw new Error(detail || "HTTP " + res.status);
+    }
+    const blob = await res.blob();
+    const a = document.createElement("a");
+    a.href = URL.createObjectURL(blob);
+    a.download = `ObsiGate-Guide-${getLocale() || "fr"}.${format}`;
+    document.body.appendChild(a);
+    a.click();
+    document.body.removeChild(a);
+    setTimeout(() => URL.revokeObjectURL(a.href), 1000);
+    showToast(t("viewer.export_done"), "success");
+  } catch (err) {
+    console.error("Guide export error:", err);
+    showToast(t("viewer.export_error") + " " + err.message, "error");
+  }
 }

 function initEditorPocBtn() {
@@ -708,13 +767,19 @@ function initConfigModal() {
  openBtn.addEventListener("click", async () => {
    modal.classList.add("active");
    closeHeaderMenu();
+    // BUG-071: reset the TOC to the CSS default (mobile: hidden, desktop:
+    // visible) like the help modal does on open.
+    var configNavOnOpen = document.getElementById("config-nav");
+    if (configNavOnOpen) configNavOnOpen.style.display = '';
    renderConfigFilters();
    loadConfigFields();
    loadDiagnostics();
    loadAbout();
    await loadHiddenFilesSettings();
    loadWebhooksUI();
+    loadTokensUI();
    loadSharesUI();
+    loadToolKeys();
    safeCreateIcons();
  });

@@ -765,6 +830,14 @@ function initConfigModal() {
  if (saveAIKeysBtn) saveAIKeysBtn.addEventListener("click", saveAIKeys);
  const testAIKeysBtn = document.getElementById("cfg-test-ai-keys");
  if (testAIKeysBtn) testAIKeysBtn.addEventListener("click", testAIKeys);
+  // Provider search filter (#104)
+  const aiProviderSearch = document.getElementById("cfg-ai-search");
+  if (aiProviderSearch) {
+    aiProviderSearch.addEventListener("input", () => filterAIProviders(aiProviderSearch.value));
+  }
+  // Tool & connected-source keys (#103)
+  const saveToolKeysBtn = document.getElementById("cfg-save-tool-keys");
+  if (saveToolKeysBtn) saveToolKeysBtn.addEventListener("click", saveToolKeys);
  // Default provider/model selection
  const aiDefaultProviderSel = document.getElementById("cfg-ai-default-provider");
  if (aiDefaultProviderSel) {
@@ -817,6 +890,44 @@ function initConfigModal() {
    });
  }

+  // BUG-071: mobile table of contents. #config-nav shares the .help-nav
+  // rule that hides it below 768px, but — unlike the help modal — the config
+  // modal had no toggle to reveal it, leaving mobile users with no way to
+  // reach a section. The header hamburger opens it as a top block; picking
+  // a section smooth-scrolls inside the modal and collapses it on mobile.
+  var configNav = document.getElementById("config-nav");
+  var configHamburger = document.getElementById("config-hamburger");
+  function _isConfigMobile() { return window.innerWidth <= 768; }
+  function _setConfigNav(open) {
+    if (!configNav) return;
+    configNav.style.display = open ? "flex" : "none";
+    if (configHamburger) configHamburger.classList.toggle("active", !!open);
+  }
+  if (configHamburger) {
+    configHamburger.addEventListener("click", function(e) {
+      e.stopPropagation();
+      var hidden = !configNav || configNav.style.display === "none" || configNav.style.display === "";
+      _setConfigNav(hidden);
+    });
+  }
+  if (configNav) {
+    configNav.querySelectorAll(".help-nav-link").forEach(function(a) {
+      a.addEventListener("click", function(e) {
+        var hash = a.getAttribute("href");
+        if (!hash || hash.charAt(0) !== "#") return;
+        var target = document.getElementById(hash.slice(1));
+        if (!target) return;
+        e.preventDefault();
+        configNav.querySelectorAll(".help-nav-link").forEach(function(o) { o.classList.remove("active"); });
+        a.classList.add("active");
+        if (typeof target.scrollIntoView === "function") {
+          target.scrollIntoView({ behavior: "smooth", block: "start" });
+        }
+        if (_isConfigMobile()) _setConfigNav(false);
+      });
+    });
+  }
+
  document.addEventListener("keydown", (e) => {
    if (e.key === "Escape" && modal.classList.contains("active")) {
      closeConfigModal();
@@ -1278,6 +1389,109 @@ document.addEventListener("click", function(e) {
  }
 });

+// ── API / MCP tokens UI (#107) ──
+let _tokensBound = false;
+
+async function loadTokensUI() {
+  const list = document.getElementById("tokens-list");
+  if (!list) return;
+  try {
+    const data = await api("/api/auth/tokens");
+    renderTokensUI(data.tokens || []);
+    bindTokenEvents();
+  } catch (err) {
+    list.innerHTML = '<div class="config-description">' + escapeHtml(t("config.error_prefix") + ": " + (err.message || "")) + "</div>";
+  }
+}
+
+function _formatTokenDate(unixSec) {
+  if (!unixSec) return "";
+  return new Date(unixSec * 1000).toLocaleDateString(undefined, { day: "numeric", month: "short", year: "numeric" });
+}
+
+function _tokenExpiryLabel(tok) {
+  if (!tok.expires_at) return t("config.token_expiry_never");
+  const map = { "1d": "config.token_expiry_1d", "30d": "config.token_expiry_30d", "180d": "config.token_expiry_180d", "365d": "config.token_expiry_365d" };
+  return map[tok.expiry_key] ? t(map[tok.expiry_key]) : _formatTokenDate(tok.expires_at);
+}
+
+function renderTokensUI(tokens) {
+  const list = document.getElementById("tokens-list");
+  if (!list) return;
+  if (!tokens.length) {
+    list.innerHTML = '<div class="config-description">' + escapeHtml(t("config.tokens_empty")) + "</div>";
+    return;
+  }
+  list.innerHTML = tokens.map(tok => {
+    const expired = tok.expired || (tok.expires_at && tok.expires_at * 1000 < Date.now());
+    const status = expired
+      ? '<span class="token-badge token-badge-expired">' + escapeHtml(t("config.token_status_expired")) + "</span>"
+      : '<span class="token-badge token-badge-active">' + escapeHtml(t("config.token_status_active")) + "</span>";
+    const meta = [
+      t("config.token_created") + " " + _formatTokenDate(tok.created_at),
+      t("config.token_expires") + " " + _tokenExpiryLabel(tok),
+      tok.last_used_at ? t("config.token_last_used") + " " + _formatTokenDate(tok.last_used_at) : t("config.token_never_used")
+    ].join(" · ");
+    return '<div class="token-item" data-jti="' + escapeHtml(tok.jti) + '">' +
+      '<span class="token-name">' + escapeHtml(tok.name) + "</span>" +
+      status +
+      '<span class="token-meta">' + escapeHtml(meta) + "</span>" +
+      '<button class="token-delete" data-jti="' + escapeHtml(tok.jti) + '" data-name="' + escapeHtml(tok.name) + '" title="' + escapeHtml(t("config.token_revoke")) + '">✕</button>' +
+      "</div>";
+  }).join("");
+  list.querySelectorAll(".token-delete").forEach(btn => btn.addEventListener("click", async () => {
+    const name = btn.dataset.name;
+    if (!confirm(t("config.token_revoke_confirm") + " \"" + name + "\" ?")) return;
+    try {
+      await api("/api/auth/tokens/" + btn.dataset.jti, { method: "DELETE" });
+      showToast(t("config.token_revoked_toast"), "success");
+      loadTokensUI();
+    } catch (err) {
+      showToast(err.message || t("config.error_unknown"), "error");
+    }
+  }));
+}
+
+function bindTokenEvents() {
+  if (_tokensBound) return;
+  _tokensBound = true;
+  const createBtn = document.getElementById("token-create-btn");
+  if (!createBtn) return;
+  createBtn.addEventListener("click", async () => {
+    const name = document.getElementById("token-name-input").value.trim();
+    const expiry = document.getElementById("token-expiry-select").value;
+    if (!name) { showToast(t("config.token_name_required"), "error"); return; }
+    createBtn.disabled = true;
+    try {
+      const res = await api("/api/auth/tokens", { method: "POST", body: JSON.stringify({ name, expiry }) });
+      const area = document.getElementById("token-secret-area");
+      const ta = document.getElementById("token-secret-value");
+      ta.value = res.token;
+      area.classList.remove("hidden");
+      ta.select();
+      document.getElementById("token-name-input").value = "";
+      showToast(t("config.token_created_toast"), "success");
+      loadTokensUI();
+    } catch (err) {
+      showToast(err.message || t("config.error_unknown"), "error");
+    } finally {
+      createBtn.disabled = false;
+    }
+  });
+  const copyBtn = document.getElementById("token-copy-btn");
+  if (copyBtn) copyBtn.addEventListener("click", async () => {
+    const ta = document.getElementById("token-secret-value");
+    try { await navigator.clipboard.writeText(ta.value); }
+    catch { ta.select(); document.execCommand("copy"); }
+    showToast(t("config.token_copied"), "success");
+  });
+  const dismissBtn = document.getElementById("token-dismiss-btn");
+  if (dismissBtn) dismissBtn.addEventListener("click", () => {
+    document.getElementById("token-secret-area").classList.add("hidden");
+    document.getElementById("token-secret-value").value = "";
+  });
+}
+
 // ── Shares UI ──
 async function loadSharesUI() {
  const list = document.getElementById("shares-list");
@@ -1506,7 +1720,7 @@ function updateRegexPreview() {
 }


-// ── AI Keys management ──
+// ── AI Keys management (#104 — accordion redesign) ──
 const AI_KEY_MAP = {
  "cfg-deepseek-key": "DEEPSEEK_API_KEY",
  "cfg-openrouter-key": "OPENROUTER_API_KEY",
@@ -1518,57 +1732,140 @@ const AI_KEY_MAP = {
 };
 const AI_PROVIDER_NAMES = ["deepseek","openrouter","gemini","nvidia","qwencloud","xiaomi","mistral"];

-function _ensureAIKeyUI() {
-  for (const [inputId] of Object.entries(AI_KEY_MAP)) {
-    const input = document.getElementById(inputId);
-    if (!input) continue;
-    const row = input.closest(".config-row");
-    if (!row || row.dataset.enhanced) continue;
-    row.dataset.enhanced = "1";
-    row.style.cssText += "display:flex;align-items:center;gap:8px;flex-wrap:wrap;";
-    const badge = document.createElement("span");
-    badge.id = inputId.replace("-key", "-badge");
-    badge.style.cssText = "font-size:11px;padding:2px 8px;border-radius:10px;white-space:nowrap;";
-    row.appendChild(badge);
-    const delBtn = document.createElement("button");
-    delBtn.type = "button";
-    delBtn.id = inputId.replace("-key", "-delete");
-    delBtn.className = "config-btn-secondary";
-    delBtn.style.cssText = "font-size:11px;padding:4px 10px;color:var(--danger,#e74c3c);border-color:var(--danger,#e74c3c);cursor:pointer;display:none;";
-    delBtn.textContent = "\u00d7 Supprimer";
-    delBtn.addEventListener("click", () => deleteAIKey(inputId));
-    row.appendChild(delBtn);
+// Display metadata for the provider accordion cards (#104).
+const AI_PROVIDER_META = {
+  deepseek:   { name: "DeepSeek",   placeholder: "sk-..." },
+  openrouter: { name: "OpenRouter", placeholder: "sk-or-..." },
+  gemini:     { name: "Gemini",     placeholder: "AIza..." },
+  nvidia:     { name: "NVIDIA",     placeholder: "nvapi-..." },
+  qwencloud:  { name: "QwenCloud",  placeholder: "sk-..." },
+  xiaomi:     { name: "Xiaomi",     placeholder: "xm-..." },
+  mistral:    { name: "Mistral",    placeholder: "sk-..." },
+};
+
+function _renderAIProviderCards() {
+  const host = document.getElementById("cfg-ai-providers");
+  if (!host) return;
+  host.innerHTML = "";
+  for (const p of AI_PROVIDER_NAMES) {
+    const meta = AI_PROVIDER_META[p] || { name: p, placeholder: "sk-..." };
+    const card = el("div", { class: "ai-provider-card", "data-provider": p });
+
+    // Header row (div + role=button so the per-provider delete button can
+    // live inside without nesting two interactive elements).
+    const head = el("div", {
+      class: "ai-provider-head",
+      role: "button",
+      tabindex: "0",
+      "aria-expanded": "false",
+    });
+    head.appendChild(el("span", { class: "ai-provider-logo", "aria-hidden": "true" }, [document.createTextNode(meta.name.charAt(0))]));
+    head.appendChild(el("span", { class: "ai-provider-name" }, [document.createTextNode(meta.name)]));
+    head.appendChild(el("span", { class: "ai-provider-badge", id: `cfg-${p}-badge` }));
+    const delBtn = el("button", {
+      type: "button",
+      class: "ai-provider-delete",
+      id: `cfg-${p}-delete`,
+      title: t("config.ai_delete_key_title"),
+    });
+    delBtn.style.display = "none";
+    delBtn.appendChild(icon("trash-2", 14));
+    delBtn.addEventListener("click", (e) => {
+      e.stopPropagation();
+      deleteAIKey(`cfg-${p}-key`);
+    });
+    head.appendChild(delBtn);
+    const chevron = icon("chevron-down", 16);
+    chevron.classList.add("ai-provider-chevron");
+    head.appendChild(chevron);
+
+    const toggle = () => _toggleAICard(card);
+    head.addEventListener("click", toggle);
+    head.addEventListener("keydown", (e) => {
+      if (e.key === "Enter" || e.key === " ") { e.preventDefault(); toggle(); }
+    });
+
+    // Collapsible body: API key (60%) + model (40%), labels above inputs.
+    const body = el("div", { class: "ai-provider-body hidden" });
+    const fields = el("div", { class: "ai-provider-fields" });
+
+    const keyField = el("div", { class: "ai-field ai-field-key" });
+    keyField.appendChild(el("label", { class: "ai-field-label", for: `cfg-${p}-key` }, [document.createTextNode(`${meta.name} API Key`)]));
+    const keyInput = document.createElement("input");
+    keyInput.type = "password";
+    keyInput.id = `cfg-${p}-key`;
+    keyInput.className = "config-input";
+    keyInput.placeholder = meta.placeholder;
+    keyInput.autocomplete = "off";
+    keyField.appendChild(keyInput);
+
+    const modelField = el("div", { class: "ai-field ai-field-model" });
+    modelField.appendChild(el("label", { class: "ai-field-label", for: `cfg-${p}-model` }, [document.createTextNode(t("config.ai_model"))]));
+    const modelSel = document.createElement("select");
+    modelSel.id = `cfg-${p}-model`;
+    modelSel.className = "config-select";
+    modelSel.innerHTML = '<option value="">-- Modele --</option>';
+    modelField.appendChild(modelSel);
+
+    fields.appendChild(keyField);
+    fields.appendChild(modelField);
+    body.appendChild(fields);
+
+    card.appendChild(head);
+    card.appendChild(body);
+    host.appendChild(card);
  }
+  safeCreateIcons();
+}
+
+function _toggleAICard(card) {
+  const open = card.classList.toggle("open");
+  const body = card.querySelector(".ai-provider-body");
+  if (body) body.classList.toggle("hidden", !open);
+  const head = card.querySelector(".ai-provider-head");
+  if (head) head.setAttribute("aria-expanded", open ? "true" : "false");
+}
+
+/** Filter the provider accordion cards by the section search input (#104). */
+export function filterAIProviders(query) {
+  const host = document.getElementById("cfg-ai-providers");
+  const emptyMsg = document.getElementById("cfg-ai-providers-empty");
+  if (!host) return;
+  const q = _sidebarNorm(query);
+  let visible = 0;
+  host.querySelectorAll(".ai-provider-card").forEach((card) => {
+    const p = card.dataset.provider;
+    const meta = AI_PROVIDER_META[p] || { name: p };
+    const match = !q || _sidebarNorm(meta.name).includes(q) || p.includes(q);
+    card.style.display = match ? "" : "none";
+    if (match) visible++;
+  });
+  if (emptyMsg) emptyMsg.classList.toggle("hidden", visible > 0);
 }

 function _setAIKeyBadge(inputId, hasKey) {
-  const badge = document.getElementById(inputId.replace("-key", "-badge"));
-  const delBtn = document.getElementById(inputId.replace("-key", "-delete"));
+  const provider = inputId.replace("-key", "");
+  const badge = document.getElementById(`${provider}-badge`);
+  const delBtn = document.getElementById(`${provider}-delete`);
  if (badge) {
-    if (hasKey) {
-      badge.textContent = "\u2713 Configur\u00e9";
-      badge.style.background = "var(--success-bg, #27ae6022)";
-      badge.style.color = "var(--success, #27ae60)";
-      badge.style.border = "1px solid var(--success, #27ae60)";
-    } else {
-      badge.textContent = "Non configur\u00e9";
-      badge.style.background = "var(--muted-bg, #ffffff10)";
-      badge.style.color = "var(--text-muted, #888)";
-      badge.style.border = "1px solid var(--border, #444)";
-    }
+    badge.textContent = hasKey
+      ? "\u2713 " + t("config.ai_status_configured")
+      : t("config.ai_status_not_configured");
+    badge.classList.toggle("configured", !!hasKey);
  }
-  if (delBtn) delBtn.style.display = hasKey ? "inline-block" : "none";
+  if (delBtn) delBtn.style.display = hasKey ? "inline-flex" : "none";
 }

 async function loadAIKeys() {
-  _ensureAIKeyUI();
+  _renderAIProviderCards();
  try {
    const data = await api("/api/config/ai-keys");
    for (const [inputId, envName] of Object.entries(AI_KEY_MAP)) {
      const input = document.getElementById(inputId);
      const val = data[envName] || "";
      if (input) {
-        input.placeholder = val || (inputId.includes("gemini") ? "AIza..." : inputId.includes("openrouter") ? "sk-or-..." : "sk-...");
+        const meta = AI_PROVIDER_META[inputId.replace("-key", "")] || {};
+        input.placeholder = val || meta.placeholder || "sk-...";
      }
      _setAIKeyBadge(inputId, !!val);
    }
@@ -1622,7 +1919,7 @@ async function _renderConfigModelCaps(provider, model) {
  if (!provider || !model) return;
  const caps = await getModelCapabilities(provider, model);
  if (!caps) return;
-  host.appendChild(renderCapabilityList(caps));
+  host.appendChild(renderCapabilityBadges(caps));
 }

 async function saveAIKeys() {
@@ -1715,6 +2012,102 @@ async function testAIKeys() {
  }


+// ── Tool & connected-source keys (#103) ──
+const TOOL_KEY_MAP = {
+  "cfg-tavily-key": "OBSIGATE_TAVILY_API_KEY",
+  "cfg-brave-key": "OBSIGATE_BRAVE_API_KEY",
+  "cfg-serpapi-key": "OBSIGATE_SERPAPI_API_KEY",
+  "cfg-exa-key": "OBSIGATE_EXA_API_KEY",
+  "cfg-gitea-url": "OBSIGATE_GITEA_URL",
+  "cfg-gitea-token": "OBSIGATE_GITEA_TOKEN",
+  "cfg-github-token": "OBSIGATE_GITHUB_TOKEN",
+};
+
+function _ensureToolKeyUI() {
+  for (const [inputId] of Object.entries(TOOL_KEY_MAP)) {
+    const input = document.getElementById(inputId);
+    if (!input) continue;
+    const row = input.closest(".config-row");
+    if (!row || row.dataset.toolKeyEnhanced) continue;
+    row.dataset.toolKeyEnhanced = "1";
+    row.style.cssText += "display:flex;align-items:center;gap:8px;flex-wrap:wrap;";
+    const badge = document.createElement("span");
+    badge.id = inputId + "-badge";
+    badge.style.cssText = "font-size:11px;padding:2px 8px;border-radius:10px;white-space:nowrap;";
+    row.appendChild(badge);
+    const delBtn = document.createElement("button");
+    delBtn.type = "button";
+    delBtn.id = inputId + "-delete";
+    delBtn.className = "config-btn-secondary";
+    delBtn.style.cssText = "font-size:11px;padding:4px 10px;color:var(--danger,#e74c3c);border-color:var(--danger,#e74c3c);cursor:pointer;display:none;";
+    delBtn.textContent = "\u00d7 " + t("config.delete_key");
+    delBtn.addEventListener("click", () => deleteToolKey(inputId));
+    row.appendChild(delBtn);
+  }
+}
+
+function _setToolKeyBadge(inputId, hasKey) {
+  const badge = document.getElementById(inputId + "-badge");
+  const delBtn = document.getElementById(inputId + "-delete");
+  if (badge) {
+    if (hasKey) {
+      badge.textContent = "\u2713 " + t("config.key_set");
+      badge.style.background = "var(--success-bg, #27ae6022)";
+      badge.style.color = "var(--success, #27ae60)";
+      badge.style.border = "1px solid var(--success, #27ae60)";
+    } else {
+      badge.textContent = t("config.key_unset");
+      badge.style.background = "var(--muted-bg, #ffffff10)";
+      badge.style.color = "var(--text-muted, #888)";
+      badge.style.border = "1px solid var(--border, #444)";
+    }
+  }
+  if (delBtn) delBtn.style.display = hasKey ? "inline-block" : "none";
+}
+
+async function loadToolKeys() {
+  _ensureToolKeyUI();
+  try {
+    const data = await api("/api/config/tool-keys");
+    for (const [inputId, name] of Object.entries(TOOL_KEY_MAP)) {
+      const input = document.getElementById(inputId);
+      const val = data[name] || "";
+      if (input && !input.value.trim()) input.placeholder = val || input.placeholder;
+      _setToolKeyBadge(inputId, !!val);
+    }
+  } catch(e) { /* non-admin: the section stays inert */ }
+}
+
+async function saveToolKeys() {
+  const keys = {};
+  for (const [id, name] of Object.entries(TOOL_KEY_MAP)) {
+    const input = document.getElementById(id);
+    if (input && input.value.trim()) keys[name] = input.value.trim();
+  }
+  if (!Object.keys(keys).length) {
+    showToast(t("config.no_keys"), "warning");
+    return;
+  }
+  try {
+    await api("/api/config/tool-keys", { method: "POST", body: JSON.stringify(keys) });
+    showToast(t("config.api_keys_saved"), "success");
+    Object.keys(TOOL_KEY_MAP).forEach(id => { const el = document.getElementById(id); if (el) el.value = ""; });
+    loadToolKeys();
+  } catch(e) { showToast("Erreur: " + e.message, "error"); }
+}
+
+async function deleteToolKey(inputId) {
+  const name = TOOL_KEY_MAP[inputId];
+  if (!name) return;
+  if (!confirm(t("config.delete_key_confirm") + " " + name + " ?")) return;
+  try {
+    await api("/api/config/tool-keys/" + name, { method: "DELETE" });
+    showToast(t("config.key_deleted") + " " + name, "success");
+    loadToolKeys();
+  } catch(e) { showToast("Erreur: " + e.message, "error"); }
+}
+
+
 export {
  initSidebarTabs,
  initConfigModal,
@@ -1730,6 +2123,8 @@ export {
  initProfile,
  switchSidebarTab,
  populateVersions,
+  loadAIKeys,
+  saveAIKeys,
 };

 // Populate every version display (header badge, About modal, help guide footer)
@@ -231,6 +231,9 @@ export async function initDesktopIntegration() {
  defineBackendCrashBanner();
  if (!isTauriEnv()) return false;

+  // Desktop marker for CSS (wider reading layouts, e.g. the user guide #105).
+  try { document.body.classList.add('desktop-mode'); } catch (e) { /* ignore */ }
+
  // Follow the OS theme on first run, before the theme engine renders.
  await syncSystemTheme();

@@ -5,8 +5,11 @@
 * excalidraw-editor.html. Communication between parent and iframe
 * via postMessage:
 *
- *   Parent → Iframe:  init {data, theme}  |  theme {theme}  |  requestSave
+ *   Parent → Iframe:  init {data, theme}  |  theme {theme}
 *   Iframe → Parent:  ready  |  save {data}  |  modified {dirty}
+ *
+ * Saves are explicit only (in-editor Save button / Ctrl+S): no autosave, so
+ * writing the file never triggers an `index_updated` reload of the viewer.
 */

 import { api } from './auth.js';
@@ -35,7 +38,15 @@ export function renderExcalidraw(container, data, vaultName, filePath, opts = {}
  iframe.src = '/static/excalidraw-editor.html?v=' + Date.now();
  iframe.sandbox.add('allow-scripts');
  iframe.sandbox.add('allow-same-origin');
+  // Let the editor's own Fullscreen button work (native Fullscreen API inside
+  // the sandboxed iframe).
+  iframe.setAttribute('allow', 'fullscreen');
+  iframe.setAttribute('allowfullscreen', '');
  iframe.style.cssText = 'width:100%;height:100%;border:none;';
+  // Identify the owning document so sync.js can avoid re-rendering (and thus
+  // reloading) this iframe after its own save triggers an `index_updated`.
+  iframe.dataset.excalidrawVault = vaultName;
+  iframe.dataset.excalidrawPath = filePath;

  // Clean container and insert iframe
  container.innerHTML = '';
@@ -49,7 +60,6 @@ export function renderExcalidraw(container, data, vaultName, filePath, opts = {}
    path: filePath,
    isDirty: false,
    ready: false,
-    saveTimer: null,
  };
  _activeEditors.set(editorId, editorState);

@@ -94,16 +104,11 @@ export function renderExcalidraw(container, data, vaultName, filePath, opts = {}
        break;

      case 'modified':
+        // No autosave: saving writes the file, which emits `index_updated` and
+        // reloads the viewer (visible page refresh) — and can interrupt the
+        // user mid-drawing. The scene is saved explicitly via the in-editor
+        // Save button or Ctrl+S. We only track the dirty state.
        editorState.isDirty = msg.dirty === true;
-        // If dirty, start auto-save timer (2s debounce)
-        if (editorState.isDirty) {
-          if (editorState.saveTimer) clearTimeout(editorState.saveTimer);
-          editorState.saveTimer = setTimeout(() => {
-            if (editorState.isDirty && editorState.ready) {
-              iframe.contentWindow.postMessage({ type: 'requestSave' }, '*');
-            }
-          }, 2000);
-        }
        break;
    }
  });
@@ -154,9 +159,7 @@ export function notifyExcalidrawThemeChange(theme) {
 * Clean up an editor instance (e.g., when tab is closed).
 */
 export function destroyExcalidrawEditor(editorId) {
-  const state = _activeEditors.get(editorId);
-  if (state) {
-    if (state.saveTimer) clearTimeout(state.saveTimer);
+  if (_activeEditors.has(editorId)) {
    _activeEditors.delete(editorId);
  }
 }
@@ -5,6 +5,7 @@
 *   Static DOM:  data-i18n="key"             → textContent
 *                data-i18n-placeholder="key"  → placeholder
 *                data-i18n-attr:title="key"    → title attribute
+ *                data-i18n-attr="a:k1;b:k2"    → several attributes (";"-separated)
 *                data-i18n-html="key"         → innerHTML (use sparingly)
 *   Dynamic JS:  import { t } from './i18n.js';  t('key', {param: 'val'})
 *   Live reload: setLocale('en') updates every data-i18n element instantly.
@@ -183,13 +184,19 @@ function _applyDOM() {
    el.innerHTML = t(key);
  });

-  // data-i18n-attr:TITLE → sets any attribute
+  // data-i18n-attr:ATTR:key[;ATTR:key…] → sets any attribute(s).
+  // Single-pair form (data-i18n-attr="title:key") is preserved; multiple
+  // pairs are separated with ";" (BUG-071: the config TOC toggle needs both
+  // title and aria-label translated).
  document.querySelectorAll('[data-i18n-attr]').forEach(function (el) {
    const raw = el.getAttribute('data-i18n-attr');
-    const colon = raw.indexOf(':');
-    if (colon === -1) return;
-    const attr = raw.substring(0, colon);
-    const key = raw.substring(colon + 1);
-    el.setAttribute(attr, t(key));
+    raw.split(';').forEach(function (pair) {
+      const colon = pair.indexOf(':');
+      if (colon === -1) return;
+      const attr = pair.substring(0, colon).trim();
+      const key = pair.substring(colon + 1).trim();
+      if (!attr || !key) return;
+      el.setAttribute(attr, t(key));
+    });
  });
 }
@@ -645,5 +645,30 @@ export function init() {
      // (inline mode) and re-renders the document read view.
      closeEditor();
    }
+    if (e.data.type === 'forge-open-ai') {
+      // #101 — Forge has no rich AI panel of its own: its AI button asks the
+      // parent to open the shared AI Assistant (same provider/model, skills,
+      // context and history).
+      var openForgeAssistant = function() {
+        import('./bookslm.js').then(function(m) {
+          if (m && m.default) m.default.openForCurrentContext();
+        }).catch(function(err) {
+          console.warn('[Forge] Unable to open AI assistant', err);
+        });
+      };
+      // BUG-056 — the assistant panel is mounted in this document. The native
+      // fullscreen may be owned by the parent (Forge iframe) rather than by the
+      // iframe itself, so the parent must also leave fullscreen before the
+      // panel can be seen.
+      if (document.fullscreenElement && document.exitFullscreen) {
+        try {
+          document.exitFullscreen().catch(function() {}).then(openForgeAssistant, openForgeAssistant);
+        } catch (err) {
+          openForgeAssistant();
+        }
+      } else {
+        openForgeAssistant();
+      }
+    }
  });
 }
@@ -1,5 +1,6 @@
 import { state } from './state.js';
 import { api } from './auth.js';
+import { t } from './i18n.js';
 import { openFile, showWelcome } from './viewer.js';
 import { refreshSidebarForContext, refreshTagsForContext } from './sidebar.js';
 import { createAIToolbar } from './ai.js';
@@ -365,6 +366,9 @@ function escapeHtml(str) {
 async function openEditor(vaultName, filePath) {
  state.editorVault = vaultName;
  state.editorPath = filePath;
+  // A previous session may have left the shared save button in its spinner
+  // state (manual save, Forge, failed request). BUG-054.
+  resetSaveButton();

  const modal = document.getElementById("editor-modal");
  const titleInput = document.getElementById("editor-title-input");
@@ -582,6 +586,12 @@ function closeEditor() {
  const modal = document.getElementById("editor-modal");
  if (!modal) return;
  modal.classList.remove("active");
+  resetSaveButton();
+  // Leaving the editor must also leave native fullscreen. #101
+  if (isEditorFullscreen() && document.exitFullscreen) {
+    const fsPromise = document.exitFullscreen();
+    if (fsPromise && fsPromise.catch) fsPromise.catch(() => {});
+  }
  stopCollab();
  if (state.editorView) {
    state.editorView.destroy();
@@ -643,17 +653,22 @@ function _invalidateActiveTabCache(vault, path) {
 * pre-write content, and — worse — an open editor holds the old text in memory
 * and its 2s autosave would overwrite the assistant's change with it.
 */
-async function reloadExternalWrite(vault, path) {
+async function reloadExternalWrite(vault, path, force = false) {
  if (!vault || !path) return;
  const isEdited = state.editorVault === vault && state.editorPath === path;
  if (isEdited) {
    // Forge hosts its own buffer inside an iframe: ask it to reload from disk.
    var forgeFrame = document.getElementById("forge-iframe");
    if (forgeFrame && forgeFrame.contentWindow) {
-      forgeFrame.contentWindow.postMessage({ type: 'parent-reload' }, '*');
+      forgeFrame.contentWindow.postMessage({ type: 'parent-reload', force: !!force }, '*');
      return;
    }
    if (!state.editorView) return;
+    // BUG-055 — a non-forced reload (SSE `index_updated`) is often caused by the
+    // editor's own autosave: reloading then would clobber edits made after the
+    // save. Skip while the save dot reports unsaved local changes.
+    var dirtyDot = document.getElementById("editor-save-dot");
+    if (!force && dirtyDot && dirtyDot.classList.contains("dirty")) return;
    try {
      const rawUrl = `/api/file/${encodeURIComponent(vault)}/raw?path=${encodeURIComponent(path)}`;
      const rawData = await api(rawUrl);
@@ -678,11 +693,38 @@ async function reloadExternalWrite(vault, path) {
  }
  // Not editing: refresh the read view when it shows the written document.
  if (state.currentVault === vault && state.currentPath === path) {
+    // Excalidraw owns its iframe: re-rendering would recreate it (visible page
+    // refresh) and discard the in-editor scene. Its own save already persisted
+    // the file, so there is nothing to reload here.
+    const openExcalidraw = Array.from(
+      document.querySelectorAll("iframe[data-excalidraw-path]")
+    ).some((f) => f.dataset.excalidrawVault === vault && f.dataset.excalidrawPath === path);
+    if (openExcalidraw) return;
    _invalidateActiveTabCache(vault, path);
    openFile(vault, path);
  }
 }

+/**
+ * Restore the save button to its idle state (checkmark, enabled).
+ *
+ * The button (`#editor-save`) is a single shared DOM node reused across every
+ * edition session, including inline mode where it travels with the editor
+ * container. A manual save swaps its content for a spinner and disables it; if
+ * that state is not cleared on success/failure, the spinner leaks into the next
+ * session and only a full page reload (which re-parses index.html) brings the
+ * checkmark back. BUG-054.
+ */
+function resetSaveButton() {
+  const saveBtn = document.getElementById("editor-save");
+  if (!saveBtn) return;
+  saveBtn.disabled = false;
+  saveBtn.innerHTML = '&#10003;';
+  saveBtn.style.background = '';
+  saveBtn.style.color = '';
+  saveBtn.style.borderColor = '';
+}
+
 async function saveFile(silent = false) {
  // If Forge is open, delegate save to the iframe
  var forgeFrame = document.getElementById("forge-iframe");
@@ -727,9 +769,23 @@ async function saveFile(silent = false) {
      throw new Error(error.detail || "Erreur de sauvegarde");
    }

-    // Update save dot to saved state
-    if (saveDot) { saveDot.className = 'editor-save-dot ok'; }
-    if (saveLabel) saveLabel.textContent = 'Saved';
+    // BUG-055 — only mark clean when nothing changed while saving; otherwise
+    // keep the unsaved state and schedule another autosave (an SSE reload of
+    // the file must not drop edits typed during the request).
+    const currentContent = state.editorView
+      ? state.editorView.state.doc.toString()
+      : state.fallbackEditorEl
+        ? state.fallbackEditorEl.value
+        : content;
+    if (silent && currentContent !== content) {
+      if (saveDot) { saveDot.className = 'editor-save-dot dirty'; }
+      if (saveLabel) saveLabel.textContent = 'Unsaved';
+      clearTimeout(window._obsigateAutoSaveTimer);
+      window._obsigateAutoSaveTimer = setTimeout(() => saveFile(true), 2000);
+    } else {
+      if (saveDot) { saveDot.className = 'editor-save-dot ok'; }
+      if (saveLabel) saveLabel.textContent = 'Saved';
+    }

    if (silent) {
      // Auto-save: brief green flash on save button
@@ -750,6 +806,7 @@ async function saveFile(silent = false) {
    }
  } catch (err) {
    console.error("Save error:", err);
+    resetSaveButton();
    if (saveDot) { saveDot.className = 'editor-save-dot err'; }
    if (saveLabel) saveLabel.textContent = 'Erreur';
    // If offline, queue the save for later sync
@@ -807,19 +864,65 @@ async function deleteFile() {
  }
 }

+// ---------------------------------------------------------------------------
+// Fullscreen (#101)
+// ---------------------------------------------------------------------------
+const FS_ENTER_SVG = '<svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3H5a2 2 0 0 0-2 2v3m18 0V5a2 2 0 0 0-2-2h-3m0 18h3a2 2 0 0 0 2-2v-3M3 16v3a2 2 0 0 0 2 2h3"/></svg>';
+const FS_EXIT_SVG = '<svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M8 3v3a2 2 0 0 1-2 2H3m18 0h-3a2 2 0 0 1-2-2V3m0 18v-3a2 2 0 0 1 2-2h3M3 16h3a2 2 0 0 1 2 2v3"/></svg>';
+
+/** True when the editor container currently owns the fullscreen viewport. */
+function isEditorFullscreen() {
+  if (!document.fullscreenElement) return false;
+  const container = getEditorContainer();
+  return !!(container && (document.fullscreenElement === container || container.contains(document.fullscreenElement)));
+}
+
+/** Toggle native fullscreen on the editor container (modal or inline). */
+function toggleEditorFullscreen() {
+  const container = getEditorContainer();
+  if (!container) return;
+  if (document.fullscreenElement) {
+    if (document.exitFullscreen) {
+      const p = document.exitFullscreen();
+      if (p && p.catch) p.catch(() => {});
+    }
+    return;
+  }
+  if (container.requestFullscreen) {
+    const p = container.requestFullscreen();
+    if (p && p.catch) p.catch(() => {});
+  }
+}
+
+/** Sync the fullscreen button icon/label with the current fullscreen state. */
+function updateFullscreenButton() {
+  const btn = document.getElementById("editor-fullscreen");
+  if (!btn) return;
+  const on = isEditorFullscreen();
+  btn.innerHTML = on ? FS_EXIT_SVG : FS_ENTER_SVG;
+  const label = t(on ? "editor.exit_fullscreen" : "editor.fullscreen");
+  btn.title = label;
+  btn.setAttribute("aria-label", label);
+  btn.classList.toggle("active", on);
+}
+
 function initEditor() {
  const cancelBtn = document.getElementById("editor-cancel");
  const deleteBtn = document.getElementById("editor-delete");
  const saveBtn = document.getElementById("editor-save");
+  const fullscreenBtn = document.getElementById("editor-fullscreen");
  const modal = document.getElementById("editor-modal");

  cancelBtn.addEventListener("click", closeEditor);
  deleteBtn.addEventListener("click", deleteFile);
  saveBtn.addEventListener("click", () => saveFile());
+  if (fullscreenBtn) fullscreenBtn.addEventListener("click", toggleEditorFullscreen);
+  document.addEventListener("fullscreenchange", updateFullscreenButton);

-  // ESC to close
+  // ESC to close — unless we are in native fullscreen, where Escape exits
+  // fullscreen first (the editor must stay open). #101
  document.addEventListener("keydown", (e) => {
-    if (e.key === "Escape" && modal.classList.contains("active")) {
+    if (e.key === "Escape" && !document.fullscreenElement && modal.classList.contains("active")) {
      closeEditor();
    }
  });
@@ -844,7 +947,8 @@ function initEditor() {
  // visible right away and never overwritten by the editor's autosave.
  window.addEventListener("obsigate:file-written", (e) => {
    const detail = (e && e.detail) || {};
-    reloadExternalWrite(detail.vault, detail.path);
+    // force: the assistant's write must win over the stale local buffer.
+    reloadExternalWrite(detail.vault, detail.path, true);
  });
 }

@@ -518,6 +518,28 @@ function applyPrettyHighlight(codeEl, lang, text) {
  }
 }

+/**
+ * Jump the inline PDF viewer to a specific page.
+ *
+ * The browser's built-in PDF viewer lives in an ``about:blank`` content window
+ * (so ``contentWindow.location.hash`` never reaches the document) **and** it
+ * ignores a same-document fragment navigation: changing only ``#page=N`` on the
+ * iframe ``src`` does not move the page. A changing query parameter forces a
+ * real reload, and the ``#page=N`` fragment is then honoured at load — the only
+ * reliable way to target a page with the native viewer.
+ *
+ * @param {HTMLElement} area - Content area containing the ``.pdf-iframe``.
+ * @param {string|number} page - 1-based page number from the PDF outline.
+ */
+export function navigatePdfToPage(area, page) {
+  const iframe = area && area.querySelector('.pdf-iframe');
+  if (!iframe || page === null || page === undefined || page === '') return;
+  const base = iframe.getAttribute('data-pdf-url') || iframe.src.split('#')[0];
+  iframe.setAttribute('data-pdf-url', base);
+  const sep = base.includes('?') ? '&' : '?';
+  iframe.src = `${base}${sep}_pdfpage=${Date.now()}#page=${page}`;
+}
+
 export function renderFile(data) {
  // #93 — An inline edition session (#editor-container mounted in the content
  // area) is destroyed by this very re-render: release it first so the editor
@@ -537,7 +559,7 @@ export function renderFile(data) {
      tocHtml = '<div class="pdf-toc"><h3>Table des matières</h3><ul>';
      for (const item of toc) {
        const indent = (item.level - 1) * 16;
-        tocHtml += `<li style="padding-left:${indent}px"><a href="#" onclick="document.querySelector('.pdf-iframe').contentWindow.location.hash='page=${item.page}';return false">${escapeHtml(item.title)}</a> <span class="toc-page">p.${item.page}</span></li>`;
+        tocHtml += `<li style="padding-left:${indent}px"><a href="#" data-page="${item.page}">${escapeHtml(item.title)}</a> <span class="toc-page">p.${item.page}</span></li>`;
      }
      tocHtml += '</ul></div>';
    }
@@ -555,9 +577,15 @@ export function renderFile(data) {
        </div>
        <div class="pdf-body">
          ${tocHtml}
-          <embed src="${pdfUrl}" class="pdf-iframe" type="application/pdf" title="${escapeHtml(data.title)}"></embed>
+          <iframe src="${pdfUrl}" data-pdf-url="${pdfUrl}" class="pdf-iframe" title="${escapeHtml(data.title)}"></iframe>
        </div>
      </div>`;
+    area.querySelectorAll('.pdf-toc a[data-page]').forEach((link) => {
+      link.addEventListener('click', (e) => {
+        e.preventDefault();
+        navigatePdfToPage(area, link.getAttribute('data-page'));
+      });
+    });
    lucide.createIcons();
    return;
  }
@@ -781,6 +809,9 @@ export function renderFile(data) {
    var iframe = document.createElement("iframe");
    iframe.id = "forge-iframe";
    iframe.src = "/editor-poc?vault=" + encodeURIComponent(data.vault) + "&path=" + encodeURIComponent(data.path) + "&_ts=" + Date.now();
+    // #101 — allow the Forge editor's own Fullscreen button to work.
+    iframe.setAttribute("allow", "fullscreen");
+    iframe.setAttribute("allowfullscreen", "");
    // Inline: the iframe fills the content area; overlay: the original 82vh.
    iframe.style.cssText = "width:100%;height:" + (inline ? "100%" : "82vh") + ";border:none;display:block;";
    bodyEl.appendChild(iframe);
@@ -363,7 +363,23 @@
  "config.ai_keys_desc": "Configure API keys for the AI editor.",
  "config.ai_model": "Model",
  "config.ai_openrouter_label": "OpenRouter API Key",
+  "config.ai_header_desc": "Configure your API keys provider by provider. Expand a card to enter a key, then click Test to load the models.",
+  "config.ai_search_placeholder": "Search a provider…",
+  "config.ai_default_section": "Default configuration",
+  "config.ai_providers_title": "API providers",
+  "config.ai_providers_empty": "No matching provider",
+  "config.ai_status_configured": "Configured",
+  "config.ai_status_not_configured": "Not configured",
+  "config.ai_delete_key_title": "Delete the API key",
  "config.api_keys_saved": "API keys saved",
+  "config.section_sources": "🔗 Connected sources & search",
+  "config.sources_desc": "Keys used by the AI assistant tools (keyed web search: Tavily, Brave, SerpAPI, Exa; connected sources: Gitea, GitHub). They are stored server-side and take precedence over environment variables.",
+  "config.gitea_url": "Gitea URL",
+  "config.key_set": "Configured",
+  "config.key_unset": "Not configured",
+  "config.delete_key": "Delete",
+  "config.delete_key_confirm": "Delete key",
+  "config.key_deleted": "Key deleted:",
  "config.backups": "Backups",
  "config.backups_desc": "Manage automatic file backups.",
  "config.client_config": "Client config",
@@ -480,7 +496,7 @@
  "config.section_fonctionnalites": "Features",
  "config.section_format-du-payload": "Format du payload",
  "config.section_gestion-des-onglets": "📑 Gestion des onglets",
-  "config.section_hidden": "Hidden files",
+  "config.section_hidden": "🗂️ Hidden files",
  "config.section_historique-recent-redemarrage-non-requis": "📋 Recent History\n                                    No restart required",
  "config.section_indicateurs-visuels": "Indicateurs visuels",
  "config.section_intelligence-artificielle-dans-l-editeur": "🤖 AI in the Editor",
@@ -553,9 +569,38 @@
  "config.test": "Test",
  "config.timeout_label": "Search timeout (ms)",
  "config.title": "Settings",
+  "config.toc_toggle": "Show contents",
  "config.title_boost": "Title boost",
  "config.title_boost_hint": "Relevance multiplier for title matches",
  "config.title_boost_label": "Title boost",
+  "config.nav_tokens": "🔑 API & MCP keys",
+  "config.section_tokens": "🔑 API & MCP keys",
+  "config.tokens_desc": "Long-lived tokens for the REST API and the MCP server — the same key works for both (Authorization: Bearer header).",
+  "config.tokens_empty": "No API keys created.",
+  "config.token_name_placeholder": "Name (e.g. Claude Desktop)",
+  "config.token_name_required": "A name is required",
+  "config.token_expiry_1d": "1 day",
+  "config.token_expiry_30d": "1 month",
+  "config.token_expiry_180d": "6 months",
+  "config.token_expiry_365d": "1 year",
+  "config.token_expiry_never": "Never",
+  "config.token_create": "Create key",
+  "config.token_secret_warning": "Copy this key now — it will never be shown again.",
+  "config.token_copy": "Copy",
+  "config.token_copied": "Key copied to clipboard",
+  "config.token_done": "Done",
+  "config.token_usage": "Usage",
+  "config.token_usage_detail": ": \"Authorization: Bearer <key>\" header on the API; for MCP, declare it in the headers of the /mcp URL.",
+  "config.token_created": "Created",
+  "config.token_expires": "Expires",
+  "config.token_last_used": "Last used",
+  "config.token_never_used": "Never used",
+  "config.token_status_active": "Active",
+  "config.token_status_expired": "Expired",
+  "config.token_revoke": "Revoke",
+  "config.token_revoke_confirm": "Revoke key",
+  "config.token_revoked_toast": "Key revoked (immediate effect on API + MCP)",
+  "config.token_created_toast": "Key created",
  "config.url_required": "URL required",
  "config.watcher_debounce_label": "Debounce (s)",
  "config.watcher_enabled_label": "Enable watcher",
@@ -654,12 +699,14 @@
  "editor.delete_error": "Delete error",
  "editor.edit": "Edit current file",
  "editor.edit_current_desc": "Open current file in editor",
+  "editor.exit_fullscreen": "Exit fullscreen",
  "editor.find": "Find in file...",
  "editor.find_case": "Case sensitive",
  "editor.find_regex": "Regex",
  "editor.find_whole": "Whole word",
  "editor.forge_close_editor": "Close editor / modal",
  "editor.forge_help": "Forge editor help",
+  "editor.fullscreen": "Fullscreen",
  "editor.no_results": "No results",
  "editor.replace": "Replace",
  "editor.save": "Save",
@@ -1288,6 +1335,7 @@
  "help.assistant_panel": "🧠 Assistant panel (BooksLM)",
  "help.assistant_panel_desc": "The side assistant (floating button or a folder's context menu) answers in formatted Markdown and contextualises your directories or documents. In general mode it also knows what you are looking at: open documents, current directory, active search and recently modified files.",
  "help.assistant_markdown": "Formatted answers: headings, lists, tables, quotes and code blocks.",
+  "help.assistant_insert": "The \"Add\" button (revealed on hover of an answer) inserts the answer into the document open in the editor (Editer or Forge); each code block offers \"Add section\" to insert just that block.",
  "help.assistant_links": "Cited files and paths are links: a bare filename copies the name to the clipboard, a folder is revealed in the tree, and a file path opens it in the viewer.",
  "help.assistant_sessions": "The header history icon lists past sessions (reopen or delete); “+” starts a new conversation.",
  "help.assistant_agent": "The \"agent mode\" button enables tools (read, list, search); modifying actions require confirmation with a change preview.",
@@ -1460,6 +1508,76 @@
  "pwa.install_button": "Install",
  "pwa.install_desc": "Install this app on your device for quick access.",
  "pwa.install_title": "Install ObsiGate",
+  "qa.all_actions": "All actions",
+  "qa.audit_code": "Detect bugs and potential flaws",
+  "qa.audit_code.prompt": "Identify potential bugs, unhandled edge cases and security flaws in this code, with proposed fixes.",
+  "qa.backlinks": "Suggest vault links and backlinks",
+  "qa.backlinks.prompt": "Suggest relevant [[wikilinks]] to other notes in the vault and backlinks to add to this document.",
+  "qa.badge_code": "Code file",
+  "qa.badge_directory": "Directory",
+  "qa.badge_general": "General mode",
+  "qa.badge_multi": "{count} docs open",
+  "qa.badge_selection": "Active selection",
+  "qa.badge_single": "1 doc open",
+  "qa.capabilities": "What can you do?",
+  "qa.capabilities.prompt": "What can you do? Present your capabilities on this vault.",
+  "qa.cat_code": "Code & Scripts",
+  "qa.cat_cross": "Cross-documents",
+  "qa.cat_edition": "Editing & Rewriting",
+  "qa.cat_general": "Assistant",
+  "qa.cat_structure": "Productivity & Structuring",
+  "qa.cat_synthesis": "Synthesis & Analysis",
+  "qa.checklist": "Extract the action checklist",
+  "qa.checklist.prompt": "Extract every concrete action to take as a Markdown to-do list with [ ] checkboxes.",
+  "qa.compare": "Compare differences and convergences",
+  "qa.compare.prompt": "Compare all open documents and summarise their convergences, divergences and oppositions.",
+  "qa.concise": "Make it more concise and punchy",
+  "qa.concise.prompt": "Rewrite the selection to make it more concise and punchy without losing the essentials.",
+  "qa.create_note": "Create a meeting note",
+  "qa.create_note.prompt": "Create a meeting notes file in the vault.",
+  "qa.doc_code": "Add documentation and types",
+  "qa.doc_code.prompt": "Add the appropriate docstrings, JSDoc and type annotations to every function in this file.",
+  "qa.drawer_title": "Action library",
+  "qa.empty_hint": "Pick a context-aware quick action, or ask a question directly.",
+  "qa.explain_code": "Explain the script logic",
+  "qa.explain_code.prompt": "Analyse and explain step by step the structure and algorithm of this source code.",
+  "qa.explain_selection": "Explain the selection",
+  "qa.explain_selection.prompt": "Explain the selected passage: its role, its context and what it implies.",
+  "qa.faq": "Generate a FAQ / key questions",
+  "qa.faq.prompt": "Generate a list of 5 key questions and answers to check comprehension of this text.",
+  "qa.fix_style": "Fix and improve the style",
+  "qa.fix_style.prompt": "Fix spelling and grammar mistakes and improve the syntactic flow of this passage.",
+  "qa.frictions": "Spot frictions and contradictions",
+  "qa.frictions.prompt": "Analyse this document and point out inconsistencies, blind spots or contradictions.",
+  "qa.frontmatter": "Generate the YAML frontmatter",
+  "qa.frontmatter.prompt": "Generate a complete YAML frontmatter block in the vault's format and apply it to the open document (insert it at the top of the file, or replace the existing block, keeping non-empty values already present): titre, auteur, creation_date and modification_date in ISO-8601 with timezone, catégorie, tags (inline list [a, b]), aliases, status, publish, favoris, template, task, archive, draft, private (booleans), NomDeVoute (current vault name), Description (a one-sentence summary of the content).",
+  "qa.frontmatter_update": "Update the frontmatter",
+  "qa.frontmatter_update.prompt": "Update the YAML frontmatter of the open document without deleting existing fields: refresh modification_date (current ISO-8601 timestamp with timezone), recompute titre, tags, aliases, catégorie, NomDeVoute and Description from the current content, fill in any missing metadata field (auteur, creation_date, status, publish, favoris, template, task, archive, draft, private) and apply the change to the file.",
+  "qa.header_suggested": "Suggested actions",
+  "qa.memo": "Write a shareable executive memo",
+  "qa.memo.prompt": "Write a shareable executive memo based on this document: context, findings, recommendations.",
+  "qa.merge": "Merge into one synthesis note",
+  "qa.merge.prompt": "Merge the essential elements of all open documents into one unified, flowing synthesis note.",
+  "qa.no_match": "No matching action.",
+  "qa.plan": "Create a step-by-step action plan",
+  "qa.plan.prompt": "Turn this content into a step-by-step action plan with priorities and estimates.",
+  "qa.rephrase": "Rephrase this passage",
+  "qa.rephrase.prompt": "Rephrase this passage keeping the meaning but using different wording.",
+  "qa.search_help": "Search my notes effectively",
+  "qa.search_help.prompt": "How do I search my notes effectively?",
+  "qa.search_placeholder": "Search an action...",
+  "qa.sections": "Structure into hierarchical sections",
+  "qa.sections.prompt": "Restructure this document with a logical hierarchy of Markdown headings (H2, H3) and clean bullet lists.",
+  "qa.summarize_3": "Summarize in 3 key points",
+  "qa.summarize_3.prompt": "Provide a concise summary of this document in 3 clear key points.",
+  "qa.test_code": "Generate unit tests",
+  "qa.test_code.prompt": "Write a unit test suite covering nominal and error cases for this code.",
+  "qa.timeline": "Build a cross-document timeline",
+  "qa.timeline.prompt": "Build a cross-document timeline of the dated events mentioned in these documents.",
+  "qa.translate": "Translate the selection",
+  "qa.translate.prompt": "Translate this passage into the appropriate language (English if the text is in French, and vice versa).",
+  "qa.vulgarize": "Plain-language explainer",
+  "qa.vulgarize.prompt": "Explain the content of this document in simple, accessible language without jargon.",
  "search.advanced_operators": "Advanced operators",
  "search.aria_label": "Search suggestions",
  "search.case_sensitive": "Case sensitive",
@@ -1770,6 +1888,19 @@
  "mfa.disable_confirm_btn": "Disable 2FA",
  "mfa.disabled_success": "2FA has been disabled.",
  "mfa.fill_all_fields": "Please fill in all fields.",
+  "mfa.qr_unavailable": "QR code unavailable — use manual entry below.",
+  "mfa.password_change_title": "Password",
+  "mfa.password_change_desc": "Change your account password (min. 8 characters). All other sessions are invalidated.",
+  "mfa.current_password_label": "Current password",
+  "mfa.current_password_placeholder": "Your current password",
+  "mfa.new_password_label": "New password",
+  "mfa.new_password_placeholder": "Min. 8 characters",
+  "mfa.new_password_confirm_label": "Confirm new password",
+  "mfa.new_password_confirm_placeholder": "Repeat the new password",
+  "mfa.password_change_btn": "Change password",
+  "mfa.password_mismatch": "The two passwords do not match.",
+  "mfa.password_changed": "Password updated.",
+  "mfa.challenge_unavailable": "Verification screen unavailable — please reload the page.",
  "bookslm.title": "BooksLM",
  "bookslm.files_indexed": "{count} files indexed",
  "bookslm.chars_loaded": "{chars} chars loaded",
@@ -1783,6 +1914,8 @@
  "bookslm.insert_hint": "Append the answer to the document open in the editor",
  "bookslm.inserted": "Answer added to the document",
  "bookslm.insert_no_editor": "No document open in the editor",
+  "bookslm.insert_block": "Add section",
+  "bookslm.insert_block_hint": "Add only this code block to the document open in the editor",
  "ai.steps_count": "{count} step",
  "ai.steps_count_plural": "{count} steps",
  "ai.activity_thinking": "Thinking…",
@@ -1817,6 +1950,14 @@
  "ai.step.vaults": "Listed the vaults",
  "ai.step.fetch_url": "Opened a web page: {value}",
  "ai.step.web_search": "Searched the web: {value}",
+  "ai.step.crawl": "Crawled a site: {value}",
+  "ai.step.git_repos": "Listed repositories ({value})",
+  "ai.step.git_issues": "Searched issues: {value}",
+  "ai.step.git_file": "Read a repo file: {value}",
+  "ai.step.xlsx_create": "Spreadsheet proposed: {value}",
+  "ai.step.docx_create": "Word document proposed: {value}",
+  "ai.step.csv_create": "CSV file proposed: {value}",
+  "ai.step.pdf_create": "PDF document proposed: {value}",
  "bookslm.copied": "Copied to clipboard",
  "bookslm.error": "AI service error",
  "bookslm.regenerate": "Regenerate",
@@ -1932,5 +2073,96 @@
      "help.excalidraw_search_title": "Search",
      "help.excalidraw_search": "Text inside diagram elements is extracted on indexing, so it is searchable via the full-text search.",
      "help.excalidraw_compat": "Files created with the Obsidian Excalidraw plugin (including the compressed <code>.excalidraw.md</code> format) are compatible.",
-      "help.footer_tagline": "- Web gateway for your Obsidian vaults"
-  }
+      "help.footer_tagline": "- Web gateway for your Obsidian vaults",
+    "guide105.nav_architecture": "🏗️ Architecture",
+    "guide105.nav_library": "⭐ Library",
+    "guide105.nav_diagrams": "📊 Diagrams",
+    "guide105.nav_offline": "📴 Offline",
+    "guide105.nav_collab": "👥 Collaboration",
+    "guide105.nav_desktop": "🖥️ Desktop",
+    "guide105.nav_api": "🔌 API",
+    "guide105.nav_languages": "🌍 Languages",
+    "guide105.arch_intro": "ObsiGate is a full web application built as independent layers, with no external database: notes live in your Obsidian folders, app state in JSON files under <code>data/</code>, the search index in memory.",
+    "guide105.arch_diagram_note": "The diagram is interactive in the app: zoom, fullscreen, copy SVG or code.",
+    "guide105.arch_h3_layers": "The main components",
+    "guide105.arch_lbl_fe": "Frontend",
+    "guide105.arch_fe": " — vanilla-JavaScript SPA (ES modules), no framework, no npm build: <code>frontend/js/</code> (~30 modules). CSS variables drive the themes.",
+    "guide105.arch_lbl_be": "Backend",
+    "guide105.arch_be": " — FastAPI server (Python 3.11): markdown rendering (mistune + wikilinks), stemmed TF-IDF search (in-memory inverted index), watchdog file watchers, JWT + Argon2id, HMAC webhooks, PDF export (WeasyPrint).",
+    "guide105.arch_lbl_realtime": "Realtime & MCP",
+    "guide105.arch_rt": " — WebSocket gateway (Yjs collaboration, SSE/push notifications) and an MCP server (Streamable HTTP, <code>/mcp</code>) for external clients.",
+    "guide105.arch_lbl_ai": "AI layer",
+    "guide105.arch_ai": " — editor assistant and BooksLM with multiple providers (DeepSeek, OpenRouter, Gemini, Mistral…), a tool library (function calling, web search, crawl, document reading) and optional embeddings for semantic search.",
+    "guide105.arch_lbl_data": "Data",
+    "guide105.arch_data": " — Obsidian vaults on disk (the source of truth), JSON configuration (<code>data/</code>), timestamped backups (<code>.obsigate-backup/</code>), a JSON-lines audit log, encrypted API keys in <code>data/api_keys.json</code>.",
+    "guide105.arch_lbl_deploy": "Deployment",
+    "guide105.arch_deploy": " — Tauri desktop app (Rust) embedding the Python backend, a Docker container, or an installable PWA in the browser (offline mode).",
+    "guide105.arch_h3_flux": "Typical request flow",
+    "guide105.arch_flux": " Clicking a file issues <code>GET /api/file/...</code>; the backend resolves the path safely, parses frontmatter, renders the markdown and returns HTML; the frontend enriches the view (Mermaid, syntax highlighting, clickable wikilinks). Every write creates a backup before applying.",
+    "guide105.dia_intro": "<code>```mermaid</code> blocks in your notes render as interactive diagrams (Mermaid v11, loaded from a CDN).",
+    "guide105.dia_zoom": "Zoom: + / − buttons in the diagram toolbar.",
+    "guide105.dia_fs": "Fullscreen: ideal for large charts.",
+    "guide105.dia_copy": "Copy: export the SVG or the source code (dedicated buttons).",
+    "guide105.dia_toggle": "Preview / Code toggle to edit the source without leaving the view.",
+    "guide105.dia_theme": "Theme: the diagram follows the app's light/dark theme.",
+    "guide105.dia_types": "Supported types: flowchart, sequence, class, state, ER, gantt, pie, journey, quadrant, radar, mindmap, timeline, C4, xychart, sankey — plus a preprocessor that understands Obsidian syntax.",
+    "guide105.dia_excalidraw_ref": "Hand-drawn sketches (<code>.excalidraw</code>, <code>.excalidraw.md</code>) are covered in the 🎨 Excalidraw section.",
+    "guide105.lib_h3_bookmarks": "Bookmarks & recents",
+    "guide105.lib_bookmarks": "Star a file with the Bookmark button in the action bar: it joins the dashboard's bookmark list. Recently opened files are listed automatically in the sidebar's \"Recent\" tab, with a dedicated search filter.",
+    "guide105.lib_h3_saved": "Saved searches",
+    "guide105.lib_saved": "Save a search from the results page to rerun it in one click from the sidebar: each saved search keeps its operators and filters.",
+    "guide105.lib_h3_backlinks": "Backlinks & graph",
+    "guide105.lib_backlinks": "The Backlinks panel lists every note pointing to the open file. The Graph view (🕸️ button) shows links between files: drag nodes, scroll to zoom, double-click a node to open the note.",
+    "guide105.lib_h3_conflicts": "Sync conflicts",
+    "guide105.lib_conflicts": "If you sync the vault with Syncthing, ObsiGate detects conflict files (\"sync-conflict\" copies) and offers to compare then resolve them from a dedicated page in the Options menu.",
+    "guide105.lib_h3_attach": "Attachments & media",
+    "guide105.lib_attach": "Inline <code>![[image.png]]</code> images, attachments and media (audio, video, embedded PDFs) are rendered in the viewer and indexed for search; the \"Rescan attachments\" button in Configuration rebuilds the attachment index.",
+    "guide105.off_pwa": "ObsiGate is a PWA: install it (install icon in the address bar) to open it like an app. The service worker caches the UI and your recently viewed documents.",
+    "guide105.off_edit": "Offline you can read cached documents and even edit them: changes are queued in IndexedDB.",
+    "guide105.off_sync": "When back online the queue replays automatically (sync badge in the header). If the server version diverged meanwhile, the file is flagged as conflict and the server copy is kept as a backup.",
+    "guide105.off_watch": "External changes (Obsidian on disk) are detected by the watcher: the view reloads without losing your position, or flags \"modified externally\" during an edit.",
+    "guide105.col_intro": "Open a document in Edit mode: several people can work on the same file simultaneously over a Yjs (CRDT) WebSocket. Changes merge without locks.",
+    "guide105.col_cursors": "Collaborators' cursors and selections appear with a per-person colour and name (awareness).",
+    "guide105.col_save": "The merge is persisted server-side after 2 s of idle; every write creates a timestamped backup before applying.",
+    "guide105.col_perm": "Limited to authenticated users with permission on the vault.",
+    "guide105.des_get": "The ObsiGate desktop app (Tauri) embeds the Python server: no Docker install needed. Download it from the repository's Releases page; it auto-updates (signed updater).",
+    "guide105.des_wizard": "On first launch a wizard asks for your vaults folder (or creates a demo vault). Any document can be detached into its own native window.",
+    "guide105.des_data": "Desktop data stays in the app directory; vaults point at your existing folders. Every web feature (search, AI, sharing) is available.",
+    "guide105.des_native": "Native system menu, optional global show/hide shortcut and a recents vault jumplist.",
+    "guide105.api_intro": "ObsiGate exposes a REST API covering the whole application (vaults, files, search, backups, export, AI, sharing, admin), documented in OpenAPI 3.1:",
+    "guide105.api_docs_url": "<code>/docs</code> — Swagger UI to try requests live.",
+    "guide105.api_redoc": "<code>/redoc</code> — compact alternative reference.",
+    "guide105.api_landing": "<code>/api</code> — landing page grouping endpoints by category.",
+    "guide105.api_schema": "<code>/openapi.json</code> — the machine schema, import into Postman or Insomnia.",
+    "guide105.api_h3_auth": "Authentication",
+    "guide105.api_auth": "Log in via <code>POST /api/auth/login</code> to get a Bearer token (the same token is accepted as an HttpOnly cookie, so browser clients can use <code>credentials: \"include\"</code>). All <code>/api/*</code> routes require it unless documented otherwise.",
+    "guide105.api_h3_mcp": "MCP server",
+    "guide105.api_mcp": "The assistant's tools (read, list, search, open, write…) are exposed to any MCP client (Claude Desktop, Cursor, Cline…) at <code>https://your-instance/mcp</code> with an API token. Setup and examples: <code>docs/MCP_GUIDE.md</code>.",
+    "guide105.api_h3_autom": "Automation",
+    "guide105.api_autom": "To automate from outside: <code>GET /api/search?q=…</code> and <code>GET /api/file/{vault}?path=…</code> let another tool index or re-read your notes; outgoing webhooks (🪝 section) avoid polling.",
+    "guide105.lng_how": "The interface is fully bilingual FR/EN. Settings → Profile → Language: the choice is stored on your account and follows you across devices.",
+    "guide105.lng_scope": "Everything is translated: menus, messages, notifications, and this guide. AI assistant answers follow the language of your documents.",
+    "guide105.lng_export": "This guide's Markdown / PDF buttons download the version in your language.",
+    "guide105.h3_semantic": "Semantic search (hybrid)",
+    "guide105.sem_p1": "Toggle the \"S\" button in the search bar (or Alt-S) to combine TF-IDF with vector similarity (RRF fusion): near concepts (\"velvet\" finds \"soft fabric\") surface higher.",
+    "guide105.sem_p2": "The embedding engine (multilingual model) is optional: without it a hash fallback keeps hybrid search working. Vectors are recomputed on each vault reindex.",
+    "guide105.h3_push": "Web notifications (push)",
+    "guide105.push_p1": "Grant notification permission (🔔 button in the header) to be alerted of offline-sync completions and important events. Subscription management lives in Configuration.",
+    "guide105.push_p2": "Built on the Web Push API (VAPID keys); works on desktop and mobile PWA with no third-party service: the server sends directly to browser push endpoints.",
+    "guide105.h3_panes": "Multi-pane split view",
+    "guide105.panes_p": "The \"Split\" button in the action bar opens the document in a twin pane; stack several panes to compare two notes or read and edit side by side. Pane widths drag on the border and are remembered.",
+    "guide105.h3_dupe": "Duplicate-proof uploads",
+    "guide105.dupe_p": "Bulk upload (drag a folder onto the sidebar) compares each file with existing content: an already-present file is skipped rather than duplicated with a \"(1)\" suffix. Handy when restoring a vault.",
+    "guide105.h3_pdf": "PDF export",
+    "guide105.pdf_p": "A document's \"PDF\" button renders it with the same engine as the viewer (WeasyPrint): headings, tables, lists and code are preserved. From a public link, the <code>/s/{token}/pdf</code> route produces the same PDF.",
+    "guide105.h3_exports": "HTML / ePub / ZIP export",
+    "guide105.exp_p": "The \"Export\" menu offers three formats: standalone HTML (single file, images inlined), ePub for e-readers and, for a folder, a Markdown ZIP bundle — links and resources resolved during export.",
+    "guide105.h3_mfa": "MFA: TOTP, WebAuthn, recovery codes",
+    "guide105.mfa_p": "Enable two-factor auth in Settings → Profile: TOTP apps (Authy, Aegis…), security keys and passkeys (WebAuthn, including Windows Hello) and 10 recovery codes to keep offline. Each method can be enabled and disabled independently.",
+    "guide105.h3_admin": "Admin dashboard",
+    "guide105.admin_p": "The admin role unlocks a dedicated <code>/admin.html</code> page (Options menu button): live server status, users, vaults, active sessions and the audit log. User CRUD also lives in Configuration.",
+    "guide105.dl_md_title": "Download this guide as Markdown",
+    "guide105.dl_pdf_title": "Download this guide as PDF",
+    "guide105.export_title": "ObsiGate User Guide",
+    "guide105.export_footer": "Generated from ObsiGate {version} — {date}. This document mirrors the in-app guide; the latest version always lives in the application."
+}
@@ -363,7 +363,23 @@
  "config.ai_keys_desc": "Configurez les clés API pour l'éditeur IA.",
  "config.ai_model": "Modèle",
  "config.ai_openrouter_label": "OpenRouter API Key",
+  "config.ai_header_desc": "Configurez vos clés API fournisseur par fournisseur. Dépliez une carte pour saisir une clé, puis cliquez sur Tester pour charger les modèles.",
+  "config.ai_search_placeholder": "Rechercher un fournisseur…",
+  "config.ai_default_section": "Configuration par défaut",
+  "config.ai_providers_title": "Fournisseurs d'API",
+  "config.ai_providers_empty": "Aucun fournisseur ne correspond",
+  "config.ai_status_configured": "Configuré",
+  "config.ai_status_not_configured": "Non configuré",
+  "config.ai_delete_key_title": "Supprimer la clé API",
  "config.api_keys_saved": "Clés API sauvegardées",
+  "config.section_sources": "🔗 Sources connectées & recherche",
+  "config.sources_desc": "Clés utilisées par les outils de l'Assistant IA (recherche web à clé : Tavily, Brave, SerpAPI, Exa ; sources connectées : Gitea, GitHub). Elles sont stockées sur le serveur et priment sur les variables d'environnement.",
+  "config.gitea_url": "URL Gitea",
+  "config.key_set": "Configuré",
+  "config.key_unset": "Non configuré",
+  "config.delete_key": "Supprimer",
+  "config.delete_key_confirm": "Supprimer la clé",
+  "config.key_deleted": "Clé supprimée :",
  "config.backups": "Sauvegardes",
  "config.backups_desc": "Gérez les sauvegardes automatiques de vos fichiers.",
  "config.client_config": "Configuration client",
@@ -480,7 +496,7 @@
  "config.section_fonctionnalites": "Fonctionnalités",
  "config.section_format-du-payload": "Format du payload",
  "config.section_gestion-des-onglets": "📑 Gestion des onglets",
-  "config.section_hidden": "Fichiers cachés",
+  "config.section_hidden": "🗂️ Fichiers cachés",
  "config.section_historique-recent-redemarrage-non-requis": "📋 Historique récent\n                                    Redémarrage non requis",
  "config.section_indicateurs-visuels": "Indicateurs visuels",
  "config.section_intelligence-artificielle-dans-l-editeur": "🤖 Intelligence Artificielle dans l'Éditeur",
@@ -523,7 +539,7 @@
  "config.section_securite-signature-hmac-sha256": "Sécurité : signature HMAC-SHA256",
  "config.section_selection-de-vault": "Sélection de vault",
  "config.section_server": "Serveur",
-  "config.section_shares": "Partages publics",
+  "config.section_shares": "📤 Partages publics",
  "config.section_sidebar-barre-laterale": "Sidebar (barre latérale)",
  "config.section_synchronisation-automatique": "Synchronisation automatique",
  "config.section_tag-cloud": "Tag cloud",
@@ -553,9 +569,38 @@
  "config.test": "Tester",
  "config.timeout_label": "Timeout recherche (ms)",
  "config.title": "Configuration",
+  "config.toc_toggle": "Afficher le sommaire",
  "config.title_boost": "Boost titre",
  "config.title_boost_hint": "Multiplicateur de pertinence pour les correspondances dans le titre",
  "config.title_boost_label": "Boost titre",
+  "config.nav_tokens": "🔑 Clés API & MCP",
+  "config.section_tokens": "🔑 Clés API & MCP",
+  "config.tokens_desc": "Jetons longue durée pour l'API REST et le serveur MCP — la même clé fonctionne pour les deux (en-tête Authorization: Bearer).",
+  "config.tokens_empty": "Aucune clé API créée.",
+  "config.token_name_placeholder": "Nom (ex: Claude Desktop)",
+  "config.token_name_required": "Un nom est requis",
+  "config.token_expiry_1d": "1 jour",
+  "config.token_expiry_30d": "1 mois",
+  "config.token_expiry_180d": "6 mois",
+  "config.token_expiry_365d": "1 an",
+  "config.token_expiry_never": "Sans fin",
+  "config.token_create": "Créer une clé",
+  "config.token_secret_warning": "Copiez cette clé maintenant — elle ne sera plus jamais affichée.",
+  "config.token_copy": "Copier",
+  "config.token_copied": "Clé copiée dans le presse-papiers",
+  "config.token_done": "Terminé",
+  "config.token_usage": "Utilisation",
+  "config.token_usage_detail": ": en-tête « Authorization: Bearer <clé> » sur l'API ; pour MCP, déclarez-la dans les headers de l'URL /mcp.",
+  "config.token_created": "Créée le",
+  "config.token_expires": "Expire",
+  "config.token_last_used": "Dernière utilisation",
+  "config.token_never_used": "Jamais utilisée",
+  "config.token_status_active": "Active",
+  "config.token_status_expired": "Expirée",
+  "config.token_revoke": "Révoquer",
+  "config.token_revoke_confirm": "Révoquer la clé",
+  "config.token_revoked_toast": "Clé révoquée (effet immédiat API + MCP)",
+  "config.token_created_toast": "Clé créée",
  "config.url_required": "URL requise",
  "config.watcher_debounce_label": "Debounce (s)",
  "config.watcher_enabled_label": "Activer la surveillance",
@@ -654,12 +699,14 @@
  "editor.delete_error": "Erreur de suppression",
  "editor.edit": "Éditer fichier courant",
  "editor.edit_current_desc": "Ouvrir le fichier actif dans l'éditeur",
+  "editor.exit_fullscreen": "Quitter le plein écran",
  "editor.find": "Rechercher dans le fichier...",
  "editor.find_case": "Respecter la casse",
  "editor.find_regex": "Regex",
  "editor.find_whole": "Mot entier",
  "editor.forge_close_editor": "Fermer l'éditeur / modale",
  "editor.forge_help": "Aide de l'éditeur Forge",
+  "editor.fullscreen": "Plein écran",
  "editor.no_results": "Aucun résultat",
  "editor.replace": "Remplacer",
  "editor.save": "Enregistrer",
@@ -1288,6 +1335,7 @@
  "help.assistant_panel": "🧠 Panneau Assistant (BooksLM)",
  "help.assistant_panel_desc": "L'assistant latéral (bouton flottant ou menu contextuel d'un dossier) répond en Markdown formaté et contextualise vos répertoires ou documents. En contexte général, il connaît aussi ce que vous voyez : documents ouverts, répertoire courant, recherche en cours et fichiers récemment modifiés.",
  "help.assistant_markdown": "Réponses formatées : titres, listes, tableaux, citations et blocs de code.",
+  "help.assistant_insert": "Le bouton « Ajouter » (au survol d'une réponse) insère la réponse dans le document ouvert dans l'éditeur (Editer ou Forge) ; chaque bloc de code propose « Ajouter la section » pour n'insérer que ce bloc.",
  "help.assistant_links": "Les fichiers et chemins cités sont des liens : un simple nom de fichier copie le nom dans le presse-papiers, un dossier est révélé dans l'arborescence, et un chemin de fichier l'ouvre dans le viewer.",
  "help.assistant_sessions": "L'icône historique de l'en-tête liste les sessions passées (recharger ou supprimer) ; « + » démarre une nouvelle conversation.",
  "help.assistant_agent": "Le bouton « mode agent » active les outils (lire, lister, chercher) ; les actions de modification demandent une confirmation avec aperçu des changements.",
@@ -1460,6 +1508,76 @@
  "pwa.install_button": "Installer",
  "pwa.install_desc": "Installez cette application sur votre appareil pour un accès rapide.",
  "pwa.install_title": "Installer ObsiGate",
+  "qa.all_actions": "Toutes les actions",
+  "qa.audit_code": "Détecter les bugs et failles potentielles",
+  "qa.audit_code.prompt": "Identifie les bugs potentiels, cas limites non gérés et failles de sécurité dans ce code, avec les correctifs proposés.",
+  "qa.backlinks": "Suggérer des liens et backlinks du vault",
+  "qa.backlinks.prompt": "Suggère des liens [[wikilinks]] pertinents vers d'autres notes du vault et des backlinks à ajouter à ce document.",
+  "qa.badge_code": "Fichier de code",
+  "qa.badge_directory": "Répertoire",
+  "qa.badge_general": "Mode général",
+  "qa.badge_multi": "{count} docs ouverts",
+  "qa.badge_selection": "Sélection active",
+  "qa.badge_single": "1 doc ouvert",
+  "qa.capabilities": "Que sais-tu faire ?",
+  "qa.capabilities.prompt": "Que sais-tu faire ? Présente tes capacités sur ce vault.",
+  "qa.cat_code": "Code & Scripts",
+  "qa.cat_cross": "Cross-documents",
+  "qa.cat_edition": "Édition & Reformulation",
+  "qa.cat_general": "Assistant",
+  "qa.cat_structure": "Productivité & Structuration",
+  "qa.cat_synthesis": "Synthèse & Analyse",
+  "qa.checklist": "Extraire la checklist d'actions",
+  "qa.checklist.prompt": "Extrais toutes les actions concrètes à mener sous forme de to-do list Markdown avec cases à cocher [ ].",
+  "qa.compare": "Comparer différences et convergences",
+  "qa.compare.prompt": "Compare l'ensemble des documents ouverts et résume leurs convergences, divergences et oppositions.",
+  "qa.concise": "Rendre plus concis et percutant",
+  "qa.concise.prompt": "Reformule la sélection pour la rendre plus concise et percutante, sans perdre l'essentiel.",
+  "qa.create_note": "Créer une note de réunion",
+  "qa.create_note.prompt": "Crée un fichier de notes de réunion dans le vault.",
+  "qa.doc_code": "Ajouter la documentation et les types",
+  "qa.doc_code.prompt": "Ajoute les docstrings, JSDoc et annotations de type appropriés à toutes les fonctions de ce fichier.",
+  "qa.drawer_title": "Bibliothèque d'actions",
+  "qa.empty_hint": "Sélectionnez une action instantanée adaptée à votre contexte, ou posez une question directe.",
+  "qa.explain_code": "Expliquer la logique du script",
+  "qa.explain_code.prompt": "Analyse et explique pas à pas la structure et l'algorithme de ce code source.",
+  "qa.explain_selection": "Expliquer la sélection",
+  "qa.explain_selection.prompt": "Explique le passage sélectionné : son rôle, son contexte et ce qu'il implique.",
+  "qa.faq": "Générer une FAQ / questions-clés",
+  "qa.faq.prompt": "Génère une liste de 5 questions-réponses clés pour évaluer la compréhension de ce texte.",
+  "qa.fix_style": "Corriger et améliorer le style",
+  "qa.fix_style.prompt": "Corrige les fautes d'orthographe, de grammaire et améliore la fluidité syntaxique de ce passage.",
+  "qa.frictions": "Relever les frictions et contradictions",
+  "qa.frictions.prompt": "Analyse ce document et relève les incohérences, zones d'ombre ou contradictions.",
+  "qa.frontmatter": "Générer le frontmatter YAML",
+  "qa.frontmatter.prompt": "Génère un bloc frontmatter YAML complet au format du vault et applique-le au document ouvert (insère-le en tête du fichier ou remplace le bloc existant, en conservant les valeurs non vides déjà présentes) : titre, auteur, creation_date et modification_date en ISO-8601 avec fuseau, catégorie, tags (liste en ligne [a, b]), aliases, status, publish, favoris, template, task, archive, draft, private (booléens), NomDeVoute (nom du vault courant), Description (résumé en une phrase du contenu).",
+  "qa.frontmatter_update": "Mettre à jour le frontmatter",
+  "qa.frontmatter_update.prompt": "Mets à jour le frontmatter YAML du document ouvert sans supprimer les champs existants : actualise modification_date (horodatage courant ISO-8601 avec fuseau), recalcule titre, tags, aliases, catégorie, NomDeVoute et Description d'après le contenu actuel, complète tout champ de la section métadonnée manquant (auteur, creation_date, status, publish, favoris, template, task, archive, draft, private) et applique la modification au fichier.",
+  "qa.header_suggested": "Actions suggérées",
+  "qa.memo": "Rédiger un mémo exécutif partageable",
+  "qa.memo.prompt": "Rédige un mémo exécutif partageable basé sur ce document : contexte, constats, recommandations.",
+  "qa.merge": "Fusionner en une note de synthèse",
+  "qa.merge.prompt": "Fusionne les éléments essentiels de tous les documents ouverts en une note de synthèse unifiée et fluide.",
+  "qa.no_match": "Aucune action ne correspond.",
+  "qa.plan": "Créer un plan d'action par étapes",
+  "qa.plan.prompt": "Transforme ce contenu en un plan d'action structuré par étapes, avec priorités et estimations.",
+  "qa.rephrase": "Reformuler ce passage",
+  "qa.rephrase.prompt": "Reformule ce passage en gardant le sens mais avec une tournure différente.",
+  "qa.search_help": "Rechercher efficacement dans mes notes",
+  "qa.search_help.prompt": "Comment rechercher efficacement dans mes notes ?",
+  "qa.search_placeholder": "Rechercher une action...",
+  "qa.sections": "Structurer en sections hiérarchiques",
+  "qa.sections.prompt": "Restructure ce document avec une hiérarchie logique de titres Markdown (H2, H3) et des listes à puces propres.",
+  "qa.summarize_3": "Résumer en 3 points clés",
+  "qa.summarize_3.prompt": "Fais un résumé synthétique de ce document en 3 points clés, clairs et concis.",
+  "qa.test_code": "Générer les tests unitaires",
+  "qa.test_code.prompt": "Rédige une suite de tests unitaires couvrant les cas nominaux et d'erreur pour ce code.",
+  "qa.timeline": "Construire une chronologie transversale",
+  "qa.timeline.prompt": "Construis une chronologie transversale des événements datés mentionnés dans ces documents.",
+  "qa.translate": "Traduire la sélection",
+  "qa.translate.prompt": "Traduis ce passage dans la langue appropriée (anglais si le texte est en français, et inversement).",
+  "qa.vulgarize": "Vulgariser ce document",
+  "qa.vulgarize.prompt": "Explique le contenu de ce document de manière simple, accessible et sans jargon.",
  "search.advanced_operators": "Opérateurs avancés",
  "search.aria_label": "Suggestions de recherche",
  "search.case_sensitive": "Respecter la casse",
@@ -1770,6 +1888,19 @@
  "mfa.disable_confirm_btn": "Désactiver la 2FA",
  "mfa.disabled_success": "La 2FA a été désactivée.",
  "mfa.fill_all_fields": "Veuillez remplir tous les champs.",
+  "mfa.qr_unavailable": "QR code indisponible — utilisez la saisie manuelle ci-dessous.",
+  "mfa.password_change_title": "Mot de passe",
+  "mfa.password_change_desc": "Modifiez le mot de passe de votre compte (min. 8 caractères). Toutes les autres sessions sont invalidées.",
+  "mfa.current_password_label": "Mot de passe actuel",
+  "mfa.current_password_placeholder": "Votre mot de passe actuel",
+  "mfa.new_password_label": "Nouveau mot de passe",
+  "mfa.new_password_placeholder": "Min. 8 caractères",
+  "mfa.new_password_confirm_label": "Confirmer le nouveau mot de passe",
+  "mfa.new_password_confirm_placeholder": "Répétez le nouveau mot de passe",
+  "mfa.password_change_btn": "Changer le mot de passe",
+  "mfa.password_mismatch": "Les deux mots de passe ne correspondent pas.",
+  "mfa.password_changed": "Mot de passe mis à jour.",
+  "mfa.challenge_unavailable": "Écran de vérification indisponible — veuillez recharger la page.",
  "bookslm.title": "BooksLM",
  "bookslm.files_indexed": "{count} fichiers indexés",
  "bookslm.chars_loaded": "{chars} caractères chargés",
@@ -1783,6 +1914,8 @@
  "bookslm.insert_hint": "Ajouter la réponse au document ouvert dans l'éditeur",
  "bookslm.inserted": "Réponse ajoutée au document",
  "bookslm.insert_no_editor": "Aucun document ouvert dans l'éditeur",
+  "bookslm.insert_block": "Ajouter la section",
+  "bookslm.insert_block_hint": "Ajouter uniquement ce bloc de code au document ouvert dans l'éditeur",
  "ai.steps_count": "{count} étape",
  "ai.steps_count_plural": "{count} étapes",
  "ai.activity_thinking": "Réflexion…",
@@ -1817,6 +1950,14 @@
  "ai.step.vaults": "Liste des vaults consultée",
  "ai.step.fetch_url": "Page web consultée : {value}",
  "ai.step.web_search": "Recherche sur le web : {value}",
+  "ai.step.crawl": "Site exploré : {value}",
+  "ai.step.git_repos": "Dépôts listés ({value})",
+  "ai.step.git_issues": "Issues recherchées : {value}",
+  "ai.step.git_file": "Fichier de dépôt lu : {value}",
+  "ai.step.xlsx_create": "Tableur proposé : {value}",
+  "ai.step.docx_create": "Document Word proposé : {value}",
+  "ai.step.csv_create": "Fichier CSV proposé : {value}",
+  "ai.step.pdf_create": "Document PDF proposé : {value}",
  "bookslm.copied": "Réponse copiée dans le presse-papiers",
  "bookslm.error": "Erreur du service AI",
  "bookslm.regenerate": "Régénérer",
@@ -1932,5 +2073,96 @@
    "help.excalidraw_search_title": "Recherche",
    "help.excalidraw_search": "Le texte des éléments du diagramme est extrait à l'indexation : il est donc recherchable via la recherche full-text.",
    "help.excalidraw_compat": "Les fichiers créés avec le plugin Obsidian Excalidraw (y compris le format <code>.excalidraw.md</code> compressé) sont compatibles.",
-    "help.footer_tagline": "- Porte d'entrée web pour vos vaults Obsidian"
-  }
+    "help.footer_tagline": "- Porte d'entrée web pour vos vaults Obsidian",
+    "guide105.nav_architecture": "🏗️ Architecture",
+    "guide105.nav_library": "⭐ Bibliothèque",
+    "guide105.nav_diagrams": "📊 Diagrammes",
+    "guide105.nav_offline": "📴 Hors-ligne",
+    "guide105.nav_collab": "👥 Collaboration",
+    "guide105.nav_desktop": "🖥️ Desktop",
+    "guide105.nav_api": "🔌 API",
+    "guide105.nav_languages": "🌍 Multilingue",
+    "guide105.arch_intro": "ObsiGate est une application web complète construite en couches indépendantes, sans base de données externe : les notes vivent dans vos dossiers Obsidian, l'état applicatif dans des fichiers JSON de <code>data/</code>, l'index de recherche en mémoire.",
+    "guide105.arch_diagram_note": "Le diagramme est interactif dans l'application : zoom, plein écran, copie SVG ou code.",
+    "guide105.arch_h3_layers": "Les grandes composantes",
+    "guide105.arch_lbl_fe": "Frontend",
+    "guide105.arch_fe": " — SPA en JavaScript vanilla (modules ES), sans framework ni build npm : <code>frontend/js/</code> (~30 modules). Le CSS utilise des variables pour les thèmes.",
+    "guide105.arch_lbl_be": "Backend",
+    "guide105.arch_be": " — serveur FastAPI (Python 3.11) : rendu markdown (mistune + wikilinks), recherche TF-IDF stemmisée (index inversé en mémoire), watchers watchdog, JWT + Argon2id, webhooks HMAC, export PDF (WeasyPrint).",
+    "guide105.arch_lbl_realtime": "Temps réel & MCP",
+    "guide105.arch_rt": " — passerelle WebSocket (collaboration Yjs, notifications SSE/push) et serveur MCP (Streamable HTTP, <code>/mcp</code>) pour les clients externes.",
+    "guide105.arch_lbl_ai": "Couche IA",
+    "guide105.arch_ai": " — assistants d'édition et BooksLM multi-providers (DeepSeek, OpenRouter, Gemini, Mistral…), bibliothèque d'outils (function calling, recherche web, crawl, lecture de documents) et embeddings optionnels pour la recherche sémantique.",
+    "guide105.arch_lbl_data": "Données",
+    "guide105.arch_data": " — les vaults Obsidian sur disque (source de vérité), la configuration en JSON (<code>data/</code>), les backups horodatés (<code>.obsigate-backup/</code>), l'audit en JSON lines, les clés API chiffrées dans <code>data/api_keys.json</code>.",
+    "guide105.arch_lbl_deploy": "Déploiement",
+    "guide105.arch_deploy": " — application desktop Tauri (Rust) embarquant le backend Python, conteneur Docker, ou PWA installable dans le navigateur (mode hors-ligne).",
+    "guide105.arch_h3_flux": "Flux typique",
+    "guide105.arch_flux": " Un clic sur un fichier émet <code>GET /api/file/...</code> ; le backend résout le chemin en sécurité, parse le frontmatter, rend le markdown et renvoie le HTML ; le frontend enrichit l'affichage (Mermaid, coloration, wikilinks cliquables). Chaque écriture crée un backup avant application.",
+    "guide105.dia_intro": "Les blocs <code>```mermaid</code> de vos notes sont rendus en diagrammes interactifs (Mermaid v11, chargé depuis un CDN).",
+    "guide105.dia_zoom": "Zoom : boutons + / − dans la barre d'outils du diagramme.",
+    "guide105.dia_fs": "Plein écran : idéal pour les grandes matrices.",
+    "guide105.dia_copy": "Copie : exportez le SVG ou le code source (boutons dédiés).",
+    "guide105.dia_toggle": "Bascule Aperçu / Code pour éditer la source sans quitter la vue.",
+    "guide105.dia_theme": "Thème : le diagramme suit le thème clair/sombre de l'application.",
+    "guide105.dia_types": "Types supportés : flowchart, sequence, class, state, ER, gantt, pie, journey, quadrant, radar, mindmap, timeline, C4, xychart, sankey — plus un préprocesseur qui comprend la syntaxe Obsidian.",
+    "guide105.dia_excalidraw_ref": "Les dessins à main levée (<code>.excalidraw</code>, <code>.excalidraw.md</code>) sont couverts dans la section 🎨 Excalidraw.",
+    "guide105.lib_h3_bookmarks": "Signets & récents",
+    "guide105.lib_bookmarks": "Marquez un fichier d'un ★ (bouton Signet de la barre d'actions) : il rejoint la liste des signets du dashboard. Les fichiers récemment ouverts sont listés automatiquement dans l'onglet « Récents » de la sidebar, avec un filtre de recherche dédié.",
+    "guide105.lib_h3_saved": "Recherches sauvegardées",
+    "guide105.lib_saved": "Enregistrez une recherche depuis la page de résultats pour la relancer en un clic depuis la sidebar : chaque recherche sauvegardée conserve ses opérateurs et filtres.",
+    "guide105.lib_h3_backlinks": "Backlinks & graphe",
+    "guide105.lib_backlinks": "Le panneau Backlinks liste toutes les notes qui pointent vers le fichier ouvert. La vue Graphe (bouton 🕸️) affiche les liens entre fichiers : glissez les nœuds, zoomez à la molette, double-cliquez pour ouvrir une note.",
+    "guide105.lib_h3_conflicts": "Conflits de synchronisation",
+    "guide105.lib_conflicts": "Si vous synchronisez le vault avec Syncthing, ObsiGate détecte les fichiers de conflit (copies « sync-conflict ») et propose de les comparer puis résoudre depuis la page dédiée du menu Options.",
+    "guide105.lib_h3_attach": "Fichiers joints & médias",
+    "guide105.lib_attach": "Les images <code>![[image.png]]</code>, pièces jointes et médias (audio, vidéo, PDF intégrés) dans les notes sont rendus dans le viewer et indexés pour la recherche ; le bouton « Rescan attachments » de la configuration recrée l'index des pièces jointes.",
+    "guide105.off_pwa": "ObsiGate est une PWA : installez-la (icône d'installation de la barre d'adresse) pour l'ouvrir comme une application. Le service worker met en cache l'interface et vos derniers documents consultés.",
+    "guide105.off_edit": "Hors-ligne, vous pouvez lire les documents en cache et même les éditer : les modifications sont mises en file d'attente dans IndexedDB.",
+    "guide105.off_sync": "Au retour en ligne, la file se rejoue automatiquement (badge de synchronisation dans l'en-tête). Si la version serveur a divergé entre-temps, le fichier est marqué en conflit et la version serveur est préservée en backup.",
+    "guide105.off_watch": "Les modifications externes (Obsidian sur disque) sont détectées par le watcher : la vue se recharge sans perte de position, ou signale « modifié en externe » pendant une édition.",
+    "guide105.col_intro": "Ouvrez un document en mode Édition : plusieurs personnes peuvent travailler simultanément sur le même fichier via un WebSocket Yjs (CRDT). Les modifications fusionnent sans verrou.",
+    "guide105.col_cursors": "Les curseurs et sélections des collaborateurs apparaissent avec une couleur et un nom par personne (awareness).",
+    "guide105.col_save": "La fusion est persistée côté serveur après 2 s d'inactivité ; chaque écriture crée un backup horodaté avant application.",
+    "guide105.col_perm": "Accès limité aux utilisateurs authentifiés disposant de la permission sur la vault.",
+    "guide105.des_get": "L'application desktop ObsiGate (Tauri) embarque le serveur Python : aucune installation de Docker nécessaire. Elle se télécharge sur la page des Releases du dépôt et se met à jour automatiquement (updater signé).",
+    "guide105.des_wizard": "Au premier lancement, un assistant demande le dossier de vos vaults (ou crée un vault de démonstration). Chaque document peut être détaché en fenêtre native séparée.",
+    "guide105.des_data": "Les données desktop restent dans le répertoire applicatif ; les vaults pointent sur vos dossiers existants. Toutes les fonctionnalités web (recherche, IA, partage) sont disponibles.",
+    "guide105.des_native": "Menu système natif, raccourci global optionnel pour afficher/masquer la fenêtre et jumplist des vaults récents.",
+    "guide105.api_intro": "ObsiGate expose une API REST couvrant toute l'application (vaults, fichiers, recherche, backups, export, IA, partage, admin), documentée en OpenAPI 3.1 :",
+    "guide105.api_docs_url": "<code>/docs</code> — interface Swagger UI pour essayer les requêtes en direct.",
+    "guide105.api_redoc": "<code>/redoc</code> — référence alternative plus compacte.",
+    "guide105.api_landing": "<code>/api</code> — page de garde regroupant les endpoints par catégorie.",
+    "guide105.api_schema": "<code>/openapi.json</code> — le schéma machine, à importer dans Postman ou Insomnia.",
+    "guide105.api_h3_auth": "Authentification",
+    "guide105.api_auth": "Connectez-vous via <code>POST /api/auth/login</code> pour obtenir un token Bearer (le même jeton est accepté en cookie HttpOnly, ce qui permet aux clients navigateur d'utiliser <code>credentials: \"include\"</code>). Toutes les routes <code>/api/*</code> exigent ce jeton sauf mention contraire.",
+    "guide105.api_h3_mcp": "Serveur MCP",
+    "guide105.api_mcp": "Les outils de l'assistant IA (lire, lister, chercher, ouvrir, écrire…) sont exposés à tout client MCP (Claude Desktop, Cursor, Cline…) sur <code>https://votre-instance/mcp</code> avec un token d'API. Configuration et exemples : <code>docs/MCP_GUIDE.md</code>.",
+    "guide105.api_h3_autom": "Automatisation",
+    "guide105.api_autom": "Pour automatiser depuis l'extérieur : <code>GET /api/search?q=…</code> et <code>GET /api/file/{vault}?path=…</code> permettent d'indexer ou relire vos notes dans un autre outil ; les webhooks sortants (section 🪝) évitent le polling.",
+    "guide105.lng_how": "L'interface est intégralement bilingue français / anglais. Réglages → Profil → Langue : le choix est enregistré sur votre compte et vous suit sur tous les appareils.",
+    "guide105.lng_scope": "Tout est traduit : menus, messages, notifications, et le présent guide. Les réponses de l'assistant IA suivent la langue de vos documents.",
+    "guide105.lng_export": "Les boutons Markdown / PDF de ce guide téléchargent la version dans votre langue.",
+    "guide105.h3_semantic": "Recherche sémantique (hybride)",
+    "guide105.sem_p1": "Activez le bouton « S » de la barre de recherche (ou Alt-S) pour combiner TF-IDF et similarité vectorielle (fusion RRF) : les concepts approchants (« velours » trouve « tissu doux ») remontent mieux.",
+    "guide105.sem_p2": "Le moteur d'embeddings (modèle multilingue) est optionnel : sans lui, un repli par hash conserve une recherche hybride fonctionnelle. Les vecteurs sont recalculés à chaque indexation du vault.",
+    "guide105.h3_push": "Notifications web (push)",
+    "guide105.push_p1": "Autorisez les notifications (bouton 🔔 de l'en-tête) pour être averti des fins de synchronisation hors-ligne et des événements importants. La gestion des abonnements est dans les Configurations.",
+    "guide105.push_p2": "Basée sur la Web Push API (clés VAPID) ; fonctionne sur desktop et PWA mobile, sans service tiers : le serveur émet directement vers les endpoints push des navigateurs.",
+    "guide105.h3_panes": "Vue multi-panneaux (split view)",
+    "guide105.panes_p": "Le bouton « Diviser » de la barre d'actions ouvre le document dans un panneau jumeau ; empilez plusieurs panneaux pour comparer deux notes ou lire et éditer en parallèle. Les largeurs se règlent au bord des panneaux et sont mémorisées.",
+    "guide105.h3_dupe": "Anti-doublons à l'upload",
+    "guide105.dupe_p": "L'upload en masse (glisser-déposer un dossier sur la sidebar) compare chaque fichier au contenu existant : un fichier déjà présent est ignoré plutôt que dupliqué avec un suffixe « (1) ». Utile pour restaurer un vault sans créer de doublons.",
+    "guide105.h3_pdf": "Export PDF",
+    "guide105.pdf_p": "Le bouton « PDF » d'un document le rend avec le même moteur que la vue (WeasyPrint) : titres, tableaux, listes et code sont conservés. Depuis un lien public, la route <code>/s/{token}/pdf</code> produit le même PDF.",
+    "guide105.h3_exports": "Export HTML / ePub / ZIP",
+    "guide105.exp_p": "Le menu « Exporter » propose trois formats : HTML autonome (fichier unique, images incluses), ePub pour les liseuses et, pour un dossier, un bundle Markdown en ZIP — liens et ressources résolus pendant l'export.",
+    "guide105.h3_mfa": "MFA : TOTP, WebAuthn, codes de secours",
+    "guide105.mfa_p": "Activez la double authentification dans Réglages → Profil : applications TOTP (Authy, Aegis…), clés de sécurité et passkeys (WebAuthn, y compris Windows Hello) et 10 codes de secours à conserver hors ligne. Chaque méthode s'active et se désactive indépendamment.",
+    "guide105.h3_admin": "Tableau de bord administrateur",
+    "guide105.admin_p": "Le rôle admin ouvre une page dédiée <code>/admin.html</code> (bouton du menu Options) : statut du serveur en direct, utilisateurs, vaults, sessions actives et journal d'audit. Le CRUD utilisateurs est aussi disponible dans les Configurations.",
+    "guide105.dl_md_title": "Télécharger ce guide en Markdown",
+    "guide105.dl_pdf_title": "Télécharger ce guide en PDF",
+    "guide105.export_title": "Guide d'utilisation ObsiGate",
+    "guide105.export_footer": "Généré depuis ObsiGate {version} — {date}. Ce document est la copie du guide intégré ; la version la plus récente est toujours dans l'application."
+}
@@ -1473,6 +1473,15 @@ select {
  margin: 0 auto;
  max-width: 1200px;
 }
+
+/* Full-bleed viewers (PDF, images, Excalidraw) must use the whole width when
+   the navigation sidebar is hidden instead of the centered reading column. */
+.sidebar.hidden ~ .content-wrapper .content-area:has(.pdf-viewer-container),
+.sidebar.hidden ~ .content-wrapper .content-area:has(.image-viewer-container),
+.sidebar.hidden ~ .content-wrapper .content-area:has(iframe[src*="excalidraw-editor.html"]) {
+  margin: 0;
+  max-width: none;
+}
 .content-area::-webkit-scrollbar {
  width: 8px;
 }
@@ -2796,6 +2805,23 @@ select {
  box-shadow: 0 8px 32px rgba(0, 0, 0, 0.4);
 }

+/* Native fullscreen (#101) — the editor fills the viewport regardless of the
+   inline/modal constraints above. */
+.editor-container:fullscreen {
+  width: 100vw;
+  height: 100vh;
+  max-width: none;
+  max-height: none;
+  border: none;
+  border-radius: 0;
+  box-shadow: none;
+}
+.editor-container:fullscreen .editor-body,
+.editor-container:fullscreen .editor-body-cm {
+  flex: 1;
+  min-height: 0;
+}
+
 /* --- Inline edition (#93) --------------------------------------------------
   When a document is being edited, `#editor-container` is moved into the
   document content area: the editor *replaces* the read view instead of
@@ -3575,6 +3601,20 @@ select {
  overflow-x: auto !important;
  max-width: 100%;
 }
+/* BUG-058: CodeMirror paints its line-number gutter with hardcoded light
+   defaults (#f5f5f5 background, #ddd border), so the bar stayed pale in dark
+   themes while the editor body followed the theme. Deriving the tint from
+   `--text-primary` keeps the gutter subtle and makes it adapt to every theme
+   and mode (dark, light, high-contrast, sepia). */
+.cm-editor .cm-gutters {
+  background: color-mix(in srgb, var(--text-primary) 5%, transparent) !important;
+  color: var(--text-secondary) !important;
+  border-right: 1px solid var(--border) !important;
+}
+.cm-editor .cm-gutters .cm-activeLineGutter {
+  background: color-mix(in srgb, var(--text-primary) 10%, transparent) !important;
+  color: var(--text-primary) !important;
+}
 .fallback-editor {
  width: 100%;
  min-height: 100%;
@@ -4307,6 +4347,328 @@ body.resizing-v {
  background: var(--bg-hover);
 }

+/* BUG-068: .config-btn-primary / .config-btn-danger were used by the account
+   security section (frontend/js/auth.js) but never defined — the buttons fell
+   back to the browser default and ignored the theme. Defined here with the
+   same conventions as .config-btn-save / .config-btn-secondary. */
+.config-btn-primary {
+  padding: 8px 16px;
+  border: 1px solid var(--accent);
+  border-radius: 6px;
+  background: var(--accent);
+  color: #fff;
+  font-family: "JetBrains Mono", monospace;
+  font-size: 0.8rem;
+  font-weight: 600;
+  cursor: pointer;
+  transition: opacity 150ms;
+}
+.config-btn-primary:hover {
+  opacity: 0.9;
+}
+.config-btn-primary:disabled {
+  opacity: 0.55;
+  cursor: not-allowed;
+}
+.config-btn-danger {
+  padding: 8px 16px;
+  border: 1px solid var(--danger, #e74c3c);
+  border-radius: 6px;
+  background: var(--danger-bg, #3d1a18);
+  color: var(--danger, #ff7b72);
+  font-family: "JetBrains Mono", monospace;
+  font-size: 0.8rem;
+  font-weight: 600;
+  cursor: pointer;
+  transition: opacity 150ms;
+}
+.config-btn-danger:hover {
+  opacity: 0.9;
+}
+.config-btn-danger:disabled {
+  opacity: 0.55;
+  cursor: not-allowed;
+}
+
+/* BUG-068: local QR code (backend SVG data: URI) + password section share the
+   security-tab card conventions. */
+.mfa-qr-code-img {
+  max-width: 200px;
+  border-radius: 8px;
+  background: #fff;
+  padding: 8px;
+}
+.password-settings {
+  margin-top: 20px;
+  padding-top: 16px;
+  border-top: 1px solid var(--border, #333);
+}
+.password-settings .form-group {
+  margin: 8px 0;
+}
+.password-settings .form-group label {
+  display: block;
+  font-size: 0.78rem;
+  color: var(--text-secondary, #aaa);
+  margin-bottom: 4px;
+}
+.password-settings .config-input {
+  width: 100%;
+  max-width: 320px;
+}
+
+/* --- AI keys section: accordion redesign (#104) --- */
+.ai-keys-header {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 12px;
+  align-items: flex-start;
+  justify-content: space-between;
+  margin-bottom: 18px;
+}
+.ai-keys-header-text {
+  flex: 1 1 320px;
+  min-width: 0;
+}
+.ai-keys-header-text h2 {
+  margin-bottom: 4px;
+}
+.ai-keys-search {
+  position: relative;
+  flex: 0 1 260px;
+  min-width: 200px;
+}
+.ai-keys-search .icon {
+  position: absolute;
+  left: 10px;
+  top: 50%;
+  transform: translateY(-50%);
+  width: 14px;
+  height: 14px;
+  color: var(--text-muted);
+  pointer-events: none;
+}
+.ai-keys-search input {
+  width: 100%;
+  padding: 8px 12px 8px 32px;
+  border: 1px solid var(--border);
+  border-radius: 8px;
+  background: var(--bg-secondary);
+  color: var(--text-primary);
+  font-size: 0.8rem;
+  outline: none;
+  transition: border-color 150ms ease;
+}
+.ai-keys-search input:focus {
+  border-color: var(--accent);
+}
+
+.ai-card-title {
+  font-size: 0.72rem;
+  font-weight: 600;
+  letter-spacing: 0.6px;
+  text-transform: uppercase;
+  color: var(--text-secondary);
+}
+
+.ai-default-card {
+  background: var(--surface, #1e1e24);
+  border: 1px solid var(--border);
+  border-radius: 10px;
+  padding: 16px 18px;
+  margin-bottom: 22px;
+}
+.ai-default-card > .ai-card-title {
+  margin-bottom: 12px;
+}
+.ai-default-grid {
+  display: grid;
+  grid-template-columns: 1fr 1fr;
+  gap: 12px;
+  margin-bottom: 12px;
+}
+
+.ai-field {
+  display: flex;
+  flex-direction: column;
+  gap: 6px;
+  min-width: 0;
+}
+.ai-field-label {
+  font-size: 0.75rem;
+  font-weight: 500;
+  color: var(--text-secondary);
+  letter-spacing: 0.2px;
+}
+.ai-field .config-select,
+.ai-field .config-input {
+  width: 100%;
+}
+.ai-caps-badges {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 6px;
+  min-height: 22px;
+}
+.ai-cap-badge {
+  display: inline-flex;
+  align-items: center;
+  padding: 3px 10px;
+  border-radius: 999px;
+  font-size: 0.7rem;
+  font-weight: 600;
+  background: var(--accent-bg);
+  color: var(--accent);
+  border: 1px solid color-mix(in srgb, var(--accent) 35%, transparent);
+}
+
+.ai-providers-header {
+  margin: 0 0 10px;
+}
+.ai-providers-list {
+  display: flex;
+  flex-direction: column;
+  gap: 8px;
+}
+.ai-provider-card {
+  background: var(--surface, #1e1e24);
+  border: 1px solid var(--border);
+  border-radius: 10px;
+  transition: border-color 150ms ease;
+}
+.ai-provider-card:hover {
+  border-color: var(--border-md);
+}
+.ai-provider-card.open {
+  border-color: color-mix(in srgb, var(--accent) 45%, var(--border));
+}
+.ai-provider-head {
+  display: flex;
+  align-items: center;
+  gap: 12px;
+  padding: 12px 14px;
+  cursor: pointer;
+  user-select: none;
+  border-radius: 10px;
+}
+.ai-provider-head:focus-visible {
+  outline: 2px solid var(--accent);
+  outline-offset: -2px;
+}
+.ai-provider-logo {
+  display: inline-flex;
+  align-items: center;
+  justify-content: center;
+  width: 28px;
+  height: 28px;
+  border-radius: 8px;
+  background: var(--accent-bg);
+  color: var(--accent);
+  font-weight: 700;
+  font-size: 0.85rem;
+  flex: none;
+}
+.ai-provider-name {
+  flex: 1;
+  font-size: 0.88rem;
+  font-weight: 600;
+  color: var(--text-primary);
+  min-width: 0;
+}
+.ai-provider-badge {
+  font-size: 0.68rem;
+  padding: 2px 9px;
+  border-radius: 999px;
+  white-space: nowrap;
+  background: var(--muted-bg, rgba(255, 255, 255, 0.06));
+  color: var(--text-muted);
+  border: 1px solid var(--border);
+}
+.ai-provider-badge.configured {
+  background: var(--success-bg);
+  color: var(--success);
+  border-color: color-mix(in srgb, var(--success) 40%, transparent);
+}
+.ai-provider-delete {
+  display: inline-flex;
+  align-items: center;
+  justify-content: center;
+  width: 26px;
+  height: 26px;
+  border: none;
+  border-radius: 6px;
+  background: transparent;
+  color: var(--text-muted);
+  cursor: pointer;
+  flex: none;
+  transition: color 150ms ease, background 150ms ease;
+}
+.ai-provider-delete:hover {
+  color: var(--danger);
+  background: var(--danger-bg);
+}
+.ai-provider-chevron {
+  flex: none;
+  color: var(--text-muted);
+  transition: transform 200ms ease;
+}
+.ai-provider-card.open .ai-provider-chevron {
+  transform: rotate(180deg);
+}
+.ai-provider-body {
+  padding: 0 14px 14px;
+}
+.ai-provider-body.hidden {
+  display: none;
+}
+.ai-provider-fields {
+  display: grid;
+  grid-template-columns: 3fr 2fr;
+  gap: 12px;
+  padding-top: 12px;
+  border-top: 1px solid var(--border);
+}
+.ai-providers-empty {
+  padding: 14px;
+  text-align: center;
+  color: var(--text-muted);
+  font-size: 0.8rem;
+  border: 1px dashed var(--border);
+  border-radius: 10px;
+}
+.ai-keys-footer {
+  position: sticky;
+  bottom: 0;
+  z-index: 5;
+  display: flex;
+  align-items: center;
+  gap: 12px;
+  flex-wrap: wrap;
+  margin-top: 20px;
+  padding: 12px 16px;
+  background: var(--surface, #1e1e24);
+  border: 1px solid var(--border);
+  border-radius: 10px;
+  box-shadow: 0 -4px 16px rgba(0, 0, 0, 0.25);
+}
+.ai-keys-status {
+  flex: 1;
+  font-size: 0.75rem;
+  color: var(--text-muted);
+  min-width: 0;
+}
+
+@media (max-width: 600px) {
+  .ai-default-grid,
+  .ai-provider-fields {
+    grid-template-columns: 1fr;
+  }
+  .ai-keys-search {
+    flex: 1 1 100%;
+  }
+}
+
+
 /* --- Config diagnostics panel --- */
 .config-diagnostics {
  background: var(--code-bg);
@@ -4361,6 +4723,82 @@ body.resizing-v {
  }
 }

+/* BUG-071: Configurations modal — mobile usability (viewport ≤ 768px).
+   #config-nav shares the .help-nav rule that hides it, but the config modal
+   had no toggle (unlike the help modal): the header hamburger
+   (#config-hamburger, same .help-hamburger treatment) reveals it as a
+   collapsible top block. Two-column grids and fixed-width add-rows are
+   stacked/wrapped so nothing overflows a 360px viewport. */
+@media (max-width: 768px) {
+  /* TOC as a collapsible top block (JS toggles inline display flex/none,
+     which wins over the hiding rule); the list scrolls within a capped nav. */
+  #config-modal #config-nav {
+    width: 100%;
+    min-width: 0;
+    max-width: 100%;
+    border-right: none;
+    border-bottom: 1px solid var(--border);
+    max-height: 46vh;
+  }
+  /* Two-column grids → single column. */
+  #config-modal .ai-default-grid,
+  #config-modal .ai-provider-fields {
+    grid-template-columns: 1fr;
+  }
+  /* Add-rows (tokens, webhooks, tag filters) wrap instead of overflowing. */
+  #config-modal .config-add-row,
+  #config-modal .config-add-pattern {
+    flex-wrap: wrap;
+  }
+  #config-modal .config-add-row .config-input,
+  #config-modal .config-add-pattern .config-input,
+  #config-modal .config-add-row .config-select {
+    flex: 1 1 140px;
+    width: auto !important; /* override fixed inline widths (180/140/100px) */
+    min-width: 0;
+  }
+  #config-modal .config-add-row .config-btn-add,
+  #config-modal .config-add-pattern .config-btn-add {
+    flex: 1 1 auto;
+    min-height: 44px;
+  }
+  /* Webhook / token / share rows wrap; long URLs and meta take their own
+     line instead of squeezing the delete control off-screen. */
+  #config-modal .webhook-item,
+  #config-modal .token-item,
+  #config-modal .share-item {
+    flex-wrap: wrap;
+  }
+  #config-modal .webhook-url,
+  #config-modal .token-meta,
+  #config-modal .share-url {
+    flex: 1 1 100%;
+    min-width: 0;
+    white-space: normal;
+    overflow-wrap: anywhere;
+  }
+  #config-modal .webhook-delete,
+  #config-modal .token-delete,
+  #config-modal .share-revoke {
+    min-width: 44px;
+    min-height: 44px;
+  }
+  /* Sticky AI-keys footer: full-width touch-friendly buttons. */
+  #config-modal .ai-keys-footer .config-btn-save,
+  #config-modal .ai-keys-footer .config-btn-secondary {
+    flex: 1 1 100%;
+    min-height: 44px;
+  }
+  /* Long inline code in tips (ex. MCP usage snippet) must wrap. */
+  #config-modal .qh-tip {
+    flex-wrap: wrap;
+  }
+  #config-modal .qh-tip span {
+    min-width: 0;
+    overflow-wrap: anywhere;
+  }
+}
+
 /* --- Toast notifications --- */
 .toast-container {
  position: fixed;
@@ -7315,6 +7753,27 @@ body.popup-mode .content-area {
 .config-add-row { display: flex; gap: 8px; margin-top: 8px; }
 .config-btn-add { padding: 6px 14px; background: var(--accent); color: #fff; border: none; border-radius: 6px; cursor: pointer; font-size: 0.8rem; }

+/* ── API/MCP tokens UI (#107) ── */
+.token-item {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  padding: 8px 10px;
+  background: var(--bg-card, var(--bg-secondary));
+  border-radius: 6px;
+  margin-bottom: 6px;
+  font-size: 0.8rem;
+}
+.token-name { font-weight: 500; min-width: 90px; }
+.token-badge { font-size: 0.65rem; padding: 2px 8px; border-radius: 10px; white-space: nowrap; }
+.token-badge-active { background: color-mix(in srgb, var(--success, #2e7d32) 18%, transparent); color: var(--success, #2e7d32); }
+.token-badge-expired { background: color-mix(in srgb, var(--text-error, #c62828) 15%, transparent); color: var(--text-error, #c62828); }
+.token-meta { color: var(--text-muted); font-size: 0.7rem; overflow: hidden; text-overflow: ellipsis; white-space: nowrap; flex: 1; }
+.token-delete { background: none; border: none; color: var(--text-error); cursor: pointer; font-size: 1rem; padding: 2px 6px; }
+.token-secret-area { margin-top: 10px; padding: 10px; border: 1px dashed var(--accent); border-radius: 8px; }
+.token-secret-area.hidden { display: none; }
+.token-secret-text { width: 100%; font-family: monospace; font-size: 0.7rem; word-break: break-all; resize: none; }
+
 /* ── Shares UI ── */
 .share-item {
  display: flex;
@@ -7854,6 +8313,29 @@ body.popup-mode .content-area {
 .cp-browse-filter:focus { border-color: var(--accent); }
 .cp-browse-filter::placeholder { color: var(--text-muted); }

+/* ── Help Modal: desktop = wider reading (#105) ──
+   The Tauri shell (body.desktop-mode) and wide web viewports get the full
+   reading layout instead of the 1320px modal cap. */
+body.desktop-mode .help-container {
+  max-width: 1760px;
+  width: 96vw;
+}
+body.desktop-mode .help-content {
+  max-width: 1440px;
+  padding: 36px 56px 64px;
+}
+body.desktop-mode .editor-container {
+  max-height: 94vh;
+}
+@media (min-width: 1400px) {
+  .help-container {
+    max-width: min(1640px, calc(100vw - 48px));
+  }
+  .help-content {
+    max-width: 1280px;
+  }
+}
+
 /* ── Help Modal: Mobile responsive ── */
@media (max-width: 768px) {
  .help-container,
@@ -9461,7 +9943,9 @@ body.popup-mode .content-area {
 .bookslm-toolbar .ai-picker { margin-left: 0; padding-left: 0; border-left: none;
  flex-wrap: wrap; row-gap: 4px; }
 .bookslm-toolbar .ai-picker select { max-width: 220px; }
-.bookslm-panel.fullscreen { width: 100vw; }
+/* `!important` is required: the panel width is also written inline by the
+   resize handle / persisted width, and an inline style would otherwise win. */
+.bookslm-panel.fullscreen { width: 100vw !important; }
 .bookslm-status { padding: 6px 16px; font-size: 12px; color: var(--text-secondary);
  border-bottom: 1px solid var(--border); display: flex; gap: 12px; align-items: center; }
 .bookslm-status .bookslm-status-text { overflow: hidden; text-overflow: ellipsis; white-space: nowrap; }
@@ -9514,6 +9998,14 @@ body.popup-mode .content-area {
 .bookslm-bubble.assistant { align-self: flex-start; background: transparent; padding: 0; width: 100%; max-width: 100%; color: var(--text-primary); }
 .bookslm-bubble.assistant code { background: rgba(0,0,0,0.2); padding: 1px 4px; border-radius: 3px; font-size: 0.9em; }
 .bookslm-bubble.assistant pre { background: rgba(0,0,0,0.3); padding: 10px; border-radius: 6px; overflow-x: auto; margin: 8px 0; }
+/* #102 — per-code-block “Ajouter”: a discreet button in the block's corner,
+   revealed on hover/focus, that inserts only this section. */
+.bookslm-code-block { position: relative; }
+.bookslm-code-block .bookslm-code-insert { position: absolute; top: 6px; right: 6px;
+  z-index: 1; background: var(--surface2); border-color: var(--border); opacity: 0;
+  transition: opacity 0.15s; }
+.bookslm-code-block:hover .bookslm-code-insert,
+.bookslm-code-block:focus-within .bookslm-code-insert { opacity: 1; }
 .bookslm-sources { display: flex; flex-wrap: wrap; gap: 4px; margin-top: 8px; }
 .bookslm-source-badge { display: inline-flex; align-items: center; gap: 4px; padding: 2px 8px;
  background: var(--surface); border: 1px solid var(--border); border-radius: 12px;
@@ -9600,10 +10092,71 @@ details[open] > summary .bookslm-chevron::before { content: '▼'; }
 .bookslm-diff-add { color: #4ade80; display: block; }
 .bookslm-diff-del { color: #f87171; display: block; }
 .bookslm-diff-ctx { color: var(--text-secondary); display: block; }
+/* #106 — Actions instantanées contextuelles de l'assistant. */
 .bookslm-suggestions { display: flex; flex-direction: column; gap: 6px; padding: 8px 16px 0; }
-.bookslm-suggestion { padding: 8px 12px; border-radius: 8px; border: 1px solid var(--border);
-  background: var(--surface); color: var(--text-secondary); cursor: pointer; font-size: 13px; text-align: left; }
-.bookslm-suggestion:hover { background: var(--surface2); color: var(--text-primary); border-color: var(--accent); }
+.bookslm-suggestions.hidden { display: none; }
+.bookslm-qa-badge { flex-shrink: 0; font-size: 10px; text-transform: uppercase;
+  letter-spacing: 0.5px; font-weight: 600; color: var(--accent-text, var(--accent));
+  background: var(--accent-bg);
+  border: 1px solid var(--border); border-radius: 999px; padding: 2px 8px; }
+.bookslm-qa-badge.hidden { display: none; }
+.bookslm-qa-hint { margin: 0 0 2px; font-size: 12px; color: var(--text-secondary); line-height: 1.45; }
+.bookslm-qa-head { display: flex; align-items: center; justify-content: space-between; padding: 0 2px; }
+.bookslm-qa-label { font-size: 10px; font-weight: 700; letter-spacing: 0.8px;
+  text-transform: uppercase; color: var(--text-muted, var(--text-secondary)); opacity: 0.85; }
+.bookslm-qa-more { display: inline-flex; align-items: center; gap: 5px; background: none;
+  border: none; color: var(--accent); font-size: 12px; cursor: pointer; padding: 2px 4px;
+  border-radius: 6px; }
+.bookslm-qa-more:hover { background: var(--bg-hover); }
+.bookslm-qa-list { display: flex; flex-direction: column; gap: 6px; }
+.bookslm-qa-btn { display: flex; align-items: center; gap: 10px; width: 100%;
+  text-align: left; padding: 9px 12px; border-radius: 10px; cursor: pointer;
+  background: var(--surface); border: 1px solid var(--border); color: var(--text-secondary);
+  font-size: 13px; transition: background 0.15s ease, border-color 0.15s ease, color 0.15s ease; }
+.bookslm-qa-btn:hover { background: var(--surface2); border-color: var(--accent); color: var(--text-primary); }
+.bookslm-qa-btn .bookslm-qa-icon { color: var(--text-muted, var(--text-secondary)); flex-shrink: 0; }
+.bookslm-qa-btn:hover .bookslm-qa-icon { color: var(--accent); }
+.bookslm-qa-text { flex: 1; min-width: 0; overflow: hidden; text-overflow: ellipsis;
+  white-space: nowrap; font-weight: 500; }
+.bookslm-qa-go { opacity: 0; transform: translateX(-3px); transition: opacity 0.15s ease,
+  transform 0.15s ease; color: var(--accent); flex-shrink: 0; }
+.bookslm-qa-btn:hover .bookslm-qa-go { opacity: 1; transform: translateX(0); }
+/* Tiroir catalogue ("Toutes les actions") : bottom-sheet dans le panneau. */
+.bookslm-qa-drawer { position: absolute; inset: 0; z-index: 60; background: rgba(0, 0, 0, 0.45);
+  display: flex; align-items: flex-end; opacity: 0; transition: opacity 0.2s ease; }
+.bookslm-qa-drawer.hidden { display: none; }
+.bookslm-qa-drawer.open { opacity: 1; }
+.bookslm-qa-sheet { width: 100%; max-height: 82%; display: flex; flex-direction: column;
+  background: var(--bg-primary); border-top: 1px solid var(--border);
+  border-radius: 14px 14px 0 0; padding: 12px 14px 10px; box-shadow: 0 -8px 30px rgba(0, 0, 0, 0.35);
+  transform: translateY(100%); transition: transform 0.22s ease; }
+.bookslm-qa-drawer.open .bookslm-qa-sheet { transform: translateY(0); }
+.bookslm-qa-sheet-head { display: flex; align-items: center; justify-content: space-between; margin-bottom: 8px; }
+.bookslm-qa-sheet-title { display: inline-flex; align-items: center; gap: 7px; font-size: 14px;
+  font-weight: 600; color: var(--text-primary); }
+.bookslm-qa-sheet-title i { color: var(--accent); }
+.bookslm-qa-sheet-close { display: inline-flex; align-items: center; justify-content: center;
+  width: 26px; height: 26px; border-radius: 50%; border: none; cursor: pointer;
+  background: var(--surface); color: var(--text-secondary); }
+.bookslm-qa-sheet-close:hover { background: var(--surface2); color: var(--text-primary); }
+.bookslm-qa-search { position: relative; margin-bottom: 10px; }
+.bookslm-qa-search i { position: absolute; left: 9px; top: 50%; transform: translateY(-50%);
+  color: var(--text-secondary); pointer-events: none; }
+.bookslm-qa-search input { width: 100%; box-sizing: border-box; padding: 7px 10px 7px 30px;
+  border-radius: 8px; border: 1px solid var(--border); background: var(--surface);
+  color: var(--text-primary); font-size: 13px; outline: none; }
+.bookslm-qa-search input:focus { border-color: var(--accent); }
+.bookslm-qa-sheet-list { flex: 1; overflow-y: auto; display: flex; flex-direction: column; gap: 6px;
+  padding-bottom: 8px; }
+.bookslm-qa-cat { margin: 8px 2px 2px; display: flex; align-items: center; gap: 6px;
+  font-size: 10px; font-weight: 700; letter-spacing: 0.8px; text-transform: uppercase;
+  color: var(--text-secondary); position: sticky; top: 0; background: var(--bg-primary);
+  padding: 4px 0; z-index: 1; }
+.bookslm-qa-btn.compact { padding: 7px 10px; border-radius: 8px; font-size: 12.5px; }
+.bookslm-qa-empty { padding: 18px 8px; text-align: center; font-size: 12px; color: var(--text-secondary); }
+@media (prefers-reduced-motion: reduce) {
+  .bookslm-qa-drawer, .bookslm-qa-sheet, .bookslm-qa-btn, .bookslm-qa-go { transition: none; }
+}
 /* Formatted markdown inside assistant answers. */
 .bookslm-bubble.assistant > *:first-child { margin-top: 0; }
 .bookslm-bubble.assistant > *:last-child { margin-bottom: 0; }
@@ -11,7 +11,7 @@
 * cache or Cloudflare does NOT clear the Service Worker Cache Storage, which is
 * a separate store. Bumping SW_VERSION invalidates it on every release.
 */
-const SW_VERSION = 'v20';
+const SW_VERSION = 'v24';
 const CODE_CACHE = `obsigate-code-${SW_VERSION}`;
 const RUNTIME_CACHE = `obsigate-runtime-${SW_VERSION}`;
 const API_CACHE = `obsigate-api-${SW_VERSION}`;
@@ -0,0 +1,20 @@
+#!/usr/bin/env bash
+# Génère un token d'accès ObsiGate longue durée pour le client MCP
+# Conteneur de test local: obsigate-test (adapter le nom selon l'instance)
+docker exec -i obsigate-test python - <<'PYEOF'
+import time, uuid, json
+from jose import jwt
+key = open("data/secret.key").read().strip()
+u = json.load(open("data/users.json"))["users"]["admin"]
+now = int(time.time())
+tok = jwt.encode({
+    "sub": "admin",
+    "role": u["role"],
+    "vaults": u["vaults"],
+    "jti": str(uuid.uuid4()),
+    "iat": now,
+    "exp": now + 31536000,   # 1 an
+    "type": "access",
+}, key, algorithm="HS256")
+print(tok)
+PYEOF
@@ -1,6 +1,6 @@
 {
  "name": "obsigate",
-  "version": "2.7.4",
+  "version": "2.16.6",
  "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
  "main": "patch.js",
  "directories": {
@@ -0,0 +1,66 @@
+"""Pré-rend les diagrammes Mermaid du guide intégré en PNG (#105).
+
+Scanne les blocs ``<pre class="mermaid-code">`` de frontend/index.html,
+extrait leur code, et appelle scripts/render_guide_diagram.mjs (Chromium +
+mermaid v11) pour produire ``backend/assets/guide_diagrams/<sha1>.png``.
+Ces PNG sont commités : le PDF du guide les embarque comme vraies images
+(WeasyPrint ne sait pas exécuter Mermaid).
+
+Usage : python scripts/build_guide_diagrams.py
+"""
+import hashlib
+import html
+import json
+import re
+import subprocess
+import sys
+import tempfile
+from pathlib import Path
+
+ROOT = Path(__file__).resolve().parent.parent
+ASSETS = ROOT / "backend" / "assets" / "guide_diagrams"
+
+
+def extract_mermaid() -> dict[str, str]:
+    page_html = (ROOT / "frontend" / "index.html").read_text(encoding="utf-8")
+    out: dict[str, str] = {}
+    for m in re.finditer(
+        r'<pre class="mermaid-code"><code class="language-mermaid">(.*?)</code></pre>',
+        page_html,
+        re.DOTALL,
+    ):
+        code = m.group(1)
+        code = html.unescape(code).strip()
+        sha = hashlib.sha1(code.encode("utf-8")).hexdigest()[:16]
+        out[sha] = code
+    return out
+
+
+def main() -> int:
+    jobs = extract_mermaid()
+    if not jobs:
+        print("aucun bloc mermaid dans index.html")
+        return 1
+    todo = {k: v for k, v in jobs.items() if not (ASSETS / f"{k}.png").exists()}
+    print("diagrammes:", len(jobs), "| à rendre:", len(todo))
+    if not todo:
+        return 0
+    with tempfile.NamedTemporaryFile("w", suffix=".json", delete=False, encoding="utf-8") as f:
+        json.dump(todo, f)
+        path = f.name
+    r = subprocess.run(
+        ["node", str(ROOT / "scripts" / "render_guide_diagram.mjs"), path],
+        cwd=ROOT,
+        capture_output=True,
+        check=False,
+        text=True,
+        timeout=300,
+    )
+    print(r.stdout[-2000:])
+    if r.returncode != 0:
+        print(r.stderr[-2000:])
+    return r.returncode
+
+
+if __name__ == "__main__":
+    sys.exit(main())
@@ -0,0 +1,626 @@
+# -*- coding: utf-8 -*-
+"""Nouveau contenu du Guide d'utilisation (#105) — source unique de vérité.
+
+Rôles :
+  1. ``CONTENT`` : dictionnaire i18n clé -> (fr, en). Les locales FR/EN sont
+     générées depuis ce dictionnaire par ``scripts/merge_guide_locales.py``
+     (ne jamais éditer les blocs ``guide105.*`` des JSON à la main).
+  2. Les constantes ``SECTION_*`` / ``EXTRA_BLOCKS`` / ``TOC_INSERT_BEFORE``
+     décrivent le HTML à insérer dans ``frontend/index.html`` par
+     ``scripts/insert_guide_sections.py``. Le texte FR inline de chaque
+     élément portant ``data-i18n="guide105.X"`` DOIT être identique à
+     ``CONTENT[X][0]`` (sinon ``_applyDOM`` afficherait un texte incohérent
+     quand la locale FR est appliquée).
+
+Règle i18n : tout élément textuel des nouvelles sections porte une clé
+``guide105.*``. Les clés préexistantes ne sont jamais réutilisées avec un
+texte différent.
+"""
+
+# ---------------------------------------------------------------------------
+# Dictionnaire i18n (clé -> FR, EN)
+# ---------------------------------------------------------------------------
+
+CONTENT: dict[str, tuple[str, str]] = {
+    # -- TOC / titres de sections ---------------------------------------------
+    "nav_architecture": ("🏗️ Architecture", "🏗️ Architecture"),
+    "nav_library": ("⭐ Bibliothèque", "⭐ Library"),
+    "nav_diagrams": ("📊 Diagrammes", "📊 Diagrams"),
+    "nav_offline": ("📴 Hors-ligne", "📴 Offline"),
+    "nav_collab": ("👥 Collaboration", "👥 Collaboration"),
+    "nav_desktop": ("🖥️ Desktop", "🖥️ Desktop"),
+    "nav_api": ("🔌 API", "🔌 API"),
+    "nav_languages": ("🌍 Multilingue", "🌍 Languages"),
+
+    # -- Section Architecture ---------------------------------------------------
+    "arch_intro": (
+        "ObsiGate est une application web complète construite en couches indépendantes, sans base"
+        " de données externe : les notes vivent dans vos dossiers Obsidian, l'état applicatif dans"
+        " des fichiers JSON de <code>data/</code>, l'index de recherche en mémoire.",
+        "ObsiGate is a full web application built as independent layers, with no external"
+        " database: notes live in your Obsidian folders, app state in JSON files under"
+        " <code>data/</code>, the search index in memory.",
+    ),
+    "arch_diagram_note": (
+        "Le diagramme est interactif dans l'application : zoom, plein écran, copie SVG ou code.",
+        "The diagram is interactive in the app: zoom, fullscreen, copy SVG or code.",
+    ),
+    "arch_h3_layers": ("Les grandes composantes", "The main components"),
+    "arch_lbl_fe": ("Frontend", "Frontend"),
+    "arch_fe": (
+        " — SPA en JavaScript vanilla (modules ES), sans framework ni build npm :"
+        " <code>frontend/js/</code> (~30 modules). Le CSS utilise des variables pour les thèmes.",
+        " — vanilla-JavaScript SPA (ES modules), no framework, no npm build:"
+        " <code>frontend/js/</code> (~30 modules). CSS variables drive the themes.",
+    ),
+    "arch_lbl_be": ("Backend", "Backend"),
+    "arch_be": (
+        " — serveur FastAPI (Python 3.11) : rendu markdown (mistune + wikilinks),"
+        " recherche TF-IDF stemmisée (index inversé en mémoire), watchers watchdog, JWT +"
+        " Argon2id, webhooks HMAC, export PDF (WeasyPrint).",
+        " — FastAPI server (Python 3.11): markdown rendering (mistune + wikilinks), stemmed"
+        " TF-IDF search (in-memory inverted index), watchdog file watchers, JWT + Argon2id,"
+        " HMAC webhooks, PDF export (WeasyPrint).",
+    ),
+    "arch_lbl_realtime": ("Temps réel & MCP", "Realtime & MCP"),
+    "arch_rt": (
+        " — passerelle WebSocket (collaboration Yjs, notifications SSE/push) et serveur MCP"
+        " (Streamable HTTP, <code>/mcp</code>) pour les clients externes.",
+        " — WebSocket gateway (Yjs collaboration, SSE/push notifications) and an MCP server"
+        " (Streamable HTTP, <code>/mcp</code>) for external clients.",
+    ),
+    "arch_lbl_ai": ("Couche IA", "AI layer"),
+    "arch_ai": (
+        " — assistants d'édition et BooksLM multi-providers (DeepSeek, OpenRouter, Gemini,"
+        " Mistral…), bibliothèque d'outils (function calling, recherche web, crawl, lecture de"
+        " documents) et embeddings optionnels pour la recherche sémantique.",
+        " — editor assistant and BooksLM with multiple providers (DeepSeek, OpenRouter, Gemini,"
+        " Mistral…), a tool library (function calling, web search, crawl, document reading) and"
+        " optional embeddings for semantic search.",
+    ),
+    "arch_lbl_data": ("Données", "Data"),
+    "arch_data": (
+        " — les vaults Obsidian sur disque (source de vérité), la configuration en JSON"
+        " (<code>data/</code>), les backups horodatés (<code>.obsigate-backup/</code>),"
+        " l'audit en JSON lines, les clés API chiffrées dans <code>data/api_keys.json</code>.",
+        " — Obsidian vaults on disk (the source of truth), JSON configuration"
+        " (<code>data/</code>), timestamped backups (<code>.obsigate-backup/</code>), a JSON-lines"
+        " audit log, encrypted API keys in <code>data/api_keys.json</code>.",
+    ),
+    "arch_lbl_deploy": ("Déploiement", "Deployment"),
+    "arch_deploy": (
+        " — application desktop Tauri (Rust) embarquant le backend Python, conteneur Docker, ou"
+        " PWA installable dans le navigateur (mode hors-ligne).",
+        " — Tauri desktop app (Rust) embedding the Python backend, a Docker container, or an"
+        " installable PWA in the browser (offline mode).",
+    ),
+    "arch_h3_flux": ("Flux typique", "Typical request flow"),
+    "arch_flux": (
+        " Un clic sur un fichier émet <code>GET /api/file/...</code> ; le backend résout le chemin"
+        " en sécurité, parse le frontmatter, rend le markdown et renvoie le HTML ; le frontend"
+        " enrichit l'affichage (Mermaid, coloration, wikilinks cliquables). Chaque écriture crée"
+        " un backup avant application.",
+        " Clicking a file issues <code>GET /api/file/...</code>; the backend resolves the path"
+        " safely, parses frontmatter, renders the markdown and returns HTML; the frontend"
+        " enriches the view (Mermaid, syntax highlighting, clickable wikilinks). Every write"
+        " creates a backup before applying.",
+    ),
+
+    # -- Section Diagrammes ---------------------------------------------------------
+    "dia_intro": (
+        "Les blocs <code>```mermaid</code> de vos notes sont rendus en diagrammes interactifs"
+        " (Mermaid v11, chargé depuis un CDN).",
+        "<code>```mermaid</code> blocks in your notes render as interactive diagrams (Mermaid v11,"
+        " loaded from a CDN).",
+    ),
+    "dia_zoom": ("Zoom : boutons + / − dans la barre d'outils du diagramme.",
+                 "Zoom: + / − buttons in the diagram toolbar."),
+    "dia_fs": ("Plein écran : idéal pour les grandes matrices.",
+               "Fullscreen: ideal for large charts."),
+    "dia_copy": ("Copie : exportez le SVG ou le code source (boutons dédiés).",
+                 "Copy: export the SVG or the source code (dedicated buttons)."),
+    "dia_toggle": ("Bascule Aperçu / Code pour éditer la source sans quitter la vue.",
+                   "Preview / Code toggle to edit the source without leaving the view."),
+    "dia_theme": ("Thème : le diagramme suit le thème clair/sombre de l'application.",
+                  "Theme: the diagram follows the app's light/dark theme."),
+    "dia_types": (
+        "Types supportés : flowchart, sequence, class, state, ER, gantt, pie, journey, quadrant,"
+        " radar, mindmap, timeline, C4, xychart, sankey — plus un préprocesseur qui comprend la"
+        " syntaxe Obsidian.",
+        "Supported types: flowchart, sequence, class, state, ER, gantt, pie, journey, quadrant,"
+        " radar, mindmap, timeline, C4, xychart, sankey — plus a preprocessor that understands"
+        " Obsidian syntax.",
+    ),
+    "dia_excalidraw_ref": (
+        "Les dessins à main levée (<code>.excalidraw</code>, <code>.excalidraw.md</code>) sont"
+        " couverts dans la section 🎨 Excalidraw.",
+        "Hand-drawn sketches (<code>.excalidraw</code>, <code>.excalidraw.md</code>) are covered"
+        " in the 🎨 Excalidraw section.",
+    ),
+
+    # -- Section Bibliothèque & signets ---------------------------------------------
+    "lib_h3_bookmarks": ("Signets & récents", "Bookmarks & recents"),
+    "lib_bookmarks": (
+        "Marquez un fichier d'un ★ (bouton Signet de la barre d'actions) : il rejoint la liste"
+        " des signets du dashboard. Les fichiers récemment ouverts sont listés automatiquement"
+        " dans l'onglet « Récents » de la sidebar, avec un filtre de recherche dédié.",
+        "Star a file with the Bookmark button in the action bar: it joins the dashboard's"
+        " bookmark list. Recently opened files are listed automatically in the sidebar's"
+        " \"Recent\" tab, with a dedicated search filter.",
+    ),
+    "lib_h3_saved": ("Recherches sauvegardées", "Saved searches"),
+    "lib_saved": (
+        "Enregistrez une recherche depuis la page de résultats pour la relancer en un clic depuis"
+        " la sidebar : chaque recherche sauvegardée conserve ses opérateurs et filtres.",
+        "Save a search from the results page to rerun it in one click from the sidebar: each saved"
+        " search keeps its operators and filters.",
+    ),
+    "lib_h3_backlinks": ("Backlinks & graphe", "Backlinks & graph"),
+    "lib_backlinks": (
+        "Le panneau Backlinks liste toutes les notes qui pointent vers le fichier ouvert. La vue"
+        " Graphe (bouton 🕸️) affiche les liens entre fichiers : glissez les nœuds, zoomez à la"
+        " molette, double-cliquez pour ouvrir une note.",
+        "The Backlinks panel lists every note pointing to the open file. The Graph view (🕸️"
+        " button) shows links between files: drag nodes, scroll to zoom, double-click a node to"
+        " open the note.",
+    ),
+    "lib_h3_conflicts": ("Conflits de synchronisation", "Sync conflicts"),
+    "lib_conflicts": (
+        "Si vous synchronisez le vault avec Syncthing, ObsiGate détecte les fichiers de conflit"
+        " (copies « sync-conflict ») et propose de les comparer puis résoudre depuis la page"
+        " dédiée du menu Options.",
+        "If you sync the vault with Syncthing, ObsiGate detects conflict files"
+        " (\"sync-conflict\" copies) and offers to compare then resolve them from a dedicated"
+        " page in the Options menu.",
+    ),
+    "lib_h3_attach": ("Fichiers joints & médias", "Attachments & media"),
+    "lib_attach": (
+        "Les images <code>![[image.png]]</code>, pièces jointes et médias (audio, vidéo, PDF"
+        " intégrés) dans les notes sont rendus dans le viewer et indexés pour la recherche ; le"
+        " bouton « Rescan attachments » de la configuration recrée l'index des pièces jointes.",
+        "Inline <code>![[image.png]]</code> images, attachments and media (audio, video, embedded"
+        " PDFs) are rendered in the viewer and indexed for search; the \"Rescan attachments\""
+        " button in Configuration rebuilds the attachment index.",
+    ),
+
+    # -- Section Hors-ligne -----------------------------------------------------------
+    "off_pwa": (
+        "ObsiGate est une PWA : installez-la (icône d'installation de la barre d'adresse) pour"
+        " l'ouvrir comme une application. Le service worker met en cache l'interface et vos"
+        " derniers documents consultés.",
+        "ObsiGate is a PWA: install it (install icon in the address bar) to open it like an app."
+        " The service worker caches the UI and your recently viewed documents.",
+    ),
+    "off_edit": (
+        "Hors-ligne, vous pouvez lire les documents en cache et même les éditer : les"
+        " modifications sont mises en file d'attente dans IndexedDB.",
+        "Offline you can read cached documents and even edit them: changes are queued in"
+        " IndexedDB.",
+    ),
+    "off_sync": (
+        "Au retour en ligne, la file se rejoue automatiquement (badge de synchronisation dans"
+        " l'en-tête). Si la version serveur a divergé entre-temps, le fichier est marqué en"
+        " conflit et la version serveur est préservée en backup.",
+        "When back online the queue replays automatically (sync badge in the header). If the"
+        " server version diverged meanwhile, the file is flagged as conflict and the server copy"
+        " is kept as a backup.",
+    ),
+    "off_watch": (
+        "Les modifications externes (Obsidian sur disque) sont détectées par le watcher : la vue"
+        " se recharge sans perte de position, ou signale « modifié en externe » pendant une"
+        " édition.",
+        "External changes (Obsidian on disk) are detected by the watcher: the view reloads"
+        " without losing your position, or flags \"modified externally\" during an edit.",
+    ),
+
+    # -- Section Collaboration ----------------------------------------------------------
+    "col_intro": (
+        "Ouvrez un document en mode Édition : plusieurs personnes peuvent travailler"
+        " simultanément sur le même fichier via un WebSocket Yjs (CRDT). Les modifications"
+        " fusionnent sans verrou.",
+        "Open a document in Edit mode: several people can work on the same file simultaneously"
+        " over a Yjs (CRDT) WebSocket. Changes merge without locks.",
+    ),
+    "col_cursors": (
+        "Les curseurs et sélections des collaborateurs apparaissent avec une couleur et un nom"
+        " par personne (awareness).",
+        "Collaborators' cursors and selections appear with a per-person colour and name"
+        " (awareness).",
+    ),
+    "col_save": (
+        "La fusion est persistée côté serveur après 2 s d'inactivité ; chaque écriture crée un"
+        " backup horodaté avant application.",
+        "The merge is persisted server-side after 2 s of idle; every write creates a timestamped"
+        " backup before applying.",
+    ),
+    "col_perm": (
+        "Accès limité aux utilisateurs authentifiés disposant de la permission sur la vault.",
+        "Limited to authenticated users with permission on the vault.",
+    ),
+
+    # -- Section Desktop ------------------------------------------------------------------
+    "des_get": (
+        "L'application desktop ObsiGate (Tauri) embarque le serveur Python : aucune installation"
+        " de Docker nécessaire. Elle se télécharge sur la page des Releases du dépôt et se met à"
+        " jour automatiquement (updater signé).",
+        "The ObsiGate desktop app (Tauri) embeds the Python server: no Docker install needed."
+        " Download it from the repository's Releases page; it auto-updates (signed updater).",
+    ),
+    "des_wizard": (
+        "Au premier lancement, un assistant demande le dossier de vos vaults (ou crée un vault de"
+        " démonstration). Chaque document peut être détaché en fenêtre native séparée.",
+        "On first launch a wizard asks for your vaults folder (or creates a demo vault). Any"
+        " document can be detached into its own native window.",
+    ),
+    "des_data": (
+        "Les données desktop restent dans le répertoire applicatif ; les vaults pointent sur vos"
+        " dossiers existants. Toutes les fonctionnalités web (recherche, IA, partage) sont"
+        " disponibles.",
+        "Desktop data stays in the app directory; vaults point at your existing folders. Every web"
+        " feature (search, AI, sharing) is available.",
+    ),
+    "des_native": (
+        "Menu système natif, raccourci global optionnel pour afficher/masquer la fenêtre et"
+        " jumplist des vaults récents.",
+        "Native system menu, optional global show/hide shortcut and a recents vault jumplist.",
+    ),
+
+    # -- Section API ------------------------------------------------------------------------
+    "api_intro": (
+        "ObsiGate expose une API REST couvrant toute l'application (vaults, fichiers, recherche,"
+        " backups, export, IA, partage, admin), documentée en OpenAPI 3.1 :",
+        "ObsiGate exposes a REST API covering the whole application (vaults, files, search,"
+        " backups, export, AI, sharing, admin), documented in OpenAPI 3.1:",
+    ),
+    "api_docs_url": (
+        "<code>/docs</code> — interface Swagger UI pour essayer les requêtes en direct.",
+        "<code>/docs</code> — Swagger UI to try requests live.",
+    ),
+    "api_redoc": (
+        "<code>/redoc</code> — référence alternative plus compacte.",
+        "<code>/redoc</code> — compact alternative reference.",
+    ),
+    "api_landing": (
+        "<code>/api</code> — page de garde regroupant les endpoints par catégorie.",
+        "<code>/api</code> — landing page grouping endpoints by category.",
+    ),
+    "api_schema": (
+        "<code>/openapi.json</code> — le schéma machine, à importer dans Postman ou Insomnia.",
+        "<code>/openapi.json</code> — the machine schema, import into Postman or Insomnia.",
+    ),
+    "api_h3_auth": ("Authentification", "Authentication"),
+    "api_auth": (
+        "Connectez-vous via <code>POST /api/auth/login</code> pour obtenir un token Bearer (le"
+        " même jeton est accepté en cookie HttpOnly, ce qui permet aux clients navigateur"
+        ' d\'utiliser <code>credentials: "include"</code>). Toutes les routes'
+        " <code>/api/*</code> exigent ce jeton sauf mention contraire.",
+        "Log in via <code>POST /api/auth/login</code> to get a Bearer token (the same token is"
+        " accepted as an HttpOnly cookie, so browser clients can use"
+        ' <code>credentials: "include"</code>). All <code>/api/*</code> routes require it unless'
+        " documented otherwise.",
+    ),
+    "api_h3_mcp": ("Serveur MCP", "MCP server"),
+    "api_mcp": (
+        "Les outils de l'assistant IA (lire, lister, chercher, ouvrir, écrire…) sont exposés à"
+        " tout client MCP (Claude Desktop, Cursor, Cline…) sur"
+        " <code>https://votre-instance/mcp</code> avec un token d'API. Configuration et exemples :"
+        " <code>docs/MCP_GUIDE.md</code>.",
+        "The assistant's tools (read, list, search, open, write…) are exposed to any MCP client"
+        " (Claude Desktop, Cursor, Cline…) at <code>https://your-instance/mcp</code> with an API"
+        " token. Setup and examples: <code>docs/MCP_GUIDE.md</code>.",
+    ),
+    "api_h3_autom": ("Automatisation", "Automation"),
+    "api_autom": (
+        "Pour automatiser depuis l'extérieur : <code>GET /api/search?q=…</code> et"
+        " <code>GET /api/file/{vault}?path=…</code> permettent d'indexer ou relire vos notes dans"
+        " un autre outil ; les webhooks sortants (section 🪝) évitent le polling.",
+        "To automate from outside: <code>GET /api/search?q=…</code> and"
+        " <code>GET /api/file/{vault}?path=…</code> let another tool index or re-read your notes;"
+        " outgoing webhooks (🪝 section) avoid polling.",
+    ),
+
+    # -- Section Multilingue -------------------------------------------------------------------
+    "lng_how": (
+        "L'interface est intégralement bilingue français / anglais. Réglages → Profil → Langue :"
+        " le choix est enregistré sur votre compte et vous suit sur tous les appareils.",
+        "The interface is fully bilingual FR/EN. Settings → Profile → Language: the choice is"
+        " stored on your account and follows you across devices.",
+    ),
+    "lng_scope": (
+        "Tout est traduit : menus, messages, notifications, et le présent guide. Les réponses de"
+        " l'assistant IA suivent la langue de vos documents.",
+        "Everything is translated: menus, messages, notifications, and this guide. AI assistant"
+        " answers follow the language of your documents.",
+    ),
+    "lng_export": (
+        "Les boutons Markdown / PDF de ce guide téléchargent la version dans votre langue.",
+        "This guide's Markdown / PDF buttons download the version in your language.",
+    ),
+
+    # -- Compléments dans sections existantes ---------------------------------------------------
+    "h3_semantic": ("Recherche sémantique (hybride)", "Semantic search (hybrid)"),
+    "sem_p1": (
+        "Activez le bouton « S » de la barre de recherche (ou Alt-S) pour combiner TF-IDF et"
+        " similarité vectorielle (fusion RRF) : les concepts approchants (« velours » trouve"
+        " « tissu doux ») remontent mieux.",
+        "Toggle the \"S\" button in the search bar (or Alt-S) to combine TF-IDF with vector"
+        " similarity (RRF fusion): near concepts (\"velvet\" finds \"soft fabric\") surface"
+        " higher.",
+    ),
+    "sem_p2": (
+        "Le moteur d'embeddings (modèle multilingue) est optionnel : sans lui, un repli par hash"
+        " conserve une recherche hybride fonctionnelle. Les vecteurs sont recalculés à chaque"
+        " indexation du vault.",
+        "The embedding engine (multilingual model) is optional: without it a hash fallback keeps"
+        " hybrid search working. Vectors are recomputed on each vault reindex.",
+    ),
+    "h3_push": ("Notifications web (push)", "Web notifications (push)"),
+    "push_p1": (
+        "Autorisez les notifications (bouton 🔔 de l'en-tête) pour être averti des fins de"
+        " synchronisation hors-ligne et des événements importants. La gestion des abonnements est"
+        " dans les Configurations.",
+        "Grant notification permission (🔔 button in the header) to be alerted of offline-sync"
+        " completions and important events. Subscription management lives in Configuration.",
+    ),
+    "push_p2": (
+        "Basée sur la Web Push API (clés VAPID) ; fonctionne sur desktop et PWA mobile, sans"
+        " service tiers : le serveur émet directement vers les endpoints push des navigateurs.",
+        "Built on the Web Push API (VAPID keys); works on desktop and mobile PWA with no"
+        " third-party service: the server sends directly to browser push endpoints.",
+    ),
+    "h3_panes": ("Vue multi-panneaux (split view)", "Multi-pane split view"),
+    "panes_p": (
+        "Le bouton « Diviser » de la barre d'actions ouvre le document dans un panneau jumeau ;"
+        " empilez plusieurs panneaux pour comparer deux notes ou lire et éditer en parallèle. Les"
+        " largeurs se règlent au bord des panneaux et sont mémorisées.",
+        "The \"Split\" button in the action bar opens the document in a twin pane; stack several"
+        " panes to compare two notes or read and edit side by side. Pane widths drag on the"
+        " border and are remembered.",
+    ),
+    "h3_dupe": ("Anti-doublons à l'upload", "Duplicate-proof uploads"),
+    "dupe_p": (
+        "L'upload en masse (glisser-déposer un dossier sur la sidebar) compare chaque fichier au"
+        " contenu existant : un fichier déjà présent est ignoré plutôt que dupliqué avec un"
+        " suffixe « (1) ». Utile pour restaurer un vault sans créer de doublons.",
+        "Bulk upload (drag a folder onto the sidebar) compares each file with existing content: an"
+        " already-present file is skipped rather than duplicated with a \"(1)\" suffix. Handy"
+        " when restoring a vault.",
+    ),
+    "h3_pdf": ("Export PDF", "PDF export"),
+    "pdf_p": (
+        "Le bouton « PDF » d'un document le rend avec le même moteur que la vue (WeasyPrint) :"
+        " titres, tableaux, listes et code sont conservés. Depuis un lien public, la route"
+        " <code>/s/{token}/pdf</code> produit le même PDF.",
+        "A document's \"PDF\" button renders it with the same engine as the viewer (WeasyPrint):"
+        " headings, tables, lists and code are preserved. From a public link, the"
+        " <code>/s/{token}/pdf</code> route produces the same PDF.",
+    ),
+    "h3_exports": ("Export HTML / ePub / ZIP", "HTML / ePub / ZIP export"),
+    "exp_p": (
+        "Le menu « Exporter » propose trois formats : HTML autonome (fichier unique, images"
+        " incluses), ePub pour les liseuses et, pour un dossier, un bundle Markdown en ZIP —"
+        " liens et ressources résolus pendant l'export.",
+        "The \"Export\" menu offers three formats: standalone HTML (single file, images inlined),"
+        " ePub for e-readers and, for a folder, a Markdown ZIP bundle — links and resources"
+        " resolved during export.",
+    ),
+    "h3_mfa": ("MFA : TOTP, WebAuthn, codes de secours", "MFA: TOTP, WebAuthn, recovery codes"),
+    "mfa_p": (
+        "Activez la double authentification dans Réglages → Profil : applications TOTP (Authy,"
+        " Aegis…), clés de sécurité et passkeys (WebAuthn, y compris Windows Hello) et 10 codes"
+        " de secours à conserver hors ligne. Chaque méthode s'active et se désactive"
+        " indépendamment.",
+        "Enable two-factor auth in Settings → Profile: TOTP apps (Authy, Aegis…), security keys"
+        " and passkeys (WebAuthn, including Windows Hello) and 10 recovery codes to keep offline."
+        " Each method can be enabled and disabled independently.",
+    ),
+    "h3_admin": ("Tableau de bord administrateur", "Admin dashboard"),
+    "admin_p": (
+        "Le rôle admin ouvre une page dédiée <code>/admin.html</code> (bouton du menu Options) :"
+        " statut du serveur en direct, utilisateurs, vaults, sessions actives et journal d'audit."
+        " Le CRUD utilisateurs est aussi disponible dans les Configurations.",
+        "The admin role unlocks a dedicated <code>/admin.html</code> page (Options menu button):"
+        " live server status, users, vaults, active sessions and the audit log. User CRUD also"
+        " lives in Configuration.",
+    ),
+
+    # -- Boutons de téléchargement ---------------------------------------------------------------
+    "dl_md_title": ("Télécharger ce guide en Markdown", "Download this guide as Markdown"),
+    "dl_pdf_title": ("Télécharger ce guide en PDF", "Download this guide as PDF"),
+    # -- Export MD/PDF (côté serveur) -------------------------------------------------------------
+    "export_title": ("Guide d'utilisation ObsiGate", "ObsiGate User Guide"),
+    "export_footer": (
+        "Généré depuis ObsiGate {version} — {date}. Ce document est la copie du guide intégré ;"
+        " la version la plus récente est toujours dans l'application.",
+        "Generated from ObsiGate {version} — {date}. This document mirrors the in-app guide; the"
+        " latest version always lives in the application.",
+    ),
+}
+
+# ---------------------------------------------------------------------------
+# Diagramme Mermaid de la section Architecture (également utilisé par l'export)
+# ---------------------------------------------------------------------------
+
+ARCH_MERMAID = """flowchart TB
+    subgraph client["Clients"]
+        UI["SPA vanilla JS\\n(frontend/js)"]
+        PWA["PWA hors-ligne\\n(service worker + IndexedDB)"]
+        DESK["App desktop Tauri\\n(fenêtre native)"]
+    end
+    subgraph server["Serveur FastAPI (Python 3.11)"]
+        API["REST /api\\nJWT + Argon2id"]
+        IDX["Index recherche\\nTF-IDF + embeddings"]
+        FS["Accès fichiers\\nwatchdog + safe paths"]
+        PDF["Rendu markdown\\nmistune + WeasyPrint"]
+        AI["Assistant IA\\nproviders + outils"]
+        MCP["Serveur MCP\\n/mcp (HTTP)"]
+        WS["WebSocket\\ncollab Yjs + SSE"]
+        WH["Webhooks\\nHMAC-SHA256"]
+    end
+    subgraph data["Données"]
+        V1["Vault 1 (dossier)"]
+        V2["Vault 2 (dossier)"]
+        CFG["data/*.json\\nconfig, users, audit"]
+        BK[".obsigate-backup/\\nbackups horodatés"]
+    end
+    UI -- HTTP --> API
+    PWA -- "cache + queue" --> API
+    DESK -- embarqué --> API
+    API --> IDX
+    API --> FS
+    API --> PDF
+    API --> AI
+    MCP --> AI
+    WS --> FS
+    FS --> V1
+    FS --> V2
+    IDX --> V1
+    IDX --> V2
+    BK --> V1
+    API --> CFG
+    API -- événements --> WH"""
+
+# ---------------------------------------------------------------------------
+# Constructeurs de HTML (FR inline == CONTENT[key][0] garanti)
+# ---------------------------------------------------------------------------
+
+
+def section_html(title_key: str, sec_id: str, body: str) -> str:
+    """Nouvelle <section> complète avec son h2 data-i18n."""
+    return (
+        '                        <section class="help-section" id="%s">\n'
+        '                            <h2 data-i18n="guide105.%s">%s</h2>\n'
+        "%s"
+        "                        </section>\n"
+        "\n" % (sec_id, title_key, CONTENT[title_key][0], body)
+    )
+
+
+def _li(key: str) -> str:
+    return '                                <li data-i18n="guide105.%s">%s</li>\n' % (key, CONTENT[key][0])
+
+
+def _bullets(keys: list) -> str:
+    return "                            <ul>\n" + "".join(_li(k) for k in keys) + "                            </ul>\n"
+
+
+def _p(key: str) -> str:
+    return '                            <p data-i18n="guide105.%s">%s</p>\n' % (key, CONTENT[key][0])
+
+
+def _h3(key: str) -> str:
+    return '                            <h3 data-i18n="guide105.%s">%s</h3>\n' % (key, CONTENT[key][0])
+
+
+def _pair(label_key: str, text_key: str) -> str:
+    """<li><strong>Label</strong><span> — texte</span></li> (deux clés i18n)."""
+    return (
+        "                                <li>\n"
+        '                                    <strong data-i18n="guide105.%s">%s</strong>'
+        '<span data-i18n="guide105.%s">%s</span>\n'
+        "                                </li>\n"
+        % (label_key, CONTENT[label_key][0], text_key, CONTENT[text_key][0])
+    )
+
+
+def _h3p(h3_key: str, *p_keys: str) -> str:
+    return _h3(h3_key) + "".join(_p(k) for k in p_keys)
+
+
+# ---------------------------------------------------------------------------
+# Les huit nouvelles sections
+# ---------------------------------------------------------------------------
+
+SECTION_ARCHITECTURE = section_html(
+    "nav_architecture",
+    "help-architecture",
+    _p("arch_intro")
+    + '                            <pre class="mermaid-code"><code class="language-mermaid">%s</code></pre>\n' % ARCH_MERMAID
+    + _p("arch_diagram_note")
+    + _h3("arch_h3_layers")
+    + "                            <ul>\n"
+    + _pair("arch_lbl_fe", "arch_fe")
+    + _pair("arch_lbl_be", "arch_be")
+    + _pair("arch_lbl_realtime", "arch_rt")
+    + _pair("arch_lbl_ai", "arch_ai")
+    + _pair("arch_lbl_data", "arch_data")
+    + _pair("arch_lbl_deploy", "arch_deploy")
+    + "                            </ul>\n"
+    + _h3p("arch_h3_flux", "arch_flux"),
+)
+
+SECTION_DIAGRAMS = section_html(
+    "nav_diagrams",
+    "help-diagrams",
+    _p("dia_intro")
+    + _bullets(["dia_zoom", "dia_fs", "dia_copy", "dia_toggle", "dia_theme"])
+    + _p("dia_types")
+    + _p("dia_excalidraw_ref"),
+)
+
+SECTION_LIBRARY = section_html(
+    "nav_library",
+    "help-library",
+    _h3p("lib_h3_bookmarks", "lib_bookmarks")
+    + _h3p("lib_h3_saved", "lib_saved")
+    + _h3p("lib_h3_backlinks", "lib_backlinks")
+    + _h3p("lib_h3_conflicts", "lib_conflicts")
+    + _h3p("lib_h3_attach", "lib_attach"),
+)
+
+SECTION_OFFLINE = section_html("nav_offline", "help-offline", _bullets(["off_pwa", "off_edit", "off_sync", "off_watch"]))
+
+SECTION_COLLAB = section_html("nav_collab", "help-collab", _bullets(["col_intro", "col_cursors", "col_save", "col_perm"]))
+
+SECTION_DESKTOP = section_html("nav_desktop", "help-desktop", _bullets(["des_get", "des_wizard", "des_data", "des_native"]))
+
+SECTION_API = section_html(
+    "nav_api",
+    "help-api",
+    _p("api_intro")
+    + _bullets(["api_docs_url", "api_redoc", "api_landing", "api_schema"])
+    + _h3p("api_h3_auth", "api_auth")
+    + _h3p("api_h3_mcp", "api_mcp")
+    + _h3p("api_h3_autom", "api_autom"),
+)
+
+SECTION_LANG = section_html("nav_languages", "help-languages", _bullets(["lng_how", "lng_scope", "lng_export"]))
+
+# (id de section, HTML complet, id de la section AVANT laquelle insérer)
+NEW_SECTIONS: list[tuple[str, str, str]] = [
+    ("help-architecture", SECTION_ARCHITECTURE, "help-interface"),
+    ("help-diagrams", SECTION_DIAGRAMS, "help-edition"),
+    ("help-library", SECTION_LIBRARY, "help-graphe"),
+    ("help-offline", SECTION_OFFLINE, "help-partage"),
+    ("help-collab", SECTION_COLLAB, "help-partage"),
+    ("help-desktop", SECTION_DESKTOP, "help-partage"),
+    ("help-api", SECTION_API, "help-plugins"),
+    ("help-languages", SECTION_LANG, "help-plugins"),
+]
+
+# Compléments insérés À LA FIN de sections existantes (avant leur </section>) :
+#   section id -> bloc HTML
+EXTRA_BLOCKS: list[tuple[str, str]] = [
+    ("help-interface", _h3p("h3_push", "push_p1", "push_p2")),
+    ("help-recherche", _h3p("h3_semantic", "sem_p1", "sem_p2")),
+    ("help-fichiers", _h3p("h3_pdf", "pdf_p") + _h3p("h3_exports", "exp_p") + _h3p("h3_dupe", "dupe_p")),
+    ("help-personnalisation", _h3p("h3_panes", "panes_p")),
+    ("help-securite", _h3p("h3_mfa", "mfa_p") + _h3p("h3_admin", "admin_p")),
+]
+
+# Entrées TOC à insérer AVANT l'entrée dont l'href est la 3e valeur.
+TOC_INSERT_BEFORE: list[tuple[str, str, str]] = [
+    ("nav_architecture", "#help-architecture", "#help-interface"),
+    ("nav_diagrams", "#help-diagrams", "#help-edition"),
+    ("nav_library", "#help-library", "#help-graphe"),
+    ("nav_offline", "#help-offline", "#help-partage"),
+    ("nav_collab", "#help-collab", "#help-partage"),
+    ("nav_desktop", "#help-desktop", "#help-partage"),
+    ("nav_api", "#help-api", "#help-plugins"),
+    ("nav_languages", "#help-languages", "#help-plugins"),
+]
+
+# Section « Édition mobile » dédiée (fix BUG-067) : créée par le script
+# d'insertion après la section help-edition.
+MOBILE_SECTION_TITLE_KEY = "help.nav_mobile_editor"
+MOBILE_SECTION_TITLE_FR = "📱 Édition mobile"
@@ -0,0 +1,124 @@
+# -*- coding: utf-8 -*-
+"""Insère le nouveau contenu guide #105 dans frontend/index.html.
+
+- 8 nouvelles sections + entrées de TOC (guide_content.py)
+- compléments h3 dans 5 sections existantes
+- BUG-067 : le bloc « Édition mobile » de help-edition devient la section
+  dédiée help-mobile-editor (ancre morte → ancre vivante)
+- retire l'attribut data-i18n-placeholder dupliqué sur #help-nav-search
+
+Idempotent : refuse de tourner deux fois (détecte guide105.* déjà présent).
+Préserve les fins de ligne CRLF de index.html.
+"""
+import re
+import sys
+from pathlib import Path
+
+sys.path.insert(0, str(Path(__file__).resolve().parent))
+from guide_content import (  # noqa: E402
+    CONTENT,
+    EXTRA_BLOCKS,
+    NEW_SECTIONS,
+    TOC_INSERT_BEFORE,
+)
+
+HTML = Path("C:/dev/git/python/ObsiGate/frontend/index.html")
+
+
+_CRLF = False
+
+
+def to_crlf(s: str) -> str:
+    return s.replace("\n", "\r\n") if _CRLF else s
+
+
+def main() -> int:
+    with open(HTML, encoding="utf-8", newline="") as f:
+        raw = f.read()
+    global _CRLF
+    _CRLF = "\r\n" in raw
+    if _CRLF:
+        raw = raw.replace("\r\n", "\n")  # normaliser ; régénéré à l'écriture
+    if "guide105." in raw:
+        print("already inserted — abort")
+        return 1
+
+    # Localise le guide (après la modale de config) : on opère uniquement dans
+    # la fenêtre help-modal pour ne pas toucher le TOC #cfg-* de la config.
+    guide_start = raw.index('<div class="editor-modal" id="help-modal">')
+    head, guide = raw[:guide_start], raw[guide_start:]
+
+    # ── Fix BUG-067 : section mobile dédiée ────────────────────────────────
+    m_h3 = guide.index('<h3 data-i18n="help.mobile_editor_title">')
+    # le bloc va jusqu'à la fin de la section help-edition
+    m_sec_end = guide.index("</section>", m_h3)
+    mobile_block = guide[m_h3:m_sec_end]
+    guide = guide[:m_h3] + guide[m_sec_end:]
+    # h3 -> h2, et on emballe en section dédiée
+    mobile_h2 = mobile_block.replace('<h3 data-i18n="help.mobile_editor_title">',
+                                      '<h2 data-i18n="help.mobile_editor_title">', 1)
+    mobile_h2 = mobile_h2.replace("</h3>", "</h2>", 1)
+    mobile_section = (
+        '                        <section class="help-section" id="help-mobile-editor">\n'
+        + mobile_h2.rstrip()
+        + "\n                        </section>\n\n"
+    )
+    # insérer après help-edition (donc avant help-graphe)
+    anchor = guide.index('<section class="help-section" id="help-graphe">')
+    guide = guide[:anchor] + mobile_section + guide[anchor:]
+
+    # ── Compléments h3 dans sections existantes ────────────────────────────
+    for sec_id, block in EXTRA_BLOCKS:
+        pat = 'id="%s"' % sec_id
+        a = guide.index(pat)
+        b = guide.index("</section>", a)
+        guide = guide[:b] + to_crlf(block) + guide[b:]
+
+    # ── Nouvelles sections ─────────────────────────────────────────────────
+    for sec_id, html, before_id in NEW_SECTIONS:
+        anchor = guide.index('<section class="help-section" id="%s">' % before_id)
+        guide = guide[:anchor] + to_crlf(html) + guide[anchor:]
+
+    # ── Entrées TOC ────────────────────────────────────────────────────────
+    for key, href, before_href in TOC_INSERT_BEFORE:
+        label = CONTENT[key][0]
+        entry = to_crlf(
+            "                            <li>\n"
+            '                                <a href="%s" class="help-nav-link" data-i18n="guide105.%s">%s</a>\n'
+            "                            </li>\n" % (href, key, label)
+        )
+        needle = 'href="%s"' % before_href
+        # l'entrée <li> qui contient ce href
+        i = guide.index(needle)
+        li_start = guide.rindex("<li>", 0, i)
+        guide = guide[:li_start] + entry + guide[li_start:]
+
+    # ── Anchor #help-ia mort (nav) → #help-ai (id de section réel) ─────────
+    guide = guide.replace('href="#help-ia"', 'href="#help-ai"')
+
+    # ── Attribut dupliqué sur #help-nav-search ─────────────────────────────
+    guide = guide.replace(
+        '                                 data-i18n-placeholder="help.search_placeholder" data-i18n-placeholder="help.search_placeholder"',
+        '                                 data-i18n-placeholder="help.search_placeholder"',
+        1,
+    )
+
+    out = head + guide
+    if _CRLF:
+        out = out.replace("\n", "\r\n")
+    with open(HTML, "w", encoding="utf-8", newline="") as f:
+        f.write(out)
+
+    # ── Vérifications structurelles ────────────────────────────────────────
+    d = HTML.read_text(encoding="utf-8")
+    opens, closes = len(re.findall(r"<section[\s>]", d)), d.count("</section>")
+    print("section balance:", opens, closes)
+    hrefs = set(re.findall(r'href="#(help-[a-z-]+)"', d))
+    ids = set(re.findall(r'id="(help-[a-z-]+)"', d))
+    missing = sorted(hrefs - ids)
+    print("dead anchors:", missing or "none")
+    return 0 if not missing else 2
+
+
+if __name__ == "__main__":
+    raise SystemExit(main())
@@ -0,0 +1,44 @@
+# -*- coding: utf-8 -*-
+"""Injecte les clés guide105.* de scripts/guide_content.py dans les locales.
+
+Insertion TEXTUELLE avant la dernière accolade (préserve le formatage exact
+des fichiers existants). Idempotent : remplace un bloc guide105.* déjà
+présent. Écriture LF (comme les blobs git).
+"""
+import json
+import re
+import sys
+from pathlib import Path
+
+ROOT = Path("C:/dev/git/python/ObsiGate")
+sys.path.insert(0, str(ROOT / "scripts"))
+from guide_content import CONTENT  # noqa: E402
+
+KEY_RE = re.compile(r'^\s*"guide105\.[a-z0-9_]+"\s*:', re.M)
+
+
+def merge(locale_file: Path, idx: int) -> None:
+    raw = locale_file.read_text(encoding="utf-8")
+    # retire un éventuel ancien bloc (idempotence)
+    raw = "".join(l for l in raw.splitlines(keepends=True) if not KEY_RE.match(l))
+    data = json.loads(raw)
+
+    entries = ['    "guide105.%s": %s' % (k, json.dumps(v[idx], ensure_ascii=False)) for k, v in CONTENT.items()]
+    block = ",\n".join(entries) + "\n"
+
+    i = raw.rstrip().rfind("}")
+    head = raw[:i].rstrip()  # dernière clé existante (sans virgule finale)
+    new = head + ",\n" + block + "}\n"
+    parsed = json.loads(new)  # doit rester valide
+    assert len(parsed) == len(data) + len(CONTENT)
+    locale_file.write_bytes(new.encode("utf-8"))
+    print(locale_file.name, "->", len(parsed), "keys (+%d guide105)" % len(CONTENT))
+
+
+merge(ROOT / "frontend/locales/fr.json", 0)
+merge(ROOT / "frontend/locales/en.json", 1)
+
+en = json.loads((ROOT / "frontend/locales/en.json").read_bytes().decode("utf-8"))
+fr = json.loads((ROOT / "frontend/locales/fr.json").read_bytes().decode("utf-8"))
+assert set(en) == set(fr), sorted(set(en) ^ set(fr))[:5]
+print("parity OK:", len(en), "keys")
@@ -0,0 +1,49 @@
+// Pré-rend les diagrammes Mermaid du guide (#105 PDF) en PNG.
+// Usage: node scripts/render_guide_diagram.mjs
+// Lit le(s) code(s) Mermaid via --input JSON {sha: code} et écrit
+// backend/assets/guide_diagrams/<sha>.png (rendu chromium + mermaid v11 CDN,
+// scale 2, fond blanc).
+import fs from 'fs';
+import path from 'path';
+import { fileURLToPath } from 'url';
+import { createRequire } from 'module';
+const require = createRequire(import.meta.url);
+const { chromium } = require('playwright');
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+const ROOT = path.resolve(__dirname, '..');
+const OUT_DIR = path.join(ROOT, 'backend', 'assets', 'guide_diagrams');
+
+(async () => {
+  const jobs = JSON.parse(fs.readFileSync(process.argv[2], 'utf8')); // {sha: code}
+  fs.mkdirSync(OUT_DIR, { recursive: true });
+  const browser = await chromium.launch();
+  const page = await browser.newPage({ viewport: { width: 1800, height: 1400 }, deviceScaleFactor: 2 });
+  await page.goto('about:blank');
+  await page.addScriptTag({ url: 'https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.min.js' });
+  await page.waitForFunction(() => typeof window.mermaid !== 'undefined');
+  for (const [sha, code] of Object.entries(jobs)) {
+    const out = await page.evaluate(async (src) => {
+      window.mermaid.initialize({ startOnLoad: false, theme: 'default', securityLevel: 'loose', fontFamily: 'DejaVu Sans, Arial, sans-serif' });
+      try {
+        const { svg } = await window.mermaid.render('d_' + Math.random().toString(36).slice(2), src);
+        const box = document.createElement('div');
+        box.innerHTML = svg;
+        box.style.background = 'white';
+        document.body.replaceChildren(box);
+        const svgEl = box.querySelector('svg');
+        if (!svgEl) return { err: 'no svg' };
+        svgEl.style.maxWidth = 'none';
+        const r = svgEl.getBoundingClientRect();
+        return { w: Math.min(Math.ceil(r.width), 2000), h: Math.min(Math.ceil(r.height), 2600), ok: true };
+      } catch (e) {
+        return { err: String(e).slice(0, 300) };
+      }
+    }, code);
+    if (out.err) { console.error(sha, 'RENDER ERROR', out.err); process.exitCode = 1; continue; }
+    const file = path.join(OUT_DIR, sha + '.png');
+    await page.screenshot({ path: file, clip: { x: 0, y: 0, width: out.w, height: out.h } });
+    console.log(sha, '->', file, out.w + 'x' + out.h);
+  }
+  await browser.close();
+})();
@@ -0,0 +1,68 @@
+Voici les trois niveaux de résumé pour le document **"Agents IA — Panorama Complet 2026"** :
+
+---
+
+---
+
+### **1. En une phrase**
+Ce document est **un panorama exhaustif et structuré des 72 agents IA disponibles en 2026**, classés par catégories, avec leurs descriptions, statuts, installations, utilisations et comparatifs techniques.
+
+---
+
+---
+
+### **2. En un paragraphe**
+Le document **"Agents IA — Panorama Complet 2026"** est une **référence complète** pour comprendre, installer et utiliser les agents IA du marché. Il recense **72 agents** répartis en **16 catégories** (ex. : agents locaux, poids lourds open source, trésors open source, local-first, propriétaires, etc.). Chaque agent est détaillé avec sa **description**, ses **liens officiels** (page principale et documentation), son **statut** (actif, stagnant ou fermé), ses **étapes d'installation** (commandes précises) et son **mode d'utilisation** (exemples de commandes). Le document inclut également un **tableau récapitulatif comparatif** (stars GitHub, type, compatibilité locale, etc.), des **recommandations**, une **matrice de décision**, ainsi que des sections dédiées aux **benchmarks**, **coûts**, **sécurité** et **glossaire**. Les sources sont vérifiées et mises à jour en **août 2026**.
+
+---
+
+---
+
+### **3. En une page**
+
+---
+
+#### **Contexte**
+Le document **"Agents IA — Panorama Complet 2026"**, rédigé par **Bruno Charest**, est une **ressource de référence** pour les développeurs, chercheurs et utilisateurs souhaitant explorer l’écosystème des agents IA. Il s’appuie sur des sources officielles (GitHub, arXiv, blogs spécialisés) et est **mis à jour au 12 août 2026**. L’objectif est de fournir une **vue d’ensemble structurée** des agents disponibles, leurs fonctionnalités, et leurs spécificités techniques.
+
+---
+
+#### **Structure et contenu**
+Le document est organisé en **23 sections**, dont :
+- **Tableau récapitulatif comparatif** : Une vue synthétique des 72 agents, avec des colonnes pour le **nom**, la **catégorie**, le **type** (OSS, propriétaire, etc.), le **nombre d’étoiles GitHub**, le **statut** (🟢 actif, 🟡 stagnant, 🔴 fermé), la **compatibilité locale** (✅/~/❌), et les **méthodes d’installation**.
+- **Catégories d’agents** :
+  - **Agents installés localement** (ex. : Claude Code, Hermes Agent, Atomic Agent, Pi, Tiny Agents, NemoClaw).
+  - **Prime Agent** : Agent open-source basé sur le modèle **RLM** (Recursive Language Model), avec des fonctionnalités avancées comme la mémoire persistante et l’auto-amélioration.
+  - **Poids lourds open source** (ex. : OpenCode, Claw Code, Gemini CLI, Codex CLI, OpenHands, Goose, Aider).
+  - **Trésors open source** : Agents optimisés pour des cas d’usage spécifiques (ex. : jcode en Rust, agentty en C++26, NullClaw en Zig).
+  - **Agents local-first** : Solutions conçues pour fonctionner **100 % localement** (ex. : openyak, Kun, iPolloWork).
+  - **Écosystème OpenClaw** : Une famille d’agents légers et sécurisés (ex. : OpenClaw, ZeroClaw, NanoClaw).
+  - **Agents propriétaires** : Outils fermés mais populaires (ex. : Cursor CLI, Warp, GitHub Copilot CLI, Devin).
+- **Sections transverses** :
+  - **Orchestrateurs & harnesses** : Outils pour gérer des workflows multi-agents.
+  - **Infrastructure & outils** : Solutions pour déployer et superviser des agents.
+  - **Benchmarks & évaluation** : Méthodes pour tester les performances des agents.
+  - **Coût & modèles** : Analyse des coûts associés (abonnements, inférence locale, etc.).
+  - **Sécurité & gouvernance** : Bonnes pratiques pour un usage sécurisé.
+  - **Glossaire** : Définitions des termes techniques (ex. : RLM, MCP, LSP).
+
+---
+#### **Points clés**
+- **Diversité des agents** : Le document couvre des agents **génériques** (ex. : Claude Code, OpenCode) et **spécialisés** (ex. : SWE-agent pour résoudre des issues GitHub, Plandex pour le "plan-first").
+- **Statuts variés** : Certains projets sont **actifs** (ex. : Prime Agent, OpenCode), tandis que d’autres sont **fermés** (ex. : Claw Code, transformé en musée) ou **stagnants** (ex. : Plandex, Groq Code CLI).
+- **Installation et utilisation** : Chaque agent est accompagné de **commandes précises** pour son installation (ex. : `npm install -g @anthropic-ai/claude-code` pour Claude Code) et son utilisation (ex. : `claude "explique ce repo"`).
+- **Approches techniques** :
+  - **Local-first** : Agents conçus pour fonctionner **hors ligne** (ex. : Atomic Agent, NullClaw).
+  - **Multi-modèles** : Compatibilité avec plusieurs fournisseurs de LLM (ex. : Hermes Agent supporte 300+ providers).
+  - **Sandboxing** : Solutions pour exécuter du code en toute sécurité (ex. : NemoClaw avec des politiques réseau strictes).
+- **Comparatifs** : Le tableau récapitulatif permet de **filtrer rapidement** les agents en fonction de critères comme la compatibilité locale ou le nombre d’étoiles GitHub.
+
+---
+#### **Conclusions**
+Ce document est une **mine d’informations** pour :
+- **Choisir un agent** en fonction de ses besoins (ex. : développement local, collaboration en équipe, résolution de bugs).
+- **Comprendre les tendances** du marché (ex. : montée en puissance des agents **local-first**, adoption croissante des modèles **open-source**).
+- **Installer et configurer** un agent rapidement grâce aux **instructions pas-à-pas**.
+- **Comparer les solutions** via des critères objectifs (statut, stars GitHub, compatibilité locale).
+
+Il s’adresse aussi bien aux **débutants** qu’aux **experts**, avec des sections adaptées à chaque niveau de connaissance. Les **sources citées** (GitHub, arXiv, blogs) garantissent la **fiabilité** des informations.
@@ -0,0 +1,26 @@
+
+
+# Beloeil et ses Villains
+
+Plongez dans un univers où les légendes locales sortent de l’ombre pour hanter les vivants. Entre les ruelles pavées, usées par des siècles de secrets, et les forêts mystérieuses, dont les arbres semblent murmurer des avertissements aux voyageurs égarés, **Beloeil** est une ville où chaque pierre, chaque souffle de vent, porte le poids d’un passé maudit.
+
+---
+
+### Les Gardiens de l’Obscurité
+Les méchants de Beloeil ne sont pas de simples antagonistes. Ils sont les **gardiens d’un héritage sombre**, tissé de magie ancienne, de rivalités familiales et de serments brisés. Leur présence imprègne la ville d’une atmosphère où la frontière entre le bien et le mal s’estompe, où chaque choix semble mener à une nouvelle malédiction.
+
+- **Le Comte Déchu** : Son armure rouillée grince encore entre les murs de son château en ruines. Ses anciens sujets, transformés en spectres, murmurent des prières pour une rédemption qui ne viendra jamais. Son règne, autrefis glorieux, n’est plus qu’un écho de trahisons et de regrets.
+- **La Sorcière des Marais** : Ses potions ne se contentent pas d’empoisonner les corps, elles **corrompent les âmes**. Les villageois qui osent s’aventurer près de son repaire reviennent transformés, assoiffés de vengeance, hantés par des voix qu’ils ne reconnaissent plus.
+- **Les Frères Jumeaux** : Autrefois unis par un pacte de sang, l’un a trahi l’autre par ambition. Leur malédiction les lie désormais dans une **danse macabre**, condamnés à se combattre pour l’éternité, leurs lames s’entrechoquant dans un ballet sans fin.
+
+---
+
+### Une Ville de Secrets et de Retournements
+Beloeil est un lieu où **les apparences trompent**. Le héros tant admiré pourrait cacher un passé taché de crimes. La malédiction qui pèse sur la ville pourrait trouver son origine dans un **amour interdit** entre une fée et un mortel. Chaque recoin cache une intrigue, chaque murmure un avertissement.
+
+Le surnaturel y est omniprésent : sorts oubliés, artefacts maudits, créatures légendaires. **La magie et l’horreur s’y mêlent**, plongeant les lecteurs dans un monde où chaque page révèle un nouveau mystère, une nouvelle terreur.
+
+---
+
+### Une Histoire à Écrire
+Beloeil est une toile de fond parfaite pour une narration **riche en intrigues complexes et en retournements inattendus**. Que ce soit à travers des quêtes désespérées, des alliances fragiles ou des trahisons imprévisibles, cette ville offre un terrain fertile pour explorer **l’obscurité de l’âme humaine et la puissance des légendes**.
@@ -1,2 +0,0 @@
-# Nouveau fichier dans Dir
-
@@ -0,0 +1,54 @@
+#!/bin/bash
+# PostgreSQL backup script for HabitForge
+
+set -e
+
+# Configuration
+BACKUP_DIR="/backups"
+TIMESTAMP=$(date +"%Y%m%d_%H%M%S")
+BACKUP_FILE="${BACKUP_DIR}/habitforge_backup_${TIMESTAMP}.sql.gz"
+RETENTION_DAYS=7
+
+# Database settings (from environment)
+DB_HOST="${POSTGRES_HOST:-db}"
+DB_PORT="${POSTGRES_PORT:-5432}"
+DB_NAME="${POSTGRES_DB:-habitforge}"
+DB_USER="${POSTGRES_USER:-habitforge}"
+
+# Create backup directory if it doesn't exist
+mkdir -p "${BACKUP_DIR}"
+
+echo "Starting backup at $(date)"
+
+# Perform backup
+PGPASSWORD="${POSTGRES_PASSWORD}" pg_dump \
+    -h "${DB_HOST}" \
+    -p "${DB_PORT}" \
+    -U "${DB_USER}" \
+    -d "${DB_NAME}" \
+    --format=plain \
+    --no-owner \
+    --no-acl | gzip > "${BACKUP_FILE}"
+
+# Check if backup was successful
+if [ $? -eq 0 ]; then
+    echo "Backup completed successfully: ${BACKUP_FILE}"
+    
+    # Get file size
+    SIZE=$(du -h "${BACKUP_FILE}" | cut -f1)
+    echo "Backup size: ${SIZE}"
+    
+    # Remove old backups (older than RETENTION_DAYS)
+    echo "Removing backups older than ${RETENTION_DAYS} days..."
+    find "${BACKUP_DIR}" -name "habitforge_backup_*.sql.gz" -type f -mtime +${RETENTION_DAYS} -delete
+    
+    # List remaining backups
+    echo "Current backups:"
+    ls -lh "${BACKUP_DIR}"/habitforge_backup_*.sql.gz 2>/dev/null || echo "No backups found"
+    
+else
+    echo "Backup failed!"
+    exit 1
+fi
+
+echo "Backup finished at $(date)"
@@ -0,0 +1,37 @@
+#!/usr/bin/env python3
+"""
+Script to import Zepp health data from export-zepp directory into HabitForge database.
+Usage: python scripts/import_zepp_data.py [--user-id USER_ID]
+"""
+import sys
+import os
+import argparse
+
+# Add parent directory to path to import backend modules
+sys.path.insert(0, os.path.abspath(os.path.join(os.path.dirname(__file__), '..')))
+
+from backend.integrations.import_zepp import main as import_main, USER_ID as DEFAULT_USER_ID
+from backend.integrations import import_zepp
+
+def run_import(user_id: int = None):
+    """Run the Zepp data import."""
+    if user_id:
+        # Override the default user ID
+        import_zepp.USER_ID = user_id
+        print(f"Importing data for user ID: {user_id}")
+    else:
+        print(f"Importing data for default user ID: {DEFAULT_USER_ID}")
+    
+    import_main()
+
+if __name__ == "__main__":
+    parser = argparse.ArgumentParser(description="Import Zepp health data into HabitForge")
+    parser.add_argument(
+        "--user-id",
+        type=int,
+        help="User ID to import data for (default: 1)",
+        default=None
+    )
+    
+    args = parser.parse_args()
+    run_import(args.user_id)
@@ -0,0 +1,162 @@
+"""
+Migration script from SQLite to PostgreSQL.
+
+This script migrates data from the existing SQLite database to PostgreSQL.
+
+Usage:
+    python scripts/migrate_to_postgres.py
+
+Prerequisites:
+    - PostgreSQL database must be running
+    - DATABASE_URL environment variable must point to PostgreSQL
+    - SQLite database must exist at data/habitforge.db
+"""
+import os
+import sys
+from datetime import datetime
+
+# Add parent directory to path
+sys.path.insert(0, os.path.dirname(os.path.dirname(os.path.abspath(__file__))))
+
+from sqlalchemy import create_engine, text
+from sqlalchemy.orm import sessionmaker
+from backend import models
+from backend.database import Base, SessionLocal as SQLiteSessionLocal
+
+# PostgreSQL connection
+POSTGRES_URL = os.getenv("DATABASE_URL", "postgresql://habitforge:habitforge@localhost:5432/habitforge")
+
+def migrate_data():
+    """Migrate data from SQLite to PostgreSQL."""
+    print("Starting migration from SQLite to PostgreSQL...")
+    
+    # Create PostgreSQL engine
+    postgres_engine = create_engine(POSTGRES_URL)
+    PostgresSessionLocal = sessionmaker(autocommit=False, autoflush=False, bind=postgres_engine)
+    
+    # Create tables in PostgreSQL
+    print("Creating tables in PostgreSQL...")
+    Base.metadata.create_all(bind=postgres_engine)
+    
+    # Get SQLite session
+    sqlite_session = SQLiteSessionLocal()
+    
+    # Get PostgreSQL session
+    postgres_session = PostgresSessionLocal()
+    
+    try:
+        # Migrate Users
+        print("Migrating Users...")
+        users = sqlite_session.query(models.User).all()
+        for user in users:
+            new_user = models.User(
+                id=user.id,
+                username=user.username,
+                hashed_password=user.hashed_password
+            )
+            postgres_session.add(new_user)
+        postgres_session.commit()
+        print(f"Migrated {len(users)} users")
+        
+        # Migrate Challenges
+        print("Migrating Challenges...")
+        challenges = sqlite_session.query(models.Challenge).all()
+        for challenge in challenges:
+            new_challenge = models.Challenge(
+                id=challenge.id,
+                name=challenge.name,
+                period_type=challenge.period_type,
+                daily_target=challenge.daily_target,
+                start_date=challenge.start_date,
+                end_date=challenge.end_date,
+                display_order=challenge.display_order,
+                user_id=challenge.user_id,
+                icon=challenge.icon,
+                image_url=challenge.image_url,
+                description=challenge.description,
+                unit_type=challenge.unit_type,
+                rest_days=challenge.rest_days,
+                frequency=challenge.frequency
+            )
+            postgres_session.add(new_challenge)
+        postgres_session.commit()
+        print(f"Migrated {len(challenges)} challenges")
+        
+        # Migrate Tracking
+        print("Migrating Tracking...")
+        trackings = sqlite_session.query(models.Tracking).all()
+        for tracking in trackings:
+            new_tracking = models.Tracking(
+                id=tracking.id,
+                challenge_id=tracking.challenge_id,
+                date=tracking.date,
+                reps=tracking.reps,
+                completed=tracking.completed,
+                notes=tracking.notes
+            )
+            postgres_session.add(new_tracking)
+        postgres_session.commit()
+        print(f"Migrated {len(trackings)} trackings")
+        
+        # Migrate DailyHealthMetrics
+        print("Migrating DailyHealthMetrics...")
+        metrics = sqlite_session.query(models.DailyHealthMetrics).all()
+        for metric in metrics:
+            new_metric = models.DailyHealthMetrics(
+                id=metric.id,
+                user_id=metric.user_id,
+                date=metric.date,
+                step_count=metric.step_count,
+                calories_burned=metric.calories_burned,
+                distance_meters=metric.distance_meters,
+                sleep_duration_minutes=metric.sleep_duration_minutes,
+                deep_sleep_minutes=metric.deep_sleep_minutes,
+                light_sleep_minutes=metric.light_sleep_minutes,
+                rem_sleep_minutes=metric.rem_sleep_minutes,
+                awake_duration_minutes=metric.awake_duration_minutes,
+                avg_heart_rate=metric.avg_heart_rate,
+                min_heart_rate=metric.min_heart_rate,
+                max_heart_rate=metric.max_heart_rate,
+                avg_spo2=metric.avg_spo2,
+                pai_score=metric.pai_score,
+                weight=metric.weight,
+                resting_heart_rate=metric.resting_heart_rate,
+                hrv=metric.hrv
+            )
+            postgres_session.add(new_metric)
+        postgres_session.commit()
+        print(f"Migrated {len(metrics)} daily health metrics")
+        
+        print("\nMigration completed successfully!")
+        print(f"Total records migrated:")
+        print(f"  - Users: {len(users)}")
+        print(f"  - Challenges: {len(challenges)}")
+        print(f"  - Trackings: {len(trackings)}")
+        print(f"  - DailyHealthMetrics: {len(metrics)}")
+        
+    except Exception as e:
+        print(f"\nError during migration: {e}")
+        postgres_session.rollback()
+        raise
+    finally:
+        sqlite_session.close()
+        postgres_session.close()
+        postgres_engine.dispose()
+
+
+if __name__ == "__main__":
+    # Check if SQLite database exists
+    if not os.path.exists("data/habitforge.db"):
+        print("Error: SQLite database not found at data/habitforge.db")
+        sys.exit(1)
+    
+    # Confirm migration
+    print("This will migrate data from SQLite to PostgreSQL.")
+    print(f"PostgreSQL URL: {POSTGRES_URL}")
+    response = input("Do you want to continue? (yes/no): ")
+    
+    if response.lower() != "yes":
+        print("Migration cancelled.")
+        sys.exit(0)
+    
+    migrate_data()
@@ -0,0 +1,28 @@
+#!/bin/bash
+# Production startup script for HabitForge
+
+set -e
+
+echo "Starting HabitForge in production mode..."
+
+# Wait for database to be ready
+echo "Waiting for database..."
+while ! pg_isready -h ${POSTGRES_HOST:-db} -U ${POSTGRES_USER:-habitforge} -d ${POSTGRES_DB:-habitforge} > /dev/null 2>&1; do
+    echo "Database is unavailable - sleeping"
+    sleep 1
+done
+echo "Database is ready!"
+
+# Run migrations
+echo "Running database migrations..."
+alembic upgrade head
+
+# Start Gunicorn
+echo "Starting Gunicorn..."
+exec gunicorn backend.main:app \
+    --workers ${GUNICORN_WORKERS:-4} \
+    --worker-class uvicorn.workers.UvicornWorker \
+    --bind 0.0.0.0:8000 \
+    --access-logfile - \
+    --error-logfile - \
+    --log-level ${LOG_LEVEL:-info}
--- a/Show More
+++ b/Show More
Author	SHA1	Message	Date
bruno	705f755b6b	docs: guides d'utilisation, capture reelle et README ameliores CI / lint (push) Successful in 2m2s Details CI / security (push) Successful in 1m25s Details CI / test (push) Successful in 4m13s Details CI / build (push) Successful in 1m16s Details CI / e2e (push) Successful in 11m56s Details	2026-09-22 22:40:51 -04:00
bruno	8ad8eaac71	test: spec E2E mobile pour la page Configurations BUG-071 CI / lint (push) Successful in 1m54s Details CI / security (push) Successful in 1m21s Details CI / test (push) Successful in 3m58s Details CI / build (push) Failing after 1m22s Details CI / e2e (push) Skipped Details	2026-09-22 22:03:42 -04:00
bruno	dd9224e685	fix: page Configurations inutilisable en mode mobile BUG-071 CI / lint (push) Successful in 1m57s Details CI / security (push) Successful in 1m20s Details CI / test (push) Successful in 4m20s Details CI / build (push) Successful in 1m20s Details CI / e2e (push) Successful in 11m51s Details	2026-09-22 21:24:56 -04:00
bruno	aeb7516445	fix: activation WebAuthn impossible BUG-070 (rp_id/origines derives requete, challenges multiples) CI / lint (push) Successful in 1m59s Details CI / security (push) Successful in 1m35s Details CI / test (push) Successful in 4m7s Details CI / build (push) Successful in 1m16s Details CI / e2e (push) Successful in 12m12s Details	2026-09-22 20:54:01 -04:00
bruno	bca0fdd941	fix: login 2FA bloque sans erreur BUG-069 (challenge montait dans .login-box inexistant -> .login-card + erreur visible) CI / lint (push) Successful in 1m56s Details CI / security (push) Successful in 1m20s Details CI / test (push) Successful in 4m17s Details CI / build (push) Successful in 1m16s Details CI / e2e (push) Successful in 12m35s Details	2026-09-22 20:38:37 -04:00
bruno	60da957f13	fix: section Securite du compte incomplete BUG-068 (boutons theme, QR local, mot de passe, recovery WebAuthn) CI / lint (push) Successful in 2m25s Details CI / security (push) Successful in 1m20s Details CI / test (push) Successful in 3m43s Details CI / build (push) Successful in 2m9s Details CI / e2e (push) Successful in 12m7s Details	2026-09-22 20:07:25 -04:00
bruno	f621620593	feat: optimisation globale des performances #86 (scan differentiel, excalidraw differe, garde-fou replace; inverted index/PDF lazy/caps regex deja livres via BUG-033/040/025) CI / lint (push) Successful in 1m54s Details CI / security (push) Successful in 1m22s Details CI / test (push) Successful in 4m23s Details CI / build (push) Successful in 1m17s Details CI / e2e (push) Successful in 12m9s Details	2026-09-22 19:04:26 -04:00
bruno	eff74cabe0	feat: #107 configuration - gestion des clés API & MCP (création/révocation, expiration 1j/1mois/6mois/1an/sans fin, une clé pour API REST + serveur MCP, dernière utilisation, store sans secret persisté; fix révocation longue durée) + script token MCP CI / lint (push) Successful in 1m58s Details CI / security (push) Successful in 1m32s Details CI / test (push) Successful in 4m0s Details CI / build (push) Successful in 1m15s Details CI / e2e (push) Successful in 12m9s Details	2026-09-22 14:48:51 -04:00
bruno	6f0a6f7fd8	chore(fixtures): enrichit les vaults de test (frontmatter complet, types fichiers pour vues/aper/us, dossiers avec accents+espaces, scripts dupliques, images/logs) + purge residus e2e-diagram CI / lint (push) Successful in 1m55s Details CI / security (push) Successful in 1m20s Details CI / test (push) Successful in 3m43s Details CI / build (push) Successful in 1m16s Details CI / e2e (push) Successful in 11m44s Details	2026-09-22 13:42:49 -04:00
bruno	ab7c227b97	feat: assistant IA - actions instantanées contextuelles, catalogue Toutes les actions & frontmatter complet #106 CI / lint (push) Successful in 1m43s Details CI / security (push) Successful in 1m8s Details CI / test (push) Successful in 4m4s Details CI / build (push) Successful in 2m10s Details CI / e2e (push) Successful in 11m51s Details	2026-09-19 11:07:50 -04:00
bruno	b8054665bc	fix: guide - bouton telechargement icone seule, diagramme Architecture rendu en image dans le PDF, emoji couleur (Noto) (#105 ) CI / lint (push) Successful in 1m39s Details CI / security (push) Successful in 1m5s Details CI / test (push) Successful in 3m25s Details CI / build (push) Successful in 1m18s Details CI / e2e (push) Successful in 11m43s Details	2026-09-18 15:01:14 -04:00
bruno	99a5b735c8	chore: relance CI run 1544 (echec checkout transitoire, 524 Cloudflare) CI / lint (push) Successful in 1m41s Details CI / security (push) Successful in 1m5s Details CI / test (push) Successful in 3m27s Details CI / build (push) Successful in 1m1s Details CI / e2e (push) Successful in 12m6s Details	2026-09-18 13:49:16 -04:00
bruno	fb2d83e9e3	feat: guide d'utilisation - couverture complete, telechargement MD/PDF, section Architecture Mermaid, guide desktop elargi (#105 , BUG-067) CI / lint (push) Successful in 1m40s Details CI / security (push) Successful in 1m6s Details CI / test (push) Failing after 1m52s Details CI / build (push) Skipped Details CI / e2e (push) Skipped Details	2026-09-18 13:06:30 -04:00
bruno	82f6b4a791	fix: icones manquantes dans la table des matieres de la configuration (BUG-066) CI / lint (push) Successful in 1m40s Details CI / security (push) Successful in 1m4s Details CI / test (push) Successful in 3m2s Details CI / build (push) Successful in 1m1s Details CI / e2e (push) Successful in 11m53s Details	2026-09-18 10:14:41 -04:00
bruno	7e1f5d6852	fix: fixture E2E manquante diagram-app-export.excalidraw (test de regression BUG-064) CI / lint (push) Successful in 1m38s Details CI / security (push) Successful in 1m4s Details CI / test (push) Successful in 3m26s Details CI / build (push) Successful in 1m5s Details CI / e2e (push) Successful in 11m24s Details	2026-09-18 09:23:22 -04:00
bruno	ab766862a3	feat: redesign UI section Cles API IA - recherche, carte defaut, cartes depliables, footer sticky (#104 ) CI / lint (push) Successful in 1m47s Details CI / security (push) Successful in 1m5s Details CI / test (push) Successful in 3m14s Details CI / build (push) Successful in 1m1s Details CI / e2e (push) Failing after 12m11s Details	2026-09-18 09:01:20 -04:00
bruno	2bd9dd7535	fix: Editeur Excalidraw - diagramme vide (CSS + appState) et auto-save pendant l'edition (BUG-064, BUG-065)	2026-09-18 08:59:54 -04:00
bruno	7f0f64a42e	fix: TOC PDF - forcer le rechargement de l'iframe (BUG-063 complement) CI / lint (push) Successful in 1m37s Details CI / security (push) Successful in 1m15s Details CI / test (push) Successful in 3m36s Details CI / build (push) Successful in 59s Details CI / e2e (push) Successful in 11m13s Details	2026-09-17 21:16:46 -04:00
bruno	f7e068baed	fix: viewer PDF (TOC, largeur) et plein ecran assistant (BUG-061 a BUG-063) CI / lint (push) Successful in 1m36s Details CI / security (push) Successful in 1m11s Details CI / test (push) Successful in 3m33s Details CI / build (push) Successful in 1m2s Details CI / e2e (push) Successful in 11m23s Details	2026-09-17 20:45:38 -04:00
bruno	2e2a33cef3	fix: corrige 6 bugs mineurs (BUG-035 a BUG-040) CI / lint (push) Successful in 1m36s Details CI / security (push) Successful in 1m4s Details CI / test (push) Successful in 3m41s Details CI / build (push) Successful in 59s Details CI / e2e (push) Successful in 11m8s Details	2026-09-17 20:05:08 -04:00
bruno	2c460022f8	test(pdf): helper d'ouverture robuste au vault replie (BUG-060) CI / lint (push) Successful in 1m37s Details CI / security (push) Successful in 1m3s Details CI / test (push) Successful in 3m33s Details CI / build (push) Successful in 59s Details CI / e2e (push) Successful in 10m57s Details	2026-09-17 19:42:43 -04:00
bruno	133644a0ba	fix(pdf): affichage des pages du viewer PDF via iframe (BUG-060) CI / lint (push) Successful in 1m36s Details CI / security (push) Successful in 1m3s Details CI / test (push) Failing after 3m41s Details CI / build (push) Skipped Details CI / e2e (push) Skipped Details	2026-09-17 19:39:48 -04:00
bruno	ba0ec3d1fa	feat(config): cles des sources connectees et recherche a cle editables depuis la page Configurations (#103 ) CI / lint (push) Successful in 1m46s Details CI / security (push) Successful in 1m23s Details CI / test (push) Successful in 3m42s Details CI / build (push) Successful in 58s Details CI / e2e (push) Successful in 10m50s Details	2026-09-17 13:59:26 -04:00
bruno	22e9240e4f	fix(ai): les clics ne font plus sauter la conversation au bas (BUG-059); tableaux markdown corrects dans create_pdf (#92 )	2026-09-17 13:55:36 -04:00
bruno	6a58a59a11	feat(ai): ecosysteme d'outils phase 2 - recherche a cle, cache/retry, Playwright, crawl, Gitea/GitHub, documents (#92 ) CI / lint (push) Successful in 1m37s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 3m26s Details CI / build (push) Successful in 1m44s Details CI / e2e (push) Successful in 11m1s Details	2026-09-17 11:52:03 -04:00
bruno	26328fadeb	fix(editor): la barre de numerotation de ligne suit le theme (BUG-058) CI / lint (push) Successful in 1m37s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m54s Details CI / build (push) Successful in 56s Details CI / e2e (push) Successful in 10m43s Details	2026-09-17 10:02:48 -04:00
bruno	c0eea526de	feat(ai): ajouter une section de la reponse et supporter l'editeur Forge (BUG-057, #102 ) CI / lint (push) Successful in 1m34s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m44s Details CI / build (push) Successful in 1m1s Details CI / e2e (push) Successful in 10m51s Details L'assistant IA peut desormais inserer sa reponse dans l'editeur Forge (postMessage parent-insert) en plus d'Editer, et chaque bloc de code propose un bouton « Ajouter la section » pour n'inserer que ce bloc.	2026-09-17 09:39:35 -04:00
bruno	94ea5909f4	fix(forge): le parent quitte aussi le plein ecran avant l'assistant IA (BUG-056) CI / lint (push) Successful in 1m34s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m11s Details CI / build (push) Successful in 57s Details CI / e2e (push) Successful in 10m50s Details	2026-09-17 09:19:06 -04:00
bruno	3758db2861	fix(forge): quitter le plein ecran avant d'ouvrir l'assistant IA (BUG-056) CI / lint (push) Successful in 1m33s Details CI / security (push) Successful in 1m0s Details CI / test (push) Successful in 3m7s Details CI / build (push) Successful in 57s Details CI / e2e (push) Successful in 10m56s Details	2026-09-17 09:07:00 -04:00
bruno	8b09093aca	fix(forge): ne plus ecraser une completion acceptee au Tab (BUG-055) CI / lint (push) Successful in 1m34s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m44s Details CI / build (push) Successful in 57s Details CI / e2e (push) Successful in 11m14s Details	2026-09-17 09:00:35 -04:00
bruno	61347e0f0b	fix(forge): autocompletion Tab naturelle et fiable (BUG-055) CI / lint (push) Successful in 1m34s Details CI / security (push) Successful in 1m0s Details CI / test (push) Successful in 3m30s Details CI / build (push) Successful in 57s Details CI / e2e (push) Successful in 10m54s Details	2026-09-17 08:48:03 -04:00
bruno	3131277b19	feat(forge): assistant IA partage et plein ecran Forge/Editer (#101 ) CI / lint (push) Successful in 1m33s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m50s Details CI / build (push) Successful in 1m6s Details CI / e2e (push) Successful in 10m48s Details	2026-09-17 08:30:32 -04:00
bruno	23a3c147cd	fix(editor): le bouton Sauvegarder ne reste plus bloque sur le spinner (BUG-054) CI / lint (push) Successful in 1m45s Details CI / security (push) Successful in 1m1s Details CI / test (push) Successful in 2m55s Details CI / build (push) Successful in 57s Details CI / e2e (push) Successful in 10m48s Details	2026-09-17 08:00:13 -04:00
@@ -1 +1 @@
 .7.4
 .16.6