ObsiGate 2.83.2 : recherche fédérée — ShaarIt, 5e source de « Rechercher partout »

- frontend/js/recherche.js re-vendangé verbatim depuis commons v0.2.1 (source canonique ui/recherche/) : source ShaarIt (bases, onglet, normaliseur — lien profond {base}shaare/<shorturl>). - frontend/recherche.html : data-base-shaarit (jeton URL_SHAARIT), onglet et section « ShaarIt — bookmarks ». - backend/recherche_cors.py : origines ShaarIt prod/dev + clé sœur ; backend/main.py : origine ShaarIt dans le connect-src CSP de la page /recherche. - Version synchronisée par scripts/bump_version.py --set 2.83.2 (VERSION, package.json, desktop, README, ROADMAP, CHANGELOG). - Tests : recherche.test.mjs 67 assertions (5 sources), test_recherche_cors allowlist 12 origines ; suite backend complète 1916 passés / 0 échec, ruff et mypy verts.
Merge pull request 'ObsiGate 2.83.1 : barre v0.2.0 — onglet ShaarIt + garde data-theme' (#61 ) from barre-v020-2-83-1 into main
2026-11-04 17:23:38 +00:00 · 2026-11-04 11:16:29 -05:00 · 2026-11-04 03:38:18 +00:00 · 2026-11-04 03:38:18 +00:00 · 2026-11-04 03:38:18 +00:00 · 2026-11-04 03:38:18 +00:00
48 changed files with 844 additions and 127 deletions
@@ -47,6 +47,16 @@ OBSIGATE_ADMIN_PASSWORD=chab30
 # Ignored directories (séparés par des virgules)
 # OBSIGATE_IGNORED_DIRS=.obsidian,.trash,.git,__pycache__,node_modules,.obsigate-backup

+# Vaults DIR (DIR_N_NAME / DIR_N_PATH dans le compose) — options par vault :
+# DIR_N_READONLY=true            : lecture seule déclarée (mutations refusées
+#                                  en 403, actions d'écriture masquées dans l'UI)
+# DIR_N_IGNORED_DIRS=.home,.venv : noms de dossiers cachés pour CE vault
+#                                  (toute profondeur, en plus du global)
+# DIR_N_IGNORED_PATHS=Executeurs/*/data,Executeurs/*/.env
+#                                : motifs fnmatch sur le chemin relatif dans
+#                                  le vault (un dossier qui matche cache son
+#                                  sous-arbre) — navigation, lecture, index
+
 # Audit
 # OBSIGATE_AUDIT_MAX_SIZE=10485760

@@ -119,6 +129,7 @@ DEEPSEEK_MODEL=deepseek-chat
 # DRACO_FLOWDECK_URL=https://flowdeck.dracodev.net
 # DRACO_TIKTAK_URL=https://tiktak.dracodev.net
 # DRACO_KANBANTE_URL=https://kanbante.dracodev.net
+# DRACO_SHAARIT_URL=https://shaarit.dracodev.net
 # DRACO_GITEA_URL=https://git.dracodev.net

 # ── Fusion — émission d'événements vers le service d'agents (#220) ──
@@ -12,7 +12,7 @@ on:
 jobs:
  # ── Lint ──────────────────────────────────────────────────────────
  lint:
-    runs-on: ubuntu-latest
+    runs-on: ci-deepin
    steps:
      - uses: actions/checkout@v4

@@ -100,7 +100,7 @@ jobs:
  # ── Tests ─────────────────────────────────────────────────────────
  test:
    needs: lint
-    runs-on: ubuntu-latest
+    runs-on: ci-deepin
    steps:
      - uses: actions/checkout@v4

@@ -127,7 +127,7 @@ jobs:

  # ── Security scan ─────────────────────────────────────────────────
  security:
-    runs-on: ubuntu-latest
+    runs-on: ci-deepin
    steps:
      - uses: actions/checkout@v4

@@ -209,7 +209,7 @@ jobs:
  # ── Docker build ──────────────────────────────────────────────────
  build:
    needs: test
-    runs-on: ubuntu-latest
+    runs-on: ci-deepin
    steps:
      - uses: actions/checkout@v4

@@ -252,7 +252,7 @@ jobs:
  # ── E2E Tests (Playwright) ─────────────────────────────────────────
  e2e:
    needs: build
-    runs-on: ubuntu-latest
+    runs-on: ci-deepin
    steps:
      - uses: actions/checkout@v4

@@ -272,7 +272,13 @@ jobs:
      - name: Start ObsiGate
        run: |
          docker rm -f obsigate-e2e 2>/dev/null || true
-          docker create --name obsigate-e2e -p 2029:8080 \
+          # DinD robuste : PAS de port publié (les ports 2029 fuités par des
+          # runs antérieurs font échouer « docker start », et l'IP passerelle
+          # du job n'est pas toujours joignable → boucle de health curls sans
+          # timeout qui pendaient 150 s chacun). À la place, l'app est
+          # rattachée au réseau du job et jointable par nom DNS embarqué.
+          JOBNET=$(docker inspect -f '{{range $k, $v := .NetworkSettings.Networks}}{{$k}} {{end}}' "$(hostname)" 2>/dev/null | awk '{print $1}')
+          docker create --name obsigate-e2e \
            -v $(pwd)/test_vault:/vaults/TestVault \
            -v $(pwd)/test_dir:/vaults/TestDir \
            -e VAULT_1_NAME=TestVault \
@@ -288,17 +294,22 @@ jobs:
          # fixtures avant le démarrage (l'indexeur scanne au démarrage).
          docker cp test_vault/. obsigate-e2e:/vaults/TestVault
          docker cp test_dir/. obsigate-e2e:/vaults/TestDir
+          if [ -n "$JOBNET" ]; then docker network connect "$JOBNET" obsigate-e2e || true; fi
          docker start obsigate-e2e
-          # Le port publié est joignable via l'IP de la passerelle (localhost
-          # du job container ne voit pas le port publié sur l'hôte).
-          GW=$(ip route show default | awk '{print $3}' || echo 172.17.0.1)
-          echo "Gateway IP: $GW"
-          # Wait for health check
-          for i in $(seq 1 30); do
-            if curl -sf "http://$GW:2029/api/health"; then echo "Health OK"; break; fi
+          if [ -n "$JOBNET" ]; then
+            APP_URL="http://obsigate-e2e:8080"
+          else
+            echo "Réseau du job introuvable (JOBNET vide) — impossible de localiser l'app sans port publié"
+            exit 1
+          fi
+          echo "APP_URL: $APP_URL"
+          # --max-time : ne JAMAIS pendre sans timeout (bug d'origine : curls
+          # sans timeout = 150 s × 31 tentatives, job « bloqué »).
+          for i in $(seq 1 40); do
+            if curl -sf --max-time 3 "$APP_URL/api/health"; then echo "Health OK"; break; fi
            sleep 1
          done
-          curl -sf "http://$GW:2029/api/health" >/dev/null || { echo "App not reachable at $GW:2029"; exit 1; }
+          curl -sf --max-time 5 "$APP_URL/api/health" >/dev/null || { echo "App not reachable at $APP_URL"; docker logs --tail 40 obsigate-e2e; exit 1; }
          # Les fixtures sont copiées via `docker cp` en root → rendre le vault
          # inscriptible par l'utilisateur non-root de l'app (UID 1000), sinon
          # toute création/édition de fichier renvoie 403 « Vault is read-only ».
@@ -306,9 +317,10 @@ jobs:

      - name: Run E2E tests
        run: |
-          GW=$(ip route show default | awk '{print $3}' || echo 172.17.0.1)
-          echo "Using BASE_URL=http://$GW:2029"
-          BASE_URL="http://$GW:2029" npx playwright test --project=chromium-desktop --reporter=list
+          BASE_URL="http://obsigate-e2e:8080"
+          docker exec obsigate-e2e true >/dev/null 2>&1 || { echo "obsigate-e2e n'est pas en marche"; exit 1; }
+          echo "Using BASE_URL=$BASE_URL"
+          BASE_URL="$BASE_URL" npx playwright test --project=chromium-desktop --reporter=list

      - name: Upload test results
        if: always()
@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.82.8**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.83.2**.

 ---

@@ -14,6 +14,28 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).

 ---

+## [2.83.2] — 2026-11-04
+
+- **Recherche fédérée — ShaarIt, 5e source de « Rechercher partout »** (demande de Bruno, 2026-11-04 ; contrat dracodev-commons v0.2.1, `contrats/recherche-federee.md`) : `frontend/js/recherche.js` **re-vendangé verbatim** depuis la source canonique de commons (`ui/recherche/`) — ShaarIt devient une source de la page `/recherche` comme les autres (bases prod/dev, onglet, normaliseur : lien profond canonique `{base}shaare/<shorturl>`, contexte « Bookmark · privé · tags », repli recherche native `/?q=`). Le fichier reste strictement identique chez les cinq hôtes.
+- **Page `/recherche`** : onglet et section « ShaarIt — bookmarks », `data-base-shaarit` rendu par le jeton `{{URL_SHAARIT}}` (déjà résolu par la route depuis la 2.83.1) ; la CSP `connect-src` de la page ajoute l'origine ShaarIt résolue (`backend/main.py`).
+- **CORS de recherche** (`backend/recherche_cors.py`) : origines officielles ShaarIt prod et dev ajoutées aux listes explicites, `shaarit` ajoutée aux clés sœurs résolues — `GET /api/search` d'ObsiGate devient lisible depuis les pages de ShaarIt, et réciproquement.
+- Tests : `tests/frontend/recherche.test.mjs` porté à 5 sections (normaliseur ShaarIt inclus) ; `tests/test_recherche_cors.py` — allowlist attendue à 12 origines.
+
+---
+
+## [2.83.1] — 2026-11-03
+
+- **Barre commune (dracodev-commons v0.2.0 vendangée, @70c837a)** : nouvel onglet **ShaarIt** (bookmarks, réécriture Rust de Shaarli) après Kanbante et avant l'onglet Console Spark — `frontend/draco-barre.css` et `frontend/draco-barre.js` remplacés **verbatim** par la v0.2.0 (hachages vérifiés), logo `frontend/img/logos/shaarit.svg` ajouté tel quel ; le fragment porté dans `frontend/index.html` et `frontend/recherche.html` (jeton `{{URL_SHAARIT}}` remplacé par la route `/recherche`). L'URL ShaarIt suit le **même mécanisme** que les autres apps : `backend/draco_config.py` gagne la clé `shaarit` (défaut officiel `https://shaarit.dracodev.net`, variable `DRACO_SHAARIT_URL`, dérivation `-dev` → `shaarit-dev` depuis l'hôte de l'agent), servie dans `window.DRACO_URLS` et réécrite sur l'onglet comme les autres.
+- **⚠️ Changement de comportement visible — garde `data-theme` (CSS v0.2.0)** : les blocs `prefers-color-scheme` du CSS vendangé sont désormais préfixés `html:not([data-theme])`. La copie précédente n'avait **pas** cette garde. ObsiGate pose toujours `data-theme` sur `<html>`, donc sa barre ne change pas en pratique ; la garde ne s'exercerait que sur une page hôte sans `data-theme` (elle ne forcerait plus le sombre système contre un choix clair). Signalé pour arbitrage à la fusion, comme chez Flowdeck où le piège était actif.
+
+---
+
+## [2.83.0] — 2026-11-03
+
+- **Vaults DIR : exclusions par vault et lecture seule déclarable** (prépare le vault « Spark ») : trois nouvelles variables par vault DIR — `DIR_N_READONLY=true` (les mutations sont refusées en 403 « read_only » et l'arborescence n'affiche plus les actions d'écriture pour ce vault), `DIR_N_IGNORED_DIRS=.home,.venv,…` (noms de dossiers cachés à toute profondeur, en plus du global `IGNORED_DIRS`) et `DIR_N_IGNORED_PATHS=Executeurs/*/data,…` (motifs fnmatch sur le chemin relatif ; un dossier qui matche cache tout son sous-arbre). Les exclusions s'appliquent désormais **partout** — navigation (`/api/browse`), lecture (`/api/file`, `raw`, téléchargement : 404), liste des chemins et indexation — et plus seulement à l'indexeur. `/api/vaults` expose `readonly` pour chaque vault. Sans ces variables, comportement inchangé. Fiche : `docs/features/spark-vault-dir.md`. Tests : `tests/test_spark_vault_dir.py`.
+
+---
+
 ## [2.82.8] — 2026-10-30

 - **Panneau détail d'un secret : Afficher/Masquer + Copier la valeur** (PR #57) : la valeur reste masquée (••••••) par défaut ; Afficher la révèle en place, Masquer l'efface (effacée aussi dès que le détail change). « Copier la valeur » copie au presse-papiers sans afficher. Le bouton « Copier » existant ne copiait que la référence.
@@ -4,7 +4,7 @@

 **Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.

-[![Version](https://img.shields.io/badge/Version-2.81.1-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.83.2-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -977,8 +977,8 @@ Ce projet est sous licence **MIT** — voir le fichier [LICENSE](LICENSE) pour l

 ## 📝 Changelog

-Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.81.1).
+Consultez le [CHANGELOG.md](./CHANGELOG.md) pour l'historique complet de toutes les versions (v1.0.0 → v2.83.2).

 ---

-*Projet : ObsiGate | Version : 2.81.1 | Dernière mise à jour : Septembre 2026*
+*Projet : ObsiGate | Version : 2.83.2 | Dernière mise à jour : Septembre 2026*
@@ -2,7 +2,7 @@

 **Ultra-light web gateway for your Obsidian vaults** — Access, browse, and search all your Obsidian notes from any device via a modern, responsive web interface.

-[![Version](https://img.shields.io/badge/Version-2.81.1-blue.svg)]()
+[![Version](https://img.shields.io/badge/Version-2.83.2-blue.svg)]()
 [![License: MIT](https://img.shields.io/badge/License-MIT-yellow.svg)](https://opensource.org/licenses/MIT)
 [![Docker](https://img.shields.io/badge/Docker-Ready-blue.svg)](https://www.docker.com/)
 [![Python](https://img.shields.io/badge/Python-3.11+-green.svg)](https://www.python.org/)
@@ -1152,8 +1152,8 @@ This project is licensed under the **MIT License** - see the [LICENSE](LICENSE)

 ## 📝 Changelog

-See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.81.1).
+See [CHANGELOG.md](./CHANGELOG.md) for the complete version history (v1.0.0 → v2.83.2).

 ---

-*Project: ObsiGate | Version: 2.81.1 | Last updated: September 2026*
+*Project: ObsiGate | Version: 2.83.2 | Last updated: September 2026*
@@ -1 +1 @@
-2.82.8
+2.83.2
@@ -17,6 +17,7 @@ Variables (voir ``.env.example``) :
 - ``DRACO_FLOWDECK_URL``  — base publique de Flowdeck.
 - ``DRACO_TIKTAK_URL``    — base publique de TikTak.
 - ``DRACO_KANBANTE_URL``  — base publique de Kanbante.
+- ``DRACO_SHAARIT_URL``   — base publique de ShaarIt (barre v0.2.0).
 - ``DRACO_GITEA_URL``     — base publique de Gitea (les cartes
  Kanbante *sont* des issues Gitea, contrat liens-profonds) ;
  distincte de ``OBSIGATE_GITEA_URL`` (source connectée de
@@ -50,6 +51,7 @@ DEFAUTS: dict[str, str] = {
    "flowdeck": "https://flowdeck.dracodev.net",
    "tiktak": "https://tiktak.dracodev.net",
    "kanbante": "https://kanbante.dracodev.net",
+    "shaarit": "https://shaarit.dracodev.net",
    "gitea": "https://git.dracodev.net",
 }

@@ -59,6 +61,7 @@ _VARIABLES: dict[str, str] = {
    "flowdeck": "DRACO_FLOWDECK_URL",
    "tiktak": "DRACO_TIKTAK_URL",
    "kanbante": "DRACO_KANBANTE_URL",
+    "shaarit": "DRACO_SHAARIT_URL",
    "gitea": "DRACO_GITEA_URL",
 }

@@ -71,6 +74,7 @@ _SLUGS_HOTE: dict[str, str] = {
    "flowdeck": "flowdeck",
    "tiktak": "tiktak",
    "kanbante": "kanbante",
+    "shaarit": "shaarit",
 }

 # Premier label de l'hôte de l'agent : ``agent`` suivi d'un suffixe
@@ -97,6 +97,13 @@ def load_vault_config() -> dict[str, dict[str, Any]]:
    Also reads optional configuration:
    - VAULT_N_ATTACHMENTS_PATH: relative path to attachments folder
    - VAULT_N_SCAN_ATTACHMENTS: "true"/"false" to enable/disable scanning
+    - DIR_N_READONLY: "true"/"false" — vault DIR déclaré en lecture seule
+      (les mutations sont refusées en 403, l'UI masque les actions d'écriture)
+    - DIR_N_IGNORED_DIRS: noms de dossiers ignorés pour ce vault, séparés
+      par des virgules (toute profondeur, en plus du global IGNORED_DIRS)
+    - DIR_N_IGNORED_PATHS: motifs fnmatch sur le chemin relatif POSIX dans
+      le vault, séparés par des virgules (un dossier qui matche cache tout
+      son sous-arbre) — navigation, lecture et indexation les respectent

    Returns:
        Dict mapping vault names to configuration dicts with keys:
@@ -104,6 +111,9 @@ def load_vault_config() -> dict[str, dict[str, Any]]:
        - attachmentsPath: relative attachments folder (optional)
        - scanAttachmentsOnStartup: boolean (default True)
        - type: "VAULT" or "DIR"
+        - readonly: boolean (DIR only, default False)
+        - ignoredDirs: set of directory names (DIR only, default empty)
+        - ignoredPaths: list of fnmatch patterns (DIR only, default empty)
    """
    vaults: dict[str, dict[str, Any]] = {}
    n = 1
@@ -131,12 +141,23 @@ def load_vault_config() -> dict[str, dict[str, Any]]:
        path = os.environ.get(f"DIR_{n}_PATH")
        if not name or not path:
            break
-        
+
+        readonly = os.environ.get(f"DIR_{n}_READONLY", "false").lower() == "true"
+        ignored_dirs = {
+            d.strip() for d in os.environ.get(f"DIR_{n}_IGNORED_DIRS", "").split(",") if d.strip()
+        }
+        ignored_paths = [
+            p.strip() for p in os.environ.get(f"DIR_{n}_IGNORED_PATHS", "").split(",") if p.strip()
+        ]
+
        vaults[name] = {
            "path": path,
            "attachmentsPath": None,
            "scanAttachmentsOnStartup": False,
-            "type": "DIR"
+            "type": "DIR",
+            "readonly": readonly,
+            "ignoredDirs": ignored_dirs,
+            "ignoredPaths": ignored_paths,
        }
        n += 1

@@ -509,7 +530,8 @@ def _scan_vault(
    Args:
        vault_name: Display name of the vault.
        vault_path: Absolute filesystem path to the vault root.
-        vault_cfg: Optional vault configuration dict (unused for indexing, kept for compatibility).
+        vault_cfg: Optional vault configuration dict — ses exclusions
+            (``ignoredDirs`` / ``ignoredPaths``) sont appliquées au scan.
        previous_files: Optional ``{relative_path: file_info}`` snapshot from a
            previous scan used for differential reuse.

@@ -529,6 +551,16 @@ def _scan_vault(

    root_resolved = vault_root.resolve(strict=False)

+    # Exclusions propres au vault (DIR_N_IGNORED_DIRS / DIR_N_IGNORED_PATHS) :
+    # elles s'ajoutent au global IGNORED_DIRS, sans le modifier. Le cfg est
+    # celui passé par l'appelant — l'index global ne contient pas encore ce
+    # vault pendant son premier scan, chemin_exclu() (qui lit l'index) ne
+    # peut donc pas servir ici.
+    from backend.services.vaults import chemin_exclu_dans_config
+
+    cfg = vault_cfg or {}
+    ignored_names = IGNORED_DIRS | set(cfg.get("ignoredDirs") or [])
+
    # BUG-032: walk without following symlinks and refuse any symlink that
    # escapes the vault root, so external data can never be indexed/exposed.
    for dirpath, dirnames, filenames in os.walk(vault_root, followlinks=False):
@@ -537,7 +569,11 @@ def _scan_vault(
        # Prune ignored and symlinked directories in place (no recursion).
        dirnames[:] = [
            d for d in dirnames
-            if d not in IGNORED_DIRS and not (current_dir / d).is_symlink()
+            if d not in ignored_names
+            and not (current_dir / d).is_symlink()
+            and not chemin_exclu_dans_config(
+                cfg, str((current_dir / d).relative_to(vault_root)).replace("\\", "/")
+            )
        ]

        for d in dirnames:
@@ -565,6 +601,10 @@ def _scan_vault(

            rel_path_str = str(fpath.relative_to(vault_root)).replace("\\", "/")

+            # Exclusion propre au vault (motif de chemin, ex. un .env ciblé).
+            if chemin_exclu_dans_config(cfg, rel_path_str):
+                continue
+
            ext = fpath.suffix.lower()
            # Also match extensionless files named like Dockerfile, Makefile
            basename_lower = fpath.name.lower()
@@ -966,7 +966,8 @@ if FRONTEND_DIR.exists():

        frontend/recherche.html est servi avec les jetons {{URL_*}}
        remplacés par urls_publiques() (même contrat que le fragment
-        de barre, jeton {{URL_AGENT}} inclus pour l'onglet Console
+        de barre, jetons {{URL_SHAARIT}} et {{URL_AGENT}} inclus pour
+        les onglets ShaarIt (barre v0.2.0) et Console
        Spark de la barre re-vendangée) et le nonce CSP frais ; la
        réponse pose sa propre CSP (préservée par
        SecurityHeadersMiddleware, qui ne la pose que si elle est
@@ -992,6 +993,7 @@ if FRONTEND_DIR.exists():
            ("{{URL_FLOWDECK}}", "flowdeck"),
            ("{{URL_TIKTAK}}", "tiktak"),
            ("{{URL_KANBANTE}}", "kanbante"),
+            ("{{URL_SHAARIT}}", "shaarit"),
            ("{{URL_AGENT}}", "agent"),
        ):
            html = html.replace(jeton, urls.get(cle, ""))
@@ -1008,7 +1010,7 @@ if FRONTEND_DIR.exists():
        soeurs = " ".join(sorted({
            origin_of(urls.get(cle, "")) or ""
            for cle in ("obsigate", "flowdeck", "tiktak", "kanbante",
-                        "agent")
+                        "shaarit", "agent")
        } - {""}))
        csp = (
            "default-src 'self'; "
@@ -43,6 +43,7 @@ PROD_ORIGINS = frozenset({
    "https://flowdeck.dracodev.net",
    "https://tiktak.dracodev.net",
    "https://kanbante.dracodev.net",
+    "https://shaarit.dracodev.net",
 })

 DEV_ORIGINS = frozenset({
@@ -50,6 +51,7 @@ DEV_ORIGINS = frozenset({
    "https://flowdeck-dev.dracodev.net",
    "https://tiktak-dev.dracodev.net",
    "https://kanbante-dev.dracodev.net",
+    "https://shaarit-dev.dracodev.net",
 })

 AGENT_ORIGINS = frozenset({
@@ -59,7 +61,7 @@ AGENT_ORIGINS = frozenset({


 # Clés de draco_config.urls_publiques() qui sont des applications sœurs.
-_SOEUR_KEYS = ("obsigate", "flowdeck", "tiktak", "kanbante")
+_SOEUR_KEYS = ("obsigate", "flowdeck", "tiktak", "kanbante", "shaarit")


 def is_dev_host(hostname: str | None) -> bool:
@@ -22,10 +22,12 @@ httpx>=0.27.0
 # l'utilisateur). #224 : la version préinstallée dans la toolcache du
 # runner (6.19.0) est frappée par 11 CVE supplémentaires (dont
 # CVE-2026-113786, CVE-2026-115572, CVE-2026-115585, CVE-2026-115580),
-# corrigées au plus tard en 6.21.2 — le plancher doit être >= 6.21.2 :
+# corrigées au plus tard en 6.21.2. La 6.21.2 est à son tour frappée
+# (CVE-2026-119203 et suivantes, relevées par le job security sur main),
+# corrigées en 6.21.4 — le plancher doit être >= 6.21.4 :
 # en dessous, pip répond « already satisfied » pour la toolcache et
 # n'aligne jamais (même piège que BUG-093).
-pypdf>=6.21.2
+pypdf>=6.21.4
 pyotp>=2.10.0
 segno>=1.5.0
 webauthn==2.6.0
@@ -79,3 +81,9 @@ cryptography>=44.0
 # Plancher de securite : msgpack est transitif, version 1.2.1 relevee par le job
 # security (pip-audit, bloquant) — CVE-2026-114613, corrigee en 1.2.3.
 msgpack>=1.2.3
+# Plancher de sécurité : pyasn1 est transitive (python-jose/rsa), version
+# 0.6.4 relevée par le job security (pip-audit, bloquant) —
+# CVE-2026-119194 à CVE-2026-119197, corrigées en 0.6.5. Sans plancher
+# explicite, pip répond « already satisfied » pour la toolcache et
+# n'aligne jamais (même piège que BUG-093).
+pyasn1>=0.6.5
@@ -65,7 +65,6 @@ from backend.coffre_store import (
    SecretExpireError,
    ValidationError,
    compter_octrois_actifs,
-    est_expire,
    compter_secrets,
    create_coffre,
    create_consommateur,
@@ -73,6 +72,7 @@ from backend.coffre_store import (
    create_secret,
    delete_secret,
    distribuer_valeur,
+    est_expire,
    get_coffre,
    get_coffre_by_id,
    get_coffre_or_404,
@@ -44,7 +44,7 @@ from backend.schemas import (
 from backend.services.files import read_raw_file
 from backend.services.mutations import file_revision
 from backend.services.paths import resolve_safe_path
-from backend.services.vaults import browse_directory, get_vault_root
+from backend.services.vaults import browse_directory, chemin_exclu, get_vault_root
 from backend.share import list_shares

 logger = logging.getLogger("obsigate")
@@ -171,6 +171,9 @@ async def api_file_download(vault_name: str, path: str = Query(..., description=
    if not vault_data:
        raise HTTPException(status_code=404, detail=f"Vault '{vault_name}' not found")

+    if chemin_exclu(vault_name, path):
+        raise HTTPException(status_code=404, detail=f"File not found: {path}")
+
    vault_root = Path(vault_data["path"])
    file_path = resolve_safe_path(vault_root, path)

@@ -243,6 +246,8 @@ def api_file_xlsx_dashboard(
    """
    if not check_vault_access(vault_name, current_user):
        raise HTTPException(status_code=403, detail=f"Accès refusé à la vault '{vault_name}'")
+    if chemin_exclu(vault_name, path):
+        raise HTTPException(status_code=404, detail=f"File not found: {path}")
    _vault_root = get_vault_root(vault_name)
    file_path = resolve_safe_path(_vault_root, path)
    if not file_path.is_file():
@@ -311,6 +316,9 @@ def api_file_xlsx_sheet(
    if not vault_data:
        raise HTTPException(status_code=404, detail=f"Vault '{vault_name}' not found")

+    if chemin_exclu(vault_name, path):
+        raise HTTPException(status_code=404, detail=f"File not found: {path}")
+
    file_path = resolve_safe_path(Path(vault_data["path"]), path)
    if not file_path.is_file():
        raise HTTPException(status_code=404, detail=f"File not found: {path}")
@@ -366,6 +374,9 @@ async def api_file(vault_name: str, path: str = Query(..., description="Relative
    if not vault_data:
        raise HTTPException(status_code=404, detail=f"Vault '{vault_name}' not found")

+    if chemin_exclu(vault_name, path):
+        raise HTTPException(status_code=404, detail=f"File not found: {path}")
+
    vault_root = Path(vault_data["path"])
    file_path = resolve_safe_path(vault_root, path)

@@ -609,6 +609,7 @@ class VaultInfo(BaseModel):
    file_count: int = Field(description="Number of indexed files")
    tag_count: int = Field(description="Number of unique tags")
    type: str = Field(default="VAULT", description="Type of the vault mapping (VAULT or DIR)")
+    readonly: bool = Field(default=False, description="True when the vault is declared read-only (DIR_N_READONLY) — mutations are refused and the UI hides write actions")


 class BookmarkToggleRequest(BaseModel):
@@ -7,13 +7,30 @@ from typing import Any

 from backend.services.errors import ServiceError
 from backend.services.paths import resolve_safe_path
-from backend.services.vaults import get_vault_root
+from backend.services.vaults import chemin_exclu, get_vault_root

 logger = logging.getLogger("obsigate.services.files")


+def _ensure_not_excluded(vault_name: str, path: str) -> None:
+    """Raise ``not_found`` (404) when *path* is excluded in this vault.
+
+    Un chemin exclu (DIR_N_IGNORED_DIRS / DIR_N_IGNORED_PATHS) est
+    indiscernable d'un chemin inexistant : même erreur, aucun détail
+    sur la règle qui l'a caché.
+    """
+    if chemin_exclu(vault_name, path):
+        raise ServiceError(
+            f"File not found: {path}",
+            code="not_found",
+            status=404,
+            details={"vault": vault_name, "path": path},
+        )
+
+
 def read_raw_file(vault_name: str, path: str) -> dict[str, Any]:
    """Return the raw text content of a vault file (no redaction)."""
+    _ensure_not_excluded(vault_name, path)
    root = get_vault_root(vault_name)
    file_path = resolve_safe_path(root, path)

@@ -56,6 +73,7 @@ def read_file_text(
        ServiceError: ``not_found`` (404), ``file_too_large`` (413) or a read
            error (500).
    """
+    _ensure_not_excluded(vault_name, path)
    root = get_vault_root(vault_name)
    target = resolve_safe_path(root, path)

@@ -69,8 +69,18 @@ def _rel(root: Path, path: Path) -> str:
    return str(path.relative_to(root)).replace("\\", "/")


-def _ensure_writable(root: Path) -> None:
-    """Raise ``read_only`` (403) when the vault root is not writable."""
+def _ensure_writable(root: Path, vault_name: str | None = None) -> None:
+    """Raise ``read_only`` (403) when the vault must not be mutated.
+
+    Two sources, same error: the vault is **declared** read-only
+    (``DIR_N_READONLY``, via :func:`vault_readonly`) or its root is
+    not writable on the filesystem (``:ro`` mount).
+    """
+    if vault_name is not None:
+        from backend.services.vaults import vault_readonly
+
+        if vault_readonly(vault_name):
+            raise ServiceError("Vault is read-only", code="read_only", status=403)
    if not os.access(root, os.W_OK):
        raise ServiceError("Vault is read-only", code="read_only", status=403)

@@ -139,7 +149,7 @@ def create_file(
            ``unsupported_extension`` (400) or ``already_exists`` (409).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)
    _validate_extension(file_path)

@@ -190,7 +200,7 @@ def create_directory(vault_name: str, path: str, *, exist_ok: bool = False) -> d
            ``already_exists`` (409) when *exist_ok* is False.
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    dir_path = resolve_safe_path(root, path)

    if dir_path.exists():
@@ -234,7 +244,7 @@ def edit_file(
        ServiceError: ``not_found`` (404) or ``read_only`` (403).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -470,7 +480,7 @@ def edit_xlsx_cells(
        reference or value.
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -592,7 +602,7 @@ def mutate_xlsx_structure(
    — deletions are NOT recoverable from the viewer (only via the ``.bak``).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -1000,7 +1010,7 @@ def mutate_xlsx_style(
    from openpyxl.utils.cell import range_boundaries

    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -1255,7 +1265,7 @@ def save_csv_cells(
    from backend.xlsx_reader import sniff_csv_delimiter

    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -1341,7 +1351,7 @@ def append_to_file(
        ServiceError: ``not_found`` (404) or ``read_only`` (403).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -1382,7 +1392,7 @@ def rename_file(vault_name: str, path: str, new_name: str) -> dict[str, Any]:
            ``unsupported_extension`` (400) or ``already_exists`` (409).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    old_path = resolve_safe_path(root, path)

    if not old_path.exists() or not old_path.is_file():
@@ -1424,7 +1434,7 @@ def rename_directory(vault_name: str, path: str, new_name: str) -> dict[str, Any
            ``already_exists`` (409).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    old_path = resolve_safe_path(root, path)

    if not old_path.exists() or not old_path.is_dir():
@@ -1467,7 +1477,7 @@ def move_path(vault_name: str, source_path: str, destination_dir: str = "") -> d
            ``unsupported_extension`` (400) or ``already_exists`` (409).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)

    source = resolve_safe_path(root, source_path)
    if not source.exists():
@@ -1546,7 +1556,7 @@ def duplicate_path(vault_name: str, source_path: str, destination_dir: str = "")
            destination is inside the source directory.
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)

    source = resolve_safe_path(root, source_path)
    if not source.exists():
@@ -1764,7 +1774,7 @@ def delete_file(vault_name: str, path: str, *, backup: bool = True) -> dict[str,
        ServiceError: ``not_found`` (404) or ``read_only`` (403).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    if not file_path.exists() or not file_path.is_file():
@@ -1797,7 +1807,7 @@ def delete_directory(vault_name: str, path: str, *, recursive: bool = True) -> d
            ``invalid_arguments`` (400) when targeting the vault root.
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    dir_path = resolve_safe_path(root, path)

    if not dir_path.exists() or not dir_path.is_dir():
@@ -1855,7 +1865,7 @@ def restore_backup(
            or ``read_only`` (403).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)

    backup_dir = get_backup_dir(vault_name, path)
@@ -1931,7 +1941,7 @@ def save_raw_file(
        Dict with ``success``, ``vault``, ``path``, and ``size``.
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)
    file_path = resolve_safe_path(root, path)
    _validate_extension(file_path, allow_images=True, allow_docs=allow_docs)

@@ -1980,7 +1990,7 @@ def batch_upload_files(
        and ``errors`` (list of error dicts).
    """
    root = get_vault_root(vault_name)
-    _ensure_writable(root)
+    _ensure_writable(root, vault_name)

    clean_target = (target_dir or "").strip().strip("/\\")
    uploaded: list[str] = []
@@ -215,8 +215,9 @@ def list_paths(vault: str, limit: int = 5000) -> dict[str, Any]:
    from datetime import datetime

    from backend.indexer import get_vault_data, path_index
+    from backend.services.vaults import chemin_exclu

-    entries = path_index.get(vault, [])
+    entries = [e for e in path_index.get(vault, []) if not chemin_exclu(vault, e["path"])]
    meta: dict[str, dict[str, Any]] = {}
    data = get_vault_data(vault)
    if data:
@@ -7,6 +7,7 @@ Single source of truth consumed by both the REST routes (``/api/vaults``,

 from __future__ import annotations

+import fnmatch
 from datetime import UTC
 from pathlib import Path
 from typing import Any
@@ -15,6 +16,68 @@ from backend.services.errors import ServiceError
 from backend.services.paths import resolve_safe_path


+def chemin_exclu_dans_config(config: dict[str, Any] | None, rel_path: str) -> bool:
+    """True si *rel_path* est exclu par la config d'exclusions d'un vault.
+
+    Deux mécanismes, lus dans le dict ``config`` du vault (alimenté par
+    ``DIR_N_IGNORED_DIRS`` / ``DIR_N_IGNORED_PATHS``, vaults DIR seulement) :
+
+    - ``ignoredDirs`` : le nom d'un segment du chemin (à toute profondeur)
+      figure dans l'ensemble — ex. ``.home`` cache ``a/.home/x`` ;
+    - ``ignoredPaths`` : motifs fnmatch testés contre le chemin relatif
+      POSIX **et chacun de ses préfixes** — un dossier qui matche cache
+      donc tout son sous-arbre, ex. ``Executeurs/*/data`` cache aussi
+      ``Executeurs/Hermes/data/config.md``.
+
+    Tolérant : config absente/vide ou chemin vide → False.
+    """
+    if not config or not rel_path:
+        return False
+    rel = str(rel_path).replace("\\", "/").strip("/")
+    if not rel:
+        return False
+    segments = rel.split("/")
+    ignored_dirs = config.get("ignoredDirs") or []
+    if any(seg in ignored_dirs for seg in segments):
+        return True
+    prefixes = ["/".join(segments[:i]) for i in range(1, len(segments) + 1)]
+    for pattern in config.get("ignoredPaths") or []:
+        pat = str(pattern).replace("\\", "/").strip("/")
+        if pat and any(fnmatch.fnmatchcase(prefix, pat) for prefix in prefixes):
+            return True
+    return False
+
+
+def chemin_exclu(vault_name: str, rel_path: str) -> bool:
+    """True si *rel_path* est exclu dans le vault *vault_name*.
+
+    Lit la config du vault via l'index (``get_vault_data``). Tolérant :
+    vault inconnu ou sans config d'exclusions → False.
+    """
+    try:
+        from backend.indexer import get_vault_data
+
+        data = get_vault_data(vault_name)
+    except Exception:
+        return False
+    if not data:
+        return False
+    return chemin_exclu_dans_config(data.get("config") or {}, rel_path)
+
+
+def vault_readonly(vault_name: str) -> bool:
+    """True si le vault est déclaré en lecture seule (DIR_N_READONLY)."""
+    try:
+        from backend.indexer import get_vault_data
+
+        data = get_vault_data(vault_name)
+    except Exception:
+        return False
+    if not data:
+        return False
+    return bool((data.get("config") or {}).get("readonly", False))
+
+
 def list_accessible_vaults(user: dict[str, Any]) -> list[dict[str, Any]]:
    """Return the vaults *user* may access, with summary metadata."""
    from backend.auth.middleware import check_vault_access
@@ -29,6 +92,7 @@ def list_accessible_vaults(user: dict[str, Any]) -> list[dict[str, Any]]:
            "file_count": len(data.get("files", [])),
            "tag_count": len(data.get("tags", {})),
            "type": data.get("config", {}).get("type", "VAULT"),
+            "readonly": bool(data.get("config", {}).get("readonly", False)),
        })
    return result

@@ -58,7 +122,7 @@ def browse_directory(vault_name: str, path: str = "") -> dict[str, Any]:
    root = get_vault_root(vault_name)
    target = resolve_safe_path(root, path) if path else root.resolve()

-    if not target.exists():
+    if not target.exists() or (path and chemin_exclu(vault_name, path)):
        raise ServiceError(
            f"Path not found: {path}",
            code="not_found",
@@ -74,12 +138,15 @@ def browse_directory(vault_name: str, path: str = "") -> dict[str, Any]:
            if hide_hidden and entry.name.startswith("."):
                continue
            rel = str(entry.relative_to(root)).replace("\\", "/")
+            if chemin_exclu(vault_name, rel):
+                continue
            if entry.is_dir():
                # Count only direct children (files and subdirs) for performance.
                try:
                    file_count = sum(
                        1 for child in entry.iterdir()
                        if (not hide_hidden or not child.name.startswith("."))
+                        and not chemin_exclu(vault_name, f"{rel}/{child.name}")
                        and (child.is_file() and (child.suffix.lower() in SUPPORTED_EXTENSIONS or child.name.lower() in ("dockerfile", "makefile"))
                             or child.is_dir())
                    )
@@ -200,6 +267,9 @@ def list_all_files(
            stat = entry.stat()
            rel_path = str(entry.relative_to(root)).replace("\\", "/")

+            if chemin_exclu(vault_name, rel_path):
+                continue
+
            if recursive and dir_prefix:
                try:
                    rel_to_dir = str(entry.parent.relative_to(dir_path)).replace("\\", "/")
@@ -2626,7 +2626,7 @@ dependencies = [

 [[package]]
 name = "obsigate-desktop"
-version = "2.82.4"
+version = "2.83.2"
 dependencies = [
 "chrono",
 "env_logger",
@@ -1,6 +1,6 @@
 [package]
 name = "obsigate-desktop"
-version = "2.82.4"
+version = "2.83.2"
 description = "ObsiGate Desktop — Porte d'entrée native pour vos vaults Obsidian"
 authors = ["Bruno Charest"]
 edition = "2021"
@@ -1,7 +1,7 @@
 {
  "$schema": "https://raw.githubusercontent.com/nicedoc/obsigate/main/desktop/tauri.conf.schema.json",
  "productName": "ObsiGate",
-  "version": "2.82.4",
+  "version": "2.83.2",
  "identifier": "com.obsigate.desktop",
  "build": {
    "frontendDist": "../frontend",
@@ -1,6 +1,6 @@
 # ObsiGate — Roadmap

-> **Version :** 2.82.4 | **Dernière mise à jour :** 2026-10-28
+> **Version :** 2.83.2 | **Dernière mise à jour :** 2026-11-04
 > **Ce fichier ne contient que le travail à venir** (🔵 En cours + ⚪ Backlog) et un index compact
 > vers les fonctionnalités livrées.
 > - **Méthode de livraison à appliquer pour toute tâche : [DELIVERY_WORKFLOW.md](./DELIVERY_WORKFLOW.md)**
@@ -0,0 +1,79 @@
+# Vault DIR « Spark » — exclusions par vault et lecture seule déclarable
+
+## Objectif
+
+Permettre d'exposer dans ObsiGate des répertoires techniques (code du
+service d'agents, workspaces du compagnon, coquilles d'exécuteurs) sous un
+vault `DIR` monté en lecture seule — le vault « Spark » — sans jamais
+rendre visibles leurs zones sensibles (profils et clés des exécuteurs,
+`.home` des workspaces, `.venv`, etc.).
+
+Avant ce chantier, deux manques le bloquaient proprement :
+
+1. Les exclusions n'existaient qu'au niveau de l'indexeur (`IGNORED_DIRS`,
+   global) : la navigation et la lecture montraient le disque tel quel.
+2. La lecture seule d'un vault n'était ni déclarable ni affichée : les
+   menus contextuels proposaient renommer / déplacer / supprimer, qui
+   échouaient ensuite côté serveur (montage `:ro`).
+
+## Contrat de configuration (vaults DIR seulement)
+
+Lues par `load_vault_config()` (`backend/indexer.py`, boucle `DIR_N`),
+rangées dans le dict `config` du vault ; les vaults `VAULT` ne sont pas
+touchés et les défauts (vide / faux) conservent le comportement actuel :
+
+| Variable | Forme | Effet |
+|---|---|---|
+| `DIR_N_READONLY` | `true` / `false` | Mutations refusées en 403 `read_only` ; `readonly: true` exposé par `/api/vaults` ; l'UI masque les actions d'écriture |
+| `DIR_N_IGNORED_DIRS` | `.home,.venv` | Noms de dossiers cachés à toute profondeur, en plus du global |
+| `DIR_N_IGNORED_PATHS` | `Executeurs/*/data,Executeurs/*/.env` | Motifs fnmatch sur le chemin relatif POSIX ; un dossier qui matche cache tout son sous-arbre |
+
+Exemple visé pour le vault Spark :
+
+```
+DIR_1_NAME=Spark
+DIR_1_PATH=/vaults/Spark
+DIR_1_READONLY=true
+DIR_1_IGNORED_DIRS=.home,.venv,__pycache__,node_modules,.git
+DIR_1_IGNORED_PATHS=Executeurs/*/data,Executeurs/*/.env,*/compagnon.json
+```
+
+(le montage lui-même — volume `:ro`, arborescence assemblée sur l'hôte —
+relève de la configuration de déploiement, pas d'ObsiGate.)
+
+## Implémentation
+
+- **Helper central** : `chemin_exclu(vault_name, rel_path)` et
+  `chemin_exclu_dans_config(config, rel_path)` dans
+  `backend/services/vaults.py` — segment présent dans `ignoredDirs`, ou
+  fnmatch du chemin ou d'un de ses préfixes contre `ignoredPaths`.
+  Tolérant si vault / config absents. `vault_readonly(vault_name)` au
+  même endroit.
+- **Navigation** : `browse_directory` filtre les items exclus (et leurs
+  compteurs d'enfants) ; naviguer directement dans un chemin exclu
+  répond 404. `list_all_files` et `list_paths` filtrent aussi.
+- **Lecture** : un chemin exclu est indiscernable d'un chemin inexistant
+  (404, sans détail sur la règle) — `read_raw_file` / `read_file_text`
+  (`backend/services/files.py`), route `GET /api/file/{vault}` et route
+  de téléchargement (`backend/routers/files_read.py`).
+- **Indexation** : le scan (`_scan_vault`, qui reçoit le `vault_cfg`)
+  élague les dossiers exclus et saute les fichiers exclus, en plus du
+  global `IGNORED_DIRS` inchangé.
+- **Lecture seule** : `_ensure_writable(root, vault_name)` dans
+  `backend/services/mutations.py` refuse d'abord sur la déclaration
+  (`DIR_N_READONLY`), avant le garde filesystem existant — toutes les
+  mutations du service (créer, éditer, renommer, déplacer, supprimer,
+  upload, xlsx/csv) passent par ce point.
+- **API / UI** : `VaultInfo.readonly` (`backend/schemas.py`) rempli par
+  `list_accessible_vaults` ; côté frontend, `vaultIsReadonly(nom)` dans
+  `frontend/js/sidebar.js` alimente `ContextMenuManager`,
+  `attachTreeItemActionButton` et `attachTreeItemLongPress` pour le
+  vault et ses dossiers / fichiers (aucun autre fichier JS touché).
+
+## Tests
+
+`tests/test_spark_vault_dir.py` : parsing des trois variables, helper
+`chemin_exclu` (noms et motifs), navigation filtrée, lectures exclues en
+404 (vue fichier, raw, téléchargement), fichier non exclu lisible,
+indexation filtrée, mutation refusée en 403 sur vault readonly et
+`/api/vaults` exposant `readonly=true`.
@@ -12,9 +12,18 @@
   Alertes icône seule.
   v0.1.11 : marque = étoile Spark monochrome (blanche barre foncée,
   noire barre claire) ; anneau rouge #c00000 autour de l'avatar flottant.
+   v0.2.0 : nouvel onglet « ShaarIt » (data-app="shaarit", --app émeraude
+   #059669, logo logos/shaarit.svg via {{LOGO_SHAARIT}}) avant l'onglet
+   agent ; GARDE data-theme : les blocs prefers-color-scheme ne
+   s'appliquent que si <html> n'a AUCUN attribut data-theme
+   (html:not([data-theme])) — avant ce correctif, un hôte ayant choisi
+   le clair via data-theme="light" héritait quand même du sombre
+   système (piège constaté dans les copies vendangées de
+   Kanbante/Flowdeck ; les re-vendanges de la v0.2.0 le corrigent).
   Jetons repris du prototype validé Console v7.2.
   Thème : clair par défaut, sombre via [data-theme="dark"] sur <html>
-   ou prefers-color-scheme si l'app intégratrice ne force rien. */
+   ou prefers-color-scheme si l'app intégratrice ne force rien
+   (aucun attribut data-theme sur <html>). */

 .draco-bar {
  --bg: #f2f2f0; --surface: #ffffff; --surface-2: #e9eae6; --surface-3: #f6f6f3;
@@ -27,8 +36,12 @@
  background: var(--surface); border-bottom: 1px solid var(--line);
  font: 500 14px/1.3 system-ui, "Segoe UI", sans-serif; color: var(--ink);
 }
+/* Garde data-theme (v0.2.0) : le sombre système ne s'applique QUE si
+ * l'hôte n'a posé aucun data-theme sur <html>. Sans cette garde, un
+ * hôte en data-theme="light" sur un système sombre affichait la barre
+ * sombre malgré son choix explicite. */
@media (prefers-color-scheme: dark) {
-  .draco-bar { --bg:#101211; --surface:#1a1c1a; --surface-2:#242624; --surface-3:#20221f;
+  html:not([data-theme]) .draco-bar { --bg:#101211; --surface:#1a1c1a; --surface-2:#242624; --surface-3:#20221f;
    --ink:#eceee9; --ink-2:#a6aba2; --ink-3:#8b9089; --line:#2e302c; }
 }
 [data-theme="dark"] .draco-bar { --bg:#101211; --surface:#1a1c1a; --surface-2:#242624; --surface-3:#20221f;
@@ -48,7 +61,7 @@
   barre foncée (filtre annulé par les règles thème ci-dessous). */
 .draco-brand-mark img { width: 26px; height: 26px; object-fit: cover; display: block; filter: brightness(0); }
@media (prefers-color-scheme: dark) {
-  .draco-bar .draco-brand-mark img { filter: none; }
+  html:not([data-theme]) .draco-bar .draco-brand-mark img { filter: none; }
 }
 [data-theme="dark"] .draco-bar .draco-brand-mark img { filter: none; }

@@ -218,6 +231,9 @@
  .draco-bar[data-current="flowdeck"] .draco-apptab[data-app="flowdeck"],
  .draco-bar[data-current="tiktak"] .draco-apptab[data-app="tiktak"],
  .draco-bar[data-current="kanbante"] .draco-apptab[data-app="kanbante"],
+  /* v0.2.0 : sur ShaarIt elle-même (data-current="shaarit"), c'est
+     l'onglet ShaarIt qui reste visible en mobile. */
+  .draco-bar[data-current="shaarit"] .draco-apptab[data-app="shaarit"],
  /* Chantier 5 : sur la console elle-même (data-current="agent",
     programme console #71), c'est l'onglet Console Spark qui reste
     visible en mobile — les 4 hôtes gardent leur propre courant. */
@@ -8,7 +8,12 @@
 * correctif fusion #70 (SANS bump de version, publication séparée) :
 * bouton trois points et son menu par défaut SUPPRIMÉS, « Console Spark »
 * ajoutée au menu de la marque, fermeture/focus corrigés (voir
- * « Menu des applications », « Focus » et « Écouteurs globaux »).
+ * « Menu des applications », « Focus » et « Écouteurs globaux ») ;
+ * v0.2.0 : 5e application ShaarIt — clé urls.shaarit, défaut officiel
+ * https://shaarit.dracodev.net/, dérivation -dev shaarit-dev (même
+ * contrat que les autres apps), entrée APP_LABELS ; l'onglet
+ * (data-app="shaarit", après Kanbante, avant agent) est repris
+ * automatiquement par la construction du menu de la marque.
 *
 * Aucun gestionnaire inline : un seul écouteur délégué sur le document
 * (patron validé par le prototype — les onclick du HTML généré sont
@@ -26,6 +31,7 @@
 *       flowdeck: "https://flowdeck.dracodev.net/",
 *       tiktak:   "https://tiktak.dracodev.net/",
 *       kanbante: "https://kanbante.dracodev.net/",
+ *       shaarit:  "https://shaarit.dracodev.net/",
 *       agent:    "https://agent.dracodev.net/",
 *       spark:    "https://spark.dracodev.net/"
 *     },
@@ -54,10 +60,13 @@
 * La clé spark ne correspond à aucun onglet de la barre : elle est
 * résolue et exposée via DRACO_BAR.urls pour le panneau Spark
 * (panneau-agent), qui suit le même contrat d'injection. La clé agent,
- * elle, a un onglet depuis le chantier 5 (ordre : ObsiGate, Flowdeck,
- * TikTak, Kanbante, Console Spark) : elle suit donc l'étape « href
+ * elle, a un onglet depuis le chantier 5 (ordre, v0.2.0 : ObsiGate,
+ * Flowdeck, TikTak, Kanbante, ShaarIt, Console Spark) : elle suit
+ * donc l'étape « href
 * rendu » comme les autres onglets, en plus d'alimenter le menu de
- * la marque et DRACO_BAR.urls.
+ * la marque et DRACO_BAR.urls. Même résolution pour shaarit (v0.2.0) :
+ * explicite > dérivation -dev shaarit-dev > href rendu
+ * ({{URL_SHAARIT}}) > défaut officiel.
 * Actions émises (data-act) : rail, palette, domaine (data-dom),
 * alertes, spark, rappel-entete. L'app intégratrice décide de chacune
 * (ouvrir la palette, le panneau Spark, changer de domaine…).
@@ -144,6 +153,7 @@
    flowdeck: "https://flowdeck.dracodev.net/",
    tiktak: "https://tiktak.dracodev.net/",
    kanbante: "https://kanbante.dracodev.net/",
+    shaarit: "https://shaarit.dracodev.net/",
    agent: "https://agent.dracodev.net/",
    spark: "https://spark.dracodev.net/"
  };
@@ -157,12 +167,13 @@
    flowdeck: "https://flowdeck-dev.dracodev.net/",
    tiktak: "https://tiktak-dev.dracodev.net/",
    kanbante: "https://kanbante-dev.dracodev.net/",
+    shaarit: "https://shaarit-dev.dracodev.net/",
    agent: "https://agent-dev.dracodev.net/"
  };

  var APP_LABELS = {
    obsigate: "ObsiGate", flowdeck: "Flowdeck",
-    tiktak: "TikTak", kanbante: "Kanbante"
+    tiktak: "TikTak", kanbante: "Kanbante", shaarit: "ShaarIt"
  };

  /* Vrai si hostname est un hôte -dev dracodev.net : première étiquette
@@ -365,7 +376,8 @@
      if (badge) a.appendChild(badge.cloneNode(true));
      appsMenu.appendChild(a);
    });
-    /* Entrée « Console Spark » (#70) : après Kanbante, vers la console
+    /* Entrée « Console Spark » (#70) : après les onglets d'apps
+     * (ObsiGate…ShaarIt, v0.2.0), vers la console
     * de l'agent commun (URL agent résolue — explicite > -dev >
     * défaut prod ; aucun hôte spark-dev inventé). data-app="agent"
     * l'intègre à refreshMenuHrefs/applyUrls/setCurrent comme les
@@ -0,0 +1,9 @@
+<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 240 240">
+  <!-- ShaarIt — signet (bookmark) blanc sur fond émeraude #059669,
+       couleur signature de l'app dans la barre (#059669, distincte du
+       teal Kanbante #0d9488). Fond arrondi comme les logos PNG 180 px
+       des autres apps ; géométrie simple, aucun redessin d'un logo
+       existant : le signet EST le symbole de l'app (bookmarks). -->
+  <rect x="8" y="8" width="224" height="224" rx="48" fill="#059669"/>
+  <path d="M 82 52 L 158 52 L 158 190 L 120 152 L 82 190 Z" fill="#ffffff"/>
+</svg>
@@ -268,9 +268,16 @@

        <!-- Main Application (wrapped for show/hide) -->
        <!-- Barre d'apps commune dracodev — Fusion #215 (ACC-1.1).
-             Snippet FIGÉ vendangé depuis Projets/dracodev-commons v0.1.11
-             (ui/barre-apps/) : ne pas modifier la structure ici ; toute
-             évolution passe par une nouvelle version de commons.
+             Snippet FIGÉ vendangé depuis Projets/dracodev-commons v0.2.0
+             (ui/barre-apps/, commit 70c837a de la branche
+             shaarit-phase3-barre-contrats) : ne pas modifier la structure
+             ici ; toute évolution passe par une nouvelle version de commons.
+             v0.2.0 : 6e onglet ShaarIt (data-app="shaarit", après Kanbante,
+             avant l'onglet agent) — son href porte le défaut officiel et
+             la réécriture DRACO_URLS ci-dessous le résout comme les
+             autres (config backend/draco_config, dérivation -dev incluse) ;
+             le CSS vendangé gagne la garde data-theme sur
+             prefers-color-scheme (html:not([data-theme])).
             CSS/JS : /static/draco-barre.css, /static/draco-barre.js.
             Icônes logos v0.1.9 (2026-10-29) : les 5 tuiles sont les logos
             fournis, tels quels, servis depuis /static/img/logos/ (copie de
@@ -317,6 +324,10 @@
                        <span class="draco-apptab-txt"><strong>Kanbante</strong><small>Kanban</small></span>
                        <span class="draco-badge" data-badge="kanbante" hidden>0</span>
                    </a>
+                    <a class="draco-apptab" data-app="shaarit" href="https://shaarit.dracodev.net/">
+                        <span class="draco-apptab-ico" style="--app:#059669" data-icon="shaarit"><img src="/static/img/logos/shaarit.svg" alt="ShaarIt" width="30" height="30"></span>
+                        <span class="draco-apptab-txt"><strong>ShaarIt</strong><small>Bookmarks</small></span>
+                    </a>
                    <a class="draco-apptab" data-app="agent" href="https://agent.dracodev.net/">
                        <span class="draco-apptab-ico" style="--app:#c00000" data-icon="agent"><img src="/static/img/logos/spark.png" alt="Console Spark" width="30" height="30"></span>
                        <span class="draco-apptab-txt"><strong>Console Spark</strong><small>Agent commun</small></span>
@@ -2,11 +2,13 @@
 * chantier 2+3 : onglets, « Tout voir », focus).
 *
 * Vanilla, sans dépendance. Un seul fichier vendangé tel quel par chaque
- * hôte (ObsiGate, Flowdeck, TikTak, Kanbante) : la configuration vient
- * des attributs data-* de #recherche, rendus côté serveur par l'hôte.
+ * hôte (ObsiGate, Flowdeck, TikTak, Kanbante, ShaarIt) : la configuration
+ * vient des attributs data-* de #recherche, rendus côté serveur par
+ * l'hôte. Source canonique : dracodev-commons, ui/recherche/
+ * (contrat : contrats/recherche-federee.md).
 *
 * Présentation en onglets : Tout, ObsiGate, Flowdeck, TikTak, Kanbante,
- * Console Spark. « Tout » = les 4 sections groupées, chaque liste
+ * ShaarIt, Console Spark. « Tout » = les 5 sections groupées, chaque liste
 * tronquée à PER_APP_LIMIT ; un onglet application = tous les résultats
 * de cette application (aucune troncature côté client — la requête
 * ObsiGate part avec limit=FULL_LIMIT, les autres API renvoient leur
@@ -46,6 +48,11 @@
 *   -> { groups: [{ full_name, rows: [{ issue, column }] }] }
 *   Lien profond : {base}board/<full_name> (la carte n'a pas d'URL propre
 *   adressable — même limite que la page /search native de Kanbante).
+ * - ShaarIt : GET {base}/api/search?q=
+ *   -> { links: [{ id, title, url, description, tags, shorturl,
+ *        private }] }
+ *   Lien profond (contrat liens-profonds) : {base}shaare/<shorturl>.
+ *   Recherche native adressable : {base}?q=<q> (page d'accueil).
 * - Console Spark : GET {base-console}/api/v1/recherche?q=&limite=
 *   (agent-commun, authentifié par le cookie SSO draco_session) ->
 *   { q, domain, limite_par_type, resultats[], par_type,
@@ -87,8 +94,9 @@
 * Authentification cross-origin : les appels sœurs partent avec
 * credentials:"include". Le navigateur envoie alors les cookies de
 * chaque origine, dont le cookie SSO partagé draco_session
- * (Domain=.dracodev.net), accepté par les 4 API de recherche
- * (ObsiGate et TikTak nativement, Flowdeck et Kanbante via #68)
+ * (Domain=.dracodev.net), accepté par les 5 API de recherche
+ * (ObsiGate et TikTak nativement, Flowdeck et Kanbante via #68,
+ * ShaarIt via la fédération v0.2.1 de commons)
 * et par GET /api/v1/recherche de la console (identity() accepte
 * draco_session). Chaque sœur n'autorise en CORS que les origines
 * sœurs (GET sur l'endpoint de recherche uniquement, pas de "*") ;
@@ -109,12 +117,14 @@
    flowdeck: "https://flowdeck.dracodev.net/",
    tiktak: "https://tiktak.dracodev.net/",
    kanbante: "https://kanbante.dracodev.net/",
+    shaarit: "https://shaarit.dracodev.net/",
  };
  var DEV = {
    obsigate: "https://og-dev.dracodev.net/",
    flowdeck: "https://flowdeck-dev.dracodev.net/",
    tiktak: "https://tiktak-dev.dracodev.net/",
    kanbante: "https://kanbante-dev.dracodev.net/",
+    shaarit: "https://shaarit-dev.dracodev.net/",
  };
  var PROD_AGENT = "https://agent.dracodev.net/";
  var DEV_AGENT = "https://agent-dev.dracodev.net/";
@@ -125,6 +135,7 @@
    { key: "flowdeck", label: "Flowdeck" },
    { key: "tiktak", label: "TikTak" },
    { key: "kanbante", label: "Kanbante" },
+    { key: "shaarit", label: "ShaarIt" },
  ];
  var CONSOLE_APP = { key: "console", label: "Console Spark" };
  var CONSOLE_TYPE_LABELS = {
@@ -145,7 +156,7 @@
    planification: "/?section=planifie",
    identite: "/?section=identites",
  };
-  var TABS = ["all", "obsigate", "flowdeck", "tiktak", "kanbante", "console"];
+  var TABS = ["all", "obsigate", "flowdeck", "tiktak", "kanbante", "shaarit", "console"];
  var COLUMN_LABELS = {
    backlog: "Backlog",
    in_progress: "En cours",
@@ -227,7 +238,7 @@
    return TABS.indexOf(v) !== -1 ? v : "all";
  }

-  /* Sections visibles pour un onglet. « Tout » = les 4 sections
+  /* Sections visibles pour un onglet. « Tout » = les 5 sections
   * groupées (vue #68) ; la console n'y figure pas (voir en-tête). */
  function visibleKeys(tab) {
    tab = parseTab(tab);
@@ -256,7 +267,7 @@
   * Chargement -> "…", ok/vide -> total ("0" honnête),
   * erreur/indisponible/inactif -> "" (pas de faux 0).
   * Tout : "…" tant qu'une section charge, sinon somme des totaux
-   * connus, "" si les 4 sections sont en erreur/inactives. */
+   * connus, "" si les 5 sections sont en erreur/inactives. */
  function tabCounts(states) {
    states = states || {};
    var out = {};
@@ -367,6 +378,22 @@
        };
      });
    }
+    if (app === "shaarit") {
+      return cut(data.links || []).map(function (l) {
+        var tags = (l.tags || []).filter(function (t) { return !!t; });
+        var ctx = "Bookmark";
+        if (l.private) ctx += " · privé";
+        if (tags.length) ctx += " · " + tags.join(", ");
+        return {
+          title: l.title || l.url || "Sans titre",
+          snippet: snippetOf(l.description || ""),
+          context: ctx,
+          /* Lien profond canonique (contrats/liens-profonds.md) ;
+           * sans shorturl, repli sur l'URL du bookmark lui-même. */
+          url: l.shorturl ? base + "shaare/" + l.shorturl : l.url || null,
+        };
+      });
+    }
    return [];
  }

@@ -455,13 +482,16 @@
    if (app === "tiktak" || app === "kanbante") {
      return base + "search?q=" + encodeURIComponent(q || "");
    }
+    if (app === "shaarit") {
+      return base + "?q=" + encodeURIComponent(q || "");
+    }
    /* ObsiGate et Flowdeck n'ont pas de page de recherche adressable :
     * leur recherche native vit dans la palette (Ctrl+K) de l'app. */
    return base;
  }

  function nativeSearchLabel(app) {
-    if (app === "tiktak" || app === "kanbante") {
+    if (app === "tiktak" || app === "kanbante" || app === "shaarit") {
      return "Ouvrir la recherche dans " + appLabel(app);
    }
    return "Ouvrir " + appLabel(app) + " (recherche via la palette Ctrl+K)";
@@ -209,6 +209,17 @@ function _openSecretsMenu(x, y) {
  }, 0);
 }

+/**
+ * Vault déclaré en lecture seule (DIR_N_READONLY, champ « readonly » de
+ * /api/vaults) : ses menus et boutons d'action ne doivent proposer aucune
+ * mutation (renommer, déplacer, supprimer…) — le backend les refuse en
+ * 403 de toute façon, l'UI le dit avant le clic.
+ */
+function vaultIsReadonly(vaultName) {
+  const v = (state.allVaults || []).find((x) => x.name === vaultName);
+  return !!(v && v.readonly);
+}
+
 /** Fichier partagé (créé ou reçu) → icône share-2 bleue, sinon icône usuelle. */
 function sharedFileIconSync(sharedPaths, itemName, vaultName, itemPath) {
  if (sharedPaths && sharedPaths.has(`${vaultName}::${itemPath}`)) return _sharedIcon();
@@ -356,11 +367,11 @@ async function refreshSidebarForContext() {
    
    vaultItem.addEventListener("contextmenu", (e) => {
      e.preventDefault();
-      const isReadonly = false;
+      const isReadonly = vaultIsReadonly(v.name);
      ContextMenuManager.show(e.clientX, e.clientY, v.name, '', 'vault', isReadonly);
    });
-    attachTreeItemActionButton(vaultItem, v.name, "", "vault", false);
-    attachTreeItemLongPress(vaultItem, () => ({ vault: v.name, path: "", type: "vault", isReadonly: false }));
+    attachTreeItemActionButton(vaultItem, v.name, "", "vault", vaultIsReadonly(v.name));
+    attachTreeItemLongPress(vaultItem, () => ({ vault: v.name, path: "", type: "vault", isReadonly: vaultIsReadonly(v.name) }));
    
    container.appendChild(vaultItem);

@@ -460,11 +471,11 @@ async function loadVaults() {
    
    vaultItem.addEventListener("contextmenu", (e) => {
      e.preventDefault();
-      const isReadonly = false;
+      const isReadonly = vaultIsReadonly(v.name);
      ContextMenuManager.show(e.clientX, e.clientY, v.name, '', 'vault', isReadonly);
    });
-    attachTreeItemActionButton(vaultItem, v.name, "", "vault", false);
-    attachTreeItemLongPress(vaultItem, () => ({ vault: v.name, path: "", type: "vault", isReadonly: false }));
+    attachTreeItemActionButton(vaultItem, v.name, "", "vault", vaultIsReadonly(v.name));
+    attachTreeItemLongPress(vaultItem, () => ({ vault: v.name, path: "", type: "vault", isReadonly: vaultIsReadonly(v.name) }));
    
    container.appendChild(vaultItem);

@@ -596,8 +607,8 @@ async function incrementalLoadDirectory(vaultName, dirPath, container) {
      // New item — create it
      if (item.type === "directory") {
        const dirItem = el("div", { class: "tree-item", "data-vault": vaultName, "data-path": item.path, "data-type": "directory" }, [icon("chevron-right", 14), icon("folder", 16), el("span", { class: "tree-item-text" }, [document.createTextNode(item.name)]), smallBadge(item.children_count)]);
-        attachTreeItemActionButton(dirItem, vaultName, item.path, "directory", false);
-        attachTreeItemLongPress(dirItem, () => ({ vault: vaultName, path: item.path, type: "directory", isReadonly: false }));
+        attachTreeItemActionButton(dirItem, vaultName, item.path, "directory", vaultIsReadonly(vaultName));
+        attachTreeItemLongPress(dirItem, () => ({ vault: vaultName, path: item.path, type: "directory", isReadonly: vaultIsReadonly(vaultName) }));
        fragment.appendChild(dirItem);

        const subContainer = el("div", { class: "tree-children collapsed", id: `dir-${vaultName}-${item.path}` });
@@ -624,14 +635,14 @@ async function incrementalLoadDirectory(vaultName, dirPath, container) {

        dirItem.addEventListener("contextmenu", (e) => {
          e.preventDefault();
-          ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, "directory", false);
+          ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, "directory", vaultIsReadonly(vaultName));
        });
      } else {
          const fileIconName = getFileIcon(item.name);
          const displayName = item.name.match(/\.md$/i) ? item.name.replace(/\.md$/i, "") : item.name;
          const fileItem = el("div", { class: "tree-item", "data-vault": vaultName, "data-path": item.path, "data-type": "file" }, [sharedFileIconSync(sharedPaths, item.name, vaultName, item.path), el("span", { class: "tree-item-text" }, [document.createTextNode(displayName)])]);
-          attachTreeItemActionButton(fileItem, vaultName, item.path, "file", false);
-          attachTreeItemLongPress(fileItem, () => ({ vault: vaultName, path: item.path, type: "file", isReadonly: false }));
+          attachTreeItemActionButton(fileItem, vaultName, item.path, "file", vaultIsReadonly(vaultName));
+          attachTreeItemLongPress(fileItem, () => ({ vault: vaultName, path: item.path, type: "file", isReadonly: vaultIsReadonly(vaultName) }));
        fileItem.addEventListener("click", () => {
          scrollTreeItemIntoView(fileItem, false);
          if (window.innerWidth <= 768) {
@@ -649,7 +660,7 @@ async function incrementalLoadDirectory(vaultName, dirPath, container) {

        fileItem.addEventListener("contextmenu", (e) => {
          e.preventDefault();
-          ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, "file", false);
+          ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, "file", vaultIsReadonly(vaultName));
        });

        fragment.appendChild(fileItem);
@@ -944,8 +955,8 @@ async function loadDirectory(vaultName, dirPath, container) {

    if (item.type === "directory") {
      const dirItem = el("div", { class: "tree-item", "data-vault": vaultName, "data-path": item.path, "data-type": "directory" }, [icon("chevron-right", 14), icon("folder", 16), el("span", { class: "tree-item-text" }, [document.createTextNode(item.name)]), smallBadge(item.children_count)]);
-      attachTreeItemActionButton(dirItem, vaultName, item.path, "directory", false);
-      attachTreeItemLongPress(dirItem, () => ({ vault: vaultName, path: item.path, type: "directory", isReadonly: false }));
+      attachTreeItemActionButton(dirItem, vaultName, item.path, "directory", vaultIsReadonly(vaultName));
+      attachTreeItemLongPress(dirItem, () => ({ vault: vaultName, path: item.path, type: "directory", isReadonly: vaultIsReadonly(vaultName) }));
      fragment.appendChild(dirItem);

      const subContainer = el("div", { class: "tree-children collapsed", id: `dir-${vaultName}-${item.path}` });
@@ -972,7 +983,7 @@ async function loadDirectory(vaultName, dirPath, container) {

      dirItem.addEventListener("contextmenu", (e) => {
        e.preventDefault();
-        const isReadonly = false;
+        const isReadonly = vaultIsReadonly(vaultName);
        ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, 'directory', isReadonly);
      });
    } else {
@@ -980,8 +991,8 @@ async function loadDirectory(vaultName, dirPath, container) {
      const displayName = item.name.match(/\.md$/i) ? item.name.replace(/\.md$/i, "") : item.name;
      const isShared = sharedPaths.has(`${vaultName}::${item.path}`);
      const fileItem = el("div", { class: "tree-item", "data-vault": vaultName, "data-path": item.path, "data-type": "file" }, [isShared ? _sharedIcon() : icon(fileIconName, 16), el("span", { class: "tree-item-text" }, [document.createTextNode(displayName)])]);
-      attachTreeItemActionButton(fileItem, vaultName, item.path, "file", false);
-      attachTreeItemLongPress(fileItem, () => ({ vault: vaultName, path: item.path, type: "file", isReadonly: false }));
+      attachTreeItemActionButton(fileItem, vaultName, item.path, "file", vaultIsReadonly(vaultName));
+      attachTreeItemLongPress(fileItem, () => ({ vault: vaultName, path: item.path, type: "file", isReadonly: vaultIsReadonly(vaultName) }));
      fileItem.addEventListener("click", () => {
        scrollTreeItemIntoView(fileItem, false);
        if (window.innerWidth <= 768) {
@@ -999,7 +1010,7 @@ async function loadDirectory(vaultName, dirPath, container) {

      fileItem.addEventListener("contextmenu", (e) => {
        e.preventDefault();
-        const isReadonly = false;
+        const isReadonly = vaultIsReadonly(vaultName);
        ContextMenuManager.show(e.clientX, e.clientY, vaultName, item.path, 'file', isReadonly);
      });

@@ -14,7 +14,7 @@
       retomberait sur les défauts prod (les jetons sont ignorés par
       le JS) — jamais d'URL inventée.
       La barre ci-dessous est une copie statique du snippet figé de
-       index.html (commons v0.1.11 + chantier 5 fusion #69/#71, sans
+       index.html (commons v0.2.0 + chantier 5 fusion #69/#71, sans
       bump) : les onglets sont des liens réels, le bouton central
       replace le curseur dans la boîte (recherche.js,
       clic data-act="palette"). Re-vendoring alignement recherche :
@@ -79,6 +79,10 @@
          <span class="draco-apptab-txt"><strong>Kanbante</strong><small>Kanban</small></span>
          <span class="draco-badge" data-badge="kanbante" hidden>0</span>
        </a>
+        <a class="draco-apptab" data-app="shaarit" href="{{URL_SHAARIT}}">
+          <span class="draco-apptab-ico" style="--app:#059669" data-icon="shaarit"><img src="/static/img/logos/shaarit.svg" alt="ShaarIt" width="30" height="30"></span>
+          <span class="draco-apptab-txt"><strong>ShaarIt</strong><small>Bookmarks</small></span>
+        </a>
        <a class="draco-apptab" data-app="agent" href="{{URL_AGENT}}">
          <span class="draco-apptab-ico" style="--app:#c00000" data-icon="agent"><img src="/static/img/logos/spark.png" alt="Console Spark" width="30" height="30"></span>
          <span class="draco-apptab-txt"><strong>Console Spark</strong><small>Agent commun</small></span>
@@ -128,9 +132,10 @@
                data-base-obsigate="{{URL_OBSIGATE}}"
                data-base-flowdeck="{{URL_FLOWDECK}}"
                data-base-tiktak="{{URL_TIKTAK}}"
-                data-base-kanbante="{{URL_KANBANTE}}">
+                data-base-kanbante="{{URL_KANBANTE}}"
+                data-base-shaarit="{{URL_SHAARIT}}">
            <h1>Rechercher partout</h1>
-            <p class="rp-hint">Notes ObsiGate, pages Flowdeck, tâches TikTak, cartes Kanbante — dans l'environnement courant (dev reste dev). « / » ou Ctrl+K pour rechercher, ↑/↓ puis Entrée pour ouvrir un résultat. « Tout voir » bascule vers l'onglet de l'application, sans quitter la page.</p>
+            <p class="rp-hint">Notes ObsiGate, pages Flowdeck, tâches TikTak, cartes Kanbante, bookmarks ShaarIt — dans l'environnement courant (dev reste dev). « / » ou Ctrl+K pour rechercher, ↑/↓ puis Entrée pour ouvrir un résultat. « Tout voir » bascule vers l'onglet de l'application, sans quitter la page.</p>
            <div class="rp-form">
              <input id="rp-q" class="rp-input" type="search" name="q" value=""
                     placeholder="Rechercher partout…" autocomplete="off" autofocus>
@@ -141,6 +146,7 @@
              <button type="button" class="rp-tab" role="tab" aria-selected="false" tabindex="-1" data-rp-tab="flowdeck">Flowdeck <span class="rp-tab-count"></span></button>
              <button type="button" class="rp-tab" role="tab" aria-selected="false" tabindex="-1" data-rp-tab="tiktak">TikTak <span class="rp-tab-count"></span></button>
              <button type="button" class="rp-tab" role="tab" aria-selected="false" tabindex="-1" data-rp-tab="kanbante">Kanbante <span class="rp-tab-count"></span></button>
+              <button type="button" class="rp-tab" role="tab" aria-selected="false" tabindex="-1" data-rp-tab="shaarit">ShaarIt <span class="rp-tab-count"></span></button>
              <button type="button" class="rp-tab" role="tab" aria-selected="false" tabindex="-1" data-rp-tab="console">Console Spark <span class="rp-tab-count"></span></button>
            </nav>
            <section class="rp-section" data-rp-section="obsigate">
@@ -159,6 +165,10 @@
              <div class="rp-head"><h2>Kanbante — cartes</h2><span class="rp-count"></span><a class="rp-all" href="#">Tout voir</a></div>
              <div class="rp-body"><p class="rp-state">Tapez une recherche ci-dessus.</p></div>
            </section>
+            <section class="rp-section" data-rp-section="shaarit">
+              <div class="rp-head"><h2>ShaarIt — bookmarks</h2><span class="rp-count"></span><a class="rp-all" href="#">Tout voir</a></div>
+              <div class="rp-body"><p class="rp-state">Tapez une recherche ci-dessus.</p></div>
+            </section>
            <section class="rp-section" data-rp-section="console">
              <div class="rp-head"><h2>Console Spark — discussions</h2><span class="rp-count"></span><a class="rp-all" href="#">Tout voir</a></div>
              <div class="rp-body"><p class="rp-state">Tapez une recherche ci-dessus.</p></div>
@@ -8493,7 +8493,7 @@ body.popup-mode .content-area {
  box-shadow: 0 2px 16px rgba(0,0,0,0.35);
  width: fit-content;
  max-width: 95%;
-  z-index: 50;
+  z-index: 66; /* au-dessus de .draco-spark-flottant (65) sinon la barre flottante DRACO intercepte les clics des flèches de recherche */
  backdrop-filter: blur(8px);
 }
 .results-bar-count {
@@ -1,6 +1,6 @@
 {
  "name": "obsigate",
-  "version": "2.82.4",
+  "version": "2.83.2",
  "description": "**Porte d'entrée web ultra-léger pour vos vaults Obsidian** — Accédez, naviguez et recherchez dans toutes vos notes Obsidian depuis n'importe quel appareil via une interface web moderne et responsive.",
  "main": "patch.js",
  "directories": {
@@ -25,7 +25,7 @@ async function login(page) {
    await page.click('#login-btn');
  }
  // Wait until app init() resolved (all handlers bound).
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function openFile(page, vault, filePath) {
@@ -28,7 +28,7 @@ async function login(page) {
    await page.fill('#login-password', CREDS.password);
    await page.click('#login-btn');
  }
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function authEnabled(page) {
@@ -26,7 +26,7 @@ async function login(page) {
    await page.fill('#login-password', CREDS.password);
    await page.click('#login-btn');
  }
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function openFile(page, vault, filePath) {
@@ -25,7 +25,7 @@ async function login(page) {
    await page.fill('#login-password', CREDS.password);
    await page.click('#login-btn');
  }
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function openFile(page, vault, filePath) {
@@ -12,7 +12,7 @@ import { test, expect } from '@playwright/test';

 async function boot(page) {
  await page.goto('/');
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
  await page.waitForSelector('#dashboard-home, #search-input', { timeout: 15000 });
 }

@@ -9,7 +9,7 @@ const BASE = process.env.BASE_URL || 'http://localhost:2029';
 async function goHome(page) {
  await page.goto(BASE);
  // Wait until app init() resolved (all handlers bound, incl. search).
-  await page.waitForFunction(() => (window as any).__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
  await page.waitForSelector('#dashboard-home, #search-input', { timeout: 15000 });
 }

@@ -30,7 +30,7 @@ async function login(page) {
    await page.fill('#login-password', CREDS.password);
    await page.click('#login-btn');
  }
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function openFile(page, vault, filePath) {
@@ -57,7 +57,7 @@ async function login(page) {
    await page.fill('#login-password', process.env.OBSIGATE_PASS || 'test123');
    await page.click('#login-btn');
  }
-  await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+  await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
 }

 async function openFixture(page) {
@@ -117,7 +117,7 @@ test.describe('XSS — lecteur markdown (BUG-021)', () => {
    await api(request, 'POST', `/api/file/${VAULT}`, { path: XSS_FILE, content: `${XSS_BODY}\n` });

    await page.goto(BASE);
-    await page.waitForFunction(() => window.__OBSIGATE_BOOTED === true, { timeout: 20000 });
+    await page.waitForFunction(() => document.readyState === 'complete' && !!document.querySelector('.tree-item'), { timeout: 20000 });
    await openFile(page, VAULT, XSS_FILE);

    const content = page.locator('#content-area');
@@ -38,6 +38,7 @@ const b = rp.resolveBases({
 ok(b.tiktak === "https://tiktak-perso.example/", "explicite prioritaire");
 ok(b.obsigate === "https://og-dev.dracodev.net/", "dev pour l'hôte courant");
 ok(b.kanbante === "https://kanbante-dev.dracodev.net/", "dev avant href");
+ok(b.shaarit === "https://shaarit-dev.dracodev.net/", "base shaarit dev");
 ok(
  rp.searchPath("obsigate", "café") === "api/search?q=caf%C3%A9&vault=all&limit=8",
  "path ObsiGate",
@@ -58,21 +59,47 @@ ok(
    "https://tiktak-dev.dracodev.net/search?q=q",
  "repli TikTak",
 );
+ok(
+  rp.nativeSearchUrl("shaarit", "https://shaarit-dev.dracodev.net/", "q") ===
+    "https://shaarit-dev.dracodev.net/?q=q",
+  "repli ShaarIt = accueil ?q=",
+);
+
+/* normalize ShaarIt (commons v0.2.1) : lien profond shaare/<shorturl>,
+ * contexte privé + tags, repli sur l'URL du bookmark sans shorturl */
+const signets = rp.normalize(
+  "shaarit",
+  { links: [{ title: "Yandex", url: "https://yandex.com", description: "moteur", tags: ["recherche", "web"], shorturl: "xYz9", private: true }] },
+  "https://shaarit-dev.dracodev.net/",
+  "recherche",
+);
+ok(signets[0].url === "https://shaarit-dev.dracodev.net/shaare/xYz9", "lien profond ShaarIt (shaare/<shorturl>)");
+ok(signets[0].context === "Bookmark · privé · recherche, web", "contexte ShaarIt (privé + tags)");
+ok(signets[0].snippet === "moteur", "extrait ShaarIt = description");
+const sansShort = rp.normalize(
+  "shaarit",
+  { links: [{ title: "", url: "https://exemple.fr", tags: [], shorturl: "" }] },
+  "https://shaarit.dracodev.net/",
+  "x",
+);
+ok(sansShort[0].url === "https://exemple.fr" && sansShort[0].title === "https://exemple.fr", "ShaarIt sans shorturl : repli URL + titre");


 /* ---- Chantier 2+3 : onglets, compteurs, URL, console (logique pure) ---- */

 /* parseTab */
 ok(rp.parseTab("obsigate") === "obsigate", "onglet valide conservé");
+ok(rp.parseTab("shaarit") === "shaarit", "onglet shaarit valide");
 ok(rp.parseTab("console") === "console", "onglet console valide");
 ok(rp.parseTab("bidon") === "all", "onglet inconnu -> Tout");
 ok(rp.parseTab(undefined) === "all", "onglet absent -> Tout");

-/* visibleKeys : Tout = les 4 sections groupées, sans la console */
-ok(JSON.stringify(rp.visibleKeys("all")) === JSON.stringify(["obsigate", "flowdeck", "tiktak", "kanbante"]), "Tout = 4 sections, pas la console");
+/* visibleKeys : Tout = les 5 sections groupées, sans la console */
+ok(JSON.stringify(rp.visibleKeys("all")) === JSON.stringify(["obsigate", "flowdeck", "tiktak", "kanbante", "shaarit"]), "Tout = 5 sections, pas la console");
 ok(JSON.stringify(rp.visibleKeys("tiktak")) === JSON.stringify(["tiktak"]), "onglet app = sa seule section");
+ok(JSON.stringify(rp.visibleKeys("shaarit")) === JSON.stringify(["shaarit"]), "onglet shaarit = sa seule section");
 ok(JSON.stringify(rp.visibleKeys("console")) === JSON.stringify(["console"]), "onglet console = sa seule section");
-ok(JSON.stringify(rp.visibleKeys("bidon")) === JSON.stringify(["obsigate", "flowdeck", "tiktak", "kanbante"]), "onglet inconnu -> Tout");
+ok(JSON.stringify(rp.visibleKeys("bidon")) === JSON.stringify(["obsigate", "flowdeck", "tiktak", "kanbante", "shaarit"]), "onglet inconnu -> Tout");

 /* pageItems : troncature Tout (8), complet dans l'onglet de l'app */
 let douze = Array.from({ length: 12 }, (_, i) => ({ title: "T" + i }));
@@ -85,9 +112,11 @@ let c = rp.tabCounts({
  flowdeck: { status: "ok", total: 3 },
  tiktak: { status: "empty", total: 0 },
  kanbante: { status: "error", total: 0 },
+  shaarit: { status: "ok", total: 2 },
  console: { status: "idle", total: 0 },
 });
 ok(c.obsigate === "…", "compteur … pendant le chargement");
+ok(c.shaarit === "2", "compteur shaarit");
 ok(c.flowdeck === "3" && c.tiktak === "0", "compteur total, vide honnête à 0");
 ok(c.kanbante === "" && c.console === "", "erreur/inactif : pas de faux 0");
 ok(c.all === "…", "Tout = … tant qu'une section charge");
@@ -96,18 +125,20 @@ c = rp.tabCounts({
  flowdeck: { status: "ok", total: 2 },
  tiktak: { status: "empty", total: 0 },
  kanbante: { status: "error", total: 0 },
+  shaarit: { status: "ok", total: 1 },
  console: { status: "ok", total: 4 },
 });
-ok(c.all === "7", "Tout = somme des totaux connus");
+ok(c.all === "8", "Tout = somme des totaux connus (5 sections)");
 ok(c.console === "4", "compteur console");
 c = rp.tabCounts({
  obsigate: { status: "error", total: 0 },
  flowdeck: { status: "error", total: 0 },
  tiktak: { status: "error", total: 0 },
  kanbante: { status: "error", total: 0 },
+  shaarit: { status: "error", total: 0 },
  console: { status: "idle", total: 0 },
 });
-ok(c.all === "", "Tout vide si les 4 sections sont en erreur");
+ok(c.all === "", "Tout vide si les 5 sections sont en erreur");

 /* buildSearchUrl : état onglet partageable */
 ok(rp.buildSearchUrl("café", "tiktak") === "?q=caf%C3%A9&tab=tiktak", "URL q+onglet");
@@ -112,8 +112,10 @@ function testModulesHaveImports() {
    { file: 'navfacets.js', reason: 'pure helpers — no deps, imported by vaulthome.js' },
        { file: 'sidebar_raw.js', reason: 'legacy file — excluded' },
        { file: 'desktop.js', reason: 'standalone — reads window.__TAURI__ global, no imports needed' },
+        { file: 'recherche.js', reason: 'standalone — vanilla sans dépendance, vendangé tel quel par chaque hôte (#68)', noExport: true },
      ];
  const expectNoImport = new Set(expected.map(e => e.file));
+  const expectNoExport = new Set(expected.filter(e => e.noExport).map(e => e.file));

  for (const file of files) {
    const content = readFileSync(join(JS_DIR, file), 'utf-8');
@@ -123,7 +125,7 @@ function testModulesHaveImports() {
    if (!expectNoImport.has(file)) {
      assert.ok(hasImport, `${file} should have at least one import`);
    }
-    if (file !== 'state.js' && file !== 'app.js') {
+    if (file !== 'state.js' && file !== 'app.js' && !expectNoExport.has(file)) {
      assert.ok(hasExport, `${file} should have at least one export`);
    }
  }
@@ -55,6 +55,29 @@ def test_menu_des_applications_par_la_marque():
    assert '<span class="draco-brand-mark"><img src="/static/img/brand-spark.png"' in recherche


+def test_barre_v020_onglet_shaarit_et_garde_data_theme():
+    # Barre v0.2.0 (dracodev-commons @70c837a) : 6e onglet ShaarIt
+    # après Kanbante et avant l'onglet agent, logo fourni tel quel,
+    # et garde data-theme sur les blocs prefers-color-scheme du CSS
+    # vendangé (html:not([data-theme])) — sans elle, un hôte en
+    # data-theme="light" sur système sombre héritait du sombre.
+    css = _css()
+    assert "html:not([data-theme]) .draco-bar {" in css
+    assert "html:not([data-theme]) .draco-bar .draco-brand-mark img" in css
+    assert (FRONTEND / "img" / "logos" / "shaarit.svg").is_file()
+    for nom, jeton in (("index.html", "https://shaarit.dracodev.net/"),
+                       ("recherche.html", "{{URL_SHAARIT}}")):
+        html = (FRONTEND / nom).read_text(encoding="utf-8")
+        nav = html.split('<nav class="draco-apptabs"')[1].split("</nav>")[0]
+        assert f'data-app="shaarit" href="{jeton}"' in nav
+        assert 'data-icon="shaarit"><img src="/static/img/logos/shaarit.svg"' in nav
+        assert nav.index('data-app="kanbante"') < nav.index('data-app="shaarit"')
+        assert nav.index('data-app="shaarit"') < nav.index('data-app="agent"')
+    js = (FRONTEND / "draco-barre.js").read_text(encoding="utf-8")
+    assert 'shaarit: "https://shaarit.dracodev.net/"' in js
+    assert 'shaarit: "https://shaarit-dev.dracodev.net/"' in js
+
+
 def test_panneau_spark_integre_218():
    # #218 : le bouton Spark de la barre ouvre le panneau de l'agent
    # commun (mêmes assets partagés que TikTak / Flowdeck / Kanbante).
@@ -99,7 +122,8 @@ def test_panneau_console_surimpression_222():
    assert "draco-console-sur" in panneau
    assert "assurerSurimpression" in panneau
    assert "draco-console-styles" in panneau
-    assert 'surCadre.src = urlConsole()' in panneau
+    assert 'var url = urlConsole()' in panneau
+    assert 'surCadre.src = url' in panneau
    assert 'surEl.style.width = "100%"' in panneau
    assert 'data-dc="sidebar"' in panneau
    assert "Mode sidebar" in panneau
@@ -116,7 +140,8 @@ def test_csp_ouvre_le_service_d_agents_218():
    # dérivée de la configuration (backend.draco_config.agent_origine,
    # testée via la config dans tests/test_security_headers.py).
    main = (Path(__file__).resolve().parent.parent / "backend" / "main.py").read_text(encoding="utf-8")
-    ligne = next(l for l in main.splitlines() if "connect-src" in l)
+    ligne = next(l for l in main.splitlines()
+                 if "connect-src" in l and not l.strip().startswith("#"))
    assert "agent_origine" in main
    assert "{agent}" in ligne

@@ -19,7 +19,8 @@ def env_propre(monkeypatch):
    """Aucune variable d'URL d'écosystème posée (défauts officiels)."""
    for nom in (
        "DRACO_AGENT_URL", "DRACO_OBSIGATE_URL", "DRACO_FLOWDECK_URL",
-        "DRACO_TIKTAK_URL", "DRACO_KANBANTE_URL", "DRACO_GITEA_URL",
+        "DRACO_TIKTAK_URL", "DRACO_KANBANTE_URL", "DRACO_SHAARIT_URL",
+        "DRACO_GITEA_URL",
        "AGENT_EVENEMENTS_URL",
    ):
        monkeypatch.delenv(nom, raising=False)
@@ -37,6 +38,20 @@ def test_defauts_officiels_sans_dev(env_propre):
        assert "-dev" not in url


+def test_shaarit_defaut_et_derivation(env_propre):
+    """Barre v0.2.0 : ShaarIt suit le même mécanisme que les autres
+    sœurs — défaut officiel, dérivation -dev depuis l'hôte de l'agent,
+    variable explicite prioritaire."""
+    assert draco_config.app_url("shaarit") == "https://shaarit.dracodev.net"
+    env_propre.setenv(
+        "AGENT_EVENEMENTS_URL", "https://agent-dev.dracodev.net/api/v1/evenements")
+    assert draco_config.app_url("shaarit") == "https://shaarit-dev.dracodev.net"
+    assert draco_config.urls_publiques()["shaarit"] == \
+        "https://shaarit-dev.dracodev.net"
+    env_propre.setenv("DRACO_SHAARIT_URL", "https://bm.example.net/")
+    assert draco_config.app_url("shaarit") == "https://bm.example.net"
+
+
 def test_agent_derive_des_evenements(env_propre):
    """Sans DRACO_AGENT_URL, l'origine suit AGENT_EVENEMENTS_URL —
    la configuration réelle du poste (dev inclus)."""
@@ -38,17 +38,20 @@ def test_origin_of():


 def test_sister_origins_dev():
-    # Correctif 2026-10-28 : 10 origines officielles (8 sœurs + 2 agent), prod ET dev,
-    # quelle que soit la résolution.
+    # Correctif 2026-10-28 : origines officielles prod ET dev, quelle
+    # que soit la résolution ; ShaarIt ajoutée par la fédération
+    # v0.2.1 (12 origines : 10 sœurs + 2 agent).
    assert sister_origins(RESOLVED_DEV) == {
        "https://og.dracodev.net",
        "https://flowdeck.dracodev.net",
        "https://tiktak.dracodev.net",
        "https://kanbante.dracodev.net",
+        "https://shaarit.dracodev.net",
        "https://og-dev.dracodev.net",
        "https://flowdeck-dev.dracodev.net",
        "https://tiktak-dev.dracodev.net",
        "https://kanbante-dev.dracodev.net",
+        "https://shaarit-dev.dracodev.net",
        "https://agent.dracodev.net",
        "https://agent-dev.dracodev.net",
    }
@@ -33,7 +33,7 @@ class TestListAccessibleVaults:

    def test_metadata_fields(self, client):
        vault = next(v for v in list_accessible_vaults(ADMIN) if v["name"] == "TestVault")
-        assert set(vault) == {"name", "file_count", "tag_count", "type"}
+        assert set(vault) == {"name", "file_count", "tag_count", "type", "readonly"}
        assert vault["file_count"] >= 1


@@ -0,0 +1,251 @@
+"""Tests des vaults DIR « Spark » : exclusions par vault et lecture seule.
+
+Couvre le contrat DIR_N_READONLY / DIR_N_IGNORED_DIRS / DIR_N_IGNORED_PATHS :
+- parsing des trois variables dans load_vault_config() ;
+- helper chemin_exclu (noms de dossiers et motifs fnmatch à préfixes) ;
+- navigation filtrée, lectures exclues en 404 (vue, raw, téléchargement),
+  fichier non exclu lisible, indexation et list_paths filtrés ;
+- mutation refusée en 403 sur un vault déclaré readonly ;
+- /api/vaults expose readonly=true pour un DIR readonly.
+
+Le vault de test est un répertoire temporaire monté en DIR (jamais un
+vault de notes), avec une arborescence qui imite la vue Spark visée :
+Console/, Workspaces/ (avec un .home), Executeurs/Hermes/{missions,data,.env}.
+"""
+
+from __future__ import annotations
+
+import asyncio
+import os
+from pathlib import Path
+from typing import ClassVar
+
+import pytest
+from fastapi.testclient import TestClient
+
+VAULT_NAME = "SparkTest"
+
+
+def _build_spark_tree(root: Path) -> None:
+    """Crée l'arborescence technique de test sous *root*."""
+    (root / "Console").mkdir(parents=True)
+    (root / "Console" / "code.py").write_text('print("visible")\n', encoding="utf-8")
+    (root / "Console" / "notes.md").write_text("# Notes\n", encoding="utf-8")
+
+    atelier = root / "Workspaces" / "atelier"
+    (atelier / ".home").mkdir(parents=True)
+    (atelier / "note.md").write_text("# Atelier\n", encoding="utf-8")
+    (atelier / ".home" / "cache.md").write_text("# Cache du sandbox\n", encoding="utf-8")
+
+    venv = root / ".venv"
+    venv.mkdir()
+    (venv / "lib.py").write_text("# lib du venv\n", encoding="utf-8")
+
+    hermes = root / "Executeurs" / "Hermes"
+    (hermes / "missions").mkdir(parents=True)
+    (hermes / "data").mkdir(parents=True)
+    (hermes / "missions" / "mission.md").write_text("# Mission\n", encoding="utf-8")
+    (hermes / "data" / "config.md").write_text("# Profil de l'exécuteur\n", encoding="utf-8")
+    (hermes / ".env").write_text("CLE_FICTIVE=ne-pas-exposer\n", encoding="utf-8")
+
+    (root / "racine.md").write_text("# Racine\n", encoding="utf-8")
+
+
+@pytest.fixture
+def spark_dir(tmp_path: Path) -> Path:
+    root = tmp_path / "SparkDir"
+    root.mkdir()
+    _build_spark_tree(root)
+    return root
+
+
+@pytest.fixture
+def spark_client(spark_dir: Path):
+    """TestClient avec le répertoire de test monté en vault DIR readonly.
+
+    Même patron que le fixture ``app_with_vault`` de conftest.py, mais en
+    DIR_N_* avec les trois nouvelles variables posées.
+    """
+    os.environ["DIR_1_NAME"] = VAULT_NAME
+    os.environ["DIR_1_PATH"] = str(spark_dir)
+    os.environ["DIR_1_READONLY"] = "true"
+    os.environ["DIR_1_IGNORED_DIRS"] = ".home,.venv"
+    os.environ["DIR_1_IGNORED_PATHS"] = "Executeurs/*/data,Executeurs/*/.env"
+    os.environ["OBSIGATE_AUTH_ENABLED"] = "false"
+
+    import backend.main
+
+    backend.main._load_config = lambda: {"watcher_enabled": False}
+
+    from backend.indexer import build_index
+    from backend.main import app
+
+    loop = asyncio.new_event_loop()
+    asyncio.set_event_loop(loop)
+    loop.run_until_complete(build_index())
+
+    return TestClient(app)
+
+
+# ── Parsing de la configuration ─────────────────────────────────────
+
+
+class TestParsingConfig:
+    def test_dir_variables_parsees(self, monkeypatch, tmp_path):
+        monkeypatch.setenv("DIR_1_NAME", "SparkParse")
+        monkeypatch.setenv("DIR_1_PATH", str(tmp_path))
+        monkeypatch.setenv("DIR_1_READONLY", "true")
+        monkeypatch.setenv("DIR_1_IGNORED_DIRS", ".home, .venv ,__pycache__")
+        monkeypatch.setenv("DIR_1_IGNORED_PATHS", "Executeurs/*/data, Executeurs/*/.env")
+
+        from backend.indexer import load_vault_config
+
+        cfg = load_vault_config()["SparkParse"]
+        assert cfg["type"] == "DIR"
+        assert cfg["readonly"] is True
+        assert cfg["ignoredDirs"] == {".home", ".venv", "__pycache__"}
+        assert cfg["ignoredPaths"] == ["Executeurs/*/data", "Executeurs/*/.env"]
+
+    def test_dir_sans_variables_defauts(self, monkeypatch, tmp_path):
+        monkeypatch.setenv("DIR_1_NAME", "DirNu")
+        monkeypatch.setenv("DIR_1_PATH", str(tmp_path))
+
+        from backend.indexer import load_vault_config
+
+        cfg = load_vault_config()["DirNu"]
+        assert cfg["readonly"] is False
+        assert cfg["ignoredDirs"] == set()
+        assert cfg["ignoredPaths"] == []
+
+
+# ── Helper chemin_exclu ─────────────────────────────────────────────
+
+
+class TestCheminExclu:
+    CFG: ClassVar[dict] = {
+        "ignoredDirs": {".home", ".venv"},
+        "ignoredPaths": ["Executeurs/*/data", "Executeurs/*/.env"],
+    }
+
+    def test_nom_de_dossier_a_toute_profondeur(self):
+        from backend.services.vaults import chemin_exclu_dans_config
+
+        assert chemin_exclu_dans_config(self.CFG, "Workspaces/atelier/.home/cache.md")
+        assert chemin_exclu_dans_config(self.CFG, ".venv/lib.py")
+        assert chemin_exclu_dans_config(self.CFG, ".home")
+
+    def test_motif_chemin_et_sous_arbre(self):
+        from backend.services.vaults import chemin_exclu_dans_config
+
+        assert chemin_exclu_dans_config(self.CFG, "Executeurs/Hermes/data")
+        assert chemin_exclu_dans_config(self.CFG, "Executeurs/Hermes/data/config.md")
+        assert chemin_exclu_dans_config(self.CFG, "Executeurs/Pi/data/x/y.py")
+        assert chemin_exclu_dans_config(self.CFG, "Executeurs/Hermes/.env")
+
+    def test_non_exclus_et_tolerance(self):
+        from backend.services.vaults import chemin_exclu_dans_config
+
+        assert not chemin_exclu_dans_config(self.CFG, "Console/code.py")
+        assert not chemin_exclu_dans_config(self.CFG, "Executeurs/Hermes/missions/mission.md")
+        assert not chemin_exclu_dans_config({}, "Console/code.py")
+        assert not chemin_exclu_dans_config(None, "Console/code.py")
+        assert not chemin_exclu_dans_config(self.CFG, "")
+
+
+# ── Navigation et lectures via l'API ────────────────────────────────
+
+
+class TestNavigationEtLecture:
+    def test_browse_racine_cache_les_dossiers_ignores(self, spark_client):
+        resp = spark_client.get(f"/api/browse/{VAULT_NAME}")
+        assert resp.status_code == 200
+        names = {item["name"] for item in resp.json()["items"]}
+        assert {"Console", "Workspaces", "Executeurs", "racine.md"} <= names
+        assert ".venv" not in names
+
+    def test_browse_sous_dossier_cache_data(self, spark_client):
+        resp = spark_client.get(f"/api/browse/{VAULT_NAME}", params={"path": "Executeurs/Hermes"})
+        assert resp.status_code == 200
+        names = {item["name"] for item in resp.json()["items"]}
+        assert "missions" in names
+        assert "data" not in names
+
+    def test_browse_chemin_exclu_404(self, spark_client):
+        resp = spark_client.get(f"/api/browse/{VAULT_NAME}", params={"path": "Executeurs/Hermes/data"})
+        assert resp.status_code == 404
+
+    def test_vue_fichier_exclu_404(self, spark_client):
+        resp = spark_client.get(f"/api/file/{VAULT_NAME}", params={"path": "Executeurs/Hermes/data/config.md"})
+        assert resp.status_code == 404
+
+    def test_raw_exclu_404(self, spark_client):
+        resp = spark_client.get(f"/api/file/{VAULT_NAME}/raw", params={"path": "Executeurs/Hermes/data/config.md"})
+        assert resp.status_code == 404
+
+    def test_raw_env_exclu_404(self, spark_client):
+        resp = spark_client.get(f"/api/file/{VAULT_NAME}/raw", params={"path": "Executeurs/Hermes/.env"})
+        assert resp.status_code == 404
+        assert "CLE_FICTIVE" not in resp.text
+
+    def test_telechargement_env_exclu_404(self, spark_client):
+        resp = spark_client.get(f"/api/file/{VAULT_NAME}/download", params={"path": "Executeurs/Hermes/.env"})
+        assert resp.status_code == 404
+        assert "CLE_FICTIVE" not in resp.text
+
+    def test_fichier_non_exclu_lisible(self, spark_client):
+        resp = spark_client.get(f"/api/file/{VAULT_NAME}/raw", params={"path": "Console/code.py"})
+        assert resp.status_code == 200
+        assert "visible" in resp.json()["raw"]
+
+
+# ── Indexation et liste des chemins ─────────────────────────────────
+
+
+class TestIndexation:
+    def test_index_ne_contient_aucun_exclu(self, spark_client):
+        from backend.indexer import get_vault_data
+
+        data = get_vault_data(VAULT_NAME)
+        assert data is not None
+        file_paths = {f["path"] for f in data.get("files", [])}
+        assert "Console/code.py" in file_paths
+        for p in file_paths:
+            segments = p.split("/")
+            assert ".home" not in segments and ".venv" not in segments
+            assert "data" not in segments[:-1] or not p.startswith("Executeurs/")
+        path_entries = {e["path"] for e in data.get("paths", [])}
+        assert "Executeurs/Hermes/data" not in path_entries
+        assert "Workspaces/atelier/.home" not in path_entries
+
+    def test_list_paths_filtre_les_exclus(self, spark_client):
+        from backend.services.search import list_paths
+
+        result = list_paths(VAULT_NAME)
+        paths = {r["path"] for r in result["results"]}
+        assert "Console/code.py" in paths
+        assert not any("/data/" in f"/{p}/" and p.startswith("Executeurs/") for p in paths)
+        assert not any(".home" in p.split("/") or ".venv" in p.split("/") for p in paths)
+
+
+# ── Lecture seule ───────────────────────────────────────────────────
+
+
+class TestLectureSeule:
+    def test_save_refuse_403(self, spark_client):
+        resp = spark_client.put(
+            f"/api/file/{VAULT_NAME}/save",
+            params={"path": "Console/code.py"},
+            json={"content": "print('modifié')\n"},
+        )
+        assert resp.status_code == 403
+
+    def test_creation_dossier_refusee_403(self, spark_client):
+        resp = spark_client.post(f"/api/directory/{VAULT_NAME}", json={"path": "NouveauDossier"})
+        assert resp.status_code == 403
+
+    def test_vaults_expose_readonly(self, spark_client):
+        resp = spark_client.get("/api/vaults")
+        assert resp.status_code == 200
+        entry = next(v for v in resp.json() if v["name"] == VAULT_NAME)
+        assert entry["type"] == "DIR"
+        assert entry["readonly"] is True
Author	SHA1	Message	Date
Spark	606d59f483	ObsiGate 2.83.2 : recherche fédérée — ShaarIt, 5e source de « Rechercher partout » CI / lint (pull_request) Successful in 1m25s Details CI / security (pull_request) Successful in 20s Details CI / test (pull_request) Successful in 4m4s Details CI / build (pull_request) Failing after 10m20s Details CI / e2e (pull_request) Skipped Details - frontend/js/recherche.js re-vendangé verbatim depuis commons v0.2.1 (source canonique ui/recherche/) : source ShaarIt (bases, onglet, normaliseur — lien profond {base}shaare/<shorturl>). - frontend/recherche.html : data-base-shaarit (jeton URL_SHAARIT), onglet et section « ShaarIt — bookmarks ». - backend/recherche_cors.py : origines ShaarIt prod/dev + clé sœur ; backend/main.py : origine ShaarIt dans le connect-src CSP de la page /recherche. - Version synchronisée par scripts/bump_version.py --set 2.83.2 (VERSION, package.json, desktop, README, ROADMAP, CHANGELOG). - Tests : recherche.test.mjs 67 assertions (5 sources), test_recherche_cors allowlist 12 origines ; suite backend complète 1916 passés / 0 échec, ruff et mypy verts.	2026-11-04 17:23:38 +00:00
bruno	a046f286e6	Merge pull request 'ObsiGate 2.83.1 : barre v0.2.0 — onglet ShaarIt + garde data-theme' (#61 ) from barre-v020-2-83-1 into main CI / lint (push) Successful in 1m59s Details CI / security (push) Successful in 15s Details CI / test (push) Successful in 3m55s Details CI / build (push) Successful in 10s Details CI / e2e (push) Successful in 22m11s Details	2026-11-04 11:16:29 -05:00
bruno	0a92a55efa	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (VERSION + fichiers dérivés synchronisés) CI / lint (pull_request) Successful in 1m19s Details CI / security (pull_request) Successful in 22s Details CI / test (pull_request) Successful in 3m29s Details CI / build (pull_request) Successful in 15s Details CI / e2e (pull_request) Successful in 16m49s Details	2026-11-04 03:38:18 +00:00
bruno	3c383559f4	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (tests/test_draco_config.py)	2026-11-04 03:38:18 +00:00
bruno	6253c7558a	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (tests/test_draco_barre.py)	2026-11-04 03:38:18 +00:00
bruno	6835607f66	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (.env.example)	2026-11-04 03:38:18 +00:00
bruno	478749566a	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (backend/main.py)	2026-11-04 03:38:18 +00:00
bruno	d00c261ff1	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (backend/draco_config.py)	2026-11-04 03:38:18 +00:00
bruno	646a4977f5	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (frontend/recherche.html)	2026-11-04 03:38:18 +00:00
bruno	8683e1d724	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (frontend/index.html)	2026-11-04 03:38:18 +00:00
bruno	5a7f1b9bcf	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (frontend/img/logos/shaarit.svg)	2026-11-04 03:38:18 +00:00
bruno	14089ff59e	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (frontend/draco-barre.js)	2026-11-04 03:38:18 +00:00
bruno	0b0639ce61	ObsiGate 2.83.1 : barre v0.2.0, onglet ShaarIt + garde data-theme (frontend/draco-barre.css)	2026-11-04 03:38:18 +00:00
bruno	603ba976e1	Merge pull request 'feat: vault DIR — exclusions par vault et lecture seule déclarable (vault Spark)' (#58 ) from spark-vault-dir into main CI / lint (push) Successful in 1m36s Details CI / security (push) Successful in 22s Details CI / test (push) Successful in 3m52s Details CI / build (push) Successful in 18s Details CI / e2e (push) Successful in 16m36s Details	2026-11-03 16:24:37 -05:00
Spark	ad1cea23ab	release: version 2.83.0 (synchronisation complète) CI / lint (pull_request) Successful in 1m24s Details CI / security (pull_request) Successful in 21s Details CI / test (pull_request) Successful in 3m50s Details CI / build (pull_request) Successful in 14s Details CI / e2e (pull_request) Successful in 16m45s Details	2026-11-03 21:00:59 +00:00
bruno	b5b5a0e820	chore: version 2.83.0 (vault DIR exclusions + fix CI e2e) CI / lint (pull_request) Successful in 1m35s Details CI / security (pull_request) Successful in 37s Details CI / test (pull_request) Failing after 3m32s Details CI / build (pull_request) Skipped Details CI / e2e (pull_request) Skipped Details	2026-11-03 14:09:13 -05:00
Spark	60666bf79d	chore: relance CI après nettoyage du runner	2026-11-03 14:09:13 -05:00
Spark	099ffe7e8f	chore: relance CI (runner dégradé, run 3161 gelé)	2026-11-03 14:09:12 -05:00
Spark	bd5507d6ef	feat: vault DIR — garde d'exclusion sur les lectures xlsx (vault Spark)	2026-11-03 14:09:12 -05:00
Spark	3ba8b7b667	feat: vault DIR — exclusions par vault et lecture seule déclarable (vault Spark)	2026-11-03 14:09:12 -05:00
bruno	52dcbf3607	Merge pull request 'fix(ci): e2e DinD par DNS réseau — fin du blocage 'Start ObsiGate'' (#60 ) from fix/ci-e2e-resseau-dns into main CI / lint (push) Successful in 1m40s Details CI / security (push) Successful in 35s Details CI / test (push) Successful in 4m25s Details CI / build (push) Successful in 23s Details CI / e2e (push) Successful in 16m57s Details	2026-11-03 14:08:36 -05:00
bruno	e28a537f79	fix(e2e): z-index barre résultats au-dessus de la barre DRACO + signal de boot du spec .ts CI / lint (pull_request) Successful in 1m19s Details CI / security (pull_request) Successful in 20s Details CI / test (pull_request) Successful in 3m35s Details CI / build (pull_request) Successful in 22s Details CI / e2e (pull_request) Successful in 16m22s Details - obsigate.spec.ts attendait encore le flag __OBSIGATE_BOOTED retiré (même cause que les 8 suites js, corrigée ici) ; - .results-bar (z 50) était masquée par .draco-spark-flottant (z 65, même position bas-centre) → « subtree intercepts pointer events » sur #rb-next/#rb-case : 2 tests en timeout de clic. Bug d'UI réel (l'utilisateur ne peut pas cliquer les flèches pendant qu'Spark flotte), corrigé par z-index 66. Validé local : 2 passed en 10 s (au lieu de 2×60 s de timeout).	2026-11-03 11:17:35 -05:00
bruno	b87ac72d78	ci(wip): runs-on ci-deepin — contournement régression extraction moby 29.x du runner VM (à retirer quand daemon VM réparé) CI / security (pull_request) Successful in 24s Details CI / lint (pull_request) Successful in 1m39s Details CI / test (pull_request) Successful in 3m36s Details CI / build (pull_request) Successful in 14s Details CI / e2e (pull_request) Failing after 30m53s Details	2026-11-03 09:59:18 -05:00
bruno	ca367b6918	test(e2e): helpers ne dépendent plus du signal __OBSIGATE_BOOTED retiré (`bfe0c75`) CI / security (pull_request) Failing after 2s Details CI / lint (pull_request) Successful in 1m18s Details CI / test (pull_request) Successful in 3m35s Details CI / build (pull_request) Successful in 12s Details CI / e2e (pull_request) Failing after 31m42s Details `bfe0c75` a retiré le splash et son signal de boot côté app sans adapter les helpers des specs ; login() attendait window.__OBSIGATE_BOOTED → timeout 60 s × chaque test des 8 suites. Signal de rechange sans dépendance au flag interne : document prêt ET premier .tree-item rendu (preuve que l'init a lié données+handlers). Validé local : 14 passed sur les 3 suites qui échouaient en CI (obsigate:ci v2.82.8, auth off, mêmes fixtures).	2026-11-03 09:26:42 -05:00
bruno	9037f2dd69	fix(ci): e2e joint l'app par DNS de réseau (DinD), plus de port publié ni curls sans timeout CI / security (pull_request) Failing after 2s Details CI / lint (pull_request) Successful in 1m35s Details CI / test (pull_request) Successful in 3m47s Details CI / build (pull_request) Successful in 15s Details CI / e2e (pull_request) Failing after 30m52s Details Le step 'Start ObsiGate' pendait : boucle de health curls sans --max-time vers l'IP passerelle:2029 (injoignable/port fuité par un run antérieur) = 150 s de blocage par tentative. L'app est désormais rattachée au réseau du job et jointe par nom (obsigate-e2e:8080), avec timeout partout et dump des logs container à l'échec.	2026-11-03 08:44:08 -05:00
bruno	3a27fde176	Merge pull request 'fix: CI préexistante — imports coffres (ruff I001) + planchers pyasn1/pypdf' (#59 ) from fix-ci-main into main CI / security (push) Failing after 1s Details CI / lint (push) Successful in 1m37s Details CI / test (push) Successful in 3m37s Details CI / build (push) Successful in 10s Details CI / e2e (push) Failing after 1h10m34s Details	2026-11-03 01:21:25 -05:00
Spark	d3acae2bd8	fix: tests draco_barre — assertions alignées sur le code actuel (#222 , #218 ) CI / security (pull_request) Successful in 23s Details CI / lint (pull_request) Successful in 1m16s Details CI / test (pull_request) Successful in 3m58s Details CI / build (pull_request) Successful in 1m4s Details CI / e2e (pull_request) Successful in 17m19s Details	2026-11-03 05:56:41 +00:00
Spark	ad0a715a4c	fix: resynchroniser les fichiers dérivés sur la version 2.82.8 (dérive préexistante)	2026-11-03 05:56:41 +00:00
Spark	f7095f8057	fix: test unitaire frontend — recherche.js exempté d'import/export (fichier vendangé #68 ) CI / security (pull_request) Failing after 1s Details CI / lint (pull_request) Successful in 1m36s Details CI / test (pull_request) Failing after 3m47s Details CI / build (pull_request) Skipped Details CI / e2e (pull_request) Skipped Details	2026-11-03 05:48:53 +00:00
Spark	67fbda60d3	fix: planchers de sécurité pip-audit — pypdf>=6.21.4 et pyasn1>=0.6.5 CI / security (pull_request) Successful in 19s Details CI / lint (pull_request) Failing after 25s Details CI / test (pull_request) Skipped Details CI / build (pull_request) Skipped Details CI / e2e (pull_request) Skipped Details	2026-11-03 05:44:13 +00:00
Spark	5280b84d12	fix: tri des imports coffre_store dans routers/coffres (ruff I001)	2026-11-03 05:44:13 +00:00
@@ -1 +1 @@
 .82.8
 .83.2