feat: Fusion ACC-3.2 — pont SSO draco_session (/auth/draco), liens sub → compte (migration 51) (#21)

CHANGELOG.md

@@ -1,5 +1,25 @@
 # Changelog - FlowDeck
 
+## v7.74.0 (2026-10-21) — Fusion ACC-3.2 : validation locale draco_session et pont de session
+
+### Added
+
+- **Pont SSO `GET /auth/draco`** (Fusion ACC-3.2, issue #21) : le
+  cookie `draco_session` émis par ObsiGate (ACC-3.1) est vérifié
+  localement (`app/services/draco.py` — JWS HS256 au secret partagé
+  `DRACO_SESSION_SECRET`, révocation de l'émettrice en cache 60 s)
+  puis converti en session Flowdeck native.
+- **Correspondance `sub` → compte local** : migration **51**
+  (`draco_links`, association 1:1) — lien créé automatiquement à la
+  première visite où la session native et un cookie draco valide
+  coexistent ; repli mono-utilisateur sans lien ;
+  `GET/POST/DELETE /auth/draco-link` pour consulter, ré-associer et
+  dissocier (pierre tombale anti re-création automatique).
+- Bouton « Login with ObsiGate (SSO) » sur la page de connexion
+  (via `GET /sso/authorize` de l'émettrice, retour sur `/auth/draco`).
+- Inerte tant que `DRACO_SESSION_SECRET` n'est pas configuré.
+  Tests : `tests/test_fusion_draco.py`.
+
 ## v7.73.0 (2026-10-20) — Fusion ACC-2.1 : connecteur MCP Flowdeck → TikTak
 
 ### Added