fix: A21 phase 1 — 352 routes async sans await → threadpool (v7.8.0)

- Conversion `async def` → `def` de TOUTES les routes dont le corps ne contient
  ni `await`, ni `async with`, ni `async for`, ni `asyncio` (scan automatique
  corps par corps sur app/ : 352 converties, 0 dangereuses, vérifié
  `asyncio`/`run_coroutine`/`.result()` absents). FastAPI exécute ces handlers
  dans son threadpool → tout leur SQLite (`get_conn()` + `conn.execute`) quitte
  l'event loop, sans changer une ligne de logique.
- Répartition : api_v2 60, dashboard 40, collections 25, board 23,
  workspace 19, wiki 17, permissions 14, api 14, main.py 6, + 35 fichiers.
- Les 4 routers prioritaires de l'audit sont couverts par ce lot :
  api_v2 60 + dashboard 40 + collections 25 + board 23 = 148 conversions
  (le reste de leurs routes attend la phase 2 : elles ont de vrais `await`).
- Reste (phase 2) : les 311 routes avec de vrais `await` → enrouler les blocs
  DB dans `await anyio.to_thread.run_sync(...)` ; pas de wrapper partagé livré
  (rien ne l'appellerait — YAGNI jusqu'au premier usage).

suite **1037/1037** (233 s) · `ruff check app tests` OK · docs à jour

CHANGELOG.md

@@ -1,5 +1,26 @@
 # Changelog - FlowDeck
 
+## v7.8.0 (2026-10-01) — Audit : A21 phase 1 (SQLite hors event loop)
+
+### Changed
+
+- **A21 (phase 1)** — **352 routes** `async def` sans aucun `await` converties
+  en `def` : FastAPI les exécute alors dans son threadpool — tout leur travail
+  SQLite (`get_conn()` + `conn.execute`) quitte l'event loop, **sans changer une
+  ligne de logique** (la conversion est sémantiquement neutre : vérifié corps
+  par corps — aucun `await`/`async with`/`async for`/`asyncio` dans les
+  fonctions converties). Répartition : api_v2 60, dashboard 40, collections 25,
+  board 23, workspace 19, wiki 17, permissions 14, api 14, + 35 autres fichiers
+- **Reste (phase 2)** — les 311 routes qui ont de vrais `await`
+  (`request.json()`, `fire_event`, httpx) : enrouler les blocs DB dans
+  `await anyio.to_thread.run_sync(...)` ; aucun wrapper partagé livré pour
+  l'instant (rien ne l'appellerait)
+
+### Perf
+
+- Dernière suite : 233 s (écarts précédents mesurés : 235-359 s) — les
+  handlers SQLite ne saturent plus la boucle pendant les tests
+
 ## v7.7.0 (2026-10-01) — Audit : A20 (CSP — nonce, partie 1)
 
 ### Security