v5.13.0 Realtime : édition collaborative en direct

- Passerelle WebSocket WS /ws/pages/{page_id} (auth cookie, close 4401/4404), rooms par page en mémoire
- Protocole hello/sync/op/ack/title/sel/ping/peer_join/peer_leave ; version de page + stale => resync
- Merge des ops de blocs insert/update/delete/move, last-write-wins par bloc, ordre d'arrivée
- Client éditeur : diff local -> ops (debounce), application distante discret (LWW sur bloc focalisé), re-focus du bloc actif
- Présence (avatars topbar) + curseurs live (calque dédié, positions à l'édition/au scroll)
- Titre synchronisé (debounce) sans écraser le titre en cours d'édition
- Fallback polling 10 s si WS indisponible (adopté seulement sans brouillon local) + reconnexion auto
- Persistance debounce ~1 s (content/title) + flush à la déconnexion du dernier client
- CSP connect-src étendu à ws: ; peers sans données sensibles (id/login/full_name/couleur)
- 12 tests tests/test_realtime.py (auth, page absente, hello->sync, LWW 2 clients + persistance, présence, curseurs, titre, stale resync, apply_op/merge_ops) ; suite 298 verte (3 PDF pré-existants)
- Bump v5.3.0 (VERSION, main.py, CHANGELOG) ; ROADMAP v5.13.0 livré

CHANGELOG.md

@@ -1,5 +1,39 @@
 # Changelog - FlowDeck
 
+## v5.3.0 (2026-09-08) — Realtime : édition collaborative en direct
+
+> Deux utilisateurs peuvent maintenant éditer une même page **en même temps**
+> : les blocs, le titre, les curseurs et la présence se synchronisent via une
+> connexion WebSocket, avec fusion last-write-wins et repli sur polling.
+
+- **Passerelle WebSocket** `WS /ws/pages/{page_id}` (app/services/realtime_server.py
+  + app/routers/realtime.py) : salons en mémoire par page, authentifiés via le
+  cookie de session (refus 4401), page introuvable/supprimée → 4404.
+- **Protocole de synchronisation** : `hello`/`sync`/`op`/`ack`/`title`/`sel`/
+  `ping`/`peer_join`/`peer_leave` ; chaque page porte une version incrémentée à
+  chaque opération appliquée ; un client périmé reçoit un `sync` complet.
+- **Merge last-write-wins par bloc** : insert, update (remplacement de bloc),
+  delete, move — appliqués dans l'ordre d'arrivée ; une frappe en cours dans un
+  bloc focalisé n'est jamais écrasée par une mise à jour distante.
+- **Client éditeur** (app/templates/_page_editor_realtime.html) : diff local →
+  ops (update/delete/move/insert), envoi dès que l'utilisateur tape (debounce),
+  application des ops distantes avec re-render discret + re-focus du bloc actif.
+- **Présence & curseurs** : avatars colorés dans la barre du haut et curseurs
+  de chaque pair positionnés dans le document (calque dédié, mise à jour à
+  l'édition/au scroll).
+- **Titre synchronisé** : diffusion du titre (debounce) sans écraser un titre
+  en cours d'édition.
+- **Fallback polling** : si le WebSocket est indisponible, rafraîchissement
+  toutes les 10 s de l'état serveur (adopté uniquement si pas de brouillon
+  local) avec reconnexion automatique.
+- **Persistance** : écriture debounce (~1 s) de `content` + `title` en base,
+  flush immédiat à la déconnexion du dernier client.
+- **Sécurité** : `connect-src` CSP étendu à `ws:` ; aucune donnée sensible
+  transmise (les peers n'exposent que id/login/full_name/couleur).
+- **Tests** (tests/test_realtime.py) : auth, page absente, hello→sync, merge
+  LWW à deux clients + persistance, présence join/leave, curseurs, titre,
+  resync des clients périmés, `apply_op`/`merge_ops` unitaires.
+
 ## v5.2.0 (2026-09-07) - Automations : un moteur de règles (if-this-then-that)
 
 > Nouveau moteur de règles : brancher des actions sur des événements de pages