feat: CSRF token auto-refresh après expiration session

- app/main.py: GET /api/csrf-token → retourne un token frais JSON + cookie
- app/middleware/csrf.py: /api/csrf-token ajouté aux EXCLUDED_PATHS
- app/templates/base.html:
  - FlowDeck.refreshCsrfToken() → appelle /api/csrf-token
  - FlowDeck.csrfFetch() → wrapper fetch avec auto-refresh sur 403 CSRF
  - Si un POST/PUT/DELETE reçoit 403 'CSRF', refresh automatique + retry
- ROADMAP: item CSRF token refresh marqué ✅
- 143 tests passent

ROADMAP.md

@@ -195,7 +195,7 @@ Propriétés custom, AI keywords, sync API, 12 tables DB
 - [x] **Validation inputs** — login/register déjà validés, titre vide → "Untitled"
 - [x] **Rate limiting** — 100 req/min/IP déjà en place, testé OK
 - [x] **Session expiry UX** — redirect avec ?expired=1, bannière sur la page login
-- [ ] **CSRF token refresh** — après expiration session (à faire)
+- [x] **CSRF token refresh** — auto-refresh sur 403, endpoint `/api/csrf-token`
 - [x] **Mobile responsive** — sidebar slide-in, modales centrées, landing adaptative
 - [x] **Tests de non-régression** — +10 tests (landing, register, 404, validation, duplicate, expiry)
 - [x] **143 tests passent**