fix: A42 terminé — client httpx partagé par boucle (v7.28.0)

- `app/services/http_client.py` : `async with shared_client(timeout=15)
  as client:` remplace les 49 créations `async with httpx.AsyncClient(`
  de 14 fichiers (gitea ×21, providers oidc/oauth ×11, calendar ×4,
  automations ×3…) — le pool de connexions est réutilisé au lieu d'être
  recréé à chaque appel. __aexit__ no-op (le client partagé ne se ferme
  pas à la sortie).
- Cache par (boucle d'event, kwargs) en WeakKeyDictionary : un
  AsyncClient n'est JAMAIS partagé entre deux loops (piège des tests
  « Event loop is closed ») — une boucle par test = client propre
  collecté avec la boucle. Clé = kwargs triés, repr() pour les valeurs
  non hashables (`headers=` dict → TypeError rattrapé par la suite).
- Laissés délibérément : github_adapter (transport MockTransport
  injecté), webhook_outbound (client « own_client » fermé par la
  fonction).
- Tests : `test_http_client_shared_and_loop_scoped` (réutilisation mêmes
  kwargs / cloisonné kwargs / cloisonné loop) ; le stub des webhooks
  patche aussi la fabrique `http_client.httpx` + purge du cache (avant :
  webhook_outbound.httpx patché mais la fabrique partagée créait un vrai
  client → réseau réel dans les tests).

suite **1091/1091** · ruff OK · docs à jour

CHANGELOG.md

@@ -1,5 +1,34 @@
 # Changelog - FlowDeck
 
+## v7.28.0 (2026-10-01) — Audit : A42 TERMINÉ (client httpx partagé)
+
+### Changed
+
+- **`app/services/http_client.py`** : `async with shared_client(timeout=15)
+  as client:` remplace les **49 créations `async with httpx.AsyncClient(`**
+  réparties dans 14 fichiers (gitea ×21, providers ×11, calendar ×4,
+  automations ×3, …) — le pool de connexions est réutilisé au lieu d'être
+  recréé à chaque appel
+- Cache **par (boucle d'event, kwargs)** en `WeakKeyDictionary` : un
+  `AsyncClient` n'est jamais partagé entre deux loops (le piège des tests :
+  « Event loop is closed ») — une boucle par test = un client propre,
+  collecté avec elle. Clé = kwargs triés, `repr()` pour les valeurs non
+  hashables (`headers=` dict)
+- Context manager no-op à la sortie (pas de fermeture du client partagé) ;
+  `ponytail:` documenté : pas d'`aclose` explicite, plafond = pools non
+  fermés à la main (GC des sockets), upgrade = lifespan
+- **Laissés délibérément** : `github_adapter` (transport MockTransport
+  injecté), `webhook_outbound` (client « own_client » fermé par la fonction)
+
+### Tests
+
+- `test_http_client_shared_and_loop_scoped` : réutilisation (mêmes kwargs),
+  cloisonnement par kwargs, cloisonnement par boucle (2× `asyncio.run`)
+- Stub webhooks : patch étendu à la fabrique `http_client.httpx` + purge du
+  cache (les tests patchaient `webhook_outbound.httpx`, contourné par la
+  fabrique partagée)
+- Suite complète : **1091/1091**
+
 ## v7.27.0 (2026-10-01) — Audit : A20 phase 2 (CDN retiré, connect-src fermé)
 
 ### Changed