feat: v6.3.0 API publique complete v2 (REST /api/v2, scopes, OpenAPI)

- Router api_v2.py (~100 endpoints) : tokens, users, workspaces/members,
  collections, pages, proprietes, vues/dashboards, commentaires/mentions,
  notifications, favoris/tags/recents, partage/publish, historique, sprints,
  templates, export/import, forges, recherche FTS, admin, webhooks CRUD
- Helpers api_v2_helpers.py : Bearer unifie (sha256/expires_at/extension_devices),
  scopes hierarchiques read<write<admin, pagination + X-Total-Count, ISO-8601,
  RFC 7807, idempotence, audit, rate-limit par token
- Migration 20 : api_tokens.scopes/expires_at, webhook_deliveries,
  api_audit_log, idempotency_keys
- main.py : handler d'erreurs unifie StarletteHTTPException, /docs + /redoc
- config : PUBLIC_API_INSECURE_OK (dev only), API_V2_RATE_LIMIT_PER_TOKEN
- OpenAPI docs/openapi-v2.json (402 chemins), tests/test_public_api_v2.py (24)
- Docs : CHANGELOG (v6.2.0/6.2.1 clipper + v6.3.0), ROADMAP, API_GUIDE_V6,
  V6_Web_Clipper, README, ARCHITECTURE, /help
- Suite complete 668 verte, ruff OK

docs/API_GUIDE_V6.md

@@ -1,8 +1,14 @@
-# Guide des API FlowDeck — Référence d'implémentation v6.0.0
+# Guide des API FlowDeck — Référence d'implémentation v6.3.0
 
-> **Statut** : référence de conception pour la mise en place de l'API publique complète (v6.0.0).
-> **Dernière mise à jour** : 2026-09-04
+> **Statut** : ✅ **IMPLÉMENTÉ (v6.3.0, 2026-09-21)** — l'API publique `/api/v2` est livrée :
+> routeur `app/routers/api_v2.py`, helpers `app/services/api_v2_helpers.py`, migration 20,
+> OpenAPI généré (`/docs`, `/redoc`, `docs/openapi-v2.json` — 402 chemins), 24 tests dédiés.
+> Les sections ci-dessous décrivent les conventions cibles et restent la référence de conception.
+> **Dernière mise à jour** : 2026-09-21
 > **Portée** : inventaire de l'API existante, conventions cibles, design CRUD par ressource, webhooks, sécurité, checklist d'implémentation.
+>
+> **Reste reporté (v6.4)** : webhooks HMAC `X-FlowDeck-Signature` + retry 2s/10s/60s + événements étendus ;
+> migration de `/api/v2/sync` vers Bearer ; `REST /api/v2/projects/*/file|commits|issues` complets via `ForgeAdapter`.
 
 ---
 
@@ -669,19 +675,21 @@ EVENTS = [
 
 ---
 
-## 9. Checklist d'implémentation v6.0.0 (ordre recommandé)
+## 9. Checklist d'implémentation v6.3.0 — état livré
 
-1. **Migration DB** : table `api_tokens` (+ index sur token_hash), `webhook_deliveries`, `api_audit_log`, FTS5 index de recherche.
-2. **`PermissionManager`** (`app/services/permission_manager.py`) — prerequisite de toute la v2 : `can_read/can_write/can_admin` par workspace + collection + page.
-3. **Conventions** : handler d'erreurs RFC 7807, convertisseur ISO-8601, helper pagination (`paginate(query, limit, offset)`), dépendances `require_scope`.
-4. **Wrappers v2 read** : reprendre `public_api.py` → `/api/v2` avec pagination/filtres (collections, pages, my-tasks).
-5. **Wrappers v2 write** : collections, pages, properties, views (mutation) — les plus demandés par les intégrations.
-6. **Webhooks v2** : CRUD abonnements + déliveries + retry + signature HMAC + événements étendus.
-7. **Reste des ressources** : sprints, templates, dashboards, favoris, tags, partage, notifications, admin.
-8. **Recherche FTS** (`/api/v2/search`).
-9. **OpenAPI** : activer /docs + générer openapi-v2.json + exemples.
-10. **Tests** (`tests/test_public_api_v2.py`) : auth token + scopes, CRUD complet par ressource, pagination, erreurs, rate limit, webhook delivery (mock httpx). Cible : couverture ≥ 80 % sur le routeur v2.
-11. **Documentation** utilisateur : page `/help` + ce guide référencé depuis le README.
+1. ✅ **Migration DB** (migration 20) : `api_tokens.scopes/expires_at`, `webhook_deliveries`, `api_audit_log`, `idempotency_keys` ; FTS5 déjà en migration 3.
+2. ✅ **`PermissionManager`** (`app/services/permission_manager.py`) — héritage workspace/collection/page + groupes.
+3. ✅ **Conventions** : handler RFC 7807 (sur `StarletteHTTPException`), ISO-8601, `parse_pagination()` + `X-Total-Count`, `require_scope()` hiérarchique.
+4. ✅ **Wrappers v2 read** : collections, pages, my-tasks, search — pagination/filtres/tri/fields.
+5. ✅ **Wrappers v2 write** : collections, pages, properties, views (+ dashboards, comments, notifications, favoris, tags, partage, historique, sprints, templates, export/import, workspaces, admin).
+6. ⚠️ **Webhooks v2** : CRUD abonnements + `/test` + `/deliveries` livrés. **Reporté** : signature HMAC `X-FlowDeck-Signature`, retry 2s/10s/60s, +20 événements.
+7. ✅ **Reste des ressources** : sprints, templates, dashboards, favoris, tags, partage, notifications, admin.
+8. ✅ **Recherche FTS** (`/api/v2/search`, repli LIKE).
+9. ✅ **OpenAPI** : `/docs` + `/redoc` activés, `docs/openapi-v2.json` généré (402 chemins).
+10. ✅ **Tests** (`tests/test_public_api_v2.py`) : **24 tests** — auth scopes, CRUD par ressource, pagination, RFC 7807, idempotence, webhooks, search, admin.
+11. ✅ **Documentation** : `ROADMAP.md`, `CHANGELOG.md`, ce guide + `/help`.
+
+> **Reporté v6.4** : webhooks HMAC/retry/events étendus ; `/api/v2/sync` en Bearer ; endpoints forges `file/commits/issues` complets via `ForgeAdapter` ; rate limit distribué (Redis).
 
 ## 10. Références
 

docs/V6_Web_Clipper.md

@@ -1,8 +1,8 @@
-# V6.0.0 — Web Clipper : Extension Navigateur
+# V6.2.0 — Web Clipper : Extension Navigateur
 
-> **Statut** : Conception détaillée — v6.0.0
-> **Date** : 2026-09-15
-> **Route** : `feat/v6-web-clipper` → `develop` → `main`
+> **Statut** : COMPLETED — livré v6.2.0 (2026-09-19) + polish v6.2.1 (2026-09-20) sur `main` (`0b25164`, `ea19d1d`)
+> **Date** : 2026-09-15 conception → 2026-09-19 implémentation
+> **Route** : `feat/v6-web-clipper` → `develop` → `main` ✅ mergé
 > **Dépendances** : v4.0.0 Share & Publish, v5.5.0 Embeds & Rich Media, v5.2.0 OAuth (GitHub)
 
 ---
@@ -546,20 +546,20 @@ CREATE INDEX idx_clips_user ON extension_clips(user_id, created_at);
 
 ---
 
-## 12. Checklist d'implémentation
+## 12. Checklist d'implémentation — ✅ LIVRÉ (v6.2.0/6.2.1)
 
-1. **`app/routers/web_clipper.py`** — endpoints clip et auth
-2. **`app/services/web_clipper.py`** — service de traitement (extraction + création de page)
-3. **Migrations DB** — `extension_devices`, `extension_clips`, colonne `source` sur `api_tokens`
-4. **Readability.js intégré** dans le content script
-5. **Extension côté client** — manifest.json, content.js, background.js, popup.html
-6. **Settings UI** — section Extensions dans settings.html
-7. **Page `/extensions`** — téléchargement
-8. **OAuth pour extension** — device flow ou popup
-9. **Content sanitization** — nettoyage HTML côté serveur
-10. **Tests** — tous les scénarios de clipping
-11. **Packaging** — Chrome Web Store / Firefox Add-on soumission
-12. **Documentation utilisateur** — guide d'installation et usage
+1. ✅ **`app/routers/web_clipper.py`** — `POST /clip`, `GET /status`, `POST /auth/verify`, `GET/DELETE /devices` + page `/extensions`
+2. ✅ **`app/services/web_clipper.py`** — `sanitize_html`, `html_to_blocks`, `extract_article`, `create_page_from_clip`, `register_device`, `log_clip`, rate-limit 50/h
+3. ✅ **Migrations DB (19)** — `extension_devices`, `extension_clips` (index `idx_ext_*`)
+4. ✅ **Extraction embarquée** dans le content script (heuristique article/sélection)
+5. ✅ **Extension côté client** — `extension/` + `static/extension/` : manifest.json, content.js, background.js, popup.html/js, clipper.css, icônes, `flowdeck-clipper.zip`
+6. ✅ **Settings UI** — section Extensions dans `settings.html`
+7. ✅ **Page `/extensions`** — téléchargement + liste devices/clips
+8. ✅ **Auth** — session cookie OU Bearer `api_tokens` / `extension_devices` (token montré une fois)
+9. ✅ **Content sanitization** — nettoyage HTML côté serveur (`sanitize_html`)
+10. ✅ **Tests** — `tests/test_web_clipper.py` (16 tests)
+11. ⚠️ **Packaging** — bundle `.zip` servi ; soumission Chrome Web Store / Firefox Add-on **non faite** (distribution manuelle « load unpacked »)
+12. ✅ **Documentation** — page `/extensions`, `/help`, ce guide
 
 ---
 
@@ -582,8 +582,9 @@ requests>=2.32             # Download images dans le service
 - [Readability.js (Mozilla)](https://github.com/mozilla/readability)
 - [Mercury Parser](https://github.com/postlight/mercury-parser)
 - [OAuth 2.0 Device Flow](https://datatracker.ietf.org/doc/html/rfc8628)
-- `app/services/web_clipper.py` — (à créer)
-- `app/routers/web_clipper.py` — (à créer)
-- `app/templates/settings.html` — section Extensions à ajouter
+- `app/services/web_clipper.py` — service de traitement (livré)
+- `app/routers/web_clipper.py` — endpoints clip/auth (livré)
+- `app/templates/settings.html` — section Extensions (livrée)
+- `extension/` + `static/extension/` — bundle navigateur (livré)
 - `docs/API_GUIDE_V6.md` — référence API v2
-- `ROADMAP.md` — v6.0.0 Web Clipper item
+- `ROADMAP.md` — v6.2.0 Web Clipper (livré)