feat: fondations E2E + 2 bugs trouvés (onglets ?view=, Inter CSP) (v7.36.0)

Ajout — e2e/smoke.spec.js (2 gates verts contre l'instance de test) :
- gate A39 : bascule de vues d'une collection (clic onglet Calendar →
  ?view_type=calendar, grille .calendar + .cal-header rendue ; collection
  créée puis SUPPRIMÉE = répétable)
- gate A20 : palette Ctrl+K (ouverture Alpine .open, recherche GET rend
  .cmd-palette-item, fermeture Échap)
- filet console : 0 erreur JS/CSP (bruit Failed to load resource 401/403
  filtré)
- Service Workers bloqués : /sw.js sert sa page « hors ligne » sur les
  navigations redirigées (redirect:'manual') — pwa_offline.spec.js couvre
  le SW
- bootstrap autonome : login OU création du compte e2e documenté (jamais
  de mot de passe deviné), workspace si absent
- commande : cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js

Fixed — trouvés par les gates :
1. Bascule de vues standalone JAMAIS fonctionnelle : les onglets
   émettaient ?view=… mais la route lit `view_type` (FastAPI) → l'onglet
   restait sur Table quel que soit le clic (bug pré-existant, A28 n'y est
   pour rien). Onglets → ?view_type= ; test_all_view_tabs_present adapté +
   assertion comportementale (GET ?view_type=calendar rend .calendar).
2. Inter bloqué par la CSP depuis v7.27 : app.css importait encore
   Google Fonts (@import raté par le grep de la passe v7.27) → violation
   style-src sur chaque page + police en fallback. Inter auto-hébergé :
   2 faces variables (100-900, latin + latin-ext) dans static/fonts/,
   @import supprimé (8 fichiers dupliqués dédupliqués → 2).

suite **1093/1093** · ruff OK · E2E **2/2** · docs à jour

CHANGELOG.md

@@ -1,5 +1,44 @@
 # Changelog - FlowDeck
 
+## v7.36.0 (2026-10-01) — Fondations E2E + 2 bugs trouvés au passage
+
+### Added
+
+- **`e2e/smoke.spec.js`** — 2 gates vert contre l'instance de test :
+  · **gate A39** : bascule de vues d'une collection (clic onglet Calendar →
+    `?view_type=calendar`, grille `.calendar` + `.cal-header` rendue,
+    collection créée puis **supprimée** = répétable)
+  · **gate A20** : palette Ctrl+K (ouverture Alpine `.open`, recherche GET
+    rend `.cmd-palette-item`, fermeture Échap)
+  · **filet console** : 0 erreur JS/CSP (les violations atterrissent ici ;
+    le bruit `Failed to load resource` 401/403 est filtré)
+  · **Service Workers bloqués** dans le smoke : `/sw.js` sert sa page
+    « hors ligne » sur les navigations redirigées (`redirect:'manual'`) —
+    bruit PWA hors sujet, `pwa_offline.spec.js` couvre le SW
+  · bootstrap autonome : login OU création du compte e2e documenté,
+    workspace si absent — lecture seule sur les données existantes
+- Commande : `cd e2e && node node_modules/@playwright/test/cli.js test smoke.spec.js`
+
+### Fixed (trouvés par les gates)
+
+- **Bascule de vues standalone jamais fonctionnelle** : les onglets
+  émettaient `?view=…` mais la route lit `view_type` (FastAPI) → l'onglet
+  restait sur Table quel que soit le clic (bug pré-existant, non introduit
+  par A28). Onglets → `?view_type=` + assertion comportementale ajoutée à
+  `test_all_view_tabs_present`
+- **Inter bloqué par la CSP depuis v7.27** : `app.css` importait encore
+  Google Fonts (`@import` raté par le grep de v7.27) → violation
+  `style-src` sur chaque page + police tombée en fallback. Inter
+  **auto-hébergé** : 2 faces variables (100-900, latin + latin-ext) dans
+  `static/fonts/`, `@import` supprimé
+
+### Notes
+
+- Suite complète : **1093/1093** · ruff OK · E2E **2/2**
+- Portes : A20 (unsafe-eval) attaquable avec ce filet ; A39 couvre la
+  bascule collection (pas la bascule htmx board → décision « rien »
+  maintenue) ; A38 twins reste conditionné à une couverture élargie
+
 ## v7.35.0 (2026-10-01) — Audit : A35 TERMINÉ (Python 3.13 aligné + rebuild)
 
 ### Changed