feat: A20 phase 3 LOT 3a — 5 surfaces CSP vertes + fix bug /import (v7.40.0)

Ajout :
- Gate csp_preview « surfaces simples » : /welcome, /trash, /accounts,
  /workspace, /import — 0 modification necessaire sur les 4 premieres
  (scan statique 0 expression/x-html + registres Alpine.data du lot 1).
  8 surfaces couvertes au total.

Fixed (pre-existant, visible sous les DEUX builds) :
- /import : x-text "'🔗 '+report.relations…" evalue avec report=null
  (le x-show parent ne masque pas, il initialise quand meme) →
  pageerror « Cannot read property ... 'relations' » → garde
  report && report.relations.

Reste ph3 documente dans ROADMAP : page_editor (12 sites window.E dans
right_actions), gitea_workspace (new Date), agent_panel (x-text+x-html
markdown), board/table_view/teamload/card_detail (scan propre, gates lies
au contexte Gitea) → bascule reel ensuite.

suite **1093/1093** · ruff OK · eslint 0/0 · E2E **6/6** (4 csp_preview +
2 smoke) · docs a jour

e2e/csp_preview.spec.js

@@ -16,6 +16,7 @@ const PASS = process.env.FD_PASS || 'e2e-secret-123';
 test.use({ serviceWorkers: 'block' });
 
 const errors = [];
+let currentUrl = '';
 test.beforeEach(async ({ page }) => {
   errors.length = 0;
   await page.route('**/static/js/alpine.min.js', (route) =>
@@ -29,7 +30,9 @@ test.beforeEach(async ({ page }) => {
     if (/Failed to load resource/.test(m.text())) return;
     errors.push(m.text());
   });
-  page.on('pageerror', (e) => errors.push('pageerror: ' + e.message));
+  page.on('pageerror', (e) =>
+    errors.push('pageerror@' + (currentUrl || '?') + ': ' + e.message)
+  );
 });
 test.afterEach(() => expect(errors).toEqual([]));
 
@@ -66,6 +69,19 @@ async function assertBound(page) {
   });
 }
 
+test('A20-ph3 : surfaces simples sous build CSP (welcome/trash/accounts/workspace)', async ({ page }) => {
+  // scan statique = 0 expression/x-html sur ces gabarits → ici on traque
+  // les échecs RUNTIME (globales, timing de registre, scope de structure)
+  // /welcome est anonyme (avant login aussi) mais login() ne gêne pas
+  await login(page);
+  for (const url of ['/welcome', '/trash', '/accounts', '/workspace', '/import']) {
+    currentUrl = url;
+    await page.goto(FD_BASE + url, { waitUntil: 'domcontentloaded' });
+    await page.waitForTimeout(500);
+    expect(await assertBound(page), `x-data non lié sur ${url}`).toBe('ok');
+  }
+});
+
 test('A20-ph3 : settings sous build Alpine CSP', async ({ page }) => {
   await login(page);
   await page.goto(`${FD_BASE}/settings`, { waitUntil: 'domcontentloaded' });