fix: A20 (partiel) — CSP nonce par requête, unsafe-inline sort de script-src (v7.7.0)

- ContentSecurityPolicyMiddleware : nonce aléatoire par requête dans la ContextVar `CSP_NONCE` (posée avant `call_next` → visible des templates), `script-src 'self' 'unsafe-eval' 'nonce-…'` — plus aucun script inline sans nonce ne tourne (fin des XSS injectés en JS) - 38 tags `<script>` des templates : `nonce="{{ csp_nonce() }}"` (passage scripté, vérifié : 0 restant) ; `LOCAL_LOGIN_HTML` (constante de module) : helper `_with_nonce()` au rendu ; collections.py : 3 scripts Python (chart/form/map) noncés - `<meta name="htmx-config" content='{"inlineScriptNonce": …}'>` dans base.html : htmx ré-injecte les <script> des réponses boostées avec le bon nonce - `script-src-attr 'unsafe-inline'` : les 74 handlers `onclick=` inline restent couverts (le nonce les aurait désactivés aussi) - chart.js (cdn.jsdelivr.net) et leaflet (unpkg) ajoutés à script-src/style-src : vues chart/map déjà BLOQUÉES par la CSP depuis toujours (commentaire ponytail: upgrade = vendoriser puis retirer les hôtes) - reste d'A20 : unsafe-eval (Alpine x-data → @alpinejs/csp), externalisation JS (A27), resserrer img-src/connect-src test : test_csp_nonce_per_request (page base.html + page hors template, nonce unique par requête) suite **1037/1037** · `ruff check app tests` OK · docs à jour
fix: A31 — transaction par migration + helper columns() (v7.6.0)
2026-10-01 10:41:39 -04:00 · 2026-10-01 10:13:23 -04:00 · 2026-10-01 10:01:39 -04:00
53 changed files with 563 additions and 202 deletions
@@ -1,5 +1,85 @@
 # Changelog - FlowDeck

+## v7.7.0 (2026-10-01) — Audit : A20 (CSP — nonce, partie 1)
+
+### Security
+
+- **A20** — `script-src` : `'unsafe-inline'` remplacé par `'nonce-<aléatoire par
+  requête>'`. Le middleware CSP génère le nonce dans une `ContextVar` avant
+  `call_next` (visible des templates via `{{ csp_nonce() }}`) ; **38 tags
+  `<script>` inline** des templates, la constante de module `LOCAL_LOGIN_HTML`
+  (helper `_with_nonce()` au rendu) et **3 scripts Python** dans `collections.py`
+  le portent ; htmx reçoit le même nonce via `<meta name="htmx-config">`
+  (`inlineScriptNonce` — les scripts des réponses boostées restent valides)
+- Les 74 handlers `onclick=` inline restent fonctionnels via
+  `script-src-attr 'unsafe-inline'` (détaché de `script-src` : le nonce les
+  aurait désactivés aussi)
+- `https://cdn.jsdelivr.net` / `https://unpkg.com` ajoutés à `script-src` et
+  `style-src` : les vues chart/map de `collections` les utilisent et étaient
+  **bloquées par la CSP depuis toujours** (commentaire `ponytail:` → upgrade :
+  vendoriser ces libs puis retirer les hôtes)
+- Reste d'A20 : `unsafe-eval` (Alpine `x-data` en string → build
+  `@alpinejs/csp`), externalisation du JS inline (A27), resserrer
+  `img-src`/`connect-src`
+
+### Tests
+
+- `test_csp_nonce_per_request` : page `base.html` (meta htmx-config + nonce du
+  header identique sur tous les scripts inline, nonce différent d'une requête à
+  l'autre) et page hors template (`/auth/login?provider=local`)
+
+## v7.6.0 (2026-10-01) — Audit : A31 (dette migrations)
+
+### Fixed
+
+- **A31** — transaction par migration : `_apply_one()` fait `BEGIN` → `fn(conn)`
+  → marque `schema_version` → `commit`, rollback complet à l'échec. Avant, le
+  DDL sortait en autocommit (isolation_level legacy) : un échec au milieu
+  laissait un schéma partiel commité SANS ligne de version, et la reprise
+  rejouait un DDL déjà appliqué
+- **A31** — helper unique `columns(conn, table)` (valide l'identifiant,
+  `ValueError` sinon) : **25 copies** de
+  `{r[1] for r in conn.execute("PRAGMA table_info(...)")}` éliminées dans
+  `migrations.py`. `table_exists`/`column_exists` préconisés par l'audit non
+  livrés : aucune migration n'interroge `sqlite_master`, un contrôle unitaire
+  se lit dans le set
+
+### Tests
+
+- `test_migration_transaction_rolls_back` (DDL partiel annulé + pas de marque
+  de version, chemin nominal enregistré), `test_columns_helper_validates_table_name`
+
+## v7.5.0 (2026-10-01) — Audit : A29, A42 (partiel)
+
+### Changed
+
+- **A29** — `services/publish.py` partagé : les 3 paires publish/unpublish
+  (sharing = front, board, v2) déléguent ; 404 partout (board faisait une
+  mise à jour aveugle), slugify titré unique (board : aléatoire ; v2 : slug
+  fourni conservé), événements centralisés, board gagne le contrôle de session.
+  Les bonus divergents disparaissent (`share_mode='anyone'` pour board,
+  `is_shared=1` pour v2) : le share dialog reste l'unique propriétaire de ces
+  drapeaux, dépublier ne révoque donc pas un partage manuel. Les listings
+  `/users/me` ×2 et collections ×3 restent : contrats versionnés distincts
+- **A42** — 9 copies de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))` →
+  `settings.data_dir` (property : lecture à chaque accès, les tests
+  monkeypatchent l'env) ; cache Gitea : évacuation des entrées expirées à
+  chaque écriture (il ne pouvait que grandir) ; les 29 `Environment(...)`
+  étaient déjà couverts par A10. **Reste** : client httpx partagé (52 créations,
+  à faire avec un cache par event loop)
+
+### Security
+
+- **Byproduct A29** — `GET /api/users/me` (v1) et le contexte Jinja de
+  `/accounts` renvoyaient `SELECT *` sur `users` : **password_hash**,
+  `login_attempts` et `locked_until` exposés → colonnes whitelistées
+  (identiques à la liste v2)
+
+### Tests
+
+- `test_publish_service_shared_and_safe` (slug, 404, partage préservé),
+  `test_users_me_no_secret_columns`, `test_gitea_cache_evicts_expired`
+
 ## v7.4.0 (2026-10-01) — Audit : A30, A37, A39, A40, A41

 ### Changed
@@ -1137,7 +1137,7 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 - [x] **A17 — Router legacy `/api` qui mute sans auth** : `move_card` (`api.py:98`), `set_col_mapping` (177), `delete_col_mapping` (207), `create_issue`/`update_issue` (281/322), `delete_checklist[_item]` (522/531), `PUT /users/me` (558) → seul garde = `_check_rate_limit`. *Fix : un `dependencies=[Depends(...)]` au niveau du router (session **ou** Bearer). Effort : **S**.*
 - [x] **A18 — Collection publiée quelconque + stocké XSS** : `GET /workspace/public/{collection_id}` (`workspace.py:699-719`) « no auth required », **ignore les flags `restricted/private`**, et interpole `coll['name']`/`p['title']` dans un `HTMLResponse(f"""…""")` sans `html.escape`. *Fix : respecter les flags de partage + `html.escape`. Effort : **S**.*
 - [x] **A19 — Liste CSRF trop large (34 préfixes) — TERMINÉ 2026-09-30 : 17 préfixes retirés, aucun préfixe cookie-auth n'est plus exempté** (12 en v7.3.5 après scan + 5 en v7.3.6 après équipement des 46 call sites) (`/db/`, `/workspace`, `/workspace/automations`, `/board/api/favorites`, `/api/pages`, `/api/recents`, `/api/notifications`, `/api/comments`, `/api/automations`, `/api/github`, `/api/admin`, `/api/onboarding`) puis les 5 derniers en v7.3.6 (46 call sites équipés de `X-CSRF-Token` dans agent_panel, settings, local_workspace, library, gitea_workspace, workspace, workspaces, welcome) — il ne reste que du Bearer/callback/public/infra : `csrf.py:21,25` couvre `/api/v2`, `/api/admin`, `/db/`, `/workspace`, `/api/user`, `/api/settings`, `/board/api/pages`, `/api/local-workspace`, `/api/comments`, `/api/agent`, `/api/automations`, `/auth/2fa` — tous **cookie-auth**. Seul `/scim/v2` est justifié par le commentaire de la ligne 19-20. Bonus : `/api/workspace` exempt aussi `/api/workspaces/*`. Filet restant = `SameSite=Lax` par défaut (jamais déclaré explicitement dans `main.py:150`). *Fix : garder un petit ensemble SAFE (webhooks, `/api/v1`, `/api/v2` Bearer, `/scim/v2`, callbacks OAuth/SSO) + ancrer les préfixes ; ajouter le header sur les 49 `fetch()` concernés (helper `csrfFetch` existe déjà : `base.html:892`). Effort : **M**.*
- [ ] **A20 — CSP sans filet : `script-src 'unsafe-inline' 'unsafe-eval'`** (`security.py:67`) → aucun nonce/hash ; combiné à A10, chaque sink XSS ci-dessus tourne sans violation CSP. *Fix : externaliser le JS inline (A27), passer à `'nonce-…'`, retirer `'unsafe-eval'` (Alpine/HTMX n'en ont pas besoin par défaut), resserrer `img-src`/`connect-src`. Effort : **L**.*
+- [x] **A20 — CSP sans filet — PARTIEL : `script-src 'unsafe-inline' 'unsafe-eval'`** (`security.py:67`) → aucun nonce/hash ; combiné à A10, chaque sink XSS ci-dessus tourne sans violation CSP. *Fix : externaliser le JS inline (A27), passer à `'nonce-…'`, retirer `'unsafe-eval'`, resserrer `img-src`/`connect-src`.* — **fait 2026-10-01 (nonce)** : `script-src 'self' 'unsafe-eval' 'nonce-<per-request>'` — `unsafe-inline` retiré de script-src (fin des XSS injectés en JS) ; ContextVar `CSP_NONCE` posée par le middleware avant `call_next`, lue par `{{ csp_nonce() }}` (38 tags inline dans les templates + `_with_nonce()` pour la constante `LOCAL_LOGIN_HTML` + 3 scripts Python dans collections.py) ; htmx re-çoit le nonce via `<meta name="htmx-config">` (réponses boostées) ; les 74 handlers `onclick=` restent couverts par `script-src-attr 'unsafe-inline'` ; chart.js/leaflet (CDN, déjà utilisés par les vues chart/map et BLOQUÉS par CSP depuis toujours) ajoutés à `script-src`/`style-src` avec commentaire `ponytail:` (upgrade : vendoriser). **Reste** : `unsafe-eval` (Alpine x-data en string → build `@alpinejs/csp`), externalisation JS (A27), resserrer `img-src`/`connect-src`, vendoriser les 2 CDN. Effort : **L**.
 - [ ] **A21 — `sqlite3` synchrone sur l'event loop — PARTIEL 2026-10-01 : `PRAGMA busy_timeout=5000` ajouté au point d'entrée unique `get_conn()` (db.py)** ; reste le wrapper async `anyio.to_thread` + la migration des 510 call sites : `get_conn()` (`db.py:833-843`) est synchrone et **510 des 689 `async def` de routes** l'appellent (805 occurrences au total ; 0 `run_in_threadpool`, 1 seul `asyncio.to_thread` dans tout le dépôt : `semantic_search.py:262`) ; connexion neuve par requête (`connect` + 2 PRAGMA), **aucun `busy_timeout`**. Chaque requête bloque la boucle. *Fix : wrapper async (`anyio.to_thread.run_sync`) partagé, migrer d'abord `api_v2`/`dashboard`/`collections`/`board` + `PRAGMA busy_timeout=5000`. Effort : **M**.*
 - [x] **A22 — Validateur d'upload = code mort** : `validate_upload()` + `ALLOWED_EXTENSIONS` + `MAX_UPLOAD_SIZE` (`security.py:33-40`) n'ont **aucun appelant** ; `upload_local_workspace_file` (`dashboard.py:1507-1574`) fait `file_path.write_bytes(content)` après seulement `Path(filename).name` — ni taille, ni extension, ni auth, et `/api/local-workspace` est exclu du CSRF. Chemin aussi codé en dur `Path(f"/data/uploads/...")` au lieu de `FLOWDECK_DATA_DIR`. *Fix : appeler `validate_upload()` avant `read()` + session. Effort : **S**.*
 - [x] **A23 — N+1 avérés** : `dashboard.py:905` (`COUNT(*) FROM pages` par page dans une boucle de 20), `board.py:2141-2146` (INSERT + `_extract_ai_keywords` par issue), `collections.py:378` (INSERT par propriété en boucle). *Fix : une agrégation `GROUP BY` / un `executemany`. Effort : **S**.*
@@ -1149,9 +1149,9 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 - [x] **A26 — Config piège** : (a) `FLOWDECK_STANDALONE` documenté dans `config.py:26` mais **jamais lu** (le champ réel est `STANDALONE`, pas de `env_prefix`, `extra="ignore"` avale la coquille) ; (b) `.env.example` documente `postgresql://…` mais `db_path` (`config.py:133`) retombe silencieusement sur SQLite ; (c) `db_path` fait `Path("/" + p)` (`config.py:132`) → pour `sqlite:////data/flowdeck.db` le résultat est le chemin UNC `\\data\flowdeck.db` (vérifié : inexistant) ; (d) `app_secret_key="change-me-to-random"` (`config.py:36`) + `gitea_oauth_client_secret="test-secret"` sans aucun garde au boot alors qu'il signe `flowdeck_session` (`session.py:14`). *Fix : 1 normalisation de `db_path` + `raise` au boot si secret par défaut + corriger le commentaire/`env_prefix`. Effort : **S**.*
 - [ ] **A27 — 13 900 lignes de JS inline dans 37 blocs**, ~3 800 livrées sur **chaque** page (`base.html` 1520 + `agent_panel` 1805 + `_icon_picker` 297 + `_header` 124 + `_notification_bell` 69), et **0 linté** : `eslint.config.mjs:50` ne couvre que `static/js/**/*.js` (soit `app.js` + `offline.js`), 2 blocs se neutralisent avec `/* eslint-disable */`. Grosseurs : `_page_editor_scripts` 2517, `local_workspace` 2030, `agent_panel` 1805, `base` 1520, `_database_table_scripts` 1323, `settings` 1093, `library` 1039. *Fix : extraire les gros partials vers `/static/js/*.js` (ils ne sont pas Jinja-interpolés) + ajouter les templates à eslint. Effort : **L**.*
 - [ ] **A28 — Dette de découpe (god files)** : `api_v2.py` 115 routes / 131 Ko, `dashboard.py` 63 / 116 Ko (27 pages HTMLResponse + 50 JSON + I/O fichiers, 16 `Environment(...)` locaux), `collections.py` 53 / 112 Ko, `board.py` 53 / 93 Ko (page CRUD + `zipfile` + sync Gitea). *Fix : scinder par **concern** (`pages_html`, `files`, sous-modules `api_v2/*`) — mécanique, 0 changement d'URL. Effort : **L**.*
- [ ] **A29 — Endpoints dupliqués 2-3×** : publish/unpublish existe en 3 endroits (`sharing.py:304/345`, `board.py:1020/1039`, `api_v2.py:1743/1761`) avec slug et auth **différents** ; listing collections ×3 (`/api/v1/collections`, `/db/api`, `/api/v2/collections`) ; `/api/users/me` ×2. *Fix : un `services/publish.py` partagé, les routers déléguent. Effort : **M**.*
+- [x] **A29 — Endpoints dupliqués 2-3×** : publish/unpublish existe en 3 endroits (`sharing.py:304/345`, `board.py:1020/1039`, `api_v2.py:1743/1761`) avec slug et auth **différents** ; listing collections ×3 (`/api/v1/collections`, `/db/api`, `/api/v2/collections`) ; `/api/users/me` ×2. *Fix : un `services/publish.py` partagé, les routers déléguent.* — **fait 2026-10-01** : `services/publish.py` (slugify unique, 404 partout, événements) ; les 3 paires publish/unpublish déléguent (sharing + board + v2), board gagne `_require_auth`, les bonus divergents (`share_mode='anyone'` / `is_shared=1`) supprimés — le share dialog reste propriétaire de ces drapeaux ; **byproduct sécurité** : `GET /api/users/me` (v1) et le contexte de `/accounts` faisaient `SELECT *` → `password_hash` exposé → colonnes whitelistées. **Décision** : `/api/users/me` ×2 et listing collections ×3 **restent** — contrats versionnés distincts (session+guest vs Bearer+scope, formes différentes). Effort : **M**.
 - [x] **A30 — 16 fonctions top-level jamais référencées**, dont `require_scope` (`api_v2_helpers.py:213`, la factory FastAPI qui doit faire les scopes — les handlers font `has_scope(...)` à la main), `validate_upload`, `_get_user_or_redirect`, `_require_user_gitea`, `unsync_block`, `find_referring`… *Fix : câbler `validate_upload` (A22) + `require_scope`, supprimer le reste. Effort : **S**.*
- [ ] **A31 — Dette migrations** : `migrations.py` 1 522 lignes / 66 Ko, 28 migrations (versions 2-29, contiguës, bien version-gated), **25 copies du motif `PRAGMA table_info`** sans helper (`table_exists`/`column_exists` inexistants), 30 `ALTER TABLE`, et `fn(conn)` tourne **hors transaction** → un échec au milieu laisse du DDL partiel commité. *Fix : 3 helpers + transaction par migration. Effort : **M**.*
+- [x] **A31 — Dette migrations** : `migrations.py` 1 522 lignes / 66 Ko, 28 migrations (versions 2-29, contiguës, bien version-gated), **25 copies du motif `PRAGMA table_info`** sans helper (`table_exists`/`column_exists` inexistants), 30 `ALTER TABLE`, et `fn(conn)` tourne **hors transaction** → un échec au milieu laisse du DDL partiel commité. *Fix : 3 helpers + transaction par migration.* — **fait 2026-10-01** : `_apply_one()` — BEGIN explicite par migration, rollback complet à l'échec (avant : DDL en autocommit → schéma partiel commité sans ligne `schema_version`, la reprise rejouait un DDL déjà appliqué) ; **1 helper au lieu de 3** : `columns(conn, table)` (valide l'identifiant) remplace les **25 copies** de `PRAGMA table_info` — `table_exists`/`column_exists` non livrés : aucune migration n'interroge `sqlite_master` et un contrôle unitaire se lit dans le set (YAGNI). Tests : rollback DDL + validation d'identifiant. Effort : **M**.
 - [ ] **A32 — Couverture de tests par trou** : routers à **0 test** : `webhooks.py` (0/3), `notes.py` (0/2), `sidebar_config.py` (0/2), `github_routes.py` (0/2) ; quasi nuls : `library.py` 1/10, `api.py` 3/23 (move, col-mapping, board-config, CRUD issues), `dashboard.py` 17/63, `api_v2.py` 50/115. Points positifs vérifiés : 1 002 tests, **aucun sans `assert`**, aucun qui touche le réseau réel. *Fix : 1 smoke test par route non couverte (fixture TestClient existante). Effort : **M**.*
 - [x] **A33 — Rate limit incomplet et mal câblé** : `security.py:98` ne couvre que `/api/`, `/board/api/`, `/auth/` — pas `/scim/v2`, `/workspace`, `/db/`, `/s/{slug}/auth` (brute force du mot de passe de site, `sites.py:599`), ni `/f/` ; `max_requests=100` codé en dur alors que `settings.rate_limit_requests=60` n'est **jamais lu** ; clé = `request.client.host` (tous les users derrière 1 proxy = 1 seau) ; `_store` (`security.py:113,134-145`) **jamais épuré** → croissance mémoire par IP. `config.py:44` ment donc sur la valeur. *Fix : lire le settings, ajouter les préfixes, épurage, `X-Forwarded-For`. Effort : **S**.*
 - [x] **A34 — 10 schedulers sans observabilité** : `main.py:90-124` — les boucles **ont** bien un `try` interne (vérifié), mais **aucun `add_done_callback` ni restart** : une exception hors `try` tue la tâche en silence ; `calendar_sync.py:469` et `automations.py:484` loggent leurs échecs en `logger.debug` (invisibles à `LOG_LEVEL=INFO`) ; le `finally` (`main.py:136-139`) ne catch que `CancelledError` → un task mort re-raise à l'arrêt. *Fix : helper `spawn()` avec `add_done_callback` (log + recreé) + passer les 2 debug en warning. Effort : **S**.*
@@ -1165,7 +1165,7 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 - [x] **A39 — HTMX chargé (49,7 Ko) pour 10 attributs réels** vs 265 `fetch(` manuels. *Fix : soit drop `htmx.min.js` et convertir les 10, soit rien.* — **décision 2026-10-01 : rien** (option proposée par l'audit) : 32 attributs `hx-*` réels répartis dans 6 templates (view-switch board/dashboard/notes, `hx-boost`) ; les convertir = refonte du view-switching en JS sans couverture automatisée, coût/risque > gain de 49,7 Ko. **Reconsidérer** dès qu'un test E2E couvre le view-switch.
 - [x] **A40 — Assets** : `?v=` incohérent (`app.css?v=5.1.1` mais CSS modifié le 2026-09-14 > dernier bump 2026-09-12 → servi depuis le cache), la même liste d'assets est **dupliquée** dans `sw.js:19-31`, htmx/alpine/prism vendored **sans bannière de version ni SRI**, 3 `<script src>` sans `?v=` (`base.html:116-118`). *Fix : une source unique `{{ asset_version }}` lue par `base.html` et `sw.js` + versions notées dans `static/js/VENDOR.md`. Effort : **S**.*
 - [x] **A41 — ~10 Ko de CSS mort** : 75 classes d'`app.css` jamais référencées (97 règles = 10 082 octets) — `.sidebar-invite*`, `.skeleton-*`, `.toast-error|info`, `.slash-group*`, `.block-h1..h4`, `.ftable-*` (18 revérifiées une à une). *Fix : purge one-shot contre `app/templates/**` + `app.js`. Effort : **XS**.*
- [ ] **A42 — Duplication backend résiduelle** : `Jinja Environment` réinstancié **29 fois** dans 10 routers (16 dans `dashboard.py` seul) — même diff que A10 ; 52 `httpx.AsyncClient` créés à la demande (aucun client partagé) ; cache Gitea sans évacuation des entrées expirées (`gitea_client.py:26-38`) ; `_data_dir()` copié 7 fois (`board.py:1696`, `dashboard.py:1127,1478`, `emoji.py:25`, `export.py:96`, `pipeline.py:30`, `meetings.py:32,58`) + 2 `/data` codés en dur (`dashboard.py:1535,1874`). *Fix : `app/templating.py` + `settings.data_dir` + un client httpx partagé. Effort : **M**.*
+- [x] **A42 — Duplication backend résiduelle** : `Jinja Environment` réinstancié **29 fois** dans 10 routers (16 dans `dashboard.py` seul) — même diff que A10 ; 52 `httpx.AsyncClient` créés à la demande (aucun client partagé) ; cache Gitea sans évacuation des entrées expirées (`gitea_client.py:26-38`) ; `_data_dir()` copié 7 fois (`board.py:1696`, `dashboard.py:1127,1478`, `emoji.py:25`, `export.py:96`, `pipeline.py:30`, `meetings.py:32,58`) + 2 `/data` codés en dur (`dashboard.py:1535,1874`). *Fix : `app/templating.py` + `settings.data_dir` + un client httpx partagé.* — **fait 2026-10-01 (partiel)** : les 29 `Environment(...)` = A10 ✓ ; les 9 copies de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))` → `settings.data_dir` (property, lecture à chaque accès car les tests monkeypatchent l'env) ; cache Gitea : évacuation des entrées expirées à chaque écriture. **Reste** : le client httpx partagé (52 créations — un `AsyncClient` module-level est fragile avec les event loops de tests, à faire avec un cache par loop). Effort : **M**.
 - [x] **A43 — Dette mineure — PARTIEL** : `utcnow()` ✓ (15/15), health loggé ✓ (via A25) ; **reste** : `__CSRF_PLACEHOLDER__` (base.html, fenêtre de course JS) et le re-parse JSON de la palette par frappe : 22 `datetime.utcnow()` dépréciés (warnings dans les tests), `health` (`api.py:49`) avale db **et** gitea sans log (« degraded » sans raison + 1 aller-retour réseau par probe), `base.html:120` sert le littéral `__CSRF_PLACEHOLDER__` rempli côté JS (fenêtre de course) et `base.html:2292` re-parse ce JSON **à chaque frappe** de la palette sur un GET (où le CSRF ne s'applique pas). *Effort : **XS**.*

 ### ✅ Vérifié non-problème (ne pas re-checker)
@@ -1181,4 +1181,4 @@ Quality      DB views,      Agent IA     Palette →       Realtime +          E
 → Puis **A3–A8** (le bloc « fallback admin ») d'un seul tenant, puis **A10** (autoescape) qui débloque A18/A20.

 *Audit produit le 2026-09-30 · 43 items · aucun code modifié ( ROADMAP seul ).*
-→ **A1–A9 corrigés le 2026-09-30** : deps réinstallées (`pyotp`/`webauthn`/`cbor2`), rebinding de `settings` supprimé dans `test_v54.py` → **suite 1016/1016 verts**, cycle committé (`1706ad1`) + tag `v7.3.0` poussé, `.db`/fichiers de test désindexés, `APP_SECRET_KEY` roté dans `.env` (sessions révoquées) · **A3–A8 : 401 sans session sur les routes de compte (mdp actuel exigé), tokens `/api/v1` + `/api/user` sans session → 401, CRUD membres d'espace sous session+role admin, `_require_view`/`_require_edit` sans session → 404/401, création/lecture de page sous session, `/board/api/pages` + `/api/user` sortis du CSRF exempt, seed admin sans mdp en dur (aléatoire ou `FLOWDECK_ADMIN_PASSWORD`). Tests : client connecte par defaut (`_TestSessionAuth`), helper `anon()` sur les 40 tests d'anonymat → suite 1016/1016 + ruff OK, commit `d125eb3` · **A10 : `app/templating.py` (ENV partagé + autoescape `select_autoescape(["html"])`) remplace les 29 instantiations, `|safe` retriés (corps d'issue/commentaires echappes, `sidebar_config` en `|tojson`) → suite 1016/1016, version 7.3.1 · **A11 (traversal avatar) + A18 (vue publique : 404 restricted/private + html.escape)** : `tests/test_audit_p0_fixes.py`, suite 1019/1019, version 7.3.2 · **A12/A13/A15/A17/A22/A23/A24** : garde SSRF par hop, routers automations + /api sous session/Bearer, webhooks admin+URL publique, uploads validés, N+1 en GROUP BY/executemany, 2 doublons de routes supprimés → suite 1025/1025, version 7.3.3 · **A16** : exports + pièces jointes sous session + `can_view_page` → suite 1026/1026, version 7.3.4 · **A19 (partiel)** : 12 préfixes CSRF retirés après scan front (12 préfixes = tous ceux dont les appels portent déjà le header), reste 5 préfixes / 49 fetchs → suite 1026/1026, version 7.3.5 · **A19 terminé** : 46 call sites front équipés, plus aucun préfixe cookie-auth exempté → suite 1026/1026, version 7.3.6 · **A14** : fallback `admin` supprimé de `_current_user_id`/`_current_admin` (401 sans session), `api_base` validé scheme http(s) sans identifiants (hôtes privés acceptés = Ollama localhost, commentaire `ponytail:`) → suite 1027/1027, version 7.3.7 · **A25** : 84 `except Exception: pass` remplacés par `logger.exception(fn)` (19 fichiers, +`logger` manquants), try supprimé sur `materialize_properties` dans `create_collection_v2` et `apply_db_template_v2` (rollback au lieu d'un commit sans schéma), test de rollback · **A21 (partiel)** : `busy_timeout=5000` dans `get_conn()` → suite 1028/1028, version 7.3.8 · **A26/A33/A34/A35/A36/A43** : secret par défaut refusé au boot, rate limit (préfixes + settings + XFF + épurage), `_spawn()` pour les 10 schedulers, OpenAPI 511 chemins + README, 4 deps mortes purgées, 15 `utcnow()` → `now(UTC)` naïf → suite 1028/1028, version 7.3.9. · **A30/A37/A39/A40/A41** : `require_scope` câblé sur 69 sites + 12 fonctions mortes supprimées, CORS sans `*` (origines de `app_base_url` + regex dev/extensions), assets versionnés depuis `VERSION` (source unique), `app.css` -10,2 Ko de règles mortes, htmx = décision « rien » documentée → suite 1031/1031, version 7.4.0.
+→ **A1–A9 corrigés le 2026-09-30** : deps réinstallées (`pyotp`/`webauthn`/`cbor2`), rebinding de `settings` supprimé dans `test_v54.py` → **suite 1016/1016 verts**, cycle committé (`1706ad1`) + tag `v7.3.0` poussé, `.db`/fichiers de test désindexés, `APP_SECRET_KEY` roté dans `.env` (sessions révoquées) · **A3–A8 : 401 sans session sur les routes de compte (mdp actuel exigé), tokens `/api/v1` + `/api/user` sans session → 401, CRUD membres d'espace sous session+role admin, `_require_view`/`_require_edit` sans session → 404/401, création/lecture de page sous session, `/board/api/pages` + `/api/user` sortis du CSRF exempt, seed admin sans mdp en dur (aléatoire ou `FLOWDECK_ADMIN_PASSWORD`). Tests : client connecte par defaut (`_TestSessionAuth`), helper `anon()` sur les 40 tests d'anonymat → suite 1016/1016 + ruff OK, commit `d125eb3` · **A10 : `app/templating.py` (ENV partagé + autoescape `select_autoescape(["html"])`) remplace les 29 instantiations, `|safe` retriés (corps d'issue/commentaires echappes, `sidebar_config` en `|tojson`) → suite 1016/1016, version 7.3.1 · **A11 (traversal avatar) + A18 (vue publique : 404 restricted/private + html.escape)** : `tests/test_audit_p0_fixes.py`, suite 1019/1019, version 7.3.2 · **A12/A13/A15/A17/A22/A23/A24** : garde SSRF par hop, routers automations + /api sous session/Bearer, webhooks admin+URL publique, uploads validés, N+1 en GROUP BY/executemany, 2 doublons de routes supprimés → suite 1025/1025, version 7.3.3 · **A16** : exports + pièces jointes sous session + `can_view_page` → suite 1026/1026, version 7.3.4 · **A19 (partiel)** : 12 préfixes CSRF retirés après scan front (12 préfixes = tous ceux dont les appels portent déjà le header), reste 5 préfixes / 49 fetchs → suite 1026/1026, version 7.3.5 · **A19 terminé** : 46 call sites front équipés, plus aucun préfixe cookie-auth exempté → suite 1026/1026, version 7.3.6 · **A14** : fallback `admin` supprimé de `_current_user_id`/`_current_admin` (401 sans session), `api_base` validé scheme http(s) sans identifiants (hôtes privés acceptés = Ollama localhost, commentaire `ponytail:`) → suite 1027/1027, version 7.3.7 · **A25** : 84 `except Exception: pass` remplacés par `logger.exception(fn)` (19 fichiers, +`logger` manquants), try supprimé sur `materialize_properties` dans `create_collection_v2` et `apply_db_template_v2` (rollback au lieu d'un commit sans schéma), test de rollback · **A21 (partiel)** : `busy_timeout=5000` dans `get_conn()` → suite 1028/1028, version 7.3.8 · **A26/A33/A34/A35/A36/A43** : secret par défaut refusé au boot, rate limit (préfixes + settings + XFF + épurage), `_spawn()` pour les 10 schedulers, OpenAPI 511 chemins + README, 4 deps mortes purgées, 15 `utcnow()` → `now(UTC)` naïf → suite 1028/1028, version 7.3.9. · **A30/A37/A39/A40/A41** : `require_scope` câblé sur 69 sites + 12 fonctions mortes supprimées, CORS sans `*` (origines de `app_base_url` + regex dev/extensions), assets versionnés depuis `VERSION` (source unique), `app.css` -10,2 Ko de règles mortes, htmx = décision « rien » documentée → suite 1031/1031, version 7.4.0. · **A29/A42** : `services/publish.py` partagé (3 routers déléguent, 404 partout, board sous session), fuite `password_hash` corrigée sur `GET /api/users/me` v1 + contexte `/accounts`, `settings.data_dir` remplace les 9 copies d'env, cache Gitea évacue les expirés ; `/users/me` ×2 + collections ×3 = contrats versionnés, on garde ; reste A42 = client httpx partagé → suite 1034/1034, version 7.5.0. · **A31** : transaction par migration (`_apply_one`, rollback tout-ou-rien du DDL) + helper `columns()` remplaçant 25 copies de `PRAGMA table_info` (1 helper au lieu de 3 — les 2 autres seraient mort-nés) → suite 1036/1036, version 7.6.0. · **A20 (partiel)** : CSP nonce par requête — `unsafe-inline` retiré de `script-src`, 38 scripts templates + login constant + 3 scripts Python noncés, meta `htmx-config` pour htmx, `script-src-attr` pour les 74 `onclick=`, CDN chart/leaflet débloqués (déjà cassés avant) → suite 1037/1037, version 7.7.0.
@@ -1 +1 @@
-7.4.0
+7.7.0
@@ -1,6 +1,6 @@
 # WORKLOAD — FlowDeck Notion Clone

-> **Début**: 2026-07-08 | **Version**: v7.4.0 (audit — A30/A37/A39/A40/A41) | **Statut**: EN COURS 🔄
+> **Début**: 2026-07-08 | **Version**: v7.7.0 (audit — A20 partiel : nonce CSP) | **Statut**: EN COURS 🔄
 > **Cible**: parité Notion + intégration forge · **Follow-ups v7.3 livrés**: sidebar teamspaces, notif `page.updated`, charts `number` + dashboards multi-DB, unfurl forge, UI Settings → Audit — voir `ROADMAP.md § v7.3.0`

 ## Avancement Global
@@ -1,12 +1,22 @@
 """FlowDeck — Configuration via pydantic-settings."""
 from __future__ import annotations

+import os
 from pathlib import Path

 from pydantic_settings import BaseSettings, SettingsConfigDict


 class Settings(BaseSettings):
+    @property
+    def data_dir(self) -> str:
+        """Racine des fichiers (avatars, uploads…).
+
+        Pas un champ : la lecture est faite à chaque accès parce que les tests
+        monkeypatchent `FLOWDECK_DATA_DIR` en cours de vie (A42 — les 9 copies
+        de `Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))` vont ici).
+        """
+        return os.environ.get("FLOWDECK_DATA_DIR", "/data")
    model_config = SettingsConfigDict(
        env_file=".env", env_file_encoding="utf-8", extra="ignore"
    )
@@ -185,7 +185,7 @@ async def lifespan(_app: FastAPI):

 app = FastAPI(
    title="FlowDeck",
-    version="7.4.0",
+    version="7.7.0",
    docs_url="/docs",
    redoc_url="/redoc",
    lifespan=lifespan,
@@ -2,6 +2,7 @@
 from __future__ import annotations

 import ipaddress
+import secrets
 import time
 from collections import defaultdict

@@ -9,6 +10,8 @@ from starlette.middleware.base import BaseHTTPMiddleware
 from starlette.requests import Request
 from starlette.responses import JSONResponse

+from app.templating import CSP_NONCE
+
 # ── Constants ────────────────────────────────────────────────

 # Allowed extensions for file uploads
@@ -63,10 +66,21 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
    """

    CSP_HEADER = "Content-Security-Policy"
+    # A20 : `unsafe-inline` sort de script-src (remplacé par un nonce par
+    # requête — un XSS injecté dans une page ne tourne plus). Les 74 handlers
+    # inline `onclick=` restent couverts par `script-src-attr`, explicitement
+    # détaché de script-src (sinon le nonce les désactiverait aussi).
+    # `unsafe-eval` reste : Alpine (x-data en string) et htmx (hx-vars) en ont
+    # besoin → à retirer avec le build CSP d'Alpine (voir reste d'A20).
    CSP_VALUE = (
        "default-src 'self'; "
-        "script-src 'self' 'unsafe-inline' 'unsafe-eval'; "
-        "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com; "
+        # ponytail: chart.js et leaflet sont chargés depuis CDN par les vues
+        # chart/map de collections — l'upgrade est de les vendoriser dans
+        # /static/js puis de retirer ces deux hôtes.
+        "script-src 'self' 'unsafe-eval' 'nonce-{nonce}' "
+        "https://cdn.jsdelivr.net https://unpkg.com; "
+        "script-src-attr 'unsafe-inline'; "
+        "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://unpkg.com; "
        "img-src 'self' data: blob: https:; "
        "font-src 'self' data: https://fonts.gstatic.com; "
        "connect-src 'self' https: wss: ws:; "
@@ -78,11 +92,16 @@ class ContentSecurityPolicyMiddleware(BaseHTTPMiddleware):
    )

    async def dispatch(self, request: Request, call_next):
+        nonce = secrets.token_urlsafe(16)
+        # Posé AVANT call_next : BaseHTTPMiddleware exécute le aval dans une
+        # tâche créée maintenant → le contexte (donc le nonce) y est copié,
+        # exactement ce que les templates liront via `csp_nonce()`.
+        CSP_NONCE.set(nonce)
        response = await call_next(request)
        # Only set CSP on HTML responses
        content_type = response.headers.get("content-type", "")
        if "text/html" in content_type:
-            response.headers[self.CSP_HEADER] = self.CSP_VALUE
+            response.headers[self.CSP_HEADER] = self.CSP_VALUE.format(nonce=nonce)
        return response


@@ -50,6 +50,19 @@ def _ensure_table(conn: sqlite3.Connection) -> None:
    )


+def columns(conn: sqlite3.Connection, table: str) -> set[str]:
+    """Colonnes d'une table — A31 : l'unique helper qui remplace les 24 copies
+    de `{r[1] for r in conn.execute("PRAGMA table_info(...)")}`.
+
+    ``table_exists``/``column_exists`` (préconisés par l'audit) ne sont pas
+    livrés : aucune migration n'interroge ``sqlite_master``, et un contrôle
+    unitaire se lit déjà dans le set.
+    """
+    if not table.replace("_", "").isalnum():
+        raise ValueError(f"nom de table invalide: {table!r}")
+    return {r[1] for r in conn.execute(f"PRAGMA table_info({table})").fetchall()}
+
+
 def current_version(conn: sqlite3.Connection) -> int:
    _ensure_table(conn)
    row = conn.execute(
@@ -90,16 +103,36 @@ def apply_migrations(conn: sqlite3.Connection) -> int:
    for version, name, fn in MIGRATIONS:
        if version <= applied:
            continue
+        _apply_one(conn, version, name, fn)
+        applied = version
+        logger.info("Applied migration %d: %s", version, name)
+
+    return applied
+
+
+def _apply_one(conn: sqlite3.Connection, version: int, name: str, fn: Callable) -> None:
+    """A31 : une migration = une transaction (DDL tout-ou-rien).
+
+    Avant : le DDL sortait en autocommit (isolation_level legacy) — un échec au
+    milieu laissait un schéma partiel commité ET pas de ligne schema_version :
+    la reprise rejouait un DDL déjà appliqué. Maintenant : BEGIN explicite,
+    rollback complet à l'échec, donc la prochaine exécution retente proprement.
+    """
+    if conn.in_transaction:
+        # transaction résiduelle du caller (init_db commit juste avant) — on
+        # part d'un état propre plutôt que d'englober son travail.
+        conn.commit()
+    conn.execute("BEGIN")
+    try:
        fn(conn)
        conn.execute(
            "INSERT INTO schema_version (version, name) VALUES (?, ?)",
            (version, name),
        )
        conn.commit()
-        applied = version
-        logger.info("Applied migration %d: %s", version, name)
-
-    return applied
+    except BaseException:
+        conn.rollback()
+        raise


 # ═══════════════════════════════════════════════════════════════════════════
@@ -236,7 +269,7 @@ def _migration_v520_security_projects(conn: sqlite3.Connection) -> None:
    ``projects``      — normalized project list across forges (builtin/gitea/
                        github) + last sync timestamp for the periodic cron.
    """
-    _pcols = {r[1] for r in conn.execute("PRAGMA table_info(api_tokens)").fetchall()}
+    _pcols = columns(conn, "api_tokens")
    if "id" not in _pcols:
        conn.execute(
            """
@@ -256,7 +289,7 @@ def _migration_v520_security_projects(conn: sqlite3.Connection) -> None:
            "CREATE INDEX IF NOT EXISTS idx_api_tokens_user ON api_tokens(user_id, revoked)"
        )

-    _scols = {r[1] for r in conn.execute("PRAGMA table_info(user_sessions)").fetchall()}
+    _scols = columns(conn, "user_sessions")
    if "id" not in _scols:
        conn.execute(
            """
@@ -275,7 +308,7 @@ def _migration_v520_security_projects(conn: sqlite3.Connection) -> None:
            "CREATE INDEX IF NOT EXISTS idx_user_sessions_user ON user_sessions(user_id, revoked)"
        )

-    _projcols = {r[1] for r in conn.execute("PRAGMA table_info(projects)").fetchall()}
+    _projcols = columns(conn, "projects")
    if "id" not in _projcols:
        conn.execute(
            """
@@ -328,7 +361,7 @@ def _migration_v54_page_versions_cover(conn: sqlite3.Connection) -> None:
        "CREATE INDEX IF NOT EXISTS idx_page_versions_page ON page_versions(page_id, created_at)"
    )

-    _pcols = {r[1] for r in conn.execute("PRAGMA table_info(pages)").fetchall()}
+    _pcols = columns(conn, "pages")
    if "cover_url" not in _pcols:
        conn.execute("ALTER TABLE pages ADD COLUMN cover_url TEXT DEFAULT ''")
    if "page_icon" not in _pcols:
@@ -358,11 +391,11 @@ def _migration_custom_emojis(conn: sqlite3.Connection) -> None:
 def _migration_db_templates_validation(conn: sqlite3.Connection) -> None:
    """v5.3.0: database templates get an icon, properties a validation config,
    and the built-in database templates are seeded (idempotently)."""
-    _cols = {r[1] for r in conn.execute("PRAGMA table_info(database_templates)").fetchall()}
+    _cols = columns(conn, "database_templates")
    if "icon" not in _cols:
        conn.execute("ALTER TABLE database_templates ADD COLUMN icon TEXT NOT NULL DEFAULT '📋'")

-    _pcols = {r[1] for r in conn.execute("PRAGMA table_info(collection_properties)").fetchall()}
+    _pcols = columns(conn, "collection_properties")
    if "validation_json" not in _pcols:
        conn.execute("ALTER TABLE collection_properties ADD COLUMN validation_json TEXT NOT NULL DEFAULT '{}'")

@@ -432,19 +465,19 @@ def _migration_v57_db_advanced(conn: sqlite3.Connection) -> None:
    ``collection_pages.cover_url``       — per-row cover image (gallery/board
    cards), independent from the block-page ``pages.cover_url``.
    """
-    _pcols = {r[1] for r in conn.execute("PRAGMA table_info(collection_properties)").fetchall()}
+    _pcols = columns(conn, "collection_properties")
    if "group_name" not in _pcols:
        conn.execute(
            "ALTER TABLE collection_properties ADD COLUMN group_name TEXT NOT NULL DEFAULT ''"
        )

-    _vcols = {r[1] for r in conn.execute("PRAGMA table_info(collection_views)").fetchall()}
+    _vcols = columns(conn, "collection_views")
    if "created_by" not in _vcols:
        conn.execute("ALTER TABLE collection_views ADD COLUMN created_by INTEGER")
    if "updated_at" not in _vcols:
        conn.execute("ALTER TABLE collection_views ADD COLUMN updated_at TIMESTAMP")

-    _cpcols = {r[1] for r in conn.execute("PRAGMA table_info(collection_pages)").fetchall()}
+    _cpcols = columns(conn, "collection_pages")
    if "cover_url" not in _cpcols:
        conn.execute("ALTER TABLE collection_pages ADD COLUMN cover_url TEXT DEFAULT ''")

@@ -471,7 +504,7 @@ def _migration_v58_calendar_reminders(conn: sqlite3.Connection) -> None:
        "CREATE INDEX IF NOT EXISTS idx_remlog_page ON reminder_log(page_id)"
    )

-    _ucols = {r[1] for r in conn.execute("PRAGMA table_info(users)").fetchall()}
+    _ucols = columns(conn, "users")
    if "timezone" not in _ucols:
        conn.execute("ALTER TABLE users ADD COLUMN timezone TEXT NOT NULL DEFAULT ''")

@@ -522,7 +555,7 @@ def _migration_v511_wiki_v512_templates(conn: sqlite3.Connection) -> None:
    ``page_global_templates``        — user-created global page templates
    (blocks_json = same format as the block editor saves).
    """
-    _pcols = {r[1] for r in conn.execute("PRAGMA table_info(pages)").fetchall()}
+    _pcols = columns(conn, "pages")
    if "is_locked" not in _pcols:
        conn.execute("ALTER TABLE pages ADD COLUMN is_locked INTEGER NOT NULL DEFAULT 0")
    if "locked_by" not in _pcols:
@@ -777,12 +810,12 @@ def _migration_v600_granular_permissions(conn: sqlite3.Connection) -> None:
    )

    for table in ("pages", "collection_pages"):
-        cols = {r[1] for r in conn.execute(f"PRAGMA table_info({table})").fetchall()}
+        cols = columns(conn, table)
        if "permission_type" not in cols:
            conn.execute(
                f"ALTER TABLE {table} ADD COLUMN permission_type TEXT NOT NULL DEFAULT 'inherit'"
            )
-    _ccols = {r[1] for r in conn.execute("PRAGMA table_info(collections)").fetchall()}
+    _ccols = columns(conn, "collections")
    if "permission_type" not in _ccols:
        conn.execute(
            "ALTER TABLE collections ADD COLUMN permission_type TEXT NOT NULL DEFAULT 'inherit'"
@@ -791,7 +824,7 @@ def _migration_v600_granular_permissions(conn: sqlite3.Connection) -> None:

 def _add_sync_version(conn: sqlite3.Connection, table: str) -> None:
    """Add ``sync_version`` to ``table`` if it is not already present."""
-    cols = {row[1] for row in conn.execute(f"PRAGMA table_info({table})").fetchall()}
+    cols = columns(conn, table)
    if "sync_version" not in cols:
        conn.execute(f"ALTER TABLE {table} ADD COLUMN sync_version INTEGER NOT NULL DEFAULT 1")

@@ -853,7 +886,7 @@ def _migration_v630_api_v2(conn: sqlite3.Connection) -> None:
    ``idempotency_keys``     — Idempotency-Key support for POST creations.
    """
    # api_tokens extra columns
-    _cols = {r[1] for r in conn.execute("PRAGMA table_info(api_tokens)").fetchall()}
+    _cols = columns(conn, "api_tokens")
    if "scopes" not in _cols:
        conn.execute("ALTER TABLE api_tokens ADD COLUMN scopes TEXT NOT NULL DEFAULT 'read,write'")
    if "expires_at" not in _cols:
@@ -913,7 +946,7 @@ def _migration_v640_webhooks_prod(conn: sqlite3.Connection) -> None:
    New statuses: ``retrying`` (a later attempt is scheduled) and
    ``superseded`` (a retry row replaced this attempt).
    """
-    _cols = {r[1] for r in conn.execute("PRAGMA table_info(webhook_deliveries)").fetchall()}
+    _cols = columns(conn, "webhook_deliveries")
    if "event" not in _cols:
        conn.execute("ALTER TABLE webhook_deliveries ADD COLUMN event TEXT NOT NULL DEFAULT ''")
    if "next_retry_at" not in _cols:
@@ -973,7 +1006,7 @@ def _migration_row_content_pages(conn: sqlite3.Connection) -> None:
    ``ON DELETE CASCADE``: deleting a database row deletes its content
    page (and ``page_synced_blocks`` cascades from ``pages``).
    """
-    cols = {r[1] for r in conn.execute("PRAGMA table_info(pages)").fetchall()}
+    cols = columns(conn, "pages")
    if "collection_row_id" not in cols:
        conn.execute(
            "ALTER TABLE pages ADD COLUMN collection_row_id INTEGER "
@@ -1053,7 +1086,7 @@ def _migration_sites_forms(conn: sqlite3.Connection) -> None:
    conn.execute(
        "CREATE INDEX IF NOT EXISTS idx_form_responses_col ON form_responses(collection_id, created_at)"
    )
-    cols = {r[1] for r in conn.execute("PRAGMA table_info(collections)").fetchall()}
+    cols = columns(conn, "collections")
    if "form_config_json" not in cols:
        conn.execute(
            "ALTER TABLE collections ADD COLUMN form_config_json TEXT NOT NULL DEFAULT '{}'"
@@ -1100,7 +1133,7 @@ def _migration_semantic_search(conn: sqlite3.Connection) -> None:
        )
        """
    )
-    cols = {r[1] for r in conn.execute("PRAGMA table_info(pages)").fetchall()}
+    cols = columns(conn, "pages")
    if "search_excluded" not in cols:
        conn.execute(
            "ALTER TABLE pages ADD COLUMN search_excluded INTEGER NOT NULL DEFAULT 0"
@@ -1169,12 +1202,12 @@ def _migration_automations_v2_workers(conn: sqlite3.Connection) -> None:
        "CREATE INDEX IF NOT EXISTS idx_worker_runs_worker "
        "ON worker_runs(worker_id, created_at)"
    )
-    auto_cols = {r[1] for r in conn.execute("PRAGMA table_info(automations)").fetchall()}
+    auto_cols = columns(conn, "automations")
    if "trigger_mode" not in auto_cols:
        conn.execute(
            "ALTER TABLE automations ADD COLUMN trigger_mode TEXT NOT NULL DEFAULT 'any'"
        )
-    prop_cols = {r[1] for r in conn.execute("PRAGMA table_info(collection_properties)").fetchall()}
+    prop_cols = columns(conn, "collection_properties")
    if "button_automation_id" not in prop_cols:
        conn.execute(
            "ALTER TABLE collection_properties ADD COLUMN button_automation_id "
@@ -1226,7 +1259,7 @@ def _migration_calendar_meetings(conn: sqlite3.Connection) -> None:
        "CREATE INDEX IF NOT EXISTS idx_meeting_transcripts_page "
        "ON meeting_transcripts(page_id)"
    )
-    cols = {r[1] for r in conn.execute("PRAGMA table_info(collection_pages)").fetchall()}
+    cols = columns(conn, "collection_pages")
    if "external_event_id" not in cols:
        conn.execute(
            "ALTER TABLE collection_pages ADD COLUMN external_event_id TEXT DEFAULT ''"
@@ -1322,7 +1355,7 @@ def _migration_enterprise_admin(conn: sqlite3.Connection) -> None:
        "CREATE INDEX IF NOT EXISTS idx_agent_approvals_status "
        "ON agent_approvals(status, created_at)"
    )
-    user_cols = {r[1] for r in conn.execute("PRAGMA table_info(users)").fetchall()}
+    user_cols = columns(conn, "users")
    if "totp_secret_enc" not in user_cols:
        conn.execute("ALTER TABLE users ADD COLUMN totp_secret_enc TEXT DEFAULT ''")
    if "totp_backup_hashes" not in user_cols:
@@ -1433,7 +1466,7 @@ def _migration_wiki_teamspaces(conn: sqlite3.Connection) -> None:
        """
    )
    for table in ("pages", "collections"):
-        cols = {r[1] for r in conn.execute(f"PRAGMA table_info({table})").fetchall()}
+        cols = columns(conn, table)
        if "teamspace_id" not in cols:
            conn.execute(f"ALTER TABLE {table} ADD COLUMN teamspace_id INTEGER")

@@ -551,8 +551,13 @@ async def get_my_profile(request: Request):
    if not user:
        return {"login": "guest", "full_name": "Guest", "email": ""}
    with get_conn() as conn:
+        # A29-byproduct : jamais `SELECT *` ici — la ligne contenait
+        # password_hash, login_attempts et locked_until.
        row = conn.execute(
-            "SELECT * FROM users WHERE login=?", (user.get("login", ""),)
+            "SELECT id, login, full_name, email, avatar_url, avatar_color, "
+            "is_admin, is_active, last_login, created_at "
+            "FROM users WHERE login=?",
+            (user.get("login", ""),),
        ).fetchone()
        if row:
            return dict(row)
@@ -31,6 +31,7 @@ from app.services.api_v2_helpers import (  # noqa: F401 — require_scope est ut
    validate_scopes_input,
 )
 from app.services.automations import fire_event as _fire_event
+from app.services.publish import fire_published, fire_unpublished, publish, unpublish

 logger = logging.getLogger(__name__)
 router = APIRouter(prefix="/api/v2", tags=["api-v2"])
@@ -1633,30 +1634,18 @@ async def publish_page_v2(page_id: int, request: Request, authorization: str | N
        body = await request.json()
    except Exception:
        body = {}
-    slug = (body.get("slug") or body.get("publish_slug") or f"p-{page_id}-{secrets.token_urlsafe(6)}").strip()
-    with get_conn() as conn:
-        if not conn.execute("SELECT id FROM pages WHERE id=?", (page_id,)).fetchone():
-            raise HTTPException(404, "Page not found")
-        conn.execute("UPDATE pages SET is_published=1, publish_slug=?, is_shared=1 WHERE id=?", (slug, page_id))
-        conn.commit()
+    slug_in = (body.get("slug") or body.get("publish_slug") or "").strip() or None
+    slug, _title = publish(page_id, explicit_slug=slug_in)
    audit_log(user, "page.publish", "page", page_id, slug, request)
-    try:
-        await _fire_event("page.published", {"page_id": page_id, "slug": slug})
-    except Exception:
-        logger.exception("publish_page_v2")
+    await fire_published(page_id, slug)
    return {"page_id": page_id, "slug": slug, "url": f"/p/{slug}", "status": "published"}

@router.delete("/pages/{page_id}/publish")
 async def unpublish_page_v2(page_id: int, request: Request, authorization: str | None = Header(default=None)):
    user = require_scope("write")(request, authorization)
    _v2_rate_check(request, user)
-    with get_conn() as conn:
-        conn.execute("UPDATE pages SET is_published=0 WHERE id=?", (page_id,))
-        conn.commit()
-    try:
-        await _fire_event("page.unpublished", {"page_id": page_id})
-    except Exception:
-        logger.exception("unpublish_page_v2")
+    unpublish(page_id)
+    await fire_unpublished(page_id)
    return {"page_id": page_id, "status": "unpublished"}

 # ── History ───────────────────────────────────────────────────────────────
@@ -9,6 +9,7 @@ from fastapi.responses import HTMLResponse, RedirectResponse

 from app.auth.session import SessionManager
 from app.config import settings
+from app.templating import CSP_NONCE

 logger = logging.getLogger(__name__)
 router = APIRouter(tags=["auth"], prefix="/auth")
@@ -31,6 +32,15 @@ def get_redirect_uri(request: Request) -> str:
    host = fwd_host.split(",")[0].strip() or request.headers.get("host", "localhost:8080")
    return f"{scheme}://{host}/auth/callback"

+def _with_nonce(html: str) -> str:
+    """A20 : injecte le nonce CSP au moment du rendu.
+
+    `LOCAL_LOGIN_HTML` est une constante de module — le nonce, lui, est par
+    requête, donc il ne peut être figé qu'ici.
+    """
+    return html.replace("<script>", f'<script nonce="{CSP_NONCE.get()}">', 1)
+
+
 LOCAL_LOGIN_HTML = """<!DOCTYPE html>
 <html lang="en">
 <head>
@@ -148,7 +158,7 @@ async function handleLogin(e){e.preventDefault();const email=document.getElement
@router.get("/register")
 async def register_page(request: Request):
    """Show the registration page (local login page with register tab active)."""
-    return HTMLResponse(LOCAL_LOGIN_HTML.replace(
+    return HTMLResponse(_with_nonce(LOCAL_LOGIN_HTML.replace(
        'class="tab active" onclick="switchTab(\'login\')"',
        'class="tab" onclick="switchTab(\'login\')"'
    ).replace(
@@ -163,7 +173,7 @@ async def register_page(request: Request):
    ).replace(
        'id="submit-btn">Login<',
        'id="submit-btn">Register<'
-    ), status_code=200)
+    )), status_code=200)


@router.get("/login")
@@ -172,7 +182,7 @@ async def login(request: Request, provider: str = Query("gitea")):
    # Local login page (POST handled by /auth/local-login)
    from fastapi.responses import HTMLResponse
    if provider == "local":
-        return HTMLResponse(LOCAL_LOGIN_HTML, status_code=200)
+        return HTMLResponse(_with_nonce(LOCAL_LOGIN_HTML), status_code=200)

    # OAuth flow — check if provider is configured
    from app.auth.providers import get_provider
@@ -10,12 +10,14 @@ from fastapi import APIRouter, HTTPException, Query, Request
 from fastapi.responses import HTMLResponse, JSONResponse

 from app.auth.session import SessionManager
+from app.config import settings
 from app.db import get_conn
 from app.routers.dashboard import _get_app_version
 from app.routers.sidebar_config import get_sidebar_config_sync
 from app.services.automations import fire_event
 from app.services.gitea_client import gitea
 from app.services.permission_manager import PermissionManager
+from app.services.publish import fire_published, fire_unpublished, publish, unpublish

 logger = logging.getLogger(__name__)
 router = APIRouter(tags=["board"], prefix="/board")
@@ -1011,35 +1013,20 @@ async def update_share(request: Request, page_id: int):
@router.post("/api/pages/{page_id:int}/publish")
 async def publish_page(request: Request, page_id: int):
    """Publish a page to the web (generates publish_slug)."""
-    import secrets
-    slug = "p-" + secrets.token_urlsafe(8)
-    with get_conn() as conn:
-        conn.execute(
-            "UPDATE pages SET is_published=1, publish_slug=?, share_mode='anyone' WHERE id=?",
-            (slug, page_id),
-        )
-        conn.commit()
-        row = conn.execute("SELECT title FROM pages WHERE id=?", (page_id,)).fetchone()
-    try:
-        await fire_event("page.published", {"page_id": page_id, "slug": slug})
-    except Exception:
-        logger.exception("publish_page")
-    return {"is_published": True, "publish_slug": slug, "title": row["title"] if row else ""}
+    if not SessionManager.decode_session(request.cookies.get("flowdeck_session", "")):
+        raise HTTPException(401, "Authentication required")
+    slug, title = publish(page_id)
+    await fire_published(page_id, slug)
+    return {"is_published": True, "publish_slug": slug, "title": title}


@router.delete("/api/pages/{page_id:int}/publish")
 async def unpublish_page(request: Request, page_id: int):
    """Unpublish a page from the web."""
-    with get_conn() as conn:
-        conn.execute(
-            "UPDATE pages SET is_published=0, publish_slug='' WHERE id=?",
-            (page_id,),
-        )
-        conn.commit()
-    try:
-        await fire_event("page.unpublished", {"page_id": page_id})
-    except Exception:
-        logger.exception("unpublish_page")
+    if not SessionManager.decode_session(request.cookies.get("flowdeck_session", "")):
+        raise HTTPException(401, "Authentication required")
+    unpublish(page_id)
+    await fire_unpublished(page_id)
    return {"is_published": False}


@@ -1686,8 +1673,7 @@ async def duplicate_page(request: Request, page_id: int):


 def _upload_root() -> Path:
-    import os
-    return Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    return Path(settings.data_dir)


 def _ws_id_for(request: Request, page_id: int) -> int:
@@ -27,6 +27,7 @@ from app.services.recurrence import (
    validate_rule,
 )
 from app.services.reminders import REMINDER_KEY, parse_lead
+from app.templating import CSP_NONCE


 def _current_user(request: Request) -> dict:
@@ -2376,7 +2377,7 @@ canvas{{max-height:400px}}
 </style>
 <div class="chart-container"><canvas id="chartCanvas"></canvas></div>
 <script src="https://cdn.jsdelivr.net/npm/chart.js@4"></script>
-<script>
+<script nonce="{CSP_NONCE.get()}">
 new Chart(document.getElementById('chartCanvas'), {{
  type: '{chart_type}',
  data: {{
@@ -2439,7 +2440,7 @@ def _render_form(view_type: str, collection: dict, pages: list[dict], config: di
 </form>
 <div id="formResult" style="margin-top:12px;color:#4CAF50;display:none">✓ Created successfully!</div>
 </div>
-<script>
+<script nonce="{CSP_NONCE.get()}">
 async function submitForm(e) {{
  e.preventDefault();
  const form = document.getElementById('collectionForm');
@@ -2490,7 +2491,7 @@ def _render_map(view_type: str, collection: dict, pages: list[dict], config: dic
 <link rel="stylesheet" href="https://unpkg.com/[email protected]/dist/leaflet.css" />
 <div id="map"></div>
 <script src="https://unpkg.com/[email protected]/dist/leaflet.js"></script>
-<script>
+<script nonce="{CSP_NONCE.get()}">
 const map = L.map('map').setView([{center_lat}, {center_lng}], 6);
 L.tileLayer('https://{{s}}.tile.openstreetmap.org/{{z}}/{{x}}/{{y}}.png', {{attribution:'© OSM'}}).addTo(map);
 const markers = {markers_json};
@@ -8,6 +8,7 @@ from fastapi import APIRouter, HTTPException, Query, Request
 from fastapi.responses import HTMLResponse, JSONResponse, RedirectResponse

 from app.auth.session import SessionManager
+from app.config import settings
 from app.db import get_conn
 from app.services.gitea_client import get_user_gitea_client, gitea

@@ -440,7 +441,10 @@ async def accounts_page(request: Request):
    sidebar = _sidebar_data(request, [])
    user = SessionManager.decode_session(request.cookies.get("flowdeck_session", ""))
    with get_conn() as conn:
-        users = conn.execute("SELECT * FROM users ORDER BY created_at DESC").fetchall()
+        users = conn.execute(
+            "SELECT id, login, full_name, email, avatar_url, avatar_color, "
+            "is_admin, is_active, created_at FROM users ORDER BY created_at DESC"
+        ).fetchall()
    ctx = {**sidebar, "user": user, "users": [dict(u) for u in users]}
    template = env.get_template("accounts.html")
    return template.render(**ctx)
@@ -1143,9 +1147,8 @@ def _file_page_disk_path(page: dict):
    parts = rel.split("/")
    if ".." in parts or "." in parts:
        return None
-    import os as _os
    from pathlib import Path
-    root = Path(_os.environ.get("FLOWDECK_DATA_DIR", "/data")).resolve()
+    root = Path(settings.data_dir).resolve()
    full = (root / rel).resolve()
    try:
        full.relative_to(root)
@@ -1508,9 +1511,8 @@ async def restore_local_workspace_item(request: Request, item_id: int):
 async def serve_uploaded_file(ws_id: int, filename: str):
    """Serve an uploaded file from disk."""
    import mimetypes
-    import os
    from pathlib import Path
-    root = Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    root = Path(settings.data_dir)
    base_dir = (root / f"uploads/workspace_{ws_id}").resolve()
    fp = (base_dir / filename).resolve()
    try:
@@ -1568,11 +1570,10 @@ async def upload_local_workspace_file(request: Request):
    if not files:
        return JSONResponse({"error": "No files provided"}, status_code=400)

-    import os

    from app.middleware.security import validate_upload

-    data_root = Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    data_root = Path(settings.data_dir)
    upload_dir = data_root / f"uploads/workspace_{ws_id}"
    upload_dir.mkdir(parents=True, exist_ok=True)

@@ -1656,11 +1657,10 @@ async def upload_local_workspace_folder(request: Request):
    except json.JSONDecodeError:
        return JSONResponse({"error": "Invalid structure JSON"}, status_code=400)

-    import os

    from app.middleware.security import validate_upload

-    data_root = Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    data_root = Path(settings.data_dir)
    upload_dir = data_root / f"uploads/workspace_{ws_id}"
    upload_dir.mkdir(parents=True, exist_ok=True)

@@ -12,6 +12,7 @@ from pathlib import Path

 from fastapi import APIRouter, HTTPException, Request

+from app.config import settings
 from app.db import get_conn

 router = APIRouter(tags=["emojis"])
@@ -20,9 +21,8 @@ _IMAGE_EXTS = {"png", "jpg", "jpeg", "gif", "webp", "svg", "bmp", "ico", "avif"}


 def _upload_root() -> Path:
-    import os

-    return Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    return Path(settings.data_dir)


 def _active_ws(request: Request) -> int:
@@ -2,8 +2,6 @@
 from __future__ import annotations

 import logging
-import re
-import unicodedata
 from datetime import UTC, datetime

 from fastapi import APIRouter, HTTPException, Request
@@ -11,6 +9,7 @@ from fastapi import APIRouter, HTTPException, Request
 from app.auth.session import SessionManager
 from app.db import get_conn
 from app.services.automations import fire_event as _fire_event
+from app.services.publish import fire_published, fire_unpublished, publish, unpublish

 logger = logging.getLogger(__name__)
 router = APIRouter(tags=["sharing"], prefix="/api")
@@ -24,14 +23,6 @@ def _require_auth(request: Request) -> dict:
    return user


-def _slugify(title: str) -> str:
-    """Generate a URL-safe slug from a page title."""
-    slug = unicodedata.normalize("NFKD", title).encode("ascii", "ignore").decode("ascii")
-    slug = re.sub(r"[^\w\s-]", "", slug.lower())
-    slug = re.sub(r"[-\s]+", "-", slug).strip("-")
-    return slug or "untitled"
-
-
 # ── Page Sharing ──


@@ -305,35 +296,8 @@ async def list_shares(page_id: int, request: Request):
 async def publish_page(page_id: int, request: Request):
    """Publish a page (is_published=1) with a URL slug."""
    _require_auth(request)
-
-    with get_conn() as conn:
-        page = conn.execute(
-            "SELECT id, title, is_published FROM pages WHERE id=?", (page_id,)
-        ).fetchone()
-        if not page:
-            raise HTTPException(404, "Page not found")
-
-        slug = _slugify(page["title"])
-        # Ensure uniqueness by appending suffix if needed
-        base_slug = slug
-        counter = 1
-        while conn.execute(
-            "SELECT id FROM pages WHERE publish_slug=? AND id!=?", (slug, page_id)
-        ).fetchone():
-            slug = f"{base_slug}-{counter}"
-            counter += 1
-
-        conn.execute(
-            "UPDATE pages SET is_published=1, publish_slug=? WHERE id=?",
-            (slug, page_id),
-        )
-        conn.commit()
-
-    try:
-        await _fire_event("page.published", {"page_id": page_id, "slug": slug})
-    except Exception:
-        logger.exception("publish_page")
-
+    slug, _title = publish(page_id)
+    await fire_published(page_id, slug)
    return {
        "page_id": page_id,
        "is_published": True,
@@ -346,25 +310,8 @@ async def publish_page(page_id: int, request: Request):
 async def unpublish_page(page_id: int, request: Request):
    """Unpublish a page."""
    _require_auth(request)
-
-    with get_conn() as conn:
-        page = conn.execute(
-            "SELECT id, is_published FROM pages WHERE id=?", (page_id,)
-        ).fetchone()
-        if not page:
-            raise HTTPException(404, "Page not found")
-
-        conn.execute(
-            "UPDATE pages SET is_published=0, publish_slug='' WHERE id=?",
-            (page_id,),
-        )
-        conn.commit()
-
-    try:
-        await _fire_event("page.unpublished", {"page_id": page_id})
-    except Exception:
-        logger.exception("unpublish_page")
-
+    unpublish(page_id)
+    await fire_unpublished(page_id)
    return {
        "page_id": page_id,
        "is_published": False,
@@ -17,12 +17,12 @@ from __future__ import annotations

 import io
 import json
-import os
 import re
 import zipfile
 from pathlib import Path
 from urllib.parse import quote

+from app.config import settings
 from app.db import get_conn

 # ═══════════════ Helpers ═══════════════
@@ -93,7 +93,7 @@ _MARKDOWN_MIMES = {"text/markdown", "text/x-markdown", "application/octet-stream

 def _data_root() -> Path:
    """Directory that contains ``uploads/`` (mirrors dashboard.py /data)."""
-    return Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    return Path(settings.data_dir)


 def _file_meta(page: dict) -> dict:
@@ -35,7 +35,10 @@ class GiteaClient:
        return None

    def _set_cache(self, key: str, value: Any) -> None:
-        self._cache[key] = (datetime.now() + self._ttl, value)
+        now = datetime.now()
+        # A42 : évacue les entrées expirées (le dict ne pouvait que grandir)
+        self._cache = {k: v for k, v in self._cache.items() if v[0] > now}
+        self._cache[key] = (now + self._ttl, value)

    # ── repos ──

@@ -10,11 +10,11 @@ from __future__ import annotations
 import hashlib
 import json
 import logging
-import os
 import re
 from pathlib import Path
 from typing import Any

+from app.config import settings
 from app.db import get_conn
 from app.services.db_templates import materialize_properties
 from app.services.export import markdown_to_blocks
@@ -27,7 +27,7 @@ _IMG_RE = re.compile(r"!\[([^\]]*)\]\(([^)\s]+)(?:\s+\"[^\"]*\")?\)")


 def _data_dir() -> Path:
-    return Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    return Path(settings.data_dir)


 def _safe_filename(name: str) -> str:
@@ -16,6 +16,7 @@ import shutil
 import subprocess
 from pathlib import Path

+from app.config import settings
 from app.db import get_conn

 logger = logging.getLogger(__name__)
@@ -29,7 +30,7 @@ class TranscriptionUnavailable(RuntimeError):


 def meetings_dir() -> Path:
-    root = Path(os.environ.get("FLOWDECK_DATA_DIR", "/data"))
+    root = Path(settings.data_dir)
    d = root / "uploads" / "meetings"
    d.mkdir(parents=True, exist_ok=True)
    return d
@@ -0,0 +1,91 @@
+"""Publication de pages — A29 : une seule implémentation, les routers déléguent.
+
+Les trois surfaces divergeaient avant cette passe :
+
+- `/api/pages/{id}/publish` (sharing, consommateur principal — le front) :
+  slug `slugify(titre)` unique, 404 si absente, `_require_auth`, aucun drapeau
+- `/board/api/pages/{id}/publish` : slug aléatoire `p-<8>`, mise à jour AVEUGLE
+  (pas de 404), `share_mode='anyone'` en bonus, pas de contrôle d'session
+- `/api/v2/pages/{id}/publish` : slug fourni par le corps ou aléatoire,
+  `is_shared=1` en bonus (alors que v2 le remet à 0 quand aucun partage)
+
+Canonical (comportement du front) : `is_published` + `publish_slug` seulement,
+404 si la page n'existe pas. `share_mode`/`is_shared`/`published` restent la
+propriété du share dialog (`/board/api/share/{pid}`) : dépublier ne révoque
+donc pas un partage manuel.
+"""
+from __future__ import annotations
+
+import logging
+import re
+import secrets
+import unicodedata
+
+from fastapi import HTTPException
+
+from app.db import get_conn
+from app.services.automations import fire_event
+
+logger = logging.getLogger(__name__)
+
+
+def slugify(title: str) -> str:
+    """URL-safe slug à partir d'un titre (même traitement qu'avant : NFKD)."""
+    slug = unicodedata.normalize("NFKD", title or "").encode("ascii", "ignore").decode("ascii")
+    slug = re.sub(r"[^\w\s-]", "", slug.lower())
+    slug = re.sub(r"[-\s]+", "-", slug).strip("-")
+    return slug
+
+
+def _unique_slug(conn, page_id: int, title: str) -> str:
+    """Slug depuis le titre, suffixé -1, -2… si pris ; fallback aléatoire."""
+    base = slugify(title) or f"p-{secrets.token_urlsafe(8)}"
+    slug, counter = base, 1
+    while conn.execute(
+        "SELECT id FROM pages WHERE publish_slug=? AND id!=?", (slug, page_id)
+    ).fetchone():
+        slug = f"{base}-{counter}"
+        counter += 1
+    return slug
+
+
+def publish(page_id: int, explicit_slug: str | None = None) -> tuple[str, str]:
+    """Publie une page. Renvoie ``(slug, title)`` ; 404 si la page n'existe pas."""
+    with get_conn() as conn:
+        page = conn.execute(
+            "SELECT id, title FROM pages WHERE id=?", (page_id,)
+        ).fetchone()
+        if not page:
+            raise HTTPException(404, "Page not found")
+        slug = explicit_slug or _unique_slug(conn, page_id, page["title"])
+        conn.execute(
+            "UPDATE pages SET is_published=1, publish_slug=? WHERE id=?", (slug, page_id)
+        )
+        conn.commit()
+    return slug, page["title"] or ""
+
+
+def unpublish(page_id: int) -> None:
+    """Dépublie : 404 si absente, sinon `is_published=0` + slug vidé."""
+    with get_conn() as conn:
+        if not conn.execute("SELECT id FROM pages WHERE id=?", (page_id,)).fetchone():
+            raise HTTPException(404, "Page not found")
+        conn.execute(
+            "UPDATE pages SET is_published=0, publish_slug='' WHERE id=?", (page_id,)
+        )
+        conn.commit()
+
+
+async def fire_published(page_id: int, slug: str) -> None:
+    """Événement `page.published` — l'échec d'eventing n'échoue jamais la route."""
+    try:
+        await fire_event("page.published", {"page_id": page_id, "slug": slug})
+    except Exception:
+        logger.exception("publish page.published")
+
+
+async def fire_unpublished(page_id: int) -> None:
+    try:
+        await fire_event("page.unpublished", {"page_id": page_id})
+    except Exception:
+        logger.exception("publish page.unpublished")
@@ -15,7 +15,7 @@
    open, openTab, peek, folder, rename, setIcon, duplicate, link, download,
    copyContent, move, fav, recent, delete, tagExisting, tagAdd, tagRemove
  ############################################################################}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 /* ═════════════════════════════════════════════════════════════════════
   fdCtx — store Alpine UNIQUE du menu contextuel partagé.
   Enregistré dans 'alpine:init' avec garde d'exécution : que la page
@@ -106,7 +106,7 @@
 .db-list-title{flex:1;min-width:120px}
 .db-list-cell{color:var(--text-secondary);font-size:12px;min-width:110px}
 </style>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function() {
    'use strict';

@@ -47,7 +47,7 @@
  </button>
  {% endif %}

-  <script type="application/json" id="fd-breadcrumb-data">{{ {"workspace_id": nav_workspace_id|default(0), "crumbs": ns.items}|tojson }}</script>
+  <script type="application/json" id="fd-breadcrumb-data" nonce="{{ csp_nonce() }}">{{ {"workspace_id": nav_workspace_id|default(0), "crumbs": ns.items}|tojson }}</script>

  <div class="topbar-left header-breadcrumb" x-data="fdBreadcrumb()" x-init="init()"
       @mouseleave="dragCloseTimer()">
@@ -142,7 +142,7 @@
  </div>
 </header>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 document.addEventListener('alpine:init', function () {
  if (window.Alpine && window.Alpine.__fdBreadcrumbRegistered) return;
  if (window.Alpine) window.Alpine.__fdBreadcrumbRegistered = true;
@@ -10,7 +10,7 @@
  ############################################################################}
 {% set picker_icons = ['folder','file','calendar','clock','star','bot','users','globe','lock','book','check-square','trash','help-circle','settings','refresh','log-out','message-square','home','search','link','plus','bell','image','download','list','bar-chart','grid','align-left','corner-down-right','copy','key','inbox','edit','eye','share','x','paperclip','external-link','sparkles','lightbulb','tag','file-text','save','upload','trending-up','zap','alert-triangle','user'] %}

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 /* Global JS mirror of _icons.html + helpers to render emoji / icon / custom-emoji URLs. */
 (function () {
  var FD_ICONS = {
@@ -89,7 +89,7 @@
 })();
 </script>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function () {
  if (window.__fdIconPickerRegistered) return;
  window.__fdIconPickerRegistered = true;
@@ -61,7 +61,7 @@
  </div>
 </span>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 document.addEventListener('alpine:init', function () {
  if (window.Alpine && window.Alpine.__fdNotificationsRegistered) return;
  if (window.Alpine) window.Alpine.__fdNotificationsRegistered = true;
@@ -9,7 +9,7 @@
 .rt-cursor .rt-cursor-name{position:absolute;top:-14px;left:4px;white-space:nowrap;font-size:9px;line-height:12px;padding:0 4px;border-radius:4px;color:#fff;font-weight:600;letter-spacing:.2px;}
 .rt-offline{font-size:11px;color:var(--text-tertiary,#999);margin-right:6px;display:none;}
 </style>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 /* eslint-disable */
 /* ═══════════ v5.13.0 Realtime — WS gateway, présence, curseurs, merge LWW ═══════════ */
 window.__fdRT = (function () {
@@ -1,7 +1,7 @@
-<script type="application/json" id="page-data">
+<script type="application/json" id="page-data" nonce="{{ csp_nonce() }}">
    {{ page_data | tojson }}
 </script>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 /* eslint-disable */
 if (!window.__fdEditorScriptsLoaded) {
 window.__fdEditorScriptsLoaded = true;
@@ -104,7 +104,7 @@
 {% endblock %}

 {% block scripts %}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
  function accountsData() {
    return {
      profile: { full_name: '', email: '' },
@@ -204,7 +204,7 @@
 </style>

 {# ── Global Agent API (available before Alpine for the FAB / shortcut) ── #}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function(){
  var defaultAPI = {
    open: function(){ document.dispatchEvent(new CustomEvent('fd-agent-toggle')); },
@@ -456,7 +456,7 @@
  </div>
 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function(){
  // ── Skills intégrés (workflows « / ») et commandes admin du panneau ──
  var FD_ADMIN_CMDS = [
@@ -113,6 +113,9 @@
    body.embed-mode .page-editor-wrapper { padding: 8px 16px !important; max-width: 100% !important; }
    body.embed-mode .page-cover-area { padding-top: 0 !important; }
  </style>
+  {# A20 : htmx copie les <script nonce="{{ csp_nonce() }}"> des réponses boostées — il remet leur nonce
+     depuis cette config (le nonce de la réponse courante, pas celui du fetch). #}
+  <meta name="htmx-config" content='{"inlineScriptNonce": "{{ csp_nonce() }}"}'>
  <script src="/static/js/htmx.min.js" data-cfasync="false"></script>
  <script src="/static/js/alpine.min.js" defer data-cfasync="false"></script>
  <script src="/static/js/sortable.min.js" defer data-cfasync="false"></script>
@@ -790,7 +793,7 @@

 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
  // Inject CSRF token into HTMX headers
  (function() {
    const getCsrf = () => {
@@ -2207,7 +2210,7 @@
    </div>
  </div>
 </div>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function(){
  var PALETTE_ACTIONS = [
    { id:'new-page', icon:'📄', title:'New page', sub:'Create a new page in the current workspace', key:'Ctrl N', run:function(){ return window.FlowDeck && window.FlowDeck.createPage ? (window.FlowDeck.createPage(), true) : false; } },
@@ -2378,7 +2381,7 @@

 {# ─── PWA: offline client module + service worker registration (v6.0.0) ─── #}
 <script src="/static/js/offline.js?v={{ asset_version }}" defer data-cfasync="false"></script>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function() {
  if (!('serviceWorker' in navigator)) return;
  window.addEventListener('load', function() {
@@ -2392,7 +2395,7 @@
 </script>

 {# ─── PWA: sync badge + toasts wiring (v6.0.0) ─── #}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 document.addEventListener('DOMContentLoaded', function() {
  if (!window.FlowOffline) return;
  window.FlowOffline.onChange(function(s) {
@@ -151,7 +151,7 @@
 {% endblock %}

 {% block scripts %}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
  var owner = '{{ owner }}';
  var repo = '{{ repo }}';
  var initialView = '{{ initial_view }}';
@@ -49,7 +49,7 @@
  {% endfor %}
 </div>

-<script>
+<script nonce="{{ csp_nonce() }}">
  function openCardDetail(id) {
    htmx.ajax('GET', `/api/issues/${owner}/${repo}/${id}?format=html`, {
      target: '#card-modal-content', swap: 'innerHTML'
@@ -98,7 +98,7 @@
  </div>
 </div>

-<script>
+<script nonce="{{ csp_nonce() }}">
  // ponytail: CSRF helper
  function getCsrf() {
    const m = document.cookie.match(/csrf_token=([^;]+)/);
@@ -58,7 +58,7 @@
  {% endfor %}
 </div>

-<script>
+<script nonce="{{ csp_nonce() }}">
  function openCardDetail(id) {
    htmx.ajax('GET', `/api/issues/${owner}/${repo}/${id}?format=html`, {
      target: '#card-modal-content', swap: 'innerHTML'
@@ -35,7 +35,7 @@
 .gw-content pre[class*="language-"]{background:var(--bg-tertiary)!important;border:1px solid var(--border)!important;border-radius:8px!important;padding:16px!important;}
 </style>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 document.addEventListener('alpine:init', () => {
  Alpine.data('giteaWorkspace', () => {
  const params = new URLSearchParams(window.location.search);
@@ -210,7 +210,7 @@ select,input[type=text]{background:var(--bg3);color:var(--text);border:1px solid
  </div>
 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function importWizard() {
  return {
    sources: [],
@@ -206,7 +206,7 @@
  FlowDeck v4.0.1 — Open source · Self-hosted · Notion-compatible
 </footer>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 (function() {
  if (!('serviceWorker' in navigator)) return;
  window.addEventListener('load', function() {
@@ -456,7 +456,7 @@
 {% endblock %}

 {% block scripts %}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function libraryPage() {
  return {
    tab: 'recents',
@@ -480,7 +480,7 @@
 .preview-leave-end{transform:translateX(100%);opacity:0;}
 </style>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 console.log('FLOWDECK v2.4.6 — IIFE running, about to set _wsInitData');
 window._wsInitData = (function() {
  return {
@@ -2512,7 +2512,7 @@ for (var _i = 0; _i < _wsKeys.length; _i++) {
 _wsInitData = window._wsInitData;
 console.log('FLOWDECK v2.4.6 — IIFE done, _wsInitData keys:', Object.keys(window._wsInitData).length);
 </script>
-<script data-cfasync="false">console.log('FLOWDECK v2.4.6 — ws-split about to render, _wsInitData exists:', typeof window._wsInitData !== 'undefined');</script>
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">console.log('FLOWDECK v2.4.6 — ws-split about to render, _wsInitData exists:', typeof window._wsInitData !== 'undefined');</script>

 <div class="ws-split"
     @contextmenu.prevent="_wsInitData.onContextMenu($event)"
@@ -7,7 +7,7 @@ page_title %}{{ page.title }}{% endblock %} {% block topbar %}
 {% endblock %} {% block content %}
 {% include "_database_table.html" %}
 {% endblock %} {% block scripts %}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
    // Initialize database table from server-rendered data
    window.__DB_PAGE_ID = {{ page.id }};
    window.__DB_COLLECTION_ID = {{ page.collection_id or 0 }};
@@ -4,7 +4,7 @@
 {% block topbar %}{% endblock %}
 {% block content %}
 {% include '_page_editor_content.html' %}
-<script data-cfasync="false">document.body.classList.add('embed-mode');</script>
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">document.body.classList.add('embed-mode');</script>
 {% endblock %}
 {% block scripts %}
 {% include '_page_editor_scripts.html' %}
@@ -173,7 +173,7 @@
 </footer>

 <script src="/static/js/katex.min.js?v=0.16.11"></script>
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 document.addEventListener('DOMContentLoaded', function () {
  if (window.katex) {
    document.querySelectorAll('div[data-katex]').forEach(function (el) {
@@ -1191,7 +1191,7 @@
  </div>
 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function settingsInit() {
  return {
    activeSection: 'account',
@@ -99,7 +99,7 @@
  </div>
 </div>

-<script>
+<script nonce="{{ csp_nonce() }}">
  function tableView() {
    return {
      sortField: '',
@@ -43,7 +43,7 @@
  <div class="legend-item"><span class="legend-dot" style="background:var(--green);"></span> Complete</div>
 </div>

-<script>
+<script nonce="{{ csp_nonce() }}">
  function teamLoad() {
    return {};
  }
@@ -62,7 +62,7 @@
 {% endblock %}

 {% block scripts %}
-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
  function trashData() {
    return {
      search: '',
@@ -133,7 +133,7 @@ h1{font-size:22px;font-weight:700;margin-bottom:6px;}
    </section>
  </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function onboarding() {
  return {
    steps: ['Bienvenue', 'Espace de travail', 'Connecter une forge', 'Premier projet'],
@@ -140,7 +140,7 @@

 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function workspacePage() {
  return {
    builtinProjects: [],
@@ -172,7 +172,7 @@

 </div>

-<script data-cfasync="false">
+<script data-cfasync="false" nonce="{{ csp_nonce() }}">
 function workspacesPage() {
  return {
    workspaces: [],
@@ -7,9 +7,15 @@ les `|safe` du codebase étaient des no-op.
 from __future__ import annotations

 import pathlib
+from contextvars import ContextVar

 from jinja2 import Environment, FileSystemLoader, select_autoescape

+# A20 : nonce de script par requête, posé par le middleware CSP, lu par les
+# templates via `{{ csp_nonce() }}` (vide hors requête — pas de header CSP
+# dans ce cas, donc rien n'est bloqué).
+CSP_NONCE: ContextVar[str] = ContextVar("csp_nonce", default="")
+
 ENV = Environment(
    loader=FileSystemLoader("app/templates"),
    autoescape=select_autoescape(["html"]),
@@ -26,3 +32,4 @@ except OSError:  # pragma: no cover
    ASSET_VERSION = "dev"

 ENV.globals["asset_version"] = ASSET_VERSION
+ENV.globals["csp_nonce"] = lambda: CSP_NONCE.get()
@@ -2,7 +2,7 @@
  "openapi": "3.1.0",
  "info": {
    "title": "FlowDeck",
-    "version": "7.4.0"
+    "version": "7.7.0"
  },
  "paths": {
    "/auth/register": {
@@ -94,6 +94,182 @@ def test_asset_version_single_source():
    assert literals == [], literals


+def test_publish_service_shared_and_safe(client):
+    """A29 : les 3 routers déléguent — 404 sur page absente, slug unique,
+    dépublication qui ne touche pas aux partages manuels."""
+    from app.db import get_conn
+
+    with get_conn() as conn:
+        cur = conn.execute(
+            "INSERT INTO pages (workspace, title, content, content_format, share_mode) "
+            "VALUES (1, 'Publie moi', 'contenu', 'markdown', 'anyone')",
+        )
+        pid = cur.lastrowid
+        conn.commit()
+    try:
+        r = client.post(f"/api/pages/{pid}/publish")
+        assert r.status_code == 200, r.text
+        slug = r.json()["publish_slug"]
+        assert slug  # slugify du titre
+        with get_conn() as conn:
+            row = conn.execute(
+                "SELECT is_published, publish_slug, share_mode FROM pages WHERE id=?", (pid,)
+            ).fetchone()
+        assert row["is_published"] == 1 and row["publish_slug"] == slug
+        assert row["share_mode"] == "anyone"  # intouché (share dialog propriétaire)
+
+        r2 = client.delete(f"/api/pages/{pid}/publish")
+        assert r2.status_code == 200
+        with get_conn() as conn:
+            row = conn.execute(
+                "SELECT is_published, publish_slug, share_mode FROM pages WHERE id=?", (pid,)
+            ).fetchone()
+        assert row["is_published"] == 0 and row["publish_slug"] == ""
+        assert row["share_mode"] == "anyone"  # dépublier ne révoque pas le partage
+
+        # 404 sur page inexistante — les deux chemins passent par le service
+        assert client.post("/api/pages/999999/publish").status_code == 404
+        assert client.delete("/api/pages/999999/publish").status_code == 404
+    finally:
+        with get_conn() as conn:
+            conn.execute("DELETE FROM pages WHERE id=?", (pid,))
+            conn.commit()
+
+
+def test_users_me_no_secret_columns(client):
+    """A29-byproduct : GET /api/users/me (v1) ne doit plus renvoyer password_hash."""
+    r = client.get("/api/users/me")
+    assert r.status_code == 200, r.text
+    body = r.json()
+    assert "password_hash" not in body, list(body)
+    assert "locked_until" not in body and "login_attempts" not in body
+    assert body.get("login")  # la réponse reste exploitable
+
+
+def test_gitea_cache_evicts_expired():
+    """A42 : les entrées expirées sortent du cache à chaque écriture."""
+    from datetime import datetime, timedelta
+
+    from app.services.gitea_client import GiteaClient
+
+    c = GiteaClient.__new__(GiteaClient)  # sans appel réseau
+    c._cache = {}
+    c._ttl = timedelta(seconds=1)
+    c._set_cache("k", "v")
+    assert c._cached("k") == "v"
+    # expire l'entrée puis force une autre écriture → la précédente est évacuée
+    c._cache["k"] = (datetime.now() - timedelta(seconds=1), "v")
+    c._set_cache("k2", "v2")
+    assert "k" not in c._cache and c._cache["k2"][1] == "v2"
+
+
+def test_migration_transaction_rolls_back():
+    """A31 : un échec au milieu d'une migration ne laisse ni DDL partiel, ni
+    ligne dans schema_version → la reprise rejoue proprement."""
+    import sqlite3 as _sqlite3
+
+    import pytest as _pytest
+
+    from app.migrations import _apply_one, _ensure_table
+
+    conn = _sqlite3.connect(":memory:")
+    _ensure_table(conn)
+
+    def boom(c):
+        c.execute("CREATE TABLE partial_x (id INTEGER)")
+        raise RuntimeError("boom")
+
+    with _pytest.raises(RuntimeError, match="boom"):
+        _apply_one(conn, 9999, "boom", boom)
+    assert (
+        conn.execute("SELECT name FROM sqlite_master WHERE name='partial_x'").fetchone()
+        is None
+    ), "DDL partiel non annulé"
+    assert (
+        conn.execute("SELECT COUNT(*) FROM schema_version WHERE version=9999").fetchone()[0]
+        == 0
+    )
+    # chemin nominal : DDL + marque de version dans la même transaction
+    _apply_one(conn, 9998, "ok", lambda c: c.execute("CREATE TABLE ok_x (id INTEGER)"))
+    assert (
+        conn.execute("SELECT COUNT(*) FROM schema_version WHERE version=9998").fetchone()[0]
+        == 1
+    )
+    conn.close()
+
+
+def test_columns_helper_validates_table_name():
+    """A31 : `columns()` remplace les 24 copies de PRAGMA table_info + valide l'identifiant."""
+    import sqlite3 as _sqlite3
+
+    from app.migrations import columns
+
+    conn = _sqlite3.connect(":memory:")
+    conn.execute("CREATE TABLE t1 (id INTEGER, nom TEXT)")
+    assert columns(conn, "t1") == {"id", "nom"}
+    try:
+        columns(conn, "t1; DROP TABLE users")
+        raise AssertionError("identifiant non validé")
+    except ValueError:
+        pass
+    conn.close()
+
+
+def _assert_nonce(csp: str, html: str) -> str:
+    """Header CSP : script-src sans unsafe-inline + TOUS les scripts inline noncés."""
+    import re as _re
+
+    m = _re.search(r"script-src ([^;]*);", csp)
+    assert m, csp
+    script_src = m.group(1)
+    nm = _re.search(r"'nonce-([^']+)'", script_src)
+    assert nm, script_src
+    nonce = nm.group(1)
+    assert "'unsafe-inline'" not in script_src, script_src
+    assert "'unsafe-eval'" in script_src  # Alpine/htmx — reste d'A20
+    assert "script-src-attr 'unsafe-inline'" in csp
+    tags = [
+        mm.group(0)
+        for mm in _re.finditer(r"<script[^>]*>", html)
+        if "src=" not in mm.group(0)
+    ]
+    assert tags, "aucun script inline"
+    missing = [t for t in tags if f'nonce="{nonce}"' not in t]
+    assert missing == [], missing[:3]
+    return nonce
+
+
+def test_csp_nonce_per_request(client):
+    """A20 : nonce par requête — page base.html (avec meta htmx-config) et page
+    hors template (LOCAL_LOGIN_HTML, constante de module → nonce au rendu)."""
+    # 1) une page qui étend base.html (la meta htmx-config y est)
+    base = None
+    for url in ("/", "/dashboard", "/board", "/notes", "/settings", "/workspaces"):
+        cand = client.get(url)
+        if cand.status_code == 200 and "htmx-config" in cand.text:
+            base = cand
+            break
+    assert base is not None, "aucune page base.html atteignable"
+    nonce = _assert_nonce(base.headers.get("content-security-policy", ""), base.text)
+    assert f'"inlineScriptNonce": "{nonce}"' in base.text
+    # deux requêtes = deux nonces différents
+    other = client.get("/dashboard")
+    if other.status_code == 200 and "htmx-config" in other.text:
+        other_nonce = _re_search_nonce(other.headers.get("content-security-policy", ""))
+        assert other_nonce != nonce
+
+    # 2) la page de login hors template (script injecté par _with_nonce)
+    r = client.get("/auth/login?provider=local")
+    assert r.status_code == 200, r.status_code
+    _assert_nonce(r.headers.get("content-security-policy", ""), r.text)
+
+
+def _re_search_nonce(csp: str) -> str:
+    import re as _re
+
+    return _re.search(r"'nonce-([^']+)'", _re.search(r"script-src ([^;]*);", csp).group(1)).group(1)
+
+
 def test_no_duplicate_routes():
    """A24 : deux routes même méthode+chemin → l'une écrase silencieusement l'autre."""
    from app.main import app
@@ -1 +1 @@
 .4.0
 .7.0