Audit v3.0.1: 2/21 features ✗ → CSP/rate-limit middleware non importés dans main.py. Maintenant branchés.