- /api/settings ajouté à EXCLUDED_PATHS → avatar upload et tags CRUD n'étaient pas exemptés du CSRF → 403 Forbidden sur POST/PUT/DELETE - Color swatches: border-radius 6px (carrés arrondis) au lieu de 50% (ovales) - Avatar upload et tags create/update/delete fonctionnent maintenant