feat(web): Sprint A4 — sécurité web (B-11 CSRF, M-3 /health)

chore(web): cookie samesite=strict + nettoyage des références "Sprint X"

fix(web): durcir le parsing XML (defusedxml en dépendance dure) + exceptions précises

chore(web): nettoyer 4 dettes techniques du chantier A

refactor(web): finaliser le découpage — router benchmark + app.py orchestrateur

refactor(web): extraire les 5 routers métier (engines, corpus, config, synthesis, history)

refactor(web): extraire les 5 routers simples (system, normalization, reports, importers, home)

refactor(web): extraire benchmark_utils.py et config_utils.py

refactor(web): extraire helpers métier (corpus_utils, engine_utils)

refactor(web): extraire models.py et state.py depuis app.py

refactor(core): faire de core/ un cercle 1 strict, déplacer cercle 2 vers measurements/

sprint28: UX — save/load config + comparaison de runs + synthesis preview

sprint26: persistance SQLite des jobs + reprise SSE via Last-Event-ID

sprint25: refactor web frontend en Jinja2 + JS externe (miroir Sprint 17)

sprint24: durcissement sécurité institutionnelle

Sprint 1 du plan rapport — câblage Sprint 10 + fondations narratives

feat: bannière ASCII art PICARONES en 6px au-dessus du menu

fix: CSS non appliqué — packaging static + cache-buster

feat: Sprint UI-1 — thème rétro Mac OS System 7

fix: inclure Pixtral dans le provider Mistral LLM + filtrage vision correct

fix: résoudre les 64 erreurs ruff pré-existantes révélées par le lint actif

fix: 3 causes profondes CI — path Windows, ruff W503, codecov token

fix: corriger les 8 tests CI cassés par les sprints

feat: UI post-correction — mode compositeur, modèles filtrés par capacité, détection corpus triplet

feat: corpus triplet, post-correction LLM et modèles dynamiques avec capacités

fix: Sprint HF — stabilité HuggingFace Space pour gros corpus

fix: Sprint 2 — bugs logiques, architecture runner, qualité code (16 issues)

fix: Sprint 1 — bugs critiques, sécurité, robustesse LLM (20 issues)

fix(mistral-ocr): race condition sélecteur modèles + modèle par défaut + tests mock

feat: filtrage macOS, exclusion chars, Vue Analyses, métriques robustes

fix(rapport): images base64 auto-encodées + diff côte à côte char-level

feat: support ALTO XML et PAGE XML comme GT dans l'upload de corpus

feat: upload de corpus depuis le navigateur (ZIP ou fichiers individuels)

feat: refonte interface benchmark — composition visuelle des concurrents OCR/LLM

feat: rendre l'endpoint /api/normalization/profiles dynamique

web: servir les rapports HTML via HTMLResponse plutôt que FileResponse

Sprint 11 : internationalisation complète — support anglais patrimonial

Sprint 6 — Interface web FastAPI, import HTR-United/HuggingFace, serve CLI (491 tests)