fix(architecture): audit complet — corrige les violations de couches détectées par CI

feat(app): Sprint A14-S19 — WorkspaceManager + foyer définitif des helpers de path security

fix(security,metrics): Sprint A14-S1 — boucher les 6 P0 du rewrite ciblé

fix(ci): pre-commit hooks + pip-audit (security scanner)

feat(sprint-A11): doc institutionnelle (déploiement + RGPD + traduction EN)

feat(web): Sprint A4 — sécurité web (B-11 CSRF, M-3 /health)

fix(web): rendre la SPA visible dans l'iframe HuggingFace Space

chore: supprimer unregister_job mort + factoriser _numbers_in_payload partagé

refactor(engines): extraire engine_from_name de cli vers cercle 2 (engines/factory.py)

refactor(core): extraire safe_parse_xml en cercle 1 + appliquer aux 3 sites XXE résiduels

chore(web): cookie samesite=strict + nettoyage des références "Sprint X"

fix(web): durcir le parsing XML (defusedxml en dépendance dure) + exceptions précises

fix(web): valider strictement les payloads Pydantic (max_length, Literal)

fix(web): déléguer l'I/O bloquante à des threads dans les routes async

fix(web): JOBS registry thread-safe via helpers state.register_job / get_job_in_memory

chore(web): nettoyer 4 dettes techniques du chantier A

refactor(web): finaliser le découpage — router benchmark + app.py orchestrateur

refactor(web): extraire les 5 routers métier (engines, corpus, config, synthesis, history)

refactor(web): extraire les 5 routers simples (system, normalization, reports, importers, home)

refactor(web): extraire benchmark_utils.py et config_utils.py

refactor(web): extraire helpers métier (corpus_utils, engine_utils)

refactor(web): extraire models.py et state.py depuis app.py

refactor(core): faire de core/ un cercle 1 strict, déplacer cercle 2 vers measurements/

sprint28: UX — save/load config + comparaison de runs + synthesis preview

sprint26: persistance SQLite des jobs + reprise SSE via Last-Event-ID

sprint25 (suite): tracker les partials web/templates/*.html

sprint25: refactor web frontend en Jinja2 + JS externe (miroir Sprint 17)

sprint24: durcissement sécurité institutionnelle

Sprint 1 du plan rapport — câblage Sprint 10 + fondations narratives

feat: bannière ASCII art PICARONES en 6px au-dessus du menu

fix: CSS non appliqué — packaging static + cache-buster

feat: thème Y2K pastel — remplacement complet du System 7

feat: Sprint UI-2 — polish composants System 7

feat: Sprint UI-1 — thème rétro Mac OS System 7

fix: inclure Pixtral dans le provider Mistral LLM + filtrage vision correct

fix: résoudre les 64 erreurs ruff pré-existantes révélées par le lint actif

fix: 3 causes profondes CI — path Windows, ruff W503, codecov token

fix: corriger les 8 tests CI cassés par les sprints

feat: UI post-correction — mode compositeur, modèles filtrés par capacité, détection corpus triplet

feat: corpus triplet, post-correction LLM et modèles dynamiques avec capacités

fix: Sprint HF — stabilité HuggingFace Space pour gros corpus

fix: Sprint 2 — bugs logiques, architecture runner, qualité code (16 issues)

fix: Sprint 1 — bugs critiques, sécurité, robustesse LLM (20 issues)

fix(mistral-ocr): race condition sélecteur modèles + modèle par défaut + tests mock

feat: filtrage macOS, exclusion chars, Vue Analyses, métriques robustes

fix(rapport): images base64 auto-encodées + diff côte à côte char-level

feat: support ALTO XML et PAGE XML comme GT dans l'upload de corpus

feat: upload de corpus depuis le navigateur (ZIP ou fichiers individuels)

feat: refonte interface benchmark — composition visuelle des concurrents OCR/LLM

feat: rendre l'endpoint /api/normalization/profiles dynamique