fix(report): Phase 11 — XSS Pareto URL + migration hex → tokens design

chore(versioning): reposition project as 0.9.0 (pre-1.0)

test(rename): dé-sprintage tests/security (9 fichiers, git mv)

test(cov): couvre les branches défensives du patch (codecov ⚠️)

fix(web): streaming ZIP/image complet + garde-fous bombe (P0.5)

fix(web): entity_extractor fail-closed dans TOUS les modes (P0.2)

fix(compose): corrige la régression de démarrage CSRF + découple secure_cookies

hardening(web): streaming uploads à plafonds durs + cookies Secure + cohérence démarrage

hardening(web): durcissement des defaults P0 issus de l'audit prod

feat(services): Phase B3-final commit 6 — supprimer les 3 modules purement legacy

feat(audit): Phase 4 — suppressions franches (rupture v2.0)

fix(security): Phase 1 — SSRF eScriptorium + Tesseract lang + bandit nosec

test(ci): rendre test_lifespan_starts_purge_task tolérant aux runners lents

docs: remplacer les chemins legacy par les chemins canoniques v2.0

test(legacy): tests indépendants pour _legacy_request_to_run_request

ui+test(synthesis): brancher /api/benchmark/{id}/synthesis_preview à l'UI + tests HTTP ZIP

ui(htr-united): afficher le badge "Mode démo" quand le catalogue distant fallback

refactor(api): renommer PipelineConfig.ocr_engine → engine_name (Phase 5b)

post-rewrite wiring audit: Phases 1-5 (sécurité, méthodologie, moteurs, zombie, naming)

test(sprint-S8.7): real coverage on patch-coverage gaps (88.88% → ~94%)

feat(sprint-S1.5+S1.6+S1.7): tests d'attaque ZIP slip / SSRF / CSRF + durcissement validate_http_url

fix(sprint-S1.4): forbid_dtd=True + tests d'attaque XXE/Billion Laughs/DTD

fix(sprint-S1.1)!: corriger XSS critique via Jinja2 autoescape=False (Bandit B701, CWE-94)

feat(sprint-H.4)!: drop _legacy/ prefix — interfaces/{cli,web} consolidées

feat(sprint-F)!: web/ → interfaces/web/_legacy/ (Phase 9)

fix(architecture): audit complet — corrige les violations de couches détectées par CI

feat(app): Sprint A14-S20 — CorpusService (import ZIP sandboxé + détection patterns image/GT)

feat(app): Sprint A14-S19 — WorkspaceManager + foyer définitif des helpers de path security

fix(security,metrics): Sprint A14-S1 — boucher les 6 P0 du rewrite ciblé