Remplacée par #15 (branche renommée)

.env.example

@@ -119,3 +119,30 @@ RATE_LIMIT_UPLOAD_PER_HOUR=60
 
 # Tentatives login / 15 min / IP. 0 = désactivé.
 RATE_LIMIT_LOGIN_PER_15MIN=10
+
+# ─── Durcissement & souveraineté (optionnel) ────────────────────────────────
+
+# Secret partagé protégeant /api/cron/retention (purge RGPD des conversations
+# inactives, déclenchée par un planificateur externe). Vide = route inerte.
+CRON_SECRET=
+
+# Garde SSRF stricte : bloque AUSSI localhost/LAN sur les baseUrl provider et
+# URLs MCP (déploiement mutualisé). Laisser vide en auto-hébergement
+# (Ollama/vLLM locaux). Mettre 1 pour activer.
+LOUIS_SSRF_STRICT=
+
+# Backend d'embedding SOUVERAIN : endpoint OpenAI-compatible auto-hébergé
+# (Ollama/vLLM/TEI) pour que les chunks confidentiels ne partent pas chez Mistral.
+# Le modèle doit produire des vecteurs de dimension EMBEDDING_DIM (1024).
+LOUIS_EMBEDDING_BASE_URL=
+LOUIS_EMBEDDING_MODEL=
+LOUIS_EMBEDDING_API_KEY=
+
+# Budget de contexte (tokens) de l'historique envoyé au modèle. Défaut 100000.
+# À baisser sous la fenêtre d'un petit modèle local pour éviter un dépassement.
+LOUIS_CONTEXT_BUDGET_TOKENS=
+
+# Extraction automatique de la mémoire des dossiers (faits durables → écran
+# /settings/memory, statut « à valider »). Coûte un appel LLM par tour de
+# dossier. Désactivée par défaut. Mettre 1 pour activer.
+LOUIS_MEMORY_EXTRACTION=

drizzle/migrations/0007_hybrid_fts.sql

@@ -0,0 +1,11 @@
+-- Recherche hybride vecteur + mot-clé (rag/search.ts, rag/message-search.ts).
+-- Index GIN d'EXPRESSION sur to_tsvector('french', content) : permet le rappel
+-- des tokens exacts (n° d'article, n° de pourvoi, nom de partie, terme défini)
+-- que la recherche purement vectorielle manque. Sert aussi de repli mot-clé
+-- quand aucun backend d'embedding n'est disponible (déploiement air-gapped).
+
+CREATE INDEX IF NOT EXISTS "document_chunks_fts_idx"
+  ON "document_chunks" USING gin (to_tsvector('french', "content"));
+
+CREATE INDEX IF NOT EXISTS "message_chunks_fts_idx"
+  ON "message_chunks" USING gin (to_tsvector('french', "content"));

drizzle/migrations/0008_retention.sql

@@ -0,0 +1,5 @@
+-- Rétention RGPD : purge auto des conversations inactives via /api/cron/retention.
+-- null = désactivé (défaut). Cf. src/app/api/cron/retention/route.ts.
+
+ALTER TABLE "cabinet_settings"
+  ADD COLUMN IF NOT EXISTS "retention_days" integer;

drizzle/migrations/0009_project_memories.sql

@@ -0,0 +1,18 @@
+-- Mémoire persistante PAR DOSSIER (matter-scoped). Chaque fait porte sa
+-- provenance (source_message_id) et nécessite une validation humaine
+-- (status='approved') avant d'influencer une réponse. Cf. lib/memory-extract.ts
+-- et l'écran /settings/memory.
+
+CREATE TABLE IF NOT EXISTS "project_memories" (
+  "id" uuid PRIMARY KEY DEFAULT gen_random_uuid() NOT NULL,
+  "user_id" uuid NOT NULL REFERENCES "users"("id") ON DELETE CASCADE,
+  "project_id" uuid NOT NULL REFERENCES "projects"("id") ON DELETE CASCADE,
+  "category" text NOT NULL,
+  "text" text NOT NULL,
+  "source_message_id" uuid REFERENCES "messages"("id") ON DELETE SET NULL,
+  "status" text NOT NULL DEFAULT 'pending',
+  "created_at" timestamp NOT NULL DEFAULT now()
+);
+
+CREATE INDEX IF NOT EXISTS "project_memories_project_idx"
+  ON "project_memories" ("project_id", "status");

drizzle/migrations/0010_totp_2fa.sql

@@ -0,0 +1,8 @@
+-- 2FA TOTP (RFC 6238). totp_secret_pending détient le secret le temps de
+-- l'enrôlement, promu vers totp_secret + totp_enabled une fois un code confirmé.
+-- backup_codes = codes de secours à usage unique, HACHÉS (bcrypt). Cf. lib/totp.ts.
+
+ALTER TABLE "users" ADD COLUMN IF NOT EXISTS "totp_secret" text;
+ALTER TABLE "users" ADD COLUMN IF NOT EXISTS "totp_secret_pending" text;
+ALTER TABLE "users" ADD COLUMN IF NOT EXISTS "totp_enabled" boolean NOT NULL DEFAULT false;
+ALTER TABLE "users" ADD COLUMN IF NOT EXISTS "backup_codes" jsonb;

package.json

@@ -54,6 +54,7 @@
     "pdf-parse": "^1.1.1",
     "pdfkit": "^0.18.0",
     "postgres": "^3.4.9",
+    "qrcode.react": "^4.2.0",
     "radix-ui": "^1.4.3",
     "react": "19.2.4",
     "react-dom": "19.2.4",