feat(backup): sauvegarde chiffrée durable PC ↔ iPhone, reprise et récupération

.github/workflows/tests.yml

@@ -20,6 +20,7 @@ jobs:
     steps:
       - uses: actions/checkout@d23441a48e516b6c34aea4fa41551a30e30af803 # v6
         with:
+          ref: ${{ github.event.pull_request.head.sha || github.sha }}
           persist-credentials: false
       - name: Tests de sécurité de publication
         run: python3 -m unittest discover -s tests -p 'test_pages*.py'
@@ -58,6 +59,9 @@ jobs:
         browser: [chromium, webkit]
     steps:
       - uses: actions/checkout@d23441a48e516b6c34aea4fa41551a30e30af803 # v6
+        with:
+          ref: ${{ github.event.pull_request.head.sha || github.sha }}
+          persist-credentials: false
       - uses: actions/setup-node@249970729cb0ef3589644e2896645e5dc5ba9c38 # v6
         with:
           node-version: 20
@@ -68,6 +72,7 @@ jobs:
         env:
           BROWSER: ${{ matrix.browser }}
         run: |
+          test "$(git -c safe.directory="$GITHUB_WORKSPACE" rev-parse HEAD)" = "${{ github.event.pull_request.head.sha || github.sha }}"
           node tests/browser-runtime.spec.cjs
           node tests/browser-runtime.cjs
       - name: Syntaxe
@@ -92,6 +97,9 @@ jobs:
           node tests/deep-checks.cjs
           node tests/project-checks.cjs
           node tests/cloud-sync.spec.cjs
+          node tests/cloud-final-mile.cjs
+          node tests/cloud-history.cjs
+          BROWSER=${{ matrix.browser }} node tests/cloud-final-mile-browser.cjs
           node tests/atomic-restoration.cjs
           BROWSER=${{ matrix.browser }} node tests/atomic-restoration-browser.cjs
           BROWSER=${{ matrix.browser }} node tests/storage-multitab.cjs

TESTING.md

@@ -60,3 +60,19 @@ Le téléchargement local des navigateurs Playwright a échoué (archive reçue
 `node tests/project-checks.cjs` vérifie le schéma optionnel du dossier, les preuves datées, les montants inconnus, le zéro explicite, les dépassements, le rejet des entrées invalides et l’échappement HTML. `node tests/project.spec.cjs` ajoute une validation Chromium/WebKit de l’import de profil privé sans perte de cours/labs/preuves, de l’export/import complet, de l’ancien format et du rejet atomique, puis des contrôles de mise en page à 320, 414 et 1280 px. Le Service Worker conserve le nouvel onglet hors ligne. Ces suites rejoignent la CI existante.
 
 Le dossier est conservé lors d’un import ancien qui ne possède pas de champ `career`. Le fichier de profil est un import de cadre personnel uniquement ; il ne remplace aucune progression ni réponse d’école. Les données de test sont fictives. Aucun essai sur iPhone physique ni activation cloud réelle n’est déduit des simulations.
+
+## Cloud final mile — 24/10/2026 (données fictives uniquement)
+
+```sh
+node tests/cloud-sync.spec.cjs
+node tests/cloud-final-mile.cjs
+node tests/cloud-history.cjs
+BROWSER=chromium node tests/cloud-final-mile-browser.cjs
+BROWSER=webkit node tests/cloud-final-mile-browser.cjs
+```
+
+Le troisième test exécute le SQL proposé dans PostgreSQL WASM (PGlite 0.5.11 verrouillé), avec rôles distincts, RLS réelle et fonctions Auth simulées. Il vérifie propriétaire, utilisateur B, anon, anonymous-auth, immutabilité de l'historique, révisions, bornes et rollback transactionnel. Ce n'est pas un test du projet Supabase hébergé.
+
+Le test navigateur utilise deux profils indépendants, la vraie app, AES-GCM et localStorage. Toutes les requêtes fournisseur sont interceptées : choix initial, aller-retour, fermeture/réouverture, session chiffrée, réponse perdue après commit, reprise idempotente, conflit, stockage défaillant, format futur et récupération historique. Les quinze cas N03 restent exécutés ; leur amorçage est adapté à la nouvelle confirmation explicite de premier envoi et leur watchdog évite une fin Node trompeuse lorsqu'une promesse reste suspendue.
+
+La matrice existante conserve provenance, pédagogie, dossier, navigation, stockage/concurrence, Chromium/WebKit, service worker Chromium et tests de publication Pages. Les nouveaux tests ne désactivent aucun contrôle. WebKit n'est pas une recette sur iPhone physique. Recette réelle préparée dans `docs/GO_FINAL_CLOUD_20261024.md`.