docs: la documentation annoncait une v1.1.7 qui n'existera pas

Le retrait de l'IA avait ete documente sous le numero v1.1.7, avant que
le bump majeur ne soit tranche. Douze references a une version qui
n'existera jamais, dans le README, SECURITY.md, le cahier des charges et
neuf commentaires de code. Toutes ramenees a 2.0.0.

README — quatre affirmations perimees corrigees :
- l'en-tete annoncait « v1.0.4 — Mai 2026 » ;
- la section « Quoi de neuf » decrivait encore la v1.0.0 ; reecrite pour
  la 2.0.0, avec la justification du bump majeur et le passage aux splits
  sans universel ;
- **« Ce depot n'a pas de pipeline de release CI automatique »** etait
  faux : `release.yml` construit et signe les APK au push d'un tag `v*`.
  C'est justement lui qui publie cette version ;
- la section Installation renvoyait a la v1.0.0 et mettait le build local
  en premier ; l'APK publiee passe devant, avec la verification SHA-256.

SECURITY.md — entree v2.0.0 ajoutee. Elle documente les cinq defauts
serieux fermes ce cycle : la cle Keystore detruite avant la base a la
suppression d'un coffre (perte de donnees irreversible), le mode panique
qui declarait l'effacement termine malgre des echecs, le titre d'une note
de coffre ecrit en clair, la course du presse-papiers, et les migrations
de schema qui n'avaient jamais tourne. L'historique anterieur n'est pas
touche : reecrire un journal de securite serait pire que de le laisser
dater.

`database.dart` : la substitution automatique avait converti ses 905
fins de ligne CRLF en LF, produisant un diff binaire de 40 Ko pour un
commentaire. Fichier restaure et ligne reappliquee a la main — le diff
est desormais de taille nulle.

flutter analyze : 0 issue. flutter test : 65 passed.

Author: gitubpatrice

README.md

@@ -2,31 +2,44 @@
 
 > Vos notes restent dans votre poche. Chiffrées, et hors ligne.
 
-**v1.0.4 — Mai 2026** · [Politique de confidentialité](PRIVACY.md) · [CGU](TERMS.md) · [Sécurité](SECURITY.md)
+**v2.0.0 — Août 2026** · [Politique de confidentialité](PRIVACY.md) · [CGU](TERMS.md) · [Sécurité](SECURITY.md)
 
 Application Android Flutter de prise de notes Markdown chiffrées,
 **100 % locale, zéro permission Internet**. Interface bilingue **FR / EN**.
 Coffres par dossier (passphrase Argon2id ou PIN Keystore-bound), recherche
 plein-texte FTS5, dictée vocale Whisper on-device, backlinks `[[note]]`,
 mode panique multi-step.
 
-## Quoi de neuf en v1.0.0
-
-- **i18n FR / EN complète** : 9 écrans + 14 widgets, sélecteur Langue
-  dans Réglages, locale système suivie par défaut.
-- **Sélecteur de thème** : Clair / Sombre / Système, persisté.
-- **Splits ABI** : APK livré ~1/3 plus léger par device (arm64-v8a,
-  armeabi-v7a, x86_64).
-- **Mode panique whitelist** : `db_encrypted_v1` et `secure_window_enabled`
-  préservés pour cohérence du redémarrage (conformément à PRIVACY.md).
-- **A11y P0** : annonces TalkBack et `Semantics` complets sur le pavé PIN,
-  la sauvegarde et les overlays de dictée.
-- **Helpers UI extraits** : `PassphraseTextField`, `VaultWarningBanner`,
-  `BlockingProgressDialog` (factorisation cross-écrans).
-- **Mentions légales** : page rendue depuis `assets/legal/PRIVACY.{fr,en}.md`
-  et `TERMS.{fr,en}.md` via `flutter_markdown`.
-- **Performance** : `Selector` ciblé sur `themeMode + locale`,
-  `MediaQuery.sizeOf` dans les listes.
+## Quoi de neuf en v2.0.0
+
+**L'IA embarquée est retirée.** La recherche sémantique (MiniLM) et le
+Q&A « Demander à mes notes » (Gemma 3 1B) disparaissent. L'APK arm64
+passe de ~127 Mo à **26,9 Mo**. La recherche reste plein-texte FTS5 +
+bm25 : rapide et exacte, mais elle ne devine pas les synonymes.
+
+Bump majeur et non mineur pour trois raisons :
+
+- l'app perd ses deux fonctions phares, ce qu'un `1.2.0` ne signalerait
+  pas à l'utilisateur ;
+- l'APK est divisé par près de cinq, visible dès l'installation ;
+- **la migration est à sens unique** : la base passe en schéma v9 et la
+  v1.1.6 publiée n'a pas de `onDowngrade`, donc réinstaller une 1.x ne
+  peut plus ouvrir la base.
+
+Cette version inaugure aussi les **APK splits par ABI sans universel**.
+Les deux familles ont des `versionCode` incompatibles — l'offset
+`+1000 × index` de Flutter place tout universel sous n'importe quel
+split de même version, et Android refusait alors l'installation en
+downgrade. Transition à sens unique : ne pas réintroduire d'universel.
+
+Corrections notables du même cycle :
+
+- supprimer un dossier détruisait la clé Keystore **avant** la base, ce
+  qui rendait un coffre définitivement illisible si la base échouait ;
+- le mode panique annonçait « effacement terminé » même en cas d'échec ;
+- **les migrations de schéma n'avaient jamais tourné** — les tests
+  créaient des bases neuves, donc `onUpgrade` n'était jamais appelé ;
+- le titre d'une note de coffre pouvait partir en clair.
 
 Pour penseurs, thérapeutes, étudiants, chercheurs, écrivains et
 journalistes qui veulent prendre des notes sensibles ou denses sans
@@ -169,12 +182,15 @@ la procédure de signalement de faille.
 
 ## Installation
 
-Ce dépôt **n'a pas de pipeline de release CI automatique**. Deux options :
+Deux options :
 
-1. **Build local** (recommandé pour audit) — voir section suivante.
-2. **APK release manuelle** : récupérer le dernier `.apk` publié sur
-   [GitHub Releases](https://github.com/gitubpatrice/notes_tech/releases)
-   (v1.0.0), vérifier la signature, side-loader.
+1. **APK publiée** : récupérer le split correspondant à votre appareil
+   sur [GitHub Releases](https://github.com/gitubpatrice/notes_tech/releases)
+   — `arm64-v8a` couvre la quasi-totalité des téléphones depuis 2016 —
+   vérifier le SHA-256 publié dans les notes de release, side-loader.
+   Ces APK sont construites et signées par GitHub Actions
+   (`.github/workflows/release.yml`), déclenchées au push d'un tag `v*`.
+2. **Build local** (recommandé pour audit) — voir section suivante.
 
 Pas de Play Store : distribution side-load uniquement (cohérent avec la
 promesse de confidentialité — aucun compte requis pour installer).
@@ -203,7 +219,7 @@ keyPassword=...
 
 APK release arm64 : **~27 Mo** (SQLCipher + Whisper.cpp — le modèle de
 dictée est téléchargé séparément, non bundlé). L'IA embarquée a été retirée
-en v1.1.7 : elle pesait 100 Mo pour une fonctionnalité que presque personne
+en v2.0.0 : elle pesait 100 Mo pour une fonctionnalité que presque personne
 ne pouvait atteindre sans permission Internet.
 
 Pré-requis :

SECURITY.md

@@ -1,14 +1,58 @@
 # Security policy — Notes Tech
 
-> **⚠️ État au 2026-08-07 — retrait de l'IA embarquée (v1.1.7).** Notes Tech
+> **⚠️ État au 2026-08-07 — retrait de l'IA embarquée (v2.0.0).** Notes Tech
 > n'embarque plus ni moteur d'inférence Gemma, ni recherche sémantique
 > (MiniLM / ONNX). Les entrées d'historique ci-dessous qui les mentionnent
 > décrivent des correctifs **réellement appliqués à l'époque** : elles sont
 > conservées telles quelles, réécrire un journal de sécurité serait pire que
 > de le laisser dater. Seules les affirmations d'état courant ont été mises
 > à jour.
 
-**Version current : v1.1.6 — Juillet 2026.**
+**Version current : v2.0.0 — Août 2026.**
+
+## v2.0.0 — Retrait de l'IA + durcissement coffre/panique (2026-08-07)
+
+Retrait de la recherche sémantique (MiniLM/ONNX) et du Q&A Gemma. Surface
+d'attaque réduite d'autant : plus d'isolate d'inférence, plus de prompt
+injecté, plus de cache d'embeddings en clair à protéger. APK arm64
+~127 Mo → 26,9 Mo.
+
+### Failles corrigées
+
+- **Perte de données irréversible à la suppression d'un dossier coffre.**
+  `folders_drawer.dart` détruisait la clé Keystore PIN **avant** la ligne
+  en base. Si la suppression DB échouait ensuite, le dossier et ses notes
+  chiffrées restaient présents alors que la clé nécessaire au
+  déverrouillage avait disparu — coffre définitivement illisible. L'ordre
+  est inversé : base d'abord, clé ensuite, sous `try/catch`.
+- **Le mode panique mentait sur son résultat.** Trois étapes
+  (`_prefsClearWithWhitelist`, `_wipeExportsCache`, `_purgeTempDirectory`)
+  avalaient leurs échecs unitaires et l'écran final affichait « effacement
+  terminé » alors que des artefacts survivaient. Elles comptent désormais
+  leurs échecs et lèvent ; `_wipeExportsCache` purge en outre le répertoire
+  de cache en plus du temporaire. Le filtre `_estArtefactSensible` évite
+  l'écueil inverse — un fichier temporaire étranger à l'app ne doit pas
+  faire déclarer la panique incomplète.
+- **Titre d'une note de coffre écrit en clair.** Le scellement était porté
+  par l'appelant et non par la couche de persistance : tout chemin
+  d'écriture qui l'oubliait laissait le titre lisible dans la colonne.
+  `NotesRepository` refuse maintenant toute écriture en clair dans un
+  dossier coffre (`VaultPlaintextWriteException`) et scelle lui-même.
+- **Presse-papiers non purgé après copies successives.** La minuterie
+  d'effacement d'une copie pouvait remettre l'état à zéro alors qu'une
+  copie plus récente était en cours, laissant son contenu indéfiniment
+  dans le presse-papiers. Un jeton par copie ferme la course.
+- **Les migrations de schéma n'avaient jamais été exercées.** Les tests
+  créaient des bases neuves : `onCreate` posait le schéma courant et
+  `onUpgrade` n'était jamais appelé. `integration_test/db_migration_test.dart`
+  construit désormais de vraies bases héritées (v1, v5, v7) et vérifie la
+  migration réelle jusqu'en v9, dont la purge FTS d'une note verrouillée.
+
+### Vérification
+
+CI GitHub Actions verte de bout en bout pour la première fois : analyse,
+65 tests unitaires, build, et les 5 suites d'intégration sur émulateur
+API 30. Scan OSV des dépendances : aucune CVE.
 
 ## v1.1.6 — Logo & réorganisation barre du haut (2026-07-09)
 
@@ -262,7 +306,7 @@ Notes Tech v1.0 introduit plusieurs durcissements sécurité :
   rendu de markdown distant.
 - `ProGuard` rules complètes : `files_tech_voice`, `flutter_markdown`,
   sqflite. Les règles MediaPipe / ONNX / flutter_gemma sont devenues
-  sans objet avec le retrait de l'IA embarquée (v1.1.7).
+  sans objet avec le retrait de l'IA embarquée (v2.0.0).
 
 ## Reporting a vulnerability
 

docs/CAHIER_DES_CHARGES.md

@@ -21,7 +21,7 @@ qu'elle existe, et il faut le savoir avant de le lire.*
 Les deux fonctions présentées ici comme « le cœur du produit » — la recherche
 sémantique par embeddings MiniLM (§1) et le Q&A Gemma 3 1B (§2) — ont bien été
 livrées, en v0.2 et v0.3 conformément à la feuille de route. Elles ont été
-**retirées en v1.1.7**.
+**retirées en v2.0.0**.
 
 La raison est mesurable : elles pesaient **100 Mo sur les 127 Mo de l'APK**,
 soit près de 80 % du poids livré à *tous* les utilisateurs, pour une

lib/core/constants.dart

@@ -24,9 +24,9 @@ class AppConstants {
   // (compteur tentatives PIN, auto-wipe à 5).
   // v6 (1.0.3) : F2 — triggers FTS5 réécrits pour ne plus indexer
   // `title`/`tags` sur notes verrouillées (`encrypted_content IS NOT NULL`).
-  // v7 (1.1.7) : `notes.enc_v` — version du format de `encrypted_content`
+  // v7 (2.0.0) : `notes.enc_v` — version du format de `encrypted_content`
   // (1 = contenu seul, 2 = titre + contenu).
-  // v8 (1.1.7) : DROP `note_embeddings` — retrait de la recherche
+  // v8 (2.0.0) : DROP `note_embeddings` — retrait de la recherche
   // sémantique. Ces vecteurs étaient dérivés du texte EN CLAIR des notes.
   static const int dbVersion = 9;
 
@@ -145,7 +145,7 @@ class AppConstants {
   /// d'une éventuelle DB en clair vers une DB chiffrée par la KEK du vault.
   static const String prefKeyDbEncryptedV1 = 'db_encrypted_v1';
 
-  /// Purge unique des modèles orphelins laissés par l'IA embarquée (v1.1.7).
+  /// Purge unique des modèles orphelins laissés par l'IA embarquée (v2.0.0).
   /// Voir `_purgeOrphanModelsOnce` dans `main.dart`.
   static const String prefKeyOrphanModelsPurged = 'orphan_models_purged_v1';
 

lib/data/db/database.dart

@@ -56,7 +56,7 @@ class Note {
   /// Il n'existe plus d'autre dérivé du texte en clair à purger. La
   /// recherche sémantique en produisait un — un vecteur calculé sur le
   /// contenu déchiffré, qui survivait à la mise au coffre s'il n'était pas
-  /// supprimé explicitement. Elle a été retirée en v1.1.7, et la migration
+  /// supprimé explicitement. Elle a été retirée en v2.0.0, et la migration
   /// de schéma v8 a supprimé la table qui les stockait.
   ///
   /// Le déverrouillage en RAM produit un `Note` éphémère avec `content`

lib/data/models/note.dart

@@ -52,7 +52,7 @@ Future<void> main() async {
   // a été tué pendant un share sheet précédent). Best-effort, fire-and-forget.
   unawaited(_purgeExportsCache());
 
-  // v1.1.7 — récupère l'espace laissé par l'IA retirée. Une seule fois.
+  // v2.0.0 — récupère l'espace laissé par l'IA retirée. Une seule fois.
   unawaited(_purgeOrphanModelsOnce());
 
   // VaultService injecté avant tout accès DB : `AppDatabase` réutilisera
@@ -196,7 +196,7 @@ Future<void> main() async {
 }
 
 /// Supprime, UNE SEULE FOIS, les modèles devenus orphelins avec le retrait
-/// de l'IA embarquée (v1.1.7).
+/// de l'IA embarquée (v2.0.0).
 ///
 /// Un utilisateur qui avait importé Gemma garde sinon **jusqu'à 530 Mo** dans
 /// le stockage privé de l'application : un fichier que plus aucun code ne lit,

lib/main.dart

@@ -59,7 +59,7 @@ class BacklinksService {
   /// les frappes utilisateur pour que les backlinks remontent vite dans le
   /// panneau latéral. Cette valeur était volontairement plus courte que le
   /// debounce de 3 s de l'indexeur sémantique, qui espaçait des passes CPU
-  /// coûteuses ; cet indexeur a disparu en v1.1.7.
+  /// coûteuses ; cet indexeur a disparu en v2.0.0.
   ///
   /// `BacklinksService` est le seul SERVICE abonné à `NotesRepository.changes`
   /// — mais pas le seul abonné : `HomeScreen` et `NoteEditorScreen` y

lib/services/backlinks_service.dart

@@ -2,7 +2,7 @@
 ///
 /// Ce dossier contenait le `.task` Gemma importé à la main par l'utilisateur
 /// et le cache MiniLM. Plus aucun code ne l'alimente depuis le retrait de l'IA
-/// en v1.1.7, mais un utilisateur qui met à jour depuis une version ≤ 1.1.6 en
+/// en v2.0.0, mais un utilisateur qui met à jour depuis une version ≤ 1.1.6 en
 /// a toujours le contenu : **jusqu'à 530 Mo** qu'il ne voit pas, qu'aucun
 /// écran ne mentionne, et qu'il ne peut effacer qu'en vidant les données de
 /// l'application — ce qui détruirait aussi ses notes.

lib/services/legacy_model_files.dart

@@ -109,7 +109,7 @@ enum PanicStep {
   /// Purge `<appSupport>/models/` — le dossier où vivaient le modèle Gemma
   /// importé par l'utilisateur et le cache MiniLM.
   ///
-  /// Renommée depuis `embedderWipe` en v1.1.7 : elle portait le nom d'un
+  /// Renommée depuis `embedderWipe` en v2.0.0 : elle portait le nom d'un
   /// composant supprimé, alors que son travail réel — effacer des fichiers
   /// hérités — lui a survécu.
   ///