release: git-arboretum 3.4.0 (visibilité temps réel, historisation), desktop 0.2.0 (Windows, logo), vscode 0.4.1, site 0.4.0

Tout est additif : PROTOCOL_VERSION inchangé, aucune rupture d'API.

Temps réel réellement armé
- `pinSession` n'était appelé nulle part : une session vivante épingle désormais le watcher FS de son
  worktree (`WorktreeManager.syncSessionPin` + `resolveWorktreeForCwd`), donc un worktree où un agent
  écrit se rafraîchit même si personne ne le regarde (mesuré ~350 ms).
- Les abonnements `watch` sortent de `GitPanel`, démonté dès qu'on quitte son onglet, ce qui coupait le
  seul abonnement de toute l'app : `composables/useWatchedWorktrees.ts` (monté dans App.vue) suit le
  worktree actif et les dépôts dépliés, borné à 40.
- Une coupure WS ne laisse plus l'UI sur des listes périmées : rechargement complet au retour.
- `worktree_changes` alimente `worktrees.changeVersion`, consommé par l'arbre de fichiers, le diff
  (son `:version` était câblé à 0) et l'éditeur, qui recharge un tampon propre ou lève la bannière de
  conflit avant la sauvegarde au lieu d'attendre le 409.

Corrélation session ↔ worktree par contenance (`@arboretum/shared/path-match.ts`)
- Un terminal lancé dans un sous-répertoire (« Démarrer le projet ») ou une session de groupe reliée
  par `--add-dir` apparaissent enfin sous leur worktree ; le worktree le plus spécifique gagne.
- Règle unique partagée par le daemon, le web et l'extension.

Historisation
- `commitLog` / `commitDiff` purs, `GET /repos/:id/worktrees/log` et `diff?commit=` (hash strictement
  validé, mêmes bornes que les diffs de fichiers).
- `CommitHistory.vue` sous le panneau Git : commits, marquage des non poussés, diff déplié sur place.

Visibilité
- Compteurs git complets sur chaque worktree de l'arbre et du panneau Groupes (ils n'existaient qu'en
  barre de statut, pour le seul worktree actif), avec upstream et dernier commit en infobulle ;
  `locked`, `prunable` et un dépôt invalide sont désormais visibles.
- Le panneau Groupes montre sa composition réelle (dépôts, worktrees, sessions) et teinte l'explorateur.

Polish visuel
- Les toasts d'erreur, persistants, s'empilaient derrière les modals : téléportés au-dessus.
- Sur mobile, ouvrir un terminal ou changer d'activité n'avait aucun effet visible.
- Tailles de panneaux clampées sur la fenêtre, barres d'onglets sans scrollbar parasite, états de
  chargement et d'erreur dans les trois panneaux, accessibilité des 11 modals centralisée dans
  ModalHost, splitters au clavier, numéros de diff collants, `window.confirm` remplacé.

Windows (daemon et packaging)
- `where.exe`, PowerShell comme shell de lancement, askpass `.cmd` (clone/push HTTPS par PAT),
  `taskkill /T`, `%APPDATA%`, `arboretum install` via tâche planifiée.
- Scripts de build exécutables sur un hôte Windows (`npm.cmd`, extraction sans `unzip` ni `bash`).
- Job CI `windows-latest` conditionné par ENABLE_WINDOWS_BUILD ; procédure runner dans docs/CI_RUNNERS.md.

Logo Debian : cause racine
- Une icône unique de 895×895 atterrissait dans `hicolor/895x895`, répertoire absent d'`index.theme`
  donc ignoré par la spécification freedesktop ; et `executableName` dérivait du nom scopé du paquet
  (`@arboretumdesktop`). Jeu d'icônes standard généré + `executableName: arboretum`, plus
  `deb.synopsis` (description courte vide dans apt) et `Section: devel`.
- Runtime Node embarqué élagué : 205 → 118 Mo.
- Auto-update réparé : la release flottante `desktop-latest` que les binaires interrogent n'existait pas.

Doc et vitrine
- README/README.fr : installation par plateforme, mode serveur web (nginx, LAN), dépannage, variables
  d'environnement, flags manquants.
- Doc in-app réécrite (elle renvoyait aux pages Worktrees et Sessions supprimées).
- Section « Accès distant » dans les Réglages ; le 403 BAD_ORIGIN nomme le flag à ajouter.
- Site : prérequis et registre npm privé (le `npx` affiché renvoyait un 404), téléchargements réels par
  plateforme, section « trois façons de l'utiliser », navigation complétée, 16 clés i18n mortes purgées.

Vérifications : 483 tests unitaires, 14 acceptances E2E vertes (dont p14/p15 nouvelles), captures de
rendu sans erreur console (nouveau `verify-ui.mjs`), .deb reconstruit et contrôlé (icônes aux tailles
standard, entrée .desktop valide).

.gitea/scripts/attach-release-assets.sh

@@ -0,0 +1,51 @@
+#!/usr/bin/env bash
+# Attache des fichiers à une release Gitea, de façon idempotente (re-run friendly).
+#
+# Usage : attach-release-assets.sh <tag> <release-name> <fichier...>
+# Env   : RELEASE_TOKEN (token Gitea avec write:repository), GITHUB_SERVER_URL, GITHUB_REPOSITORY.
+#
+# Partagé par tous les jobs de release desktop (Linux, Windows, canal flottant) : la logique était
+# dupliquée dans chaque job, et toute correction devait être faite trois fois.
+set -uo pipefail
+
+tag="${1:?tag manquant}"
+release_name="${2:?nom de release manquant}"
+shift 2
+
+if [ -z "${RELEASE_TOKEN:-}" ]; then
+  echo "::notice::RELEASE_TOKEN absent, aucun asset attaché (les artefacts du run restent disponibles)."
+  exit 0
+fi
+
+api="${GITHUB_SERVER_URL}/api/v1/repos/${GITHUB_REPOSITORY}"
+auth="Authorization: token ${RELEASE_TOKEN}"
+
+release_id=$(curl -fsSL -H "$auth" "${api}/releases/tags/${tag}" \
+  | node -p "JSON.parse(require('fs').readFileSync(0,'utf8')).id || ''" || true)
+
+if [ -z "$release_id" ]; then
+  release_id=$(curl -fsSL -X POST -H "$auth" -H 'Content-Type: application/json' \
+    -d "{\"tag_name\":\"${tag}\",\"name\":\"${release_name}\"}" \
+    "${api}/releases" | node -p "JSON.parse(require('fs').readFileSync(0,'utf8')).id || ''")
+fi
+
+if [ -z "$release_id" ]; then
+  echo "::warning::impossible de résoudre ou créer la release ${tag}"
+  exit 0
+fi
+
+for f in "$@"; do
+  [ -f "$f" ] || continue
+  name=$(basename "$f")
+  # L'API Gitea refuse un asset de même nom : on supprime l'ancien pour que le dernier build gagne.
+  existing=$(curl -fsSL -H "$auth" "${api}/releases/${release_id}/assets" \
+    | node -e "const a=JSON.parse(require('fs').readFileSync(0,'utf8'));const m=Array.isArray(a)?a.find(x=>x.name===process.argv[1]):null;process.stdout.write(m?String(m.id):'')" "$name" || true)
+  if [ -n "$existing" ]; then
+    echo "replacing existing $name (asset $existing)"
+    curl -fsSL -X DELETE -H "$auth" "${api}/releases/${release_id}/assets/${existing}" || true
+  fi
+  echo "attaching $name"
+  curl -fsSL -X POST -H "$auth" -F "attachment=@${f}" "${api}/releases/${release_id}/assets?name=${name}"
+done
+
+echo "Assets attachés à la release ${tag}."

.gitea/workflows/ci.yml

@@ -29,6 +29,12 @@ jobs:
       - run: npm run build
       - run: npm run build:site
       - run: npx vitest run
+      # packages/desktop est HORS des workspaces (CI daemon allégée) : sans cette étape, son code
+      # n'était JAMAIS typechecké avant un tag de release.
+      - name: Typecheck desktop shell
+        run: |
+          npm --prefix packages/desktop ci
+          npm run typecheck:desktop
 
   pack-smoke:
     name: Pack & boot smoke (Node 22)
@@ -86,15 +92,16 @@ jobs:
   lint-dashes:
     # Interdit tout tiret cadratin (U+2014) ou demi-cadratin (U+2013) dans les fichiers suivis.
     # Utiliser a la place : point median, deux-points, virgule, ou tiret simple pour les plages.
-    # Exclusions : logo binaire + captures brutes du terminal (fidelite des fixtures de dialogue).
+    # `-I` ignore les fichiers BINAIRES : une icone PNG/ICO peut contenir ces octets par hasard, ce
+    # qui faisait echouer la garde sans aucun texte fautif. Exclusion restante : les captures brutes
+    # du terminal (fichiers texte, fidelite des fixtures de dialogue).
     name: No em/en dashes
     runs-on: ubuntu-latest
     steps:
       - uses: actions/checkout@v4
       - name: Fail on U+2014 / U+2013 (outside allow-list)
         run: |
-          if git grep -nP '[\x{2014}\x{2013}]' -- . \
-               ':(exclude)brand/arboretum-logo-source.png' \
+          if git grep -nPI '[\x{2014}\x{2013}]' -- . \
                ':(exclude)packages/server/test/fixtures/dialogs/*.raw'; then
             echo "::error::Tiret cadratin/demi-cadratin trouve. Utiliser point median, deux-points, virgule ou tiret simple (plages)."
             exit 1

.gitea/workflows/desktop-release.yml

@@ -1,12 +1,23 @@
-# Packaging de l'app de bureau Electron, déclenché UNIQUEMENT par un tag desktop-vX.Y.Z (séparé de
-# la release du daemon qui écoute v*, et du VSIX qui écoute vscode-v*). Linux (AppImage + deb) est
-# automatisé ici ; Windows et macOS se buildent sur ces OS (voir packages/desktop/README.md) et
-# leurs artefacts sont attachés manuellement à la release.
+# Packaging de l'app de bureau Electron, déclenché par un tag desktop-vX.Y.Z (séparé de la release du
+# daemon qui écoute v*, et du VSIX qui écoute vscode-v*).
+#
+# Linux (AppImage + deb) : toujours automatisé.
+# Windows (NSIS + portable) : job dédié, ACTIVÉ par la variable de dépôt ENABLE_WINDOWS_BUILD=true une
+#   fois qu'un runner labellisé `windows-latest` est enregistré sur le forge. Procédure complète dans
+#   docs/CI_RUNNERS.md. Tant que la variable est absente, le job est sauté et la release Linux part
+#   normalement ; le repli reste un build manuel attaché à la release.
+#   Le cross-build depuis Linux est IMPOSSIBLE : node-pty ne copie conpty.dll / OpenConsole.exe que si
+#   l'hôte de build est Windows, et son tarball ne contient que les prebuilds linux.
+# macOS (dmg + zip) : non automatisé (aucun runner) ; build manuel documenté dans le README desktop.
+#
+# `workflow_dispatch` permet de tester les jobs sans créer de tag (le garde-fou tag == version est
+# alors ignoré, puisqu'il n'y a pas de tag à comparer).
 name: Desktop Release
 
 on:
   push:
     tags: ['desktop-v*']
+  workflow_dispatch:
 
 permissions:
   contents: write
@@ -26,6 +37,7 @@ jobs:
           cache: npm
       # Garde-fou : le tag (sans "desktop-v") doit correspondre à la version du paquet desktop.
       - name: Verify tag matches desktop version
+        if: github.event_name == 'push'
         run: |
           pkg=$(node -p "require('./packages/desktop/package.json').version")
           tag="${GITHUB_REF_NAME#desktop-v}"
@@ -41,6 +53,11 @@ jobs:
       # Build complet : shell + daemon empaqueté + Node standalone + AppImage/deb (electron-builder).
       - name: Build installers
         run: cd packages/desktop && npm run dist:linux
+      - name: Compute checksums
+        run: |
+          cd packages/desktop/release
+          sha256sum *.AppImage *.deb > SHA256SUMS-linux.txt
+          cat SHA256SUMS-linux.txt
       # Artefacts du run : canal fiable, indépendant de l'API release.
       - uses: actions/upload-artifact@v3
         with:
@@ -48,40 +65,134 @@ jobs:
           path: |
             packages/desktop/release/*.AppImage
             packages/desktop/release/*.deb
+            packages/desktop/release/*.blockmap
             packages/desktop/release/latest-linux.yml
-      # Best-effort : attache les installeurs (+ latest-linux.yml pour l'auto-update) à la release
-      # Gitea du tag (crée la release si absente). Réutilise NPM_TOKEN (même token Gitea) : ce token
-      # doit porter la portée write:repository en plus de write:package, sinon l'API release renvoie
-      # un 403 (l'attache est ignorée, les installeurs restent disponibles en artefact du run).
-      - name: Attach installers to Gitea release
+            packages/desktop/release/SHA256SUMS-linux.txt
+      # Best-effort : attache les installeurs (+ latest-linux.yml pour l'auto-update) à la release du
+      # tag. Réutilise NPM_TOKEN (même token Gitea) : il doit porter write:repository en plus de
+      # write:package, sinon l'API release renvoie 403 (les artefacts du run restent disponibles).
+      - name: Attach installers to the tag release
+        if: github.event_name == 'push'
         continue-on-error: true
+        env:
+          RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}
+        run: |
+          version=$(node -p "require('./packages/desktop/package.json').version")
+          bash .gitea/scripts/attach-release-assets.sh "${GITHUB_REF_NAME}" "Arboretum Desktop ${version}" \
+            packages/desktop/release/*.AppImage \
+            packages/desktop/release/*.deb \
+            packages/desktop/release/*.blockmap \
+            packages/desktop/release/latest-linux.yml \
+            packages/desktop/release/SHA256SUMS-linux.txt
+
+  windows:
+    name: Build Windows (NSIS + portable)
+    # Activé par la variable de dépôt ENABLE_WINDOWS_BUILD (voir docs/CI_RUNNERS.md). Sans runner
+    # Windows enregistré, un job non conditionné resterait en attente indéfiniment et bloquerait la
+    # release entière.
+    if: vars.ENABLE_WINDOWS_BUILD == 'true'
+    runs-on: windows-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with:
+          node-version: ${{ env.NODE_VERSION }}
+      - name: Verify tag matches desktop version
+        if: github.event_name == 'push'
+        shell: bash
+        run: |
+          pkg=$(node -p "require('./packages/desktop/package.json').version")
+          tag="${GITHUB_REF_NAME#desktop-v}"
+          if [ "$pkg" != "$tag" ]; then
+            echo "ERREUR: tag '$tag' != version desktop '$pkg'"
+            exit 1
+          fi
+          echo "OK: tag $tag == version $pkg"
+      - run: npm ci
+      - name: Install desktop deps
+        shell: bash
+        run: cd packages/desktop && npm ci
+      # `dist:win` sur hôte Windows : c'est le SEUL chemin qui produit un node-pty utilisable (ConPTY,
+      # conpty.dll + OpenConsole.exe copiés par le post-install de node-pty).
+      - name: Build installers
+        shell: bash
+        run: cd packages/desktop && npm run dist:win
+      - name: Compute checksums
+        shell: bash
+        run: |
+          cd packages/desktop/release
+          sha256sum *.exe > SHA256SUMS-windows.txt
+          cat SHA256SUMS-windows.txt
+      - uses: actions/upload-artifact@v3
+        with:
+          name: desktop-windows
+          path: |
+            packages/desktop/release/*.exe
+            packages/desktop/release/*.blockmap
+            packages/desktop/release/latest.yml
+            packages/desktop/release/SHA256SUMS-windows.txt
+      - name: Attach installers to the tag release
+        if: github.event_name == 'push'
+        continue-on-error: true
+        shell: bash
+        env:
+          RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}
+        run: |
+          version=$(node -p "require('./packages/desktop/package.json').version")
+          bash .gitea/scripts/attach-release-assets.sh "${GITHUB_REF_NAME}" "Arboretum Desktop ${version}" \
+            packages/desktop/release/*.exe \
+            packages/desktop/release/*.blockmap \
+            packages/desktop/release/latest.yml \
+            packages/desktop/release/SHA256SUMS-windows.txt
+
+  # Canal d'auto-update : electron-updater interroge une URL FIXE
+  # (.../releases/download/desktop-latest, cf. electron-builder.yml). Ce tag flottant doit donc exister
+  # et porter les latest*.yml de la dernière version, sinon l'updater reçoit un 404 · c'était le cas
+  # jusqu'en 0.1.3, où l'auto-update annoncé ne fonctionnait pour personne.
+  latest-channel:
+    name: Publish floating desktop-latest release
+    if: github.event_name == 'push'
+    runs-on: ubuntu-latest
+    needs: [linux]
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with:
+          node-version: ${{ env.NODE_VERSION }}
+      - uses: actions/download-artifact@v3
+        with:
+          name: desktop-linux
+          path: dl
+      # Les artefacts Windows n'existent que si le job correspondant a tourné : téléchargement toléré
+      # en échec pour ne jamais bloquer la publication du canal Linux.
+      - uses: actions/download-artifact@v3
+        continue-on-error: true
+        with:
+          name: desktop-windows
+          path: dl
+      # On repart d'une release flottante VIERGE : sinon les assets de la version précédente y
+      # restent (mêmes noms de fichiers uniquement remplacés, un ancien numéro de version subsisterait).
+      # La recréation est faite par le script suivant, via l'API (Gitea crée le tag au besoin).
+      - name: Reset the floating release
         env:
           RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}
         run: |
           if [ -z "$RELEASE_TOKEN" ]; then
-            echo "::notice::NPM_TOKEN absent : installeurs disponibles en artefact uniquement."
+            echo "::notice::NPM_TOKEN absent, canal desktop-latest non publié."
             exit 0
           fi
           api="${GITHUB_SERVER_URL}/api/v1/repos/${GITHUB_REPOSITORY}"
           auth="Authorization: token ${RELEASE_TOKEN}"
-          version=$(node -p "require('./packages/desktop/package.json').version")
-          rid=$(curl -fsSL -H "$auth" "${api}/releases/tags/${GITHUB_REF_NAME}" | node -p "JSON.parse(require('fs').readFileSync(0,'utf8')).id || ''" || true)
-          if [ -z "$rid" ]; then
-            rid=$(curl -fsSL -X POST -H "$auth" -H 'Content-Type: application/json' \
-              -d "{\"tag_name\":\"${GITHUB_REF_NAME}\",\"name\":\"Arboretum Desktop ${version}\"}" \
-              "${api}/releases" | node -p "JSON.parse(require('fs').readFileSync(0,'utf8')).id || ''")
+          old=$(curl -fsSL -H "$auth" "${api}/releases/tags/desktop-latest" | node -p "JSON.parse(require('fs').readFileSync(0,'utf8')).id || ''" || true)
+          if [ -n "$old" ]; then
+            echo "suppression de l'ancienne release flottante (id ${old})"
+            curl -fsSL -X DELETE -H "$auth" "${api}/releases/${old}" || true
           fi
-          for f in packages/desktop/release/*.AppImage packages/desktop/release/*.deb packages/desktop/release/latest-linux.yml; do
-            [ -f "$f" ] || continue
-            name=$(basename "$f")
-            # Re-run idempotent : supprimer un asset existant du même nom avant de ré-uploader, pour
-            # que le dernier build gagne (l'API Gitea refuse sinon un asset déjà présent).
-            existing=$(curl -fsSL -H "$auth" "${api}/releases/${rid}/assets" | node -e "const a=JSON.parse(require('fs').readFileSync(0,'utf8'));const m=Array.isArray(a)?a.find(x=>x.name===process.argv[1]):null;process.stdout.write(m?String(m.id):'')" "$name" || true)
-            if [ -n "$existing" ]; then
-              echo "replacing existing $name (asset $existing)"
-              curl -fsSL -X DELETE -H "$auth" "${api}/releases/${rid}/assets/${existing}" || true
-            fi
-            echo "attaching $name"
-            curl -fsSL -X POST -H "$auth" -F "attachment=@${f}" "${api}/releases/${rid}/assets?name=${name}"
-          done
-          echo "Installeurs Linux attachés à la release ${GITHUB_REF_NAME}."
+          curl -fsSL -X DELETE -H "$auth" "${api}/tags/desktop-latest" || true
+      - name: Attach installers to the floating release
+        env:
+          RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}
+        run: |
+          version=$(node -p "require('./packages/desktop/package.json').version")
+          bash .gitea/scripts/attach-release-assets.sh desktop-latest "Arboretum Desktop (latest, ${version})" \
+            dl/*.AppImage dl/*.deb dl/*.exe dl/*.blockmap dl/latest-linux.yml dl/latest.yml dl/SHA256SUMS-*.txt