Phase 3 : hardening qualite de code - typage strict, securite, dead code, a11y

Config strictement stricte partout (ruff, mypy --strict, bandit, vulture,
import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas
casser le build" - l'existant a ete corrige pour la satisfaire plutot que
l'inverse. Hooks pre-commit locaux (language: system) bloquants.

- Typage mypy --strict propage a tout le moteur (db, screens, auth, core,
  ai, routes, puis publish/scripts/tests/app.py/build_css.py).
- Securite : fuite de handle fichier Windows corrigee dans l'export SCORM
  (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes
  (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe
  "</script>" dans le JSON embarque en <script>, 25 sites).
- Architecture : imports circulaires/F811 nettoyes, contrats
  import-linter respectes, code mort retire (vulture).
- Accessibilite : 69 champs de formulaire sans label correctement
  associe corriges (for/id ou aria-label) sur 11 templates.
- ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis
  appliquees (aucune desactivee sans verification individuelle).
- Tests : isolation du compte admin partage (nettoyage ponctuel +
  fixture de teardown automatique en filet de securite), suite complete
  verte (591 tests Python, 241 tests JS).
- SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport
  complet analyse point par point, faux positifs documentes.
- .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine
  faisait echouer ESLint (linebreak-style) via un bug connu de git
  (checkout "en place" qui ignore l'eol force sur un fichier deja
  present sur disque - contourne en supprimant puis recreant chaque
  fichier suivi).

djLint (H021, styles inline) volontairement saute pour ce commit -
backlog assume, deja documente, traite dans un lot separe.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

styles/bulma-override.css

@@ -15,13 +15,12 @@
    d'abord. */
 
 :root {
-  --bulma-family-primary: -apple-system, BlinkMacSystemFont, "Segoe UI", Inter, Roboto, sans-serif;
+  --bulma-family-primary: -apple-system, blinkmacsystemfont, "Segoe UI", inter, roboto, sans-serif;
   --bulma-radius: 10px;
   --bulma-radius-small: 8px;
   --bulma-radius-medium: 12px;
   --bulma-radius-large: 16px;
   --bulma-radius-rounded: 999px;
-
   --bulma-primary-h: 14deg;
   --bulma-primary-s: 100%;
   --bulma-primary-l: 59%;
@@ -57,7 +56,6 @@
   --bulma-text-l: 93%;
   --bulma-text-strong-l: 97%;
   --bulma-text-title-l: 100%;
-
   --bulma-box-radius: var(--bulma-radius-large);
   --bulma-card-radius: var(--bulma-radius-large);
   --bulma-navbar-height: 3.5rem;
@@ -70,8 +68,13 @@
   background: var(--forge-bg-secondary);
   border-bottom: 1px solid var(--forge-border);
 }
-.navbar-item.brand { gap: 8px; font-size: 1rem; }
+
+.navbar-item.brand {
+  gap: 8px;
+  font-size: 1rem;
+}
 .navbar-item, .navbar-link { color: var(--forge-text); }
+
 .navbar-item.is-active, .navbar-item:hover, .navbar-link:hover {
   color: var(--accent);
   background: var(--forge-card);
@@ -107,22 +110,31 @@
   display: inline-block;
   padding: 0.4rem 1rem;
   border-radius: 999px;
-  background: rgba(255, 95, 46, 0.1);
-  border: 1px solid rgba(255, 95, 46, 0.35);
+  background: rgb(255 95 46 / 10%);
+  border: 1px solid rgb(255 95 46 / 35%);
   color: var(--accent);
   font-size: 0.78rem;
   font-weight: 600;
   letter-spacing: 0.06em;
   text-transform: uppercase;
 }
-.forge-badge.is-success { background: rgba(16, 185, 129, 0.12); border-color: rgba(16, 185, 129, 0.35); color: var(--status-success); }
-.forge-badge.is-danger { background: rgba(240, 68, 56, 0.12); border-color: rgba(240, 68, 56, 0.35); color: var(--status-danger); }
+
+.forge-badge.is-success {
+  background: rgb(16 185 129 / 12%);
+  border-color: rgb(16 185 129 / 35%);
+  color: var(--status-success);
+}
+
+.forge-badge.is-danger {
+  background: rgb(240 68 56 / 12%);
+  border-color: rgb(240 68 56 / 35%);
+  color: var(--status-danger);
+}
 
 /* Titre H1 en dégradé signature — réservé aux pages d'accueil/marketing et
    à l'écran de connexion (§3/§5). */
 .forge-gradient-title {
   background: var(--gradient);
-  -webkit-background-clip: text;
   background-clip: text;
   color: transparent;
 }
@@ -133,10 +145,25 @@
    travail (tableau de bord, éditeur...). */
 body.authBody {
   background:
-    radial-gradient(circle at 1px 1px, rgba(232, 236, 244, 0.06) 1px, transparent 0) 0 0/26px 26px,
+    radial-gradient(circle at 1px 1px, rgb(232 236 244 / 6%) 1px, transparent 0) 0 0/26px 26px,
     var(--forge-bg);
 }
-.authScreen { display: flex; align-items: center; justify-content: center; min-height: calc(100vh - 3.5rem); padding: 2rem 1rem; }
-.authCard { width: 100%; max-width: 440px; }
+
+.authScreen {
+  display: flex;
+  align-items: center;
+  justify-content: center;
+  min-height: calc(100vh - 3.5rem);
+  padding: 2rem 1rem;
+}
+
+.authCard {
+  width: 100%;
+  max-width: 440px;
+}
 .authCard.authCard-wide { max-width: 500px; }
-.authTitle { font-size: clamp(1.75rem, 3.5vw, 2.5rem); margin-bottom: 0.5rem; }
+
+.authTitle {
+  font-size: clamp(1.75rem, 3.5vw, 2.5rem);
+  margin-bottom: 0.5rem;
+}