create-byan-agent 2.58.2 → 2.59.2

package/CHANGELOG.md

@@ -9,6 +9,364 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+### Added — App Desktop 1.3.0 : moteur codex dans le chat local + campagne de correctifs (2026-07-24)
+
+Le chat local devient multi-moteur, et une revue adversariale de toute l'app
+(workflow natif 7 dimensions + contre-verification) a produit une campagne de
+correctifs — chaque lot committe atomiquement avec ses tests. 640 tests verts.
+
+- **Moteur codex dans le chat local (`desktop-v1.3.0`).** Le pont chat est
+  refactore en couche moteurs (`app/main/engines/`) : claude garde son
+  processus long stream-json ; codex tourne UN processus par tour
+  (`codex exec --json`, contrat JSONL verifie en direct sur codex-cli 0.145.0)
+  chaine par `codex exec resume <thread_id>`, prompt transmis par stdin plutot
+  que argv (un message commencant par `-` ne peut pas etre lu comme une
+  option). Le canal MCP est projete par invocation depuis le `.mcp.json` du
+  projet vers des surcharges `-c mcp_servers.*` (l'equivalent codex du
+  `.mcp.json` que claude lit nativement). UI : interrupteur Claude/Codex dans
+  la vue locale, codex grise si non detecte, choix persiste
+  (`chat.localEngine`).
+- **Correctifs cycle de vie process.** Course a la fermeture du pont chat
+  (start() en vol pendant before-quit orphelinait un claude) ; minuteur de
+  redemarrage du serveur local annulable + planification unique (le serveur
+  ressuscitait apres un arret explicite, double fork sur crash sante) ;
+  `mcp-registry.stop()` attend la sortie reelle avec escalade SIGKILL et tue
+  le GROUPE (les enfants d'un serveur MCP suivent) ; ecouteur error sur le
+  spawn terminal (une panne asynchrone tuait le main).
+- **Correctifs securite/confiance.** `store.get/set` verrouille par liste
+  blanche de prefixes (le renderer pouvait lire `auth.token` par le magasin
+  generique) ; `onboarding.apply` recalcule les plans cote main depuis les
+  gabarits (le renderer ne choisit que les fichiers — fin de l'ecriture de
+  chemins/contenus arbitraires) ; create/delete/flux de conversation cloud
+  gates sur `isLocalMode()`.
+- **Mode local natif assume.** `login(mode:'local')` n'exige plus le serveur
+  webui herite (le mode natif lit le disque) ; `login()` diffuse
+  `byan:auth:changed` a chaque succes (l'etiquette de mode se met a jour sans
+  recharger).
+- **Magasin de secrets durci.** Cycle lire-modifier-ecrire entier sous verrou,
+  ecriture atomique (tmp + rename), recuperation de verrou orphelin (fini le
+  blocage ~1s par ecriture), valeurs multi-lignes encodees JSON sur disque.
+- **Renderer.** Fuite de trames inter-sessions apres deconnexion ; saignement
+  de flux au changement de conversation ; bouton Envoyer aligne sur les
+  commandes slash ; `/cli` agit vraiment (moteur de la prochaine conversation,
+  retour toast) ; garde sur conversation supprimee a distance ; erreurs via
+  toasts ; abonnement menu sans resouscription a chaque rendu.
+- **Tests honnetes + outillage.** Le test E2E CSP etait une tautologie (il
+  passait CSP retiree) ; idem le test d'idempotence de l'auto-updater ;
+  `test:live` passe par cross-env (cassait cmd.exe) ; la config vitest couvre
+  preload/ ; alias `@webui` mort supprime ; le job release attache les
+  `BYAN-*.zip.blockmap` (mises a jour differentielles mac) ; installateurs
+  consolides sur `fs-utils` avec elagage de `node_modules` pendant la descente
+  (source des delais depasses en CI locale) ; gabarits de test hermetiques.
+
+### Added — App Desktop : mode local, chat local claude, sessions, terminal, dossier projet (2026-07-22)
+
+Chantier runtime de l'app Desktop Electron (`app/`) : rendre le mode local reel et
+utilisable de bout en bout, sans dependre de byan_web. Sept features (F1..F7),
+une par commit, chacune passee par review (Quinn + compliance adversarial) et
+tests.
+
+- **F1 — Mode local/cloud partout.** Corrige le bug racine : le login
+  persistait le token mais pas l'URL ni le mode, donc le mode local tapait
+  quand meme sur le cloud. Le mode + l'URL sont maintenant persistes ; un
+  contexte de session partage (`AuthSessionContext`) rend le mode lisible partout
+  et un composant `ModeSwitcher` (barre de statut) bascule local<->cloud en un
+  clic, sans re-login (reutilise le token stocke).
+- **F2 — Chat local via le claude local.** Le processus principal tient une
+  connexion WebSocket vers le serveur webui forke et la proxifie en IPC (le rendu
+  n'ouvre pas de socket lui-meme : conforme a la CSP et au bac a sable). La page
+  Chat est consciente du mode : `LocalChatView` en local, chat cloud sinon (aucun
+  appel cloud en local). Le bouton "New session" (mort) du tableau de bord est
+  branche.
+- **F3 — Session claude : creer a la volee ou reprendre.** Persistance du
+  `session_id` claude + du dossier (`cwd`) par session, drapeau `--resume`,
+  liste + historique des sessions, UI de reprise. Garde anti-traversee sur les
+  ids de session ; les reponses de l'assistant sont persistees (un fil repris
+  affiche les deux cotes).
+- **F4 — Nouvelle session sur un projet local.** La session se lie a un dossier
+  (par defaut celui de l'onboarding, sinon un selecteur de dossier).
+- **F5 — Lancer claude dans un terminal externe (multi-OS).** Handler `terminal.ts`
+  (macOS/Windows/Linux). La frontiere de confiance est le handler : `cwd` valide
+  (dossier absolu existant) et commande contrainte a une liste blanche
+  (anti-injection). Bouton dans la page Sessions.
+- **F6 — Dossier projet local visible.** Registre `~/.byan/projects.json` (ecrit
+  a l'onboarding cote Desktop), affiche dans le detail projet avec un bouton
+  "Ouvrir" (garde : n'ouvre qu'un dossier existant). L'ecriture par l'installeur
+  CLI reste a cabler (differee, non bloquante).
+- **F7 — Coherence connecte/hors-ligne.** Le tableau de bord affiche un etat de
+  connexion live et conscient du mode (fini le "Connected" fige) ; en mode local,
+  la sonde n'interroge pas byan_web.
+
+### Fixed — mode local : l'interface et la donnee ne divergent plus (2026-07-23)
+
+- Suite du fix 1.2.11 : `isLocalMode()` (la donnee) defaute sur local quand aucun
+  mode n'est enregistre, mais `getSession()` (ce que lit l'interface) renvoyait
+  encore `null` -> la barre de statut affichait "Cloud" pendant que les pages
+  lisaient le disque. Un utilisateur reellement en mode local voyait donc "Cloud"
+  et, selon le chemin, retombait sur des appels cloud.
+- Cause profonde : quand le trousseau se verrouille, le repli `.env` demarre vide,
+  donc le mode `local` ecrit auparavant dans le trousseau devient illisible.
+- Fix : une regle partagee `hasCloudToken()` dans `auth.ts`, utilisee a la fois
+  par `getSession()` et `isLocalMode()`. Sans mode explicite et sans token cloud,
+  les deux renvoient desormais **local** -> l'etiquette et la source de donnees
+  concordent. Un token cloud garde la priorite au cloud ; un mode explicite est
+  respecte. Table de verite complete testee (auth 30 + byan-web-mode 6). App
+  bumpee 1.2.11 -> 1.2.12, tag `desktop-v1.2.12`.
+
+### Fixed — mode local : plus d'AUTH_REQUIRED sur les pages sans login cloud (2026-07-23)
+
+- Symptome : en local, chaque page (Projets, Agents, Knowledge, Memory, Sessions)
+  levait `IpcError: No auth token — please log in` (`AUTH_REQUIRED`) et le serveur
+  demarrait sur le mauvais dossier (`Telechargements`).
+- Cause : le code est deja conscient du mode (N1 : `local-data.ts` lit le disque,
+  chaque handler `byan-web` route `isLocalMode() ? localXxx() : fetchXxx()`), mais
+  `isLocalMode()` renvoyait `false` quand aucun mode n'etait persiste -> l'app
+  tentait le cloud et echouait partout. Le mode `local` ne se persistait pas avant
+  le repli du magasin (desktop-v1.2.9), d'ou le retour permanent au cloud.
+- Fix : `isLocalMode()` defaute desormais sur **local** quand aucun mode n'est
+  enregistre ET qu'aucun token cloud n'existe. Un token cloud present donne la
+  priorite au cloud (un vrai utilisateur cloud n'est pas deroute) ; un mode
+  explicite (cloud/custom/local) est respecte. Un utilisateur local-first sans
+  login lit donc le disque, sans erreur d'auth.
+- La couche de donnees locale (Agents/Knowledge/Memory/Sessions/Projets depuis
+  `_byan/`) etait deja construite par N1 ; ce correctif ne fait que corriger le
+  choix du mode par defaut. Tests : table de verite isLocalMode complete (mode
+  explicite, absent+token, absent-sans-token, echec store). App 589 verte. App
+  bumpee 1.2.10 -> 1.2.11, tag `desktop-v1.2.11`.
+
+### Fixed — build Windows : tests gpuMarkerPath POSIX-only (2026-07-23)
+
+- Meme classe de bug que resolve-bin (desktop-v1.2.4) : deux tests de `gpu.test.ts`
+  comparaient des chemins POSIX en dur (`/xdg`, `~/.config`) sur le runner
+  Windows (branche APPDATA, separateur `\`) -> `Run tests` echouait avant
+  `Package Windows`, pas de `.exe` pour desktop-v1.2.9. Rendus POSIX-only
+  (`describe.skipIf(win32)`). Tag `desktop-v1.2.10`.
+
+### Fixed — Desktop : magasin de reglages, ralentissement machine, process orphelins (2026-07-23)
+
+Trois defauts de terrain remontes par les logs et le ressenti utilisateur, en une
+release, durcis par un audit adversarial (workflow natif).
+
+- **Magasin de reglages (cle de voute)** : sur une machine Linux au trousseau
+  verrouille/absent, keytar se chargeait mais `setPassword` levait "Password is
+  required." a l'appel ; l'erreur remontait et RIEN ne se persistait (token, mode,
+  `onboarding.projectRoot`), d'ou le mauvais dossier projet (le chat retombait sur
+  `~/Telechargements`). Le magasin (`secure-store.ts`) se replie desormais sur le
+  fichier `.env` (chmod 0600) au RUNTIME quand une operation keytar echoue, pas
+  seulement quand le module est absent : la persistance survit a un trousseau
+  verrouille, le dossier choisi est retenu.
+- **Ralentissement machine** : sous certains pilotes/compositeurs Linux, Electron
+  rend en logiciel (llvmpipe) et ralentit toute la machine des l'ouverture, au
+  repos. Ajout d'une option pour couper l'acceleration materielle en permanence :
+  variable `BYAN_DISABLE_GPU=1` OU fichier marqueur `<config>/byan/disable-gpu`,
+  lus en synchrone avant `app.ready` -> `app.disableHardwareAcceleration()`.
+  Defaut inchange (opt-in), pour ne pas penaliser les machines au GPU sain.
+- **Process orphelins** : a la fermeture, les process `claude` des sessions
+  natives ET les serveurs MCP lances depuis Parametres n'etaient pas tues ->
+  orphelins qui s'accumulent a chaque lancement et plombent la machine. Ajout de
+  `LocalClaudeBridge.stopAll()` (spawn detache + kill du GROUPE de process, donc
+  claude ET son enfant Node MCP) et `McpProcessRegistry.stopAll()`, cables au
+  `before-quit`. Un drapeau anti-course empeche une session de demarrer pendant
+  la fermeture.
+
+Note : l'option GPU s'active en env / fichier marqueur ; l'interrupteur dans
+Parametres reste un ajout a venir. Tests : repli store runtime + persistance du
+dossier, decision GPU (env/marqueur/defaut/erreur), kill de groupe (POSIX) +
+reaping registre MCP. Suite app 587 verte. App bumpee 1.2.8 -> 1.2.9, tag
+`desktop-v1.2.9`.
+
+### Added — chat local : session persistante a la navigation (2026-07-23)
+
+Quand on lancait un chat local puis qu'on changeait de page, le thread etait
+perdu : l'etat vivait dans LocalChatView, que le routeur manuel demonte a chaque
+navigation (le process claude, lui, survivait dans le processus principal — seul
+le rendu oubliait). L'etat de useLocalChat est remonte dans un LocalChatProvider
+monte une seule fois dans App(), au-dessus du routeur (meme patron que
+AuthSessionProvider) ; LocalChatView le consomme via le contexte. Naviguer
+demonte la vue mais le fournisseur garde le thread, le sessionId, l'abonnement
+aux evenements et le flux en direct. Revenir sur Chat ne redemarre pas de
+session.
+
+Durci par un audit adversarial (workflow natif, 4 angles + verification) qui a
+attrape 4 regressions introduites par la remontee d'etat, toutes corrigees :
+
+- **Deconnexion (majeur)** : le fournisseur vivant au-dessus du routeur, une
+  deconnexion ne le demontait plus -> le thread et la session claude d'un
+  utilisateur fuyaient vers la connexion suivante sur une machine partagee. Le
+  fournisseur ecoute maintenant `byan:auth:changed` et, a la deconnexion, vide le
+  thread et stoppe la session vivante.
+- **Changement de session** : demarrer une nouvelle session ou en reprendre une
+  ne stoppait pas l'ancienne (process claude orphelin, plafond de 8) et laissait
+  une fenetre de course ou un evenement tardif de l'ancienne session polluait la
+  nouvelle. Corrige : on stoppe l'ancienne et on pose la reference de session de
+  facon synchrone.
+
+Compromis assume (hors de la demande) : l'input en cours de frappe et le dossier
+selectionne (etat local de la vue) se reinitialisent encore a la navigation ; le
+dossier se re-derive du store au retour. Tests : persistance au remontage, flux
+arrivant hors-page, reset a la deconnexion, stop de l'ancienne session. Suite app
+573 verte. App bumpee 1.2.7 -> 1.2.8, tag `desktop-v1.2.8`.
+
+### Fixed — build Windows : les installateurs .exe se reconstruisent (2026-07-23)
+
+- La jambe Windows de la CI etait rouge depuis le tag `desktop-v1.2.4` : 4 tests
+  de `resolve-bin.test.ts` (le correctif PATH au lancement fenetre, macOS/Linux)
+  comparaient des chemins POSIX en dur (`/home/...`, separateur `:`) sur un
+  runner Windows. L'etape `Run tests` echouait AVANT `Package Windows`, donc le
+  `.exe` ne se construisait plus (la release publiait quand meme ubuntu+mac via
+  `if: always()`, ce qui masquait le trou). Rendus POSIX-only (`describe.skipIf`)
+  : le mecanisme teste (PATH tronque au lancement fenetre) n'existe pas sur
+  Windows, ou le PATH systeme vient du registre. Les 3 jambes passent, le `.exe`
+  repart. Tag `desktop-v1.2.7`.
+
+### Fixed — chat local : durcissement complet du chemin stream-json (audit adversarial, 2026-07-23)
+
+Apres le fix `--verbose`, un second defaut fatal restait : le message stdin
+n'avait pas le wrapper `message.role` (`Erreur: claude: Error: Expected message
+role 'user', got 'undefined'`). Plutot que corriger une erreur a la fois, un
+audit adversarial (workflow natif, 32 agents, 4 angles + verification par
+defaut) a passe TOUT le chemin du chat au crible : 28 defauts bruts, 20
+confirmes en-scope. 18 corriges, 2 differes avec raison. Prouve par un test
+d'integration qui lance le VRAI binaire `claude` (aller-retour reel, zero erreur
+de parsing).
+
+- **Forme stdin (fatal, les 2 adaptateurs)** : `{type:'user', content}` ->
+  `{type:'user', message:{role:'user', content}}` — la forme exacte que le CLI
+  attend en `--input-format stream-json`. `app/main/ipc-handlers/local-chat.ts`
+  (chemin natif Electron) + `install/src/webui/chat/claude-adapter.js` (webui).
+- **`result` en erreur silencieuse (les 2)** : un `result` avec `is_error:true`
+  (quota, refus, erreur API) etait affiche comme une reponse valide -> desormais
+  remonte comme erreur.
+- **stderr multiligne (les 2)** : une vraie erreur suivant une ligne benigne dans
+  le meme paquet etait avalee (test `/m` unique) -> filtrage ligne par ligne.
+- **Cycle de vie serveur webui** : fermeture d'onglet laissait un process
+  `claude` orphelin ; re-demarrage d'une session laissait un bridge orphelin ;
+  `join` (verbe du client) n'etait pas ecoute cote serveur (que `chat-subscribe`).
+- **Consommateurs** : le renderer et le client webui ignoraient le texte
+  `result` (repli quand aucun morceau n'arrive) ; la banniere d'erreur persistait
+  d'un tour a l'autre.
+- **Robustesse** : UTF-8 multi-octets coupe entre deux paquets (accents ->
+  `StringDecoder`), ligne finale sans retour a la ligne (flush a la fin du flux),
+  `result` en vol perdu a l'arret (suppression differee a la sortie du process),
+  champ cout `cost_usd` -> `total_cost_usd` (nom reel).
+- **Differe (raison)** : resserrer l'allowlist stderr (marqueurs `Session`/`Token`
+  trop larges) — non fait car ca risque de faire remonter des lignes benignes
+  comme erreurs, exactement la fausse alerte a eviter. Le vrai bug (avalage
+  multiligne) est corrige ; le resserrage viendra avec des marqueurs benins
+  observes en conditions reelles.
+- Tests : forme du fil dans les deux sens (unitaire), `is_error`, stderr
+  multiligne, flush, UTF-8, cycle de vie serveur (`_onWsGone`/`join`), repli
+  renderer, + un test d'integration opt-in (`BYAN_E2E_CLAUDE=1`) contre le vrai
+  `claude`. Suite app 568 + webui 75 vertes. App bumpee 1.2.5 -> 1.2.6, tag
+  `desktop-v1.2.6`.
+
+### Fixed — chat local : --verbose obligatoire avec claude --print + stream-json (2026-07-23)
+
+- Le chat local plantait des le premier message avec `Erreur: claude: Error:
+  When using --print, --output-format=stream-json requires --verbose`. Les deux
+  adaptateurs (app Electron `app/main/ipc-handlers/local-chat.ts`, webui
+  `install/src/webui/chat/claude-adapter.js`) lancaient `claude --print
+  --output-format stream-json` sans `--verbose` — combinaison que le CLI refuse
+  au demarrage. `--verbose` ajoute aux deux, tests mis a jour (assertion des args
+  + test dedie). App bumpee 1.2.4 -> 1.2.5, tag `desktop-v1.2.5`.
+
+### Changed — installation reduite au token d'abonnement (proxy Google cote serveur, 2026-07-22)
+
+L'API byan_web proxifie desormais Google Workspace cote serveur (documents crees au nom de chaque utilisateur, credentials detenus par le serveur). L'installation ne configure donc plus aucun credential Google en local : le seul geste est de coller le `BYAN_API_URL` + `BYAN_API_TOKEN` de l'abonnement.
+
+- Prompt de la cle service-account Google Docs (`gdoc-setup`) et de l'extension Google Workspace (gdrive OAuth) RETIRES du flux interactif ET du moteur non-interactif.
+- Apres le prompt du token byan_web : appel best-effort `GET /api/integrations/status` (lib `subscription-status`, timeout court, non bloquant pour l'install) qui affiche ce que l'abonnement inclut (ex : "Google Workspace : inclus").
+- `KNOWN_KEYS` (home-credentials) et `KEYS` (template resolve-config du serveur MCP) reduits cote Google (les cles `LEANTIME_*` restent — Leantime n'est pas encore proxifie).
+- Purge douce des postes existants : les cles Google d'un `~/.byan/credentials.json` deja present sont retirees (backup date `credentials.json.bak-YYYY-MM-DD`, mode 0600) ; le fichier `~/.byan/google-sa.json` n'est pas supprime (message informatif : il n'est plus utilise par BYAN, l'utilisateur peut le retirer). Purge active sur les deux chemins (interactif + moteur non-interactif).
+
+DEFER : mise a jour des templates du serveur MCP shippe (`install/templates`, tools `byan_gws_*` + gates remote) = geste de release separe (pipeline rachid/patnote).
+
+### Changed — les installateurs Desktop se telechargent depuis les Releases
+- Correction de cap : la page GitHub Packages heberge des registres (npm,
+  conteneurs), pas un fichier `.AppImage` cliquable. Le canal de telechargement
+  est donc les **GitHub Releases**, ou l'AppImage / le deb / l'exe / le zip mac
+  sont attaches comme pieces jointes cliquables sur tag `desktop-v*`.
+- La release est desormais **publiee automatiquement** (plus de brouillon) en
+  prerelease : les binaires sont immediatement telechargeables, zero clic
+  manuel. Elle part meme si une jambe de la matrice echoue (`if: always()`) :
+  on publie ce qui a reellement construit.
+- Les tests E2E Playwright deviennent un **signalement non bloquant**
+  (`continue-on-error`) : le vrai point de controle reste les tests unitaires +
+  typecheck + lint. Une lenteur d'executeur (lancement Electron headless > 30s)
+  ne bloque plus la sortie des installateurs.
+- macOS : cible reduite au **zip** (le dmg echouait sur l'executeur heberge,
+  "app not a file") ; le zip est telechargeable et suffit a l'auto-mise-a-jour.
+  La jambe mac est non bloquante tant que le dmg n'est pas fiabilise.
+- Retire : le job `packages-ghcr` (OCI via `oras`, pas un telechargement
+  simple) et le workflow `npm-ghp-mirror.yml` (miroir npm non demande). Le npm
+  reste sur npmjs.org (`npx create-byan-agent`), independant des binaires.
+
+## [2.59.1] - 2026-07-21
+
+### Added — app Desktop BYAN 1.0.0 : construite, empaquetee, prouvee
+- L'app Electron (`app/`, produit "BYAN") est desormais construite et empaquetee
+  reellement. Preuve sur ce depot : `BYAN-1.0.0.AppImage` (108 Mo) et
+  `byan-app_1.0.0_amd64.deb` (74,6 Mo) produits par electron-builder ; le deb
+  installe `/opt/BYAN/byan` — le chemin exact que la detection du CLI
+  (`install/lib/desktop-app.js`) sonde pour ouvrir la fenetre native.
+- Preuve d'execution du paquet (rejouable) : le serveur webui embarque, forke
+  exactement comme l'app le fait (NODE_PATH, PORT=0), repond ready + `/health`
+  200 + `/api/status` 200 avec la detection rendue par le moteur d'install.
+- Correctifs de lancement du paquet (revue adversariale : 1 block puis approve) :
+  - les ressources embarquees conservent la structure du depot
+    (`install/src/webui` + `install/lib` + `src/byan-v2/lib`) pour que les
+    require() relatifs resolvent a l'identique ;
+  - dependances du serveur declarees dans l'app et depaquetees en fichiers
+    reels (le fils forke n'a pas acces a l'archive asar) ;
+  - `.npmrc install-links=true` : la dependance locale byan-platform-config est
+    copiee, pas liee (electron-builder refuse un lien sortant de `app/`) ;
+  - `executableName: byan` cote Linux ; icone Windows regeneree en 256px ;
+    icone macOS convertie depuis le png au build (l'icns n'existe pas en depot).
+- Release 3 OS : la chaine GitHub Actions existante construit
+  ubuntu/windows/macos et attache les artefacts a une release brouillon sur tag
+  `desktop-v*` (tag dedie — les tags `v*` portent les versions npm et ne
+  declenchent plus de release Desktop). Mode d'emploi dans `app/README.md`.
+
+### Fixed — serveur webui : le contrat PORT=0 est honore
+- `install/src/webui/server.js` (expedie par npm) : `options.port ?? 3000` (0
+  est une valeur valide : le systeme assigne un port libre) et l'entree fork
+  lit desormais `PORT` et `BYAN_PROJECT_ROOT` d'environnement. L'usage CLI
+  (port explicite en argument) est inchange.
+
+## [2.59.0] - 2026-07-21
+
+### Fixed — assistant web : detection Claude/Codex reparee, interface en francais
+- **Detection reparee.** L'ecran Detection affichait "not detected" pour Claude
+  Code et Codex sur une machine ou les deux sont installes (constat terrain,
+  Arch Linux). Cause : la route de statut interrogeait un detecteur qui cherchait
+  le fichier de config de Claude DESKTOP (l'app de chat,
+  `~/.config/Claude/claude_desktop_config.json`) et un dossier `.codex/prompts`
+  relatif au projet. La detection plateforme passe desormais par le moteur
+  d'installation (`detectEnvironment`) : `~/.claude` ou binaire `claude`,
+  `~/.codex` ou binaire `codex` — les faits machine, pas les artefacts d'une
+  autre application.
+- **Interface en francais.** Les 7 etapes du wizard (accueil, detection, mode,
+  configuration, recapitulatif, installation, termine), la mise a jour et le
+  journal parlent francais (`lang="fr"`).
+
+### Changed — mode AUTO conforme au contrat
+- Le mode AUTO ne baptise plus l'utilisateur "User" en anglais : il affiche une
+  configuration minimale qui demande **comment tu veux etre appele** (plus nom
+  et repertoire du projet, pre-remplis), puis va au recapitulatif.
+- Defauts corriges : langue **Francais**, **tous les agents** (les 5 modules
+  core/bmm/bmb/tea/cis), plateformes = celles detectees sur la machine. Le
+  recapitulatif affiche "Agents : tous (roster complet)".
+- Tests : `install/__tests__/webui-detection.test.js` (7 cas — cablage moteur de
+  la detection + garde-fous sur les defauts du front).
+
+### Docs — decision Electron vs Tauri
+- Decision gravee dans `app/README.md` : Electron est conserve pour l'app
+  Desktop. Raison dominante : le serveur local est en Node ; Electron l'embarque
+  gratuitement, Tauri exigerait un Node annexe (qui annule son avantage de
+  taille) ou une reecriture du serveur. La coquille Electron existe deja
+  (main/preload/renderer, tests bout-en-bout, config de construction
+  Linux/Windows). A reevaluer seulement si le serveur quitte Node.
+
 ## [2.58.2] - 2026-07-21
 
 ### Fixed — l'assistant web plantait a l'ouverture (Cannot find module 'ws')

package/install/bin/create-byan-agent-v2.js

@@ -17,7 +17,6 @@ const { launchPhase2Chat, generateDefaultConfig } = require('../lib/phase2-chat'
 const { setupByanWebIntegration, validateByanWebReachability } = require('../lib/byan-web-integration');
 const { setupLeantimeIntegration, validateLeantimeReachability } = require('../lib/byan-leantime-integration');
 const { setupRtkIntegration, shouldOfferRtk } = require('../lib/rtk-integration');
-const { setupGdocPublish, shouldOfferGdoc } = require('../lib/gdoc-setup');
 const { setupClaudeNative } = require('../lib/claude-native-setup');
 const { setupCodexNative } = require('../lib/codex-native-setup');
 const { setupCodexAutodelegate, DEVICE_FLOW_INSTRUCTION } = require('../lib/codex-autodelegate-setup');
@@ -1418,6 +1417,25 @@ async function install(options = {}) {
       } catch (_) {
         // reachability check must never block install
       }
+
+      // Best-effort: check which integrations are included in this subscription.
+      // Never blocks install — a network error or missing endpoint is silenced.
+      try {
+        const { checkSubscriptionStatus } = require('../lib/subscription-status');
+        const status = await checkSubscriptionStatus({
+          apiUrl: byanWebResult.apiUrl,
+          token: byanWebResult.token,
+        });
+        if (status.error) {
+          console.log(chalk.gray('  abonnement vérifié plus tard'));
+        } else if (status.google && status.google.entitled === true) {
+          console.log(chalk.green('  [OK] Google Workspace: inclus — documents crées au nom de chaque utilisateur, rien à configurer localement'));
+        } else if (status.google) {
+          console.log(chalk.gray('  Google Workspace: non inclus dans cet abonnement'));
+        }
+      } catch (_) {
+        // best-effort: never block
+      }
     }
 
     if (byanWebResult && byanWebResult.configured) {
@@ -1492,32 +1510,6 @@ async function install(options = {}) {
     }
   }
 
-  if (needsClaude && shouldOfferGdoc()) {
-    console.log();
-    console.log(chalk.cyan('byan_publish — clé service account Google Docs (optionnel, headless)'));
-    try {
-      const { proceed } = await inquirer.prompt([
-        {
-          type: 'confirm',
-          name: 'proceed',
-          message: 'Configurer ta clé service account maintenant (chacun la sienne ; rien de secret ne ship) ?',
-          default: false,
-        },
-      ]);
-      if (proceed) {
-        const r = await setupGdocPublish({ log: (...a) => console.log(...a) });
-        if (r.configured) {
-          console.log(chalk.green(`  [OK] byan_publish prêt (clé : ${r.path})`));
-        } else {
-          console.log(chalk.yellow(`  [WARN] byan_publish non configuré (${r.skipReason}) — \`npm run setup-gdoc\` à tout moment`));
-        }
-      } else {
-        console.log(chalk.gray('  byan_publish ignoré — `npm run setup-gdoc` à tout moment pour activer.'));
-      }
-    } catch (error) {
-      console.log(chalk.yellow(`  [WARN] byan_publish setup skipped: ${error.message}`));
-    }
-  }
 
   if (needsClaude) {
     console.log();

package/install/lib/byan-web-integration.js

@@ -14,6 +14,7 @@ const {
   credentials: { writeCredentials: sharedWriteCredentials },
   urlUtils: { stripApiSuffix },
 } = require('byan-platform-config');
+const { purgeGoogleKeys } = require('./home-credentials');
 
 // Shared primitives return { path: string } — unwrap to plain string for
 // backwards compatibility with callers that expect a string path.
@@ -41,6 +42,16 @@ async function setupByanWebIntegration(projectRoot, options = {}) {
     ? options.presetInputs || { configured: false }
     : await promptForToken();
 
+  // Soft-purge Google keys from ~/.byan/credentials.json — ALWAYS, meme si
+  // l'utilisateur decline byan_web : les cles Google ne sont plus utilisees
+  // par BYAN quel que soit le choix (proxy server-side).
+  const purgeResult = purgeGoogleKeys();
+  if (purgeResult.purged.length > 0) {
+    const backupMsg = purgeResult.backupPath ? ` (backup : ${purgeResult.backupPath})` : '';
+    console.log(chalk.gray(`  Cles Google retirees de ~/.byan/credentials.json${backupMsg}`));
+    console.log(chalk.gray(`    La cle de service locale ~/.byan/google-sa.json n'est plus utilisee par BYAN, tu peux la supprimer.`));
+  }
+
   if (!inputs.configured) {
     if (!options.quiet) {
       console.log(
@@ -62,6 +73,7 @@ async function setupByanWebIntegration(projectRoot, options = {}) {
   // relying on .mcp.json ${} expansion or settings.local.json env injection.
   const credsResult = await sharedWriteCredentials({ BYAN_API_URL: stripApiSuffix(inputs.apiUrl), BYAN_API_TOKEN: inputs.token });
 
+
   if (!options.quiet) {
     console.log(chalk.green(`  [OK] byan_web integration configured`));
     console.log(chalk.gray(`    - Token (Claude Code) -> ${path.relative(projectRoot, settingsPath)}`));

package/install/lib/home-credentials.js

@@ -25,9 +25,6 @@ const KNOWN_KEYS = Object.freeze([
   'BYAN_API_TOKEN',
   'LEANTIME_API_URL',
   'LEANTIME_API_TOKEN',
-  'GOOGLE_APPLICATION_CREDENTIALS',
-  'GDOC_TEMPLATE_ID',
-  'GDOC_LOGO_PNG_URL',
 ]);
 
 function credentialsPath(homeDir = os.homedir()) {
@@ -82,10 +79,65 @@ function storedKeys({ homeDir = os.homedir() } = {}) {
   return KNOWN_KEYS.filter((k) => typeof current[k] === 'string' && current[k].trim() !== '');
 }
 
+const GOOGLE_KEYS = Object.freeze([
+  'GOOGLE_APPLICATION_CREDENTIALS',
+  'GDOC_TEMPLATE_ID',
+  'GDOC_LOGO_PNG_URL',
+]);
+
+/**
+ * Soft-purge: remove Google-specific keys from credentials.json.
+ * - If none of the three keys are present, returns { purged: [], backupPath: null }.
+ * - Otherwise, creates a dated .bak copy (best-effort, non-blocking), removes
+ *   the three keys, rewrites the file at mode 0600, and returns { purged, backupPath }.
+ * - Never throws: any error is caught and returned as { purged: [], backupPath: null, error }.
+ */
+function purgeGoogleKeys({ homeDir = os.homedir() } = {}) {
+  try {
+    const current = readCredentials({ homeDir });
+    const presentKeys = GOOGLE_KEYS.filter((k) => Object.prototype.hasOwnProperty.call(current, k));
+    if (presentKeys.length === 0) {
+      return { purged: [], backupPath: null };
+    }
+
+    // Create a dated backup — best-effort, failure is non-blocking.
+    const file = credentialsPath(homeDir);
+    const today = new Date().toISOString().slice(0, 10); // YYYY-MM-DD
+    const backupPath = `${file}.bak-${today}`;
+    let resolvedBackupPath = backupPath;
+    try {
+      fs.copySync(file, backupPath);
+    } catch {
+      resolvedBackupPath = null; // backup failed, but we continue
+    }
+
+    // Remove Google keys from the object.
+    const cleaned = { ...current };
+    for (const k of GOOGLE_KEYS) {
+      delete cleaned[k];
+    }
+
+    // Rewrite at mode 0600.
+    fs.ensureDirSync(path.dirname(file));
+    fs.writeJSONSync(file, cleaned, { spaces: 2, mode: 0o600 });
+    try {
+      fs.chmodSync(file, 0o600);
+    } catch {
+      // chmod best-effort (Windows ACLs)
+    }
+
+    return { purged: presentKeys, backupPath: resolvedBackupPath };
+  } catch (e) {
+    return { purged: [], backupPath: null, error: e.message };
+  }
+}
+
 module.exports = {
   KNOWN_KEYS,
+  GOOGLE_KEYS,
   credentialsPath,
   readCredentials,
   writeCredentials,
   storedKeys,
+  purgeGoogleKeys,
 };

package/install/lib/install-engine.js

@@ -138,6 +138,7 @@ async function runInstall(options = {}, hooks = {}) {
   if (platforms.claude) plan.push({ id: 'claude', label: 'Installation Claude Code (.claude + serveur MCP + .mcp.json)' });
   if (platforms.codex) plan.push({ id: 'codex', label: 'Installation Codex (~/.codex)' });
   if (credentials && Object.keys(credentials).length) plan.push({ id: 'credentials', label: 'Memorisation de la configuration (~/.byan/credentials.json)' });
+  plan.push({ id: 'google-purge', label: 'Retrait des cles Google obsoletes' });
   if (platforms.claude) plan.push({ id: 'skills-sync', label: 'Controle des copies globales de skills' });
   if (rtk) plan.push({ id: 'rtk', label: 'Verification / installation de rtk' });
   plan.push({ id: 'verify', label: 'Verification finale' });
@@ -226,6 +227,13 @@ async function runInstall(options = {}, hooks = {}) {
     }, { critical: false });
   }
 
+  // Chemin non-interactif : la purge des cles Google obsoletes tourne aussi
+  // sans passage par byan-web-integration (parite avec le flux interactif).
+  await step('google-purge', 'Retrait des cles Google obsoletes', async () => {
+    const r = homeCreds.purgeGoogleKeys({ homeDir });
+    return r.purged.length ? `${r.purged.length} cle(s) Google retiree(s)` : 'aucune cle Google presente';
+  }, { critical: false });
+
   if (platforms.claude) {
     await step('skills-sync', 'Controle des copies globales de skills', async () => {
       const r = await offerGlobalSkillsSync(projectRoot, templateDir, { ask: hooks.ask || null, homeDir, log });

package/install/lib/mcp-extensions/index.js

@@ -41,9 +41,7 @@ const {
 } = require('byan-platform-config');
 const { whitelistMcpServer } = require('../settings-local');
 
-const gdrive = require('./gdrive');
-
-const EXTENSIONS = [gdrive];
+const EXTENSIONS = [];
 
 function listExtensions() {
   return EXTENSIONS.map((ext) => ({

package/install/lib/subscription-status.js

@@ -0,0 +1,86 @@
+'use strict';
+
+/**
+ * subscription-status — best-effort check of the integrations/status endpoint.
+ *
+ * Called at install time to surface which integrations (e.g. Google Workspace)
+ * are included in the user's byan_web subscription. Never throws: any network
+ * error or missing endpoint is silenced so the install is never blocked.
+ *
+ * The fetchImpl parameter follows the injectable-dep pattern used throughout
+ * the installer (gdoc-setup, rtk-integration) so the function is fully
+ * unit-testable without a real network.
+ *
+ * fetchImpl signature: async (url, opts) => { json: async () => any }
+ * Defaults to a built-in Node http/https wrapper compatible with the inline
+ * block that previously lived in create-byan-agent-v2.js.
+ */
+
+const https = require('https');
+const http = require('http');
+
+/**
+ * Default fetchImpl: wraps Node's http/https.get in a Promise.
+ * Returns an object with a json() method (mirrors the fetch API surface
+ * used by the tests).
+ */
+function nodeFetch(url, opts = {}) {
+  return new Promise((resolve, reject) => {
+    let parsedUrl;
+    try {
+      parsedUrl = new URL(url);
+    } catch (e) {
+      return reject(e);
+    }
+    const transport = parsedUrl.protocol === 'https:' ? https : http;
+    const req = transport.get(
+      url,
+      {
+        headers: opts.headers || {},
+        timeout: opts.timeout || 5000,
+      },
+      (res) => {
+        let raw = '';
+        res.on('data', (chunk) => { raw += chunk; });
+        res.on('end', () => {
+          resolve({
+            json: async () => JSON.parse(raw),
+          });
+        });
+        res.on('error', reject);
+      }
+    );
+    req.on('error', reject);
+    req.on('timeout', () => {
+      req.destroy();
+      reject(new Error('timeout'));
+    });
+  });
+}
+
+/**
+ * Check the /api/integrations/status endpoint and return a plain object
+ * describing what is included in the subscription.
+ *
+ * @param {object} opts
+ * @param {string} opts.apiUrl   - Base URL of the byan_web API (no trailing slash, no /api)
+ * @param {string} opts.token    - ApiKey token
+ * @param {Function} [opts.fetchImpl] - Injectable fetch function (default: nodeFetch above)
+ * @returns {Promise<{ google: { configured: boolean, entitled: boolean, reachable: boolean } | null, error: string | null }>}
+ */
+async function checkSubscriptionStatus({ apiUrl, token, fetchImpl = nodeFetch } = {}) {
+  const statusUrl = `${apiUrl}/api/integrations/status`;
+  try {
+    const res = await fetchImpl(statusUrl, {
+      headers: { Authorization: `ApiKey ${token}` },
+      timeout: 5000,
+    });
+    const body = await res.json();
+    const google = (body && body.data && body.data.google) || null;
+    return { google, error: null };
+  } catch (e) {
+    return { google: null, error: e.message };
+  }
+}
+
+module.exports = { checkSubscriptionStatus, nodeFetch };