docs: add POC specs, handoffs, and research notes

docs/AUDIT_20260404.md

@@ -1,8 +1,8 @@
 # Audit Complet — RPA Vision V3
 
-**Date** : 4 avril 2026  
-**Auditeur** : Claude Sonnet 4.6 + 5 agents d'exploration spécialisés  
-**Périmètre** : Projet complet (code source, tests, sécurité, déploiement, qualité)  
+**Date** : 4 avril 2026
+**Auditeur** : Claude Sonnet 4.6 + 5 agents d'exploration spécialisés
+**Périmètre** : Projet complet (code source, tests, sécurité, déploiement, qualité)
 **Environnement** : Ubuntu 24.04, Python 3.12.3, NVIDIA RTX 5070 (12 Go VRAM)
 
 ---
@@ -34,8 +34,8 @@
 
 RPA Vision V3 est un système d'automatisation RPA 100% basé sur la vision (pas d'accessibilité, pas de sélecteurs DOM). Il utilise CLIP, FAISS, Ollama (VLM local), SomEngine (YOLO + docTR) et le template matching pour identifier et interagir avec les éléments d'interface.
 
-**État** : Phase 0 complète, Phase 1 (streaming agent) en stabilisation.  
-**Maturité** : Prototype avancé / pré-production.  
+**État** : Phase 0 complète, Phase 1 (streaming agent) en stabilisation.
+**Maturité** : Prototype avancé / pré-production.
 **Risque principal** : Tokens de production hardcodés dans le code source.
 
 Le projet est fonctionnel : le replay visuel fonctionne sur Windows, le VWB permet de construire des workflows, le dashboard de monitoring est opérationnel. Cependant, la dette technique s'accumule (fichiers monolithiques, 47 Go de venvs dupliqués, code mort) et des failles de sécurité critiques doivent être corrigées avant toute mise en production.
@@ -387,9 +387,9 @@ filterwarnings = ignore::DeprecationWarning
 **Fichier** : `.env.local` (gitignored mais sur disque)
 
 Le fichier contient en clair :
-- `ANTHROPIC_API_KEY=sk-ant-api03-...` (clé Anthropic complète)
-- `OPENAI_API_KEY=sk-proj-...` (clé OpenAI complète)
-- `GOOGLE_API_KEY=AIzaSy...` (clé Google complète)
+- `ANTHROPIC_API_KEY=REDACTED` (clé Anthropic complète)
+- `OPENAI_API_KEY=REDACTED` (clé OpenAI complète)
+- `GOOGLE_API_KEY=REDACTED` (clé Google complète)
 - `DEEPSEEK_API_KEY=3d7b...` (clé Deepseek complète)
 - `ENCRYPTION_PASSWORD`, `SECRET_KEY`, `RPA_TOKEN_ADMIN`, `AUTOHEAL_ADMIN_TOKEN`, `RPA_API_TOKEN`
 
@@ -406,8 +406,8 @@ Le fichier contient en clair :
 
 ```python
 # Temporary fix: Add production tokens directly
-prod_admin_token = "73cf0db73f9a5064e79afebba96c85338be65cc2060b9c1d42c3ea5dd7d4e490"
-prod_readonly_token = "7eea1de415cc69c02381ce09ff63aeebf3e1d9b476d54aa6730ba9de849e3dc6"
+prod_admin_token = "REDACTED"
+prod_readonly_token = "REDACTED"
 ```
 
 Ces tokens **admin** sont dans le code source, visibles dans git. Ils donnent un accès complet à l'API de streaming (port 5005) exposé sur Internet via `lea.labs.laurinebazin.design`.