OpenMind v1 : cartes mentales libres, local-first et dockerisees

Premiere version fonctionnelle, demarrable avec `docker compose up -d --build`
sur http://localhost:8080.

Architecture
- Frontend React 18 / TypeScript strict / Vite / Tailwind, canvas @xyflow/react,
  etat Zustand, persistance IndexedDB via Dexie, auto-layout dagre.
- Backend FastAPI / SQLAlchemy 2 / Pydantic v2 / SQLite, qui sert aussi les
  fichiers statiques du frontend compile.
- Image Docker multi-stage, un seul service, bind mount ./data pour SQLite.

Local-first
Les cartes restent dans le navigateur. Le serveur ne recoit une carte que sur
demande explicite de partage.

Partage
Deux secrets distincts : share_token public en lecture seule dans l'URL, et
management_token conserve uniquement cote client, transmis en en-tete pour les
modifications et stocke hashe en base.

Fonctionnalites
Tableau de bord, editeur complet (undo/redo, copier/coller, raccourcis,
branches repliables, recherche), 9 themes, 4 dispositions automatiques,
panneau de proprietes, import/export .mmap, export PNG/SVG/PDF, impression,
page publique en lecture seule, PWA.

Qualite
25 tests pytest et 43 tests vitest au vert, ruff et ESLint sans erreur,
TypeScript strict sans erreur.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/services/tokens.py

@@ -0,0 +1,45 @@
+"""Generation et verification des jetons de partage.
+
+Deux secrets distincts sont produits a la creation d'un partage :
+
+* ``share_token``      : identifiant public, present dans /s/<token>, lecture seule.
+* ``management_token`` : secret de gestion (PUT/DELETE), jamais dans une URL,
+                         stocke uniquement dans l'IndexedDB du proprietaire.
+
+Seul le hash SHA-256 du management token est conserve en base.
+"""
+
+from __future__ import annotations
+
+import hashlib
+import secrets
+
+# 12 octets -> 16 caracteres url-safe, ~96 bits d'entropie : non enumerable.
+SHARE_TOKEN_BYTES = 12
+# 32 octets -> ~256 bits d'entropie pour le secret de gestion.
+MANAGEMENT_TOKEN_BYTES = 32
+
+
+def generate_share_token() -> str:
+    return secrets.token_urlsafe(SHARE_TOKEN_BYTES)
+
+
+def generate_management_token() -> str:
+    return secrets.token_urlsafe(MANAGEMENT_TOKEN_BYTES)
+
+
+def hash_token(token: str) -> str:
+    """Hash du secret de gestion.
+
+    Le token est deja un secret aleatoire de haute entropie : un SHA-256 simple
+    suffit (pas de risque de force brute par dictionnaire, contrairement a un
+    mot de passe choisi par un humain).
+    """
+    return hashlib.sha256(token.encode("utf-8")).hexdigest()
+
+
+def verify_token(token: str, expected_hash: str) -> bool:
+    """Comparaison a temps constant."""
+    if not token or not expected_hash:
+        return False
+    return secrets.compare_digest(hash_token(token), expected_hash)