Phase 2.1 : preparation au deploiement public

Rend une instance exposee sur Internet exploitable sans la transformer en
infrastructure : le produit reste local-first, sans compte et sans telemetrie.

Protection du service : limitation de debit en memoire par client et par
famille d'endpoint (health et ready jamais limites), interrupteur
SHARING_ENABLED, capacite maximale de partages, taille propre aux partages.
X-Forwarded-For n'est cru que si TRUST_PROXY_HEADERS l'autorise, et on lit alors
la derniere valeur, celle ajoutee par le proxy.

Expiration facultative des partages (24 h a 90 jours, ou jamais) : un lien
expire repond 410 et la page publique le dit, sans autre detail. Le proprietaire
peut prolonger ; aucune purge automatique.

Protection des liens non repertories : robots.txt, X-Robots-Tag et meta robots
sur /s/ et /api/, Referrer-Policy no-referrer sur tout le site, redaction des
jetons dans les journaux d'acces, share_token porte a 128 bits (les anciens
restent valides).

Schema gere par Alembic, applique au demarrage. Une base creee avant Alembic est
estampillee puis migree : verifie sur la base reelle de developpement, 4
partages inchanges et expires_at NULL.

Administration par CLI locale au conteneur (stats, liste, suppression, purge,
sauvegarde a chaud via l'API SQLite, restauration prudente) : aucune interface
/admin exposee.

Le jeton de gestion peut enfin etre exporte dans un fichier .openmind-share puis
reimporte depuis un autre navigateur, apres verification aupres du serveur. Il
n'est toujours jamais ajoute a un export .mmap.

Ajoute une page /privacy dont le texte est centralise, et corrige un bug trouve
en observant les logs : Alembic, lance dans le processus applicatif,
reappliquait la configuration de logs d'alembic.ini et desactivait les loggers
existants, ce qui faisait disparaitre les journaux d'acces.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/schemas/share.py

@@ -16,6 +16,19 @@ class ShareCreateIn(BaseModel):
 
     title: str = Field(default="", max_length=255)
     map: MapDocumentIn
+    # Absent = valeur par defaut de l'instance ; null explicite = permanent.
+    expires_in_days: int | None = Field(default=None, ge=1, le=3650)
+    # Distingue "champ absent" de "null explicite", que Pydantic ne separe pas.
+    permanent: bool = False
+
+
+class ShareExpiryIn(BaseModel):
+    """Corps de PATCH /api/shares/{token} : uniquement l'expiration."""
+
+    model_config = ConfigDict(extra="forbid")
+
+    expires_in_days: int | None = Field(default=None, ge=1, le=3650)
+    permanent: bool = False
 
 
 class ShareCreatedOut(BaseModel):
@@ -31,6 +44,7 @@ class ShareCreatedOut(BaseModel):
     title: str
     created_at: datetime
     updated_at: datetime
+    expires_at: datetime | None = None
 
 
 class ShareUpdatedOut(BaseModel):
@@ -38,6 +52,17 @@ class ShareUpdatedOut(BaseModel):
     share_path: str
     title: str
     updated_at: datetime
+    expires_at: datetime | None = None
+
+
+class ShareOwnerOut(BaseModel):
+    """Vue reservee au detenteur du jeton de gestion. Aucune donnee de carte."""
+
+    share_token: str
+    title: str
+    created_at: datetime
+    updated_at: datetime
+    expires_at: datetime | None = None
 
 
 class SharePublicOut(BaseModel):
@@ -49,3 +74,4 @@ class SharePublicOut(BaseModel):
     map: dict
     created_at: datetime
     updated_at: datetime
+    expires_at: datetime | None = None