feat: authentification QR code / token pour Pronote

Ajoute le mode d'authentification PRONOTE_AUTH_MODE=qr_token comme alternative
au mode password pour les instances Pronote utilisant HubEduConnect/EduConnect
où l'authentification par mot de passe échoue (CAPTCHA, MFA, flux SAML).

Nouveaux éléments :
- PronoteSettings : auth_mode, qr_code_file, qr_pin (SecretStr)
- PronoteAuthState : persistance du token rotatif dans .pronote_auth_state.json
  (écriture atomique, permissions 0600, symlink-safe via O_EXCL|O_NOFOLLOW)
- PronoteClient._connect_qr_token() : token_login avec creds persistés,
  qrcode_login pour l'enrôlement initial, export_credentials persisté après
  chaque login réussi
- PronoteAuthRotationError : levée en cas d'échec de rotation du token,
  propagée sans wrapping à travers PronoteFetcher et fetch_step jusqu'à
  PipelineRunner.run() qui notifie via XMPP (si canal disponible et dry_run inactif)
- _is_pronotepy_configured() mode-aware : qr_token ne requiert que PRONOTE_URL
- _collect_auth_secrets() : redaction des secrets explicites (token, PIN, jeton QR)
  dans tous les logs du chemin d'authentification

Documentation :
- .env.example : PRONOTE_AUTH_MODE, PRONOTE_QR_CODE_FILE, PRONOTE_QR_PIN
- AGENTS.md : contrat d'authentification QR code / token
- Wiki GuidePronote : section enrôlement, exécutions suivantes, ré-enrôlement

Tests (686 passés, couverture 94.87%) :
- 5 tests config QR, 9 tests auth_state, 10 tests client QR, 3 tests propagation,
  4 tests intégration rotation end-to-end, 4 tests fallback mode-aware
- Tests de non-fuite : sentinelles distinctes pour token, PIN, jeton QR

Co-authored-by: coder/litellm/coder <coder@agents.invalid>

.env.example

@@ -1,6 +1,6 @@
 # --- Pronote ---
 PRONOTE_ICAL_URL=https://college.ent/pronote/ical/Edt_Jean.ics?icalsecurise=REPLACE_ME&version=2024
-PRONOTE_URL=https://college.ent/pronote/eleve.html
+PRONOTE_URL=https://college.ent/pronote/parent.html
 PRONOTE_ACCOUNT_TYPE=parent
 PRONOTE_USERNAME=parent.dupont
 PRONOTE_PASSWORD=your_secure_password
@@ -11,6 +11,19 @@ PRONOTE_AGENDA_SOURCE=auto
 PRONOTE_HOMEWORK_SOURCE=auto
 PRONOTE_MESSAGES_SOURCE=pronotepy
 
+# Mode d'authentification Pronote
+# "password" (défaut) : authentification classique URL + identifiant + mot de passe
+# "qr_token" : authentification par QR code puis token persistant
+PRONOTE_AUTH_MODE=password
+
+# Fichier JSON du QR code Pronote (enrôlement initial, mode qr_token uniquement)
+# À générer depuis l'application mobile Pronote. Le QR code expire ~10 minutes.
+# PRONOTE_QR_CODE_FILE=/path/to/qr_code.json
+
+# PIN à 4 chiffres pour l'enrôlement QR code (mode qr_token uniquement)
+# SENSIBLE : ne jamais committer cette valeur
+# PRONOTE_QR_PIN=1234
+
 # --- CalDAV ---
 CALDAV_URL=https://caldav.example.com/calendars/user/pronote/
 CALDAV_USERNAME=user@example.com
@@ -49,6 +62,20 @@ AI_BASE_URL=https://api.openai.com/v1
 # AI_API_KEY=
 # AI_MODEL=gpt-4o-mini  # exemple recommandé, non activé par défaut
 
+# Exemple : OpenRouter (HTTPS)
+# AI_PROVIDER=openai-compatible
+# AI_BASE_URL=https://openrouter.ai/api/v1
+# AI_MODEL=fournisseur/modele
+# AI_API_KEY=your-openrouter-key
+# AI_ALLOW_INSECURE_HTTP=false
+
+# Exemple : Ollama local (HTTP, sans authentification réelle)
+# AI_PROVIDER=openai-compatible
+# AI_BASE_URL=http://127.0.0.1:11434/v1
+# AI_MODEL=modele-local
+# AI_API_KEY=local-not-required
+# AI_ALLOW_INSECURE_HTTP=true
+
 # --- Blog ---
 BLOG_ENABLED=false
 BLOG_RSS_URL=https://blogpeda.ac-bordeaux.fr/cjeliote/?feed=rss2

.gitignore

@@ -48,11 +48,16 @@ Thumbs.db
 # --- Project-specific state files ---
 .blog_rss_state.json
 .caldav_sync_state.json
+# État d'authentification pronotepy (QR code / token rotation)
+.pronote_auth_state.json
 *.state.json
 
 # --- Local scratch / WIP files ---
 FIXME_*
+FEAT_*
 TEST_*
+HANDOFF.md
+.worktrees/
 
 # --- Logs ---
 *.log

.secrets.baseline

@@ -140,7 +140,7 @@
         "filename": "GUIDE_DEV_PYTHON.md",
         "hashed_secret": "90bd1b48e958257948487b90bee080ba5ed00caa",
         "is_verified": true,
-        "line_number": 4852,
+        "line_number": 5064,
         "is_secret": false
       }
     ],
@@ -177,5 +177,5 @@
       }
     ]
   },
-  "generated_at": "2026-09-07T17:01:01Z"
+  "generated_at": "2026-09-08T10:45:46Z"
 }

AGENTS.md

@@ -146,6 +146,42 @@ pronote-sync --dry-run
 - Réutiliser un téléchargement/parsing iCal pour l'agenda et les devoirs pendant un même run, sans
   cache global ni persistant.
 
+### Contrat d'authentification QR code / token
+
+- Le mode d'authentification est sélectionné par `PRONOTE_AUTH_MODE` :
+  - `password` (défaut) : authentification classique via URL, identifiant, mot de passe et ENT.
+  - `qr_token` : authentification par QR code puis token persistant (pour les instances Pronote
+    utilisant HubEduConnect/EduConnect où l'authentification par mot de passe échoue).
+- En mode `qr_token`, le premier login utilise `pronotepy.qrcode_login(qr_code, pin, uuid)` avec
+  les paramètres `PRONOTE_QR_CODE_FILE` (chemin du JSON QR) et `PRONOTE_QR_PIN` (PIN SecretStr).
+- Après chaque login réussi, les credentials exportées par `pronotepy.export_credentials()` sont
+  persistées dans `.pronote_auth_state.json` (permissions `0600`, format JSON versionné, écriture
+  atomique). Le token rotate à chaque session — le fichier doit être mis à jour après chaque run.
+- Les logins suivants utilisent `pronotepy.token_login(**credentials)` avec le token persisté.
+- En cas d'échec de `token_login` (token expiré/invalide), une `PronoteAuthRotationError` est levée.
+  Cette erreur se propage sans wrapping à travers `PronoteFetcher` et `fetch_step` jusqu'à
+  `PipelineRunner.run()`, qui :
+  - journalise l'erreur (expurgée) ;
+  - envoie une notification XMPP actionnable si le canal est disponible et `dry_run` est inactif ;
+  - retourne un résultat dégradé `(None, errors)`.
+- `PronoteAuthRotationError` est re-levée telle quelle (`except PronoteAuthRotationError: raise`)
+  dans toutes les couches d'enveloppement du chemin critique (fetch_agenda, fetch_homework,
+  fetch_step). Ne pas l'attraper avec `except Exception` sans la re-léver d'abord.
+- Le fichier `.pronote_auth_state.json` ne doit jamais être committé (couvert par `.gitignore`).
+  Son contenu (token vivant) ne doit jamais apparaître dans les logs, les messages d'erreur ou
+  les notifications XMPP.
+
+### Contrat du provider `openai-compatible`
+- Le provider `openai-compatible` réutilise `OpenAISynthesisProvider` avec un `base_url` personnalisé ; aucun nouveau provider n'est créé.
+- `AI_BASE_URL` et `AI_MODEL` sont requis ; `AI_API_KEY` est requis (MVP).
+- L'URL doit utiliser `https` sauf si `AI_ALLOW_INSECURE_HTTP=true`.
+- Les credentials dans l'URL (`user:pass@host`) sont refusés.
+- Les paramètres sensibles dans la *query string* sont refusés, y compris ceux sans valeur (`?token`).
+- Les URL malformées ou sans hostname sont rejetées (`ValueError` catché).
+- Aucune manipulation automatique de `/v1` n'est effectuée.
+- Configuration incomplète ou invalide → `None` avec avertissement (mode dégradé) ; la factory ne lève jamais d'exception.
+- La factory ne fait aucun appel réseau ; les avertissements utilisent `redact_url()`.
+
 ### Documentation (docstrings)
 - **Obligatoire** : **Toute** fonction, méthode et classe publique doit avoir une docstring.
 - **Format** : Utiliser le format **Sphinx/reST** (pas Google ou NumPy) pour une compatibilité native avec Sphinx.
@@ -315,3 +351,47 @@ Un changement est considéré comme **terminé** lorsque :
 - Le *handoff* distingue clairement :
   - Ce qui a été vérifié localement (ex. : tests unitaires, linter).
   - Ce qui nécessite encore une vérification manuelle (ex. : tests d'intégration avec un serveur CalDAV réel).
+
+---
+
+## 13. Versionnage et releases
+
+### Politique de versionnage
+
+Le projet suit **Semantic Versioning** (semver.org v2.0.0). Phase actuelle : `0.x` (pré-`1.0.0`).
+
+| Changement | Incrément |
+|------------|----------|
+| Défaut constaté au déploiement | Patch (`0.1.Z`) — correction rétrocompatible |
+| Ajout ou cassure en phase `0.x` | Minor (`0.Y.0`) |
+| Déploiement réel validé | `1.0.0` |
+
+### Règle absolue de validation
+
+**Aucune montée de version (tag + release) ne peut être effectuée
+sans validation préalable en environnement réel.** Les tests automatisés et la revue de code
+ne suffisent pas ; le correctif ou la fonctionnalité doit avoir été testé avec succès
+sur le serveur de production (ou un environnement équivalent) avant de tagger.
+
+### Procédure de release
+
+1. **Valider en environnement réel** : le correctif ou la fonctionnalité est testé
+   sur le serveur de production.
+2. **Mettre à jour `pyproject.toml`** : incrémenter le champ `version` à la nouvelle version.
+3. **Mettre à jour `CHANGELOG.md`** : ajouter une entrée sous le format
+   [Keep a Changelog](https://keepachangelog.com/en/1.1.0/) avec la nouvelle version et la date.
+4. **Committer** : un commit `chore: monter en version x.y.z` regroupe
+   les mises à jour de `pyproject.toml` et `CHANGELOG.md`.
+5. **Tagger** : créer un tag annoté `vx.y.z` sur le commit de version.
+6. **Pousser le tag** : `git push origin vx.y.z`.
+7. **Créer la release** sur Gitea avec le changelog correspondant.
+
+### Cohérence des versions
+
+Les trois sources de version doivent toujours être synchronisées au moment d'un tag :
+- Le tag Git (`vx.y.z`)
+- `pyproject.toml` (`version = "x.y.z"`)
+- `CHANGELOG.md` (`## [x.y.z] - YYYY-MM-DD`)
+
+> **Rappel** : Ne jamais créer un tag sans avoir d'abord mis à jour
+> `pyproject.toml` et `CHANGELOG.md`.

CHANGELOG.md

@@ -0,0 +1,28 @@
+# Changelog
+
+All notable changes to this project will be documented in this file.
+
+The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
+and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
+
+## [0.1.0] - 2026-09-08
+
+Initial release covering milestones M1 through M15.
+
+### Added
+- **M1 (Scaffolding)**: Python project structure with `pyproject.toml`, and tooling configuration for `ruff`, `mypy`, `bandit`, and `pre-commit`.
+- **M2 (Configuration & secrets)**: Pydantic Settings for configuration management, `SecretStr` for sensitive fields, and redaction utilities (`redact_url`, `redact_secrets`, `redact_exception`) with `RedactingFormatter` for logging.
+- **M3 (Data models)**: 16 Pydantic models and 6 enums across 10 modules, including frozen contracts and mutable work results.
+- **M4 (Pronote sources)**: iCal fetch and parse, `pronotepy.ParentClient` integration, automatic fallback logic for `auto`, `ical`, and `pronotepy` modes, and error redaction for sensitive data.
+- **M5 (Blog RSS)**: `feedparser`-based RSS client with GUID deduplication, HTTP cache support (ETag/If-Modified-Since), and `BlogRSSState` persistence.
+- **M6 (Theoretical agenda)**: JSON provider with week parity (even/odd), school holidays calendar, and deterministic IDs for events.
+- **M7 (CalDAV sync)**: Differential synchronization by UID, `X-PRONOTE-SYNC-MANAGED` marker for managed events, idempotent operations, preserved cancelled events, and dry-run support.
+- **M8 (Agenda diff)**: `AgendaComparator` with deterministic matching, and generation of `AgendaDiff`/`AgendaChange` objects for tracking differences.
+- **M9 (AI synthesis)**: `SynthesisProvider` protocol, OpenAI provider, optional `litellm` provider, and `openai-compatible` provider with degraded mode (returns `None` on failure).
+- **M10 (XMPP channel)**: `XmppChannel` using `slixmpp`, formatted messages (synthesis, homeworks, changes, messages, blog), and error handling that returns `False` on failure.
+- **M11 (Pipeline orchestration)**: `PipelineRunner` as composition root, 7 pipeline steps, degraded error handling, dry-run mode, and iCal reuse within a single run.
+- **M12 (CLI entry point)**: `pronote-sync` command with `--dry-run` and `--log-level` options, redacted error display, and safe traceback in DEBUG mode.
+- **M13 (Tests & coverage)**: 636 tests with 95.67% coverage, test fixtures (`pronote-4e.ics`, `pronote-6e.ics`), shared `conftest.py`, and secret non-leak tests.
+- **M14 (Deployment)**: systemd service and timer (daily at 18:00), logrotate configuration (daily, rotate 7, compress), `check_secrets.py` pre-deployment scanner, and exploitation guide.
+- **M15 (Documentation)**: README, README.LLM.md (AI agent setup guide), MIT LICENSE, CHANGELOG, and Gitea Actions CI/CD reference for LXC/VPS (Debian/CentOS).
+- **Other**: MIT License. Gitea Actions CI/CD reference for LXC/VPS (Debian/CentOS) is planned and optional, not delivered in this release.

GUIDE_DEV_PYTHON.md

@@ -1,11 +1,12 @@
 # Guide de Développement : Synchronisation Pronote → CalDAV + XMPP (Python)
 
-> **Statut** : Guide de référence pour un futur projet Python inspiré de [`pronote-digest`](https://github.com/antoine-coulon/pronote-digest) (TypeScript).
+> **Statut** : Guide de référence pour un futur projet Python inspiré de [`pronote-digest`](https://github.com/yoanbernabeu/pronote-digest) (TypeScript) par [Yoan Bernabeu](https://yoanbernabeu.github.io/pronote-digest/).
 > **Public cible** : Développeurs Python (≥ 3.13.5) familiers avec les concepts de CLI, synchronisation de calendriers et messagerie instantanée.
 > **Objectif** : Fournir une base architecturale et technique pour un outil **synchronisant l'agenda Pronote vers CalDAV**, **comparant avec un agenda théorique**, **récupérant messages et informations**, et **envoyant une synthèse par XMPP**.
 
 > **⚠️ À noter** : Ce guide est **volontairement détaillé** pour préserver les connaissances acquises sur les spécificités des flux Pronote (iCal) et les décisions architecturales du projet TypeScript. Certaines sections (ex: parsing iCal) contiennent des **observations précises** issues de l'analyse du code existant.
 > **Mises à jour récentes** :
+> - Ajout du provider ``openai-compatible`` dans la section **[3. Configuration](#3-configuration-denvironnement)** (variables §3.1.2, modèle §3.2, exemple §3.1.3) et la factory **[§9.5](#95-factory-pour-les-fournisseurs-ia-synthesis__init__py)** pour supporter les endpoints compatibles OpenAI (OpenRouter, Ollama, proxy LiteLLM) avec validation stricte de l'URL et opt-in HTTP.
 > - Ajout de la section **[5 bis. Sources externes : blog du collège (RSS)](#5-bis-sources-externes--blog-du-collège-rss)** pour le parsing du flux RSS du blog.
 > - Mise à jour de la section **[10. Envoi XMPP](#10-envoi-xmpp)** avec la décision architecturale (compte bot dédié, messages directs, pas de PubSub).
 > - Intégration des modèles `BlogArticle` et `ExternalInfo` dans la section **[6. Modèle de données Pydantic](#6-modèle-de-données-pydantic)**.
@@ -299,22 +300,23 @@ d'un besoin réel et testé.
 | `PRONOTE_MESSAGES_SOURCE`    | Source pour les messages (`pronotepy` uniquement).                         | `pronotepy`             | `Literal`     |
 | `SYNC_PAST_DAYS`             | Nombre de jours dans le passé pour la sync CalDAV.                         | `7`                     | `int`         |
 | `SYNC_FUTURE_DAYS`           | Nombre de jours dans le futur pour la sync CalDAV.                         | `30`                    | `int`         |
-
-> ⚠️ **Décision d'implémentation** :
-> Ces variables sont désormais dans `AppSettings` (et non `CalDAVSettings`) car `CalDAVSettings` utilise `env_prefix="CALDAV_"`, ce qui nécessiterait `CALDAV_SYNC_PAST_DAYS`.
-> Leur placement dans `AppSettings` (sans préfixe) garantit un mappage correct avec `SYNC_PAST_DAYS` / `SYNC_FUTURE_DAYS`.
 | `THEORETICAL_AGENDA_PATH`    | Chemin vers le fichier JSON de l'agenda théorique.                         | `None`                  | `str \| None`|
 | `SCHOOL_HOLIDAYS_PATH`       | Chemin vers le fichier JSON des vacances scolaires.                       | `None`                  | `str \| None`|
 | `THEORETICAL_WEEK_ANCHOR_DATE` | Date de référence pour la parité des semaines (paire/impaire).          | `None`                  | `date \| None`|
 | `THEORETICAL_WEEK_ANCHOR_TYPE` | Parité de la semaine de référence (`even` ou `odd`).                    | `None`                  | `Literal["even", "odd"] \| None`|
 | `AI_ENABLED`                 | Activer la synthèse IA.                                                     | `False`                 | `bool`        |
-| `AI_PROVIDER`                | Fournisseur IA (`openai` ou `litellm`).                                     | `openai`                | `str`         |
+| `AI_PROVIDER`                | Fournisseur IA (`openai`, `openai-compatible` ou `litellm`).                | `openai`                | `Literal["openai", "litellm", "openai-compatible"]` |
 | `AI_BASE_URL`                | URL de base pour l'API IA (ex: OpenAI compatible).                          | `None`                  | `str \| None`|
 | `AI_API_KEY`                 | Clé API pour l'API IA.                                                       | `None`                  | `SecretStr`   |
 | `AI_MODEL`                   | Modèle IA à utiliser (exemple recommandé : `gpt-4o-mini`).                  | `None`                  | `str \| None`|
+| `AI_ALLOW_INSECURE_HTTP` | Autoriser HTTP (non sécurisé) pour `openai-compatible` uniquement. | `False`                 | `bool`        |
 | `DRY_RUN`                    | Mode dry-run (pas de modifications CalDAV/XMPP).                           | `False`                 | `bool`        |
 | `LOG_LEVEL`                  | Niveau de log (`DEBUG`, `INFO`, `WARNING`, `ERROR`).                         | `INFO`                  | `str`         |
 
+> ⚠️ **Décision d'implémentation** :
+> Ces variables sont désormais dans `AppSettings` (et non `CalDAVSettings`) car `CalDAVSettings` utilise `env_prefix="CALDAV_"`, ce qui nécessiterait `CALDAV_SYNC_PAST_DAYS`.
+> Leur placement dans `AppSettings` (sans préfixe) garantit un mappage correct avec `SYNC_PAST_DAYS` / `SYNC_FUTURE_DAYS`.
+
 
 #### 3.1.3 Exemple de fichier `.env.example`
 
@@ -360,6 +362,20 @@ AI_BASE_URL=https://api.openai.com/v1
 AI_API_KEY=your_ai_api_key
 # AI_MODEL=gpt-4o-mini  # exemple recommandé, non activé par défaut
 
+# Exemple : OpenRouter (HTTPS, provider openai-compatible)
+# AI_PROVIDER=openai-compatible
+# AI_BASE_URL=https://openrouter.ai/api/v1
+# AI_MODEL=fournisseur/modele
+# AI_API_KEY=your-openrouter-key
+# AI_ALLOW_INSECURE_HTTP=false
+
+# Exemple : Ollama local (HTTP, provider openai-compatible)
+# AI_PROVIDER=openai-compatible
+# AI_BASE_URL=http://127.0.0.1:11434/v1
+# AI_MODEL=modele-local
+# AI_API_KEY=local-not-required
+# AI_ALLOW_INSECURE_HTTP=true
+
 # --- Divers ---
 DRY_RUN=false
 LOG_LEVEL=INFO
@@ -376,6 +392,8 @@ LOG_LEVEL=INFO
 > `sync_past_days` et `sync_future_days` sont dans `AppSettings`, et non `CalDAVSettings`.
 > `CalDAVSettings.calendar_path` a pour valeur par défaut `"/pronote-sync/"`.
 > `XmppSettings.resource` a pour valeur par défaut `"pronote-sync"`.
+> > ``AISettings.provider`` accepte également ``openai-compatible`` (réutilise ``OpenAISynthesisProvider`` avec un ``base_url`` personnalisé).
+> > ``AISettings.allow_insecure_http`` (défaut ``False``) autorise les URLs HTTP pour le provider ``openai-compatible`` uniquement.
 
 ```python
 from typing import Literal
@@ -409,9 +427,10 @@ class CalDAVSettings(BaseSettings):
 class AISettings(BaseSettings):
     model_config = SettingsConfigDict(env_prefix="AI_", env_file=".env", extra="ignore")
     enabled: bool = False
-    provider: Literal["openai", "litellm"] = "openai"
+    provider: Literal["openai", "litellm", "openai-compatible"] = "openai"
     base_url: str | None = None
     api_key: SecretStr | None = None
+    allow_insecure_http: bool = False
     model: str | None = None
 
 
@@ -473,9 +492,12 @@ le contexte et le traceback complet.
 > `redact_exception` est implémenté comme une **fonction au niveau du module** dans `utils/redaction.py`, et non comme une méthode de `RedactingFormatter` (contrairement à §4.2.2 où elle apparaît comme une méthode).
 > `redact_url` utilise `urlsplit`/`urlunsplit`/`parse_qsl` au lieu de `urlparse`/`urlunparse`/`parse_qs`.
 > La correspondance des clés sensibles est insensible à la casse.
+> `redact_secrets()` trie les `extra_secrets` par longueur décroissante pour éviter les masquages partiels.
+> `Settings.redaction_secrets()` retourne un tuple des secrets configurés (mots de passe Pronote, CalDAV, XMPP et clé API IA) à passer à `redact_exception`.
 
 ```python
 import re
+from typing import Iterable, SecretStr
 from urllib.parse import urlparse, urlunparse, parse_qs, urlencode
 
 
@@ -524,6 +546,20 @@ def redact_secrets(text: str) -> str:
     )
 
     return text
+
+
+def redact_exception(
+    exc: Exception, extra_secrets: Iterable[SecretStr | str] = ()
+) -> str:
+    """
+    Masque les secrets dans une exception.
+
+    :param exc: Exception à masquer.
+    :param extra_secrets: Secrets configurés à masquer dans le message.
+    :return: Message de l'exception avec les secrets masqués.
+    :rtype: str
+    """
+    return redact_secrets(str(exc), extra_secrets)
 ```
 
 #### 4.2.2 Configuration des logs (`logging.py`)
@@ -3829,14 +3865,70 @@ class LiteLLMSynthesisProvider:
 
 La factory utilise `get_synthesis_provider(settings: AISettings) -> SynthesisProvider | None`. Elle retourne `None` si `not settings.enabled` ou `not settings.api_key`.
 
-L'import de `litellm` est conditionnel avec `try/except ImportError` → `None`. Les providers `openai` et `openai-compatible` sont mappés vers `OpenAISynthesisProvider`, et `litellm` vers `LiteLLMSynthesisProvider`. La factory passe `settings.api_key` (SecretStr) directement aux providers, sans appel à `.get_secret_value()`.
+L'import de `litellm` est conditionnel avec `try/except ImportError` → `None`. Les valeurs possibles pour `AI_PROVIDER` sont les suivantes :
+
+| Valeur | Usage | Adaptateur |
+|---|---|---|
+| ``openai`` | API OpenAI officielle | ``OpenAISynthesisProvider`` |
+| ``openai-compatible`` | Proxy ou serveur compatible OpenAI | ``OpenAISynthesisProvider`` |
+| ``litellm`` | Bibliothèque LiteLLM embarquée | ``LiteLLMSynthesisProvider`` |
+
+Pour le provider ``openai-compatible``, la validation de la configuration est stricte :
+
+- ``AI_BASE_URL`` est requis.
+- ``AI_MODEL`` est requis et ne doit pas être vide.
+- ``AI_API_KEY`` est requis (MVP).
+- L'URL doit utiliser le schéma ``https`` sauf si ``AI_ALLOW_INSECURE_HTTP=true``.
+- Les credentials dans l'URL sont refusés.
+- Les paramètres sensibles dans la *query string* sont refusés.
+- Aucune manipulation automatique de ``/v1`` n'est effectuée.
+- Si la configuration est incomplète, la factory retourne ``None`` avec un avertissement (mode dégradé).
 
 La politique hors réseau de la table des modèles litellm est gérée par `LITELLM_LOCAL_MODEL_COST_MAP=true`. Les tests utilisent `pytest.importorskip("litellm")`.
 
 ```python
+import logging
+from urllib.parse import parse_qsl, urlparse
+
 from ..config.settings import AISettings
 from .provider import SynthesisProvider
 from .openai import OpenAISynthesisProvider
+from ..utils.redaction import redact_url
+
+logger = logging.getLogger(__name__)
+
+
+def _validate_openai_compatible_config(
+    url: str | None, model: str | None, allow_insecure_http: bool
+) -> str | None:
+    """Valide la configuration du provider ``openai-compatible``."""
+    if not url or not model:
+        return None
+    try:
+        parsed = urlparse(url)
+    except ValueError:
+        logger.warning("URL invalide : %s", redact_url(url))
+        return None
+    if not parsed.hostname:
+        logger.warning("URL sans hostname : %s", redact_url(url))
+        return None
+    if parsed.scheme not in ("http", "https"):
+        return None
+    if parsed.scheme == "http" and not allow_insecure_http:
+        return None
+    if parsed.username is not None or parsed.password is not None:
+        logger.warning("Credentials dans l'URL refusés : %s", redact_url(url))
+        return None
+    sensitive_names = {"token", "key", "api_key", "secret", "password", "auth"}
+    param_names = [
+        name.lower() for name, _ in parse_qsl(parsed.query, keep_blank_values=True)
+    ]
+    if any(name in sensitive_names for name in param_names):
+        logger.warning(
+            "Paramètres sensibles dans l'URL refusés : %s", redact_url(url)
+        )
+        return None
+    return url
 
 
 def get_synthesis_provider(settings: AISettings) -> SynthesisProvider | None:
@@ -3867,6 +3959,14 @@ def get_synthesis_provider(settings: AISettings) -> SynthesisProvider | None:
             return None
         return LiteLLMSynthesisProvider(api_key=settings.api_key, base_url=base_url, model=model)
 
+    if settings.provider == "openai-compatible":
+        url = _validate_openai_compatible_config(
+            settings.base_url, settings.model, settings.allow_insecure_http
+        )
+        if url is None:
+            return None
+        return OpenAISynthesisProvider(api_key=settings.api_key, base_url=url, model=model)
+
     return OpenAISynthesisProvider(api_key=settings.api_key, base_url=base_url, model=model)
 ```
 
@@ -3941,10 +4041,10 @@ Si le besoin évolue (ex: **plusieurs destinataires**), les étapes suivantes so
 | `XMPP_ENABLED`             | Activer l'envoi XMPP.                                                        | `False`               | `bool`            | ❌ Non           |
 | `XMPP_JID`                 | Identifiant du compte bot (ex: `pronote-bot@exemple.org`).                  | `None`                | `str`             | ✅ Oui           |
 | `XMPP_PASSWORD`             | Mot de passe du compte bot.                                                  | `None`                | `SecretStr`       | ✅ Oui           |
-| `XMPP_HOST`                | Hôte XMPP **explicite** (ex: `exemple.org`).                                | `None`                | `str`             | ✅ Oui           |
-| `XMPP_PORT`                | Port XMPP (5222 pour TLS, 5223 pour SSL).                                     | `5222`               | `int`             | ❌ Non           |
+| `XMPP_HOST`                | Hôte XMPP **explicite** (ex: `exemple.org`).                                | `""`                 | `str`             | ✅ Oui           |
+| `XMPP_PORT`                | Port XMPP (5222 pour STARTTLS, 5223 pour TLS direct).                           | `5222`               | `int`             | ❌ Non           |
 | `XMPP_TO`                  | Destinataire unique (ex: `parent@exemple.org`).                             | `None`                | `str`             | ✅ Oui           |
-| `XMPP_RESOURCE`            | Ressource XMPP (ex: `pronote-digest`).                                       | `pronote-digest`     | `str`             | ❌ Non           |
+| `XMPP_RESOURCE`            | Ressource XMPP (ex: `pronote-sync`).                                         | `"pronote-sync"`     | `str`             | ❌ Non           |
 | `XMPP_USE_TLS`             | Utiliser TLS pour la connexion.                                              | `True`                | `bool`            | ❌ Non           |
 | `XMPP_TIMEOUT`             | Timeout de connexion (secondes).                                             | `30`                 | `int`             | ❌ Non           |
 
@@ -3977,305 +4077,400 @@ from pydantic_settings import BaseSettings, SettingsConfigDict
 
 
 class XmppSettings(BaseSettings):
-    model_config = SettingsConfigDict(env_prefix="XMPP_", env_file=".env", extra="ignore")
-    enabled: bool = Field(False, description="Activer l'envoi XMPP")
-    jid: str = Field(..., description="Identifiant du compte bot (ex: pronote-bot@exemple.org)")
-    password: SecretStr = Field(..., description="Mot de passe du compte bot")
-    host: str = Field(..., description="Hôte XMPP explicite (ex: exemple.org)")
-    port: int = Field(5222, description="Port XMPP (5222 pour TLS)")
-    to: str = Field(..., description="Destinataire unique (ex: parent@exemple.org)")
-    resource: str = Field("pronote-digest", description="Ressource XMPP")
-    use_tls: bool = Field(True, description="Utiliser TLS pour la connexion")
-    timeout: int = Field(30, description="Timeout de connexion (secondes)")
+    """Paramètres du canal de notifications XMPP (désactivé par défaut).
+
+    Tous les champs ont des valeurs par défaut afin que le canal XMPP reste
+    inactif tant qu'il n'est pas explicitement activé.
+    """
+
+    model_config = SettingsConfigDict(
+        env_file=".env",
+        extra="ignore",
+        env_prefix="XMPP_",
+        hide_input_in_errors=True,
+    )
+
+    enabled: bool = False
+    jid: str | None = None
+    password: SecretStr | None = None
+    host: str = ""
+    port: int = Field(default=5222, ge=1, le=65535)
+    to: str | None = None
+    resource: str = "pronote-sync"
+    use_tls: bool = True
+    timeout: int = Field(default=30, gt=0)
 ```
 
+> **⚠️ Mapping TLS** :
+> - `use_tls=True` → **TLS direct** (port 5223, `enable_direct_tls=True`, `enable_starttls=False`).
+> - `use_tls=False` → **STARTTLS** (port 5222, `enable_starttls=True`, `enable_direct_tls=False`).
+> La validation refuse `use_tls=False` si `host` n'est pas un hôte de boucle locale (`localhost`, `127.0.0.1`, `::1`).
+
 ---
 
 ### 10.3 Protocole `Channel` (`channels/protocol.py`)
 
 ```python
-Protocol
-from ..models.xmpp import XmppMessage
+from typing import Protocol, runtime_checkable
+
+from pronote_sync.models.xmpp import XmppMessage
 
 
+@runtime_checkable
 class Channel(Protocol):
-    """
-    Protocole pour les canaux de sortie (XMPP, fichier, etc.).
-    **Synchrone** : Le pipeline appelle `send()` sans await.
-    Inspiré de l'interface `Channel` dans src/channels/ du projet TypeScript.
-    """
+    """Contrat structurel d'un canal de sortie du pipeline.
 
-    name: str
+    Un canal de sortie reçoit un message final :class:`XmppMessage` et tente de
+    l'envoyer vers la destination qu'il représente (CalDAV, XMPP, etc.).
+
+    **Contrat d'erreur** : Un canal ne lève jamais :pyexc:`PipelineWarning` ; en cas
+    d'échec, il retourne ``False``. Le :pyexc:`PipelineWarning` est créé par l'étape
+    pipeline, pas par le canal.
+
+    :ivar send: Envoie un message sur le canal.
+    """
 
     def send(self, message: XmppMessage) -> bool:
-        """
-        Envoie un message de manière **synchrone**.
+        """Envoie un message sur le canal.
 
-        Args:
-            message: Message à envoyer.
+        Un canal ne lève jamais :pyexc:`PipelineWarning` ; en cas d'échec, il
+        retourne ``False``. Le :pyexc:`PipelineWarning` est créé par l'étape
+        pipeline, pas par le canal. Une :pyexc:`PipelineCriticalError` peut
+        en revanche être levée en cas de panne critique (ex. : chemin
+        CalDAV, non utilisé par le canal XMPP).
 
-        Returns:
-            True si l'envoi a réussi, False sinon.
+        :param message: Message final à transmettre.
+        :return: ``True`` si l'envoi a réussi, ``False`` sinon.
+        :rtype: bool
         """
         ...
 ```
 
 ---
 
-### 10.3 Client XMPP (`channels/xmpp.py`)
+### 10.4 Client XMPP (`channels/xmpp.py`)
+
+> **⚠️ Décision d'implémentation** :
+> Le code utilise `connect(host, port)` qui retourne une `asyncio.Future`. Le code `await` cette Future, puis attend les événements `session_start`, `failed_auth` ou `disconnected` via `asyncio.wait_for` sous un timeout unique.
+> Le JID du bot est construit avec la ressource : ``JID("bot@example.com/pronote-sync")``.
 
 ```python
+from __future__ import annotations
+
 import asyncio
-Optional, Awaitable
-import slixmpp
-from slixmpp.exceptions import IqError, IqTimeout
-from ..models.xmpp import XmppMessage
-from .protocol import Channel
 import logging
+from pydantic import SecretStr
+from slixmpp import JID, ClientXMPP
+
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.models.blog import ExternalInfo
+from pronote_sync.models.diff import AgendaChange, AgendaChangeType
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message
+from pronote_sync.models.xmpp import XmppMessage
+from pronote_sync.utils.redaction import redact_exception, redact_secrets
+from pronote_sync.utils.text import sanitize_plaintext
 
 logger = logging.getLogger(__name__)
 
 
-class XmppChannel(Channel):
+def _format_message(message: XmppMessage) -> str:
+    """Formate un message XMPP en texte brut avec des sections emoji.
+
+    Produit le corps du message : un en-tête avec la date cible du
+    digest, puis les sections synthèse, changements d'agenda, devoirs,
+    messages et informations diverses.
+
+    :param message: Message final à formater.
+    :return: Corps du message en texte brut, prêt pour l'envoi.
+    :rtype: str
     """
-    Canal XMPP pour l'envoi des messages.
-    Utilise slixmpp en mode asynchrone.
+    sections = [
+        f"Digest du {message.target_date.strftime('%d/%m/%Y')}",
+        _format_synthesis(message.synthesis),
+        _format_changes(message.changes),
+        _format_homeworks(message.homeworks),
+        _format_messages(message.messages),
+        _format_external_info(message.external_info),
+    ]
+    return "\n\n".join(sections)
+
+
+def _format_synthesis(synthesis: str | None) -> str:
+    """Formate la section synthèse du message XMPP.
+
+    :param synthesis: Texte de synthèse, ou ``None`` si absente.
+    :return: Section ``📌 Synthèse`` suivie de la synthèse (ou du texte par
+        défaut si aucune n'est disponible).
+    :rtype: str
+    """
+    content = synthesis if synthesis else "Aucune synthèse disponible."
+    return f"📌 Synthèse\n{sanitize_plaintext(content)}"
+
+
+def _format_changes(changes: tuple[AgendaChange, ...]) -> str:
+    """Formate la section des changements d'agenda du message XMPP.
+
+    Distingue les ajouts, suppressions et modifications. Pour un ajout,
+    les horaires du cours (``HH:MM-HH:MM``) sont inclus si le cours est
+    disponible.
+
+    :param changes: Liste des changements d'agenda.
+    :return: Section ``📅 Changements d'agenda`` avec une ligne par
+        changement (type, matière et détails).
+    :rtype: str
+    """
+    if not changes:
+        body = "Aucun changement."
+    else:
+        lines: list[str] = []
+        for change in changes:
+            subject = "—"
+            if change.lesson is not None:
+                subject = change.lesson.subject
+            elif change.theoretical_lesson is not None:
+                subject = change.theoretical_lesson.subject
+            if change.type == AgendaChangeType.ADDED and change.lesson is not None:
+                times = (
+                    f"{change.lesson.start.strftime('%H:%M')}-{change.lesson.end.strftime('%H:%M')}"
+                )
+                lines.append(f"• [Ajouté] {subject}: {change.details} ({times})")
+            elif change.type == AgendaChangeType.REMOVED:
+                lines.append(f"• [Supprimé] {subject}: {change.details}")
+            else:
+                lines.append(f"• [Modifié] {subject}: {change.details}")
+        body = "\n".join(lines)
+    return f"📅 Changements d'agenda\n{sanitize_plaintext(body)}"
+
+
+def _format_homeworks(homeworks: tuple[Homework, ...]) -> str:
+    """Formate la section des devoirs du message XMPP.
+
+    :param homeworks: Liste des devoirs.
+    :return: Section ``📚 Devoirs`` avec une ligne par devoir (matière,
+        texte et date d'échéance).
+    :rtype: str
+    """
+    if not homeworks:
+        body = "Aucun devoir."
+    else:
+        lines = [
+            f"• {homework.subject}: {homework.text} "
+            f"(à rendre le {homework.due_on.strftime('%d/%m')})"
+            for homework in homeworks
+        ]
+        body = "\n".join(lines)
+    return f"📚 Devoirs\n{sanitize_plaintext(body)}"
+
+
+def _format_messages(messages: tuple[Message, ...]) -> str:
+    """Formate la section des messages Pronote du message XMPP.
+
+    :param messages: Liste des messages/informations.
+    :return: Section ``💬 Messages`` avec une ligne par message (titre,
+        auteur et contenu) ; sans titre, seul l'auteur est affiché.
+    :rtype: str
+    """
+    if not messages:
+        body = "Aucun message."
+    else:
+        lines: list[str] = []
+        for message in messages:
+            if message.title:
+                lines.append(f"• {message.title} ({message.author}): {message.content}")
+            else:
+                lines.append(f"• {message.author}: {message.content}")
+        body = "\n".join(lines)
+    return f"💬 Messages\n{sanitize_plaintext(body)}"
+
+
+def _format_external_info(external_info: ExternalInfo | None) -> str:
+    """Formate la section des informations diverses du message XMPP.
+
+    Regroupe uniquement les articles du blog et les autres informations
+    (``other_info``) : les messages Pronote (``pronote_messages``) sont
+    exclus car ils sont déjà transmis par la section des messages.
+
+    :param external_info: Informations externes agrégées, ou ``None``.
+    :return: Section ``📢 Informations diverses`` avec une ligne par élément.
+    :rtype: str
+    """
+    if external_info is None:
+        body = "Aucune information."
+    else:
+        lines: list[str] = []
+        for article in external_info.blog_articles:
+            lines.append(f"• {article.title}: {article.content_text}")
+        for info in external_info.other_info:
+            lines.append(f"• {info}")
+        body = "\n".join(lines) if lines else "Aucune information."
+    return f"📢 Informations diverses\n{sanitize_plaintext(body)}"
+
+
+class XmppChannel:
+    """Canal d'envoi de messages XMPP via un compte bot dédié.
+
+    Envoie un message direct (``type="chat"``) au destinataire configuré en
+    utilisant :class:`slixmpp.ClientXMPP`. La connexion est établie à chaque
+    appel de :meth:`send_async` ; le constructeur n'effectue aucun accès
+    réseau.
+
+    **Contrat d'erreur** : :meth:`send_async` ne lève jamais
+    :pyexc:`PipelineWarning` ; en cas d'échec, elle journalise la version
+    expurgée de l'erreur et retourne ``False``. En mode ``dry_run``, aucun
+    client n'est créé.
+
+    :ivar settings: Paramètres XMPP (JID, mot de passe, destinataire, TLS).
+    :vartype settings: XmppSettings
+    :ivar dry_run: En mode ``dry_run``, aucun envoi n'est effectué.
+    :vartype dry_run: bool
     """
 
-    name = "xmpp"
+    def __init__(self, settings: XmppSettings, dry_run: bool = False) -> None:
+        """Initialise le canal XMPP sans connexion réseau.
 
-    def __init__(
-        self,
-        jid: str,
-        password: str,
-        recipient: str,
-        dry_run: bool = False,
-    ):
-        self.jid = jid
-        self.password = password
-        self.recipient = recipient
+        :param settings: Paramètres de configuration du canal XMPP.
+        :param dry_run: Si ``True``, :meth:`send_async` journalise le message
+            formaté et retourne ``True`` sans se connecter.
+        """
+        self.settings = settings
         self.dry_run = dry_run
-        self._client: Optional[slixmpp.ClientXMPP] = None
-        self._connected = False
-        self._message_sent = False
 
-    async def connect(self) -> bool:
-        """Établit la connexion XMPP."""
-        if self._connected:
-            return True
+    async def send_async(self, message: XmppMessage) -> bool:
+        """Exécute le flux asynchrone d'envoi XMPP.
 
-        try:
-            # Créer le client
-            self._client = slixmpp.ClientXMPP(self.jid, self.password)
+        Connecte le client ``slixmpp`` avec un hôte et un port explicites,
+        configure TLS avant la connexion, puis attend l'un des événements
+        ``session_start``, ``failed_auth`` ou ``disconnected`` sous un
+        timeout unique avant d'envoyer un message direct ``chat`` au
+        destinataire configuré. La déconnexion est garantie par un bloc
+        ``try/finally``.
 
-            # Configurer les handlers
-            self._client.add_event_handler("session_start", self._on_session_start)
-            self._client.add_event_handler("failed_auth", self._on_failed_auth)
-            self._client.add_event_handler("disconnected", self._on_disconnected)
-
-            # Se connecter (async)
-            self._client.connect()
-            self._client.process(block=False)
-
-            # Attendre la connexion (timeout: 30s)
-            await asyncio.wait_for(
-                self._wait_for_connection(),
-                timeout=30.0,
-            )
-
-            return self._connected
-
-        except Exception as e:
-            logger.error(f"Échec de la connexion XMPP: {redact_secrets(str(e))}")
-            return False
-
-    def _on_session_start(self, event: slixmpp.Event) -> None:
-        """Handler appelé quand la session XMPP est établie."""
-        self._connected = True
-        logger.info("Connexion XMPP établie")
-
-    def _on_failed_auth(self, event: slixmpp.Event) -> None:
-        """Handler appelé en cas d'échec d'authentification."""
-        logger.error("Échec de l'authentification XMPP")
-        self._connected = False
-
-    def _on_disconnected(self, event: slixmpp.Event) -> None:
-        """Handler appelé en cas de déconnexion."""
-        logger.warning("Déconnexion XMPP")
-        self._connected = False
-
-    async def _wait_for_connection(self) -> None:
-        """Attend que la connexion soit établie."""
-        while not self._connected:
-            await asyncio.sleep(0.1)
-
-    def _format_message(self, message: XmppMessage) -> str:
-        """Formate le message XMPP en texte brut."""
-        lines = []
-
-        # Titre (date cible)
-        lines.append(f"=== Pronote - {message.target_date.strftime('%A %d %B %Y')} ===")
-        lines.append("")
-
-        # Synthèse IA (si disponible)
-        if message.synthesis:
-            lines.append("📌 Synthèse :")
-            lines.append(message.synthesis)
-            lines.append("")
-
-        # Changements d'agenda
-        if message.changes:
-            lines.append("📅 Changements d'agenda :")
-            for change in message.changes:
-                if change.type == "added":
-                    lines.append(f"  + {change.lesson.subject} ({change.lesson.start.strftime('%H:%M')})")
-                elif change.type == "removed":
-                    lines.append(f"  - {change.theoretical_lesson.subject}")
-                elif change.type == "modified":
-                    lines.append(f"  ~ {change.lesson.subject} ({change.details})")
-            lines.append("")
-
-        # Liste brute des devoirs
-        if message.homeworks:
-            lines.append("📚 Devoirs :")
-            for hw in message.homeworks:
-                due_date = hw.due_on.strftime("%d/%m/%Y")
-                lines.append(f"  - {hw.subject} (pour le {due_date}) : {hw.text}")
-            lines.append("")
-
-        # Messages
-        if message.messages:
-            lines.append("💬 Messages :")
-            for msg in message.messages:
-                lines.append(f"  - {msg.author} : {msg.title}")
-
-        return "\n".join(lines)
-
-    async def send(self, message: XmppMessage) -> bool:
-        """Envoie un message XMPP."""
-        if not self._connected:
-            # Se connecter si ce n'est pas déjà fait
-            if not await self.connect():
-                return False
-
-        if self.dry_run:
-            logger.info(f"[DRY-RUN] Envoi XMPP à {self.recipient}")
-            logger.info(f"Contenu:\n{self._format_message(message)}")
-            return True
-
-        try:
-            # Formater le message
-            body = self._format_message(message)
-
-            # Envoyer le message
-            self._client.send_message(
-                mto=self.recipient,
-                mbody=body,
-                mtype="chat",
-            )
-
-            logger.info(f"Message XMPP envoyé à {self.recipient}")
-            return True
-
-         except Exception as e:
-             safe_error = redact_secrets(str(e))
-             logger.error(f"Échec de l'envoi XMPP: {safe_error}")
-             return False
-
-    async def disconnect(self) -> None:
-        """Déconnecte le client XMPP."""
-        if self._client:
-            self._client.disconnect()
-            self._connected = False
+        :param message: Message final à envoyer.
+        :return: ``True`` si l'envoi a réussi (ou a été simulé en dry-run),
+            ``False`` sinon (destinataire manquant, timeout, échec
+            d'authentification, déconnexion ou erreur réseau).
+        :rtype: bool
+        """
+        # Implémentation réelle : voir le code source.
+        pass
 
 
 class SyncXmppChannel:
-    """
-    Adaptateur synchrone pour XMPP.
-    Encapsule asyncio avec une stratégie robuste pour éviter les conflits de boucle d'événements.
+    """Point d'entrée synchrone unique du canal XMPP pour le pipeline.
 
-    **Important** : Si le pipeline est appelé depuis un contexte asynchrone, l'envoi XMPP doit être isolé
-    dans un thread séparé pour éviter les conflits de boucle.
+    Enveloppe une instance de :class:`XmppChannel` pour offrir une interface
+    synchrone conforme au :class:`~pronote_sync.channels.protocol.Channel`.
+    :meth:`send` délègue à :func:`asyncio.run` et ne lève jamais : toute
+    erreur est journalisée de façon expurgée et convertie en retour
+    ``False``. En mode ``dry_run``, aucun client ``slixmpp`` n'est créé.
+
+    :ivar settings: Paramètres XMPP.
+    :vartype settings: XmppSettings
+    :ivar dry_run: Mode simulation (aucun envoi réseau).
+    :vartype dry_run: bool
     """
 
-    def __init__(
-        self,
-        jid: str,
-        password: str,
-        recipient: str,
-        dry_run: bool = False,
-    ):
-        self.jid = jid
-        self.password = password
-        self.recipient = recipient
-        self.dry_run = dry_run
-        self._xmpp_channel = XmppChannel(jid, password, recipient, dry_run)
+    def __init__(self, settings: XmppSettings, dry_run: bool = False) -> None:
+        """Initialise le point d'entrée synchrone et son canal interne.
+
+        :param settings: Paramètres de configuration du canal XMPP.
+        :param dry_run: Si ``True``, l'envoi est simulé.
+        """
+        pass
 
     def send(self, message: XmppMessage) -> bool:
-         """Envoie un message XMPP de manière synchrone."""
-         import asyncio
+        """Envoie un message XMPP de façon synchrone et sans lever.
 
-         # Créer une nouvelle boucle d'événements pour éviter les conflits
-         loop = asyncio.new_event_loop()
-         try:
-             asyncio.set_event_loop(loop)
-             return loop.run_until_complete(self._xmpp_channel.send(message))
-         finally:
-             loop.close()
-             asyncio.set_event_loop(None)
+        En mode ``dry_run``, le message formaté (expurgé de ses secrets) est
+        journalisé et la méthode retourne ``True`` sans créer de client XMPP.
+        Sinon, le flux asynchrone :meth:`XmppChannel.send_async` est exécuté
+        via :func:`asyncio.run` ; toute exception est journalisée sous forme
+        expurgée et convertie en retour ``False``. La méthode ne lève jamais.
+
+        :param message: Message final à envoyer.
+        :return: ``True`` si l'envoi a réussi (ou a été simulé en dry-run),
+            ``False`` sinon.
+        :rtype: bool
+        """
+        pass
 ```
 
 
-### 10.4 Factory pour les canaux (`channels/__init__.py`)
+### 10.5 Factory pour les canaux (`channels/__init__.py`)
 
 ```python
-List, Dict, Type
-from .protocol import Channel
-from .xmpp import SyncXmppChannel
-from ..config.settings import Settings
+from __future__ import annotations
+
+import logging
+
+from pronote_sync.channels.protocol import Channel
+from pronote_sync.channels.xmpp import SyncXmppChannel
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.utils.redaction import redact_secrets
+
+logger = logging.getLogger(__name__)
 
 
-# Registre des factories de canaux
-_CHANNEL_FACTORIES: Dict[str, Type[Channel]] = {
-    "xmpp": SyncXmppChannel,
-}
+def get_channel(settings: XmppSettings, dry_run: bool = False) -> Channel | None:
+    """Instancie le canal de sortie XMPP selon la configuration.
 
+    Si le canal est désactivé (``enabled`` à ``False``), la fabrique
+    retourne ``None`` sans avertissement ni exception. Si le canal est
+    activé mais que l'un des champs requis (``jid``, ``password``, ``to``,
+    ``host``) est vide ou absent, un avertissement est journalisé puis
+    ``None`` est retourné. Dans tous les autres cas, une instance de
+    :class:`~pronote_sync.channels.xmpp.SyncXmppChannel` est construite et
+    retournée.
 
-def get_channel(settings: Settings, channel_name: str = "xmpp") -> Channel:
+    L'avertissement est expurgé des valeurs sensibles (``jid``, mot de
+    passe, destinataire) via :func:`pronote_sync.utils.redaction.redact_secrets`
+    : le message journalisé ne contient jamais ces valeurs en
+    clair. La fabrique ne lève jamais d'exception (dégradation non bloquante).
+
+    :param settings: Paramètres de configuration du canal XMPP.
+    :param dry_run: Si ``True``, le canal est créé en mode simulation
+        (aucun envoi réseau lors de l'appel à ``send``).
+    :return: Canal de sortie prêt à l'emploi, ou ``None`` si le canal est
+        désactivé ou mal configuré.
+    :rtype: Channel | None
     """
-    Fabrique un canal selon la configuration.
+    if not settings.enabled:
+        return None
 
-    Args:
-        settings: Configuration globale.
-        channel_name: Nom du canal (défaut: "xmpp").
-
-    Returns:
-        Canal configuré.
-    """
-    factory = _CHANNEL_FACTORIES.get(channel_name)
-    if factory is None:
-        raise ValueError(f"Canal inconnu: {channel_name}")
-
-    if channel_name == "xmpp":
-        if not settings.xmpp.enabled:
-            raise ValueError("XMPP est désactivé (XMPP_ENABLED=False)")
-        return factory(
-            jid=settings.xmpp.jid,
-            password=settings.xmpp.password.get_secret_value(),
-            recipient=settings.xmpp.to,
-            dry_run=settings.app.dry_run,
+    # Vérification des champs requis (expurgés dans les logs)
+    extra_secrets = [
+        secret for secret in (settings.password, settings.jid, settings.to) if secret is not None
+    ]
+    missing_fields = [
+        name
+        for name, present in (
+            ("jid", settings.jid is not None and bool(settings.jid.strip())),
+            ("password", settings.password is not None and bool(settings.password.get_secret_value().strip())),
+            ("to", settings.to is not None and bool(settings.to.strip())),
+            ("host", bool(settings.host.strip())),
         )
+        if not present
+    ]
+    if missing_fields:
+        logger.warning(
+            "XMPP : configuration incomplète (champs manquants : %s), canal désactivé.",
+            redact_secrets(", ".join(missing_fields), extra_secrets=extra_secrets),
+        )
+        return None
 
-    raise ValueError(f"Canal {channel_name} non implémenté")
+    return SyncXmppChannel(settings, dry_run=dry_run)
 ```
 
 
-### 10.5 Points clés
+### 10.6 Points clés
 - **slixmpp** : Bibliothèque recommandée pour XMPP (asyncio, maintenue).
-- **Format du message** : Structuré avec sections claires (synthèse, changements, devoirs, messages).
-- **Mode dégradé** : Si XMPP échoue, le pipeline peut continuer (mais le message ne sera pas envoyé).
+- **Format du message** : Structuré avec sections emoji (📌 Synthèse, 📅 Changements d'agenda, 📚 Devoirs, 💬 Messages, 📢 Informations diverses) et date cible en en-tête.
+- **Mode dégradé** : Si XMPP échoue, le canal retourne ``False`` et le pipeline émet un ``PipelineWarning`` (M11).
 - **Dry-run** : Mode obligatoire pour tester sans envoyer de message.
-- **Reconnexion** : Gestion des erreurs de connexion.
+- **Reconnexion** : Gestion des erreurs de connexion via événements ``session_start``, ``failed_auth``, ``disconnected``.
+- **Contrat d'erreur** : ``Channel.send()`` ne lève jamais ``PipelineWarning`` ; le pipeline (M11) crée le ``PipelineWarning(step="xmpp")``.
+- **Source unique des messages Pronote** : ``XmppMessage.messages`` est la seule source pour les messages Pronote ; ``external_info`` est réservé au blog et ``other_info``.
 
 ---
 
@@ -4398,6 +4593,7 @@ class PipelineRunner:
         blog_rss_client: Optional["BlogRSSClient"] = None,
         blog_state: Optional["## (section obsolète supprimée)"] = None,
         dry_run: bool = False,
+        settings: "Settings" | None = None,
     ):
         self.pronote_fetcher = pronote_fetcher
         self.caldav_client = caldav_client
@@ -4409,13 +4605,19 @@ class PipelineRunner:
         self.dry_run = dry_run
         self._errors: List[PipelineError] = []
         self._warnings: List[PipelineWarning] = []
+        self._redaction_secrets = settings.redaction_secrets() if settings else ()
+
+    def _redact(self, exc: Exception) -> str:
+        """Masque les secrets configurés dans une exception."""
+        from ..utils.redaction import redact_exception
+        return redact_exception(exc, self._redaction_secrets)
 
     def run(self) -> Tuple[Optional[PronoteData], List[PipelineError]]:
         """
         Exécute le pipeline complet.
 
-        Returns:
-            Tuple (PronoteData final, liste des erreurs).
+        :return: Tuple (PronoteData final, liste des erreurs).
+        :rtype: tuple[PronoteData | None, list[PipelineError]]
         """
         pronote_data: Optional[PronoteData] = None
         agenda_diff = None
@@ -4452,6 +4654,8 @@ class PipelineRunner:
                          self.blog_state,
                          enabled=True,
                      )
+                 except PipelineCriticalError:
+                     raise
                  except PipelineError as e:
                      self._warnings.append(PipelineWarning(
                          message=f"Récupération du blog échouée: {e.message}",
@@ -4467,6 +4671,8 @@ class PipelineRunner:
                      pronote_data.lessons,
                      pronote_data.target_date,
                  )
+             except PipelineCriticalError:
+                 raise
              except PipelineError as e:
                  self._warnings.append(PipelineWarning(
                      message=f"Comparaison échouée: {e.message}",
@@ -4488,6 +4694,8 @@ class PipelineRunner:
                          step="sync",
                      ))
                      logger.warning("Synchronisation CalDAV échouée (non bloquante)")
+             except PipelineCriticalError:
+                 raise
              except PipelineError as e:
                  self._warnings.append(PipelineWarning(
                      message=f"Synchronisation CalDAV échouée: {e.message}",
@@ -4505,6 +4713,8 @@ class PipelineRunner:
                          target_date=pronote_data.target_date,
                      )
                      synthesis_result = synthesis_step(self.synthesis_provider, synthesis_input)
+                 except PipelineCriticalError:
+                     raise
                  except PipelineError as e:
                      self._warnings.append(PipelineWarning(
                          message=f"Synthèse IA échouée: {e.message}",
@@ -4521,13 +4731,14 @@ class PipelineRunner:
                 messages=pronote_data.messages,
                 external_info=ExternalInfo(
                     blog_articles=blog_articles,
-                    pronote_messages=pronote_data.messages,
-                ) if blog_articles or pronote_data.messages else None,
+                ) if blog_articles else None,
             )
 
              # Étape 7: Envoi XMPP
              try:
                  send_step(self.channel, xmpp_message)
+             except PipelineCriticalError:
+                 raise
              except PipelineError as e:
                  self._warnings.append(PipelineWarning(
                      message=f"Envoi XMPP échoué: {e.message}",
@@ -4541,8 +4752,7 @@ class PipelineRunner:
             logger.error(f"Erreur critique dans le pipeline: {e.message}")
             return None, [e]
          except Exception as e:
-            from ..utils.redaction import redact_secrets
-            safe_error = redact_secrets(str(e))
+             safe_error = self._redact(e)
              logger.error(f"Erreur inattendue dans le pipeline: {safe_error}")
              return None, [PipelineCriticalError(
                  message=safe_error,
@@ -4558,6 +4768,8 @@ class PipelineRunner:
         return self._warnings
 ```
 
+Le ``PipelineRunner`` calcule ``self._redaction_secrets = settings.redaction_secrets()`` dans son constructeur. La méthode privée ``_redact(exc)`` délègue à ``redact_exception(exc, self._redaction_secrets)`` pour masquer les secrets configurés (mots de passe Pronote, CalDAV, XMPP et clé API IA). Chaque bloc ``except Exception`` utilise ``self._redact(exc)`` au lieu de ``redact_exception(exc)`` directement.
+
 
 ### 11.4 Étapes du pipeline (`pipeline/steps/`)
 
@@ -5878,7 +6090,7 @@ Ce guide fournit une **base architecturale et technique solide** pour développe
 1. **Créer le dépôt** : Initialiser un nouveau dépôt Python avec la structure proposée.
 2. **Implémenter le cœur** : Commencer par les modules `models/`, `sources/pronote/ical.py` et `utils/`.
 3. **Ajouter les tests** : Écrire des tests unitaires pour chaque module dès le début.
-4. **Configurer CI/CD** : Mettre en place GitHub Actions pour exécuter les tests et vérifier la sécurité.
+4. **Configurer Gitea Actions** : Mettre en place Gitea Actions pour exécuter les tests et vérifier la sécurité, en vue d'un déploiement sur LXC/VPS (Debian/CentOS).
 5. **Tester en conditions réelles** : Utiliser des flux iCal Pronote anonymisés pour valider le parsing.
 
 > **⚠️ Rappel** : Ce guide est **volontairement détaillé** pour préserver les connaissances acquises sur les spécificités de Pronote. Certaines sections (ex: parsing iCal) contiennent des **observations précises** issues de l'analyse du code TypeScript existant. **Ne pas sous-estimer l'importance de ces détails** : ils sont critiques pour un fonctionnement fiable du projet.

LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Antoine Van Elstraete
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

README.LLM.md

@@ -0,0 +1,147 @@
+# pronote-sync — AI Agent Setup Guide
+
+This document guides an AI agent through installing and pre-configuring the `pronote-sync` project on a fresh Linux host (Debian/CentOS). It covers environment setup, dependency installation, and configuration file preparation. It does **NOT** cover secrets provisioning — those must be provided by the operator.
+
+---
+
+## Prerequisites
+
+- Python ≥ 3.13.5 (check with `python3 --version`)
+- Git
+- A non-root service user (e.g., `pronote-sync`)
+- Target paths:
+  - `/opt/pronote-sync` (code)
+  - `/var/lib/pronote-sync` (state)
+  - `/var/log/pronote-sync` (logs)
+  - `/etc/pronote-sync` (config)
+
+---
+
+## Installation Steps
+
+```bash
+# Create service user
+sudo useradd --system --no-create-home --shell /usr/sbin/nologin pronote-sync
+
+# Clone the repository
+sudo git clone <repo-url> /opt/pronote-sync
+sudo chown -R pronote-sync:pronote-sync /opt/pronote-sync
+
+# Create virtual environment
+cd /opt/pronote-sync
+sudo -u pronote-sync python3.13 -m venv .venv
+sudo -u pronote-sync .venv/bin/pip install -e ".[dev]"
+
+# Create directories
+sudo install -d -m 0700 -o pronote-sync -g pronote-sync /etc/pronote-sync
+sudo install -d -m 0750 -o pronote-sync -g pronote-sync /var/lib/pronote-sync
+sudo install -d -m 0750 -o pronote-sync -g pronote-sync /var/log/pronote-sync
+```
+
+---
+
+## Configuration Preparation (Without Secrets)
+
+```bash
+# Copy the example config
+sudo -u pronote-sync cp /opt/pronote-sync/.env.example /etc/pronote-sync/pronote-sync.env
+
+# The operator must fill in secrets (PRONOTE_PASSWORD, CALDAV_PASSWORD, XMPP_PASSWORD, AI_API_KEY, etc.)
+# Do NOT populate secrets automatically — leave them for the operator.
+```
+
+### Non-Secret Environment Variables (Pre-Configurable)
+
+The following variables can be safely pre-configured in `/etc/pronote-sync/pronote-sync.env`:
+
+- **Pronote:**
+  - `PRONOTE_ACCOUNT_TYPE` (default: `parent`)
+  - `PRONOTE_ENT` (ENT slug, e.g., `lyceeconnecte`)
+  - `PRONOTE_AGENDA_SOURCE`, `PRONOTE_HOMEWORK_SOURCE`, `PRONOTE_MESSAGES_SOURCE` (`auto`, `ical`, or `pronotepy`)
+
+- **CalDAV:**
+  - `CALDAV_CALENDAR_PATH` (e.g., `/pronote-sync/`)
+  - `CALDAV_ALLOW_INSECURE_HTTP` (default: `false`)
+
+- **Sync Window:**
+  - `SYNC_PAST_DAYS`, `SYNC_FUTURE_DAYS`
+
+- **Theoretical Agenda:**
+  - `THEORETICAL_AGENDA_PATH`, `SCHOOL_HOLIDAYS_PATH`
+  - `THEORETICAL_WEEK_ANCHOR_DATE`, `THEORETICAL_WEEK_ANCHOR_TYPE`
+
+- **XMPP:**
+  - `XMPP_ENABLED`, `XMPP_HOST`, `XMPP_PORT`, `XMPP_USE_TLS`, `XMPP_TIMEOUT`, `XMPP_RESOURCE`
+
+- **AI:**
+  - `AI_ENABLED`, `AI_PROVIDER`, `AI_BASE_URL`, `AI_MODEL`, `AI_ALLOW_INSECURE_HTTP`
+
+- **Blog:**
+  - `BLOG_ENABLED`, `BLOG_RSS_URL`
+
+- **General:**
+  - `DRY_RUN`, `LOG_LEVEL`
+
+### Secret Variables (Operator Must Provide)
+
+**Do NOT set these variables automatically.** The operator must manually provide the following secrets:
+
+- **Pronote:**
+  - `PRONOTE_ICAL_URL`, `PRONOTE_URL`, `PRONOTE_USERNAME`, `PRONOTE_PASSWORD`
+
+- **CalDAV:**
+  - `CALDAV_URL`, `CALDAV_USERNAME`, `CALDAV_PASSWORD`
+
+- **XMPP:**
+  - `XMPP_JID`, `XMPP_PASSWORD`, `XMPP_TO`
+
+- **AI:**
+  - `AI_API_KEY`
+
+---
+
+## Pre-Deployment Checks
+
+```bash
+# Verify no secrets in the codebase
+/opt/pronote-sync/.venv/bin/python /opt/pronote-sync/scripts/check_secrets.py
+
+# Verify dependencies
+/opt/pronote-sync/.venv/bin/python -m pip check
+
+# Dry-run test (will fail without secrets, but verifies the environment)
+/opt/pronote-sync/.venv/bin/pronote-sync --dry-run
+```
+
+---
+
+## systemd Installation
+
+```bash
+# Install systemd units
+sudo install -m 0644 /opt/pronote-sync/deploy/systemd/pronote-sync.service /etc/systemd/system/
+sudo install -m 0644 /opt/pronote-sync/deploy/systemd/pronote-sync.timer /etc/systemd/system/
+
+# Install logrotate config
+sudo install -m 0644 /opt/pronote-sync/deploy/logrotate/pronote_sync /etc/logrotate.d/pronote_sync
+
+# Reload and enable
+sudo systemctl daemon-reload
+sudo systemctl enable --now pronote-sync.timer
+```
+
+---
+
+## Notes for the AI Agent
+
+- **Do NOT commit or write secrets** to any file in the repository.
+- **Do NOT modify** `.gitignore`, `pyproject.toml`, or existing source files.
+- If `python3.13` is not available, install it first:
+  - Debian: `sudo apt install python3.13`
+  - CentOS: Compile from source or use `dnf` if available.
+- The `check_secrets.py` script exits with:
+  - `0` (clean)
+  - `1` (secrets found)
+  - `2` (error)
+- All paths in the systemd unit assume `/opt/pronote-sync` — adjust if installed elsewhere.
+- The operator **must** provide real values for all **SECRET** variables before enabling the timer.

README.md

@@ -0,0 +1,69 @@
+# pronote-sync
+
+Synchronisation Pronote → CalDAV + XMPP.
+
+---
+
+Synchronise l'agenda et les devoirs de **Pronote** vers un calendrier **CalDAV** et envoie un résumé quotidien par **XMPP**. Supporte les sources iCal et `pronotepy` avec repli automatique. Synthèse IA optionnelle.
+
+---
+
+## 🚀 Démarrage rapide
+
+```bash
+# Cloner le dépôt
+git clone <repo-url>
+cd pronote-sync
+
+# Créer l'environnement virtuel
+python3.13 -m venv .venv
+source .venv/bin/activate
+
+# Installer
+pip install -e ".[dev]"
+
+# Configurer
+cp .env.example .env
+# Éditer .env avec vos paramètres (voir .env.example pour le détail)
+
+# Tester
+pronote-sync --dry-run --log-level DEBUG
+```
+
+---
+
+## 📖 Utilisation
+
+```bash
+pronote-sync                    # Exécute la synchronisation
+pronote-sync --dry-run          # Simulation sans écriture
+pronote-sync --log-level DEBUG  # Verbosité des journaux
+```
+
+---
+
+## 🛠️ Déploiement
+
+Les artefacts pour **systemd/timer** et **logrotate** sont fournis dans `deploy/`. Voir [docs/exploitation.md](docs/exploitation.md) pour plus de détails.
+
+---
+
+## 🙏 Remerciements
+
+Ce projet repose sur les bibliothèques open-source suivantes :
+- [pronotepy](https://github.com/bain3/pronotepy) — client Pronote
+- [icalendar](https://github.com/collective/icalendar) — parsing iCal
+- [caldav](https://github.com/python-caldav/caldav) — client CalDAV
+- [slixmpp](https://github.com/poezio/slixmpp) — client XMPP
+- [pydantic](https://github.com/pydantic/pydantic) — validation et configuration
+- [openai](https://github.com/openai/openai-python) — synthèse IA
+- [feedparser](https://github.com/kurtmckee/feedparser) — parsing RSS
+- [beautifulsoup4](https://www.crummy.com/software/BeautifulSoup/) — parsing HTML
+
+Inspiré de [pronote-digest](https://github.com/yoanbernabeu/pronote-digest) par [Yoan Bernabeu](https://yoanbernabeu.github.io/pronote-digest/).
+
+---
+
+## Licence
+
+MIT — voir [LICENSE](LICENSE).

TODO.md

@@ -176,7 +176,7 @@ Générer une synthèse optionnelle via un fournisseur IA, avec mode dégradé s
 - [x] Créer `synthesis/provider.py` : protocole `SynthesisProvider.generate → Optional[SynthesisResult]` (ne lève jamais d'exception).
 - [x] Créer `synthesis/openai.py` : `OpenAISynthesisProvider` (httpx, prompt système FR, max 800 car., timeout 30 s, temp 0.3).
 - [x] Créer `synthesis/litellm.py` : `LiteLLMSynthesisProvider` (optionnel, extra `ai-litellm`).
-- [x] Créer `synthesis/__init__.py` : factory `get_synthesis_provider(settings)` (OpenAI par défaut, litellm si `AI_PROVIDER=litellm`).
+- [x] Créer `synthesis/__init__.py` : factory `get_synthesis_provider(settings)` (OpenAI par défaut, litellm si `AI_PROVIDER=litellm`, `openai-compatible` si `AI_PROVIDER=openai-compatible` avec validation d'URL).
 - [x] Mode dégradé : clé absente / timeout / exception → retour `None` (le pipeline continue sans synthèse).
 - [x] Respecter les contraintes (3-5 phrases, ton sobre, pas d'emoji dans le texte IA).
 
@@ -185,21 +185,32 @@ Générer une synthèse optionnelle via un fournisseur IA, avec mode dégradé s
 - Clé absente ou erreur réseau → `None` (aucune exception propagée).
 - La factory renvoie le bon provider ; litellm derrière l'extra optionnel.
 
+> **Évolution FEAT_M9 — Provider `openai-compatible`** :
+> Le provider `openai-compatible` a été ajouté à `get_synthesis_provider` (commit `13e058f` sur `feat/m9-custom-endpoint`).
+> Il réutilise `OpenAISynthesisProvider` avec un `base_url` validé (HTTPS obligatoire, HTTP via `AI_ALLOW_INSECURE_HTTP=true`).
+> Configuration incomplète → `None` + warning (mode dégradé). Aucun appel réseau à la factory.
+> Couverture synthesis : 91,57 % (13 tests factory ajoutés).
+>
+> **Corrections FIXME_M9 — Audit synthèse IA** :
+> Cinq points d'audit corrigés (commit `19cbf8f` sur `fix/m9-fixme`, mergé en `2a27225`) :
+> `redact_secrets(extra_secrets=...)`, `SecretStr` préservé dans les providers, contenu du message dans `_build_prompt`,
+> `_validate_output` (rejet emoji/titre/liste/HTML), `importorskip` pour les tests litellm.
+
 ---
 
 ## M10. Canal XMPP — Priorité : Haute
 
 Construire et envoyer le message XMPP structuré via un compte bot dédié (message direct, pas de PubSub).
 
-- [ ] Créer `channels/protocol.py` : protocole `Channel` (méthode d'envoi).
-- [ ] Créer `channels/xmpp.py` : `XmppChannel` (slixmpp, message direct, compte bot dédié).
-- [ ] Implémenter `_format_message(XmppMessage)` : synthèse + liste brute des devoirs + changements + messages + infos blog (emojis 📌📅📚💬 autorisés).
-- [ ] Gérer les erreurs XMPP (reconnexion, timeout) avec masquage des secrets, non bloquant (`PipelineWarning`).
-- [ ] Créer `channels/__init__.py` : factory de canaux.
+- [x] Créer `channels/protocol.py` : protocole `Channel` (méthode d'envoi).
+- [x] Créer `channels/xmpp.py` : `XmppChannel` (slixmpp, message direct, compte bot dédié).
+- [x] Implémenter `_format_message(XmppMessage)` : synthèse + liste brute des devoirs + changements + messages + infos blog (emojis 📌📅📚💬 autorisés).
+- [x] Gérer les erreurs XMPP (reconnexion, timeout) avec masquage des secrets, non bloquant (`PipelineWarning`).
+- [x] Créer `channels/__init__.py` : factory de canaux.
 
 ### Critères d'acceptation
 - `XmppChannel.send` envoie un message direct formaté (slixmpp mocké en test).
-- Erreur XMPP → `PipelineWarning`, jamais d'exception non gérée.
+- Erreur XMPP → `False` retourné par le canal, le pipeline émet un `PipelineWarning` (jamais d'exception non gérée).
 - Aucun secret dans les logs XMPP.
 
 ---
@@ -208,20 +219,21 @@ Construire et envoyer le message XMPP structuré via un compte bot dédié (mess
 
 Composer et orchestrer toutes les étapes avec gestion d'erreurs dégradée et mode dry-run.
 
-- [ ] Compléter si nécessaire la hiérarchie canonique dans `pronote_sync/errors.py` (`ErrorSeverity`, `PipelineError`, `PipelineWarning`, `PipelineCriticalError`) ; ne pas créer de doublon dans `pipeline/steps/errors.py`.
-- [ ] Créer les étapes `pipeline/steps/` : `fetch.py`, `normalize.py`, `compare.py`, `caldav_sync.py`, `synthesis.py`, `send.py`, `fetch_blog.py`.
-- [ ] Créer `pipeline/run.py` : `PipelineRunner` (composition root) orchestrant fetch → normalize → fetch_blog → compare → caldav_sync → synthesis → send.
-- [ ] Gérer les erreurs dégradées (continuer sauf critique) et renvoyer `(PronoteData, erreurs + warns)`.
-- [ ] Implémenter le mode `dry_run` (aucune écriture CalDAV/XMPP).
-- [ ] Câbler l'injection des dépendances (Protocol + composition root), sans singleton global.
-- [ ] Réutiliser, dans une même exécution, un unique téléchargement/parsing iCal pour l'agenda et les devoirs lorsque les sources sélectionnées le permettent ; rester sur un cache local au run, sans cache global ni persistant.
+- [x] Compléter si nécessaire la hiérarchie canonique dans `pronote_sync/errors.py` (`ErrorSeverity`, `PipelineError`, `PipelineWarning`, `PipelineCriticalError`) ; ne pas créer de doublon dans `pipeline/steps/errors.py`.
+- [x] Créer les étapes `pipeline/steps/` : `fetch.py`, `normalize.py`, `compare.py`, `caldav_sync.py`, `synthesis.py`, `send.py`, `fetch_blog.py`.
+- [x] Créer `pipeline/run.py` : `PipelineRunner` (composition root) orchestrant fetch → normalize → fetch_blog → compare → caldav_sync → synthesis → send.
+- [x] Gérer les erreurs dégradées (continuer sauf critique) et renvoyer `(PronoteData, erreurs + warns)`.
+- [x] Implémenter le mode `dry_run` (aucune écriture CalDAV/XMPP).
+- [x] Câbler l'injection des dépendances (Protocol + composition root), sans singleton global.
+- [x] Réutiliser, dans une même exécution, un unique téléchargement/parsing iCal pour l'agenda et les devoirs lorsque les sources sélectionnées le permettent ; rester sur un cache local au run, sans cache global ni persistant.
 
 ### Critères d'acceptation
-- Le pipeline complet s'exécute de bout en bout (mocks) dans le bon ordre.
-- Une sélection iCal commune à l'agenda et aux devoirs ne déclenche qu'un téléchargement/parsing du flux par run.
-- Une erreur non critique (ex : synthèse IA) n'empêche pas l'envoi XMPP.
-- `dry_run=True` n'effectue aucune écriture ; aucune source disponible → erreur critique explicite.
-- Si `THEORETICAL_AGENDA_PATH` est absent, le pipeline produit un diff vide sans erreur et n'instancie pas `AgendaComparator` ; si présent, il instancie le comparateur et effectue la comparaison.
+- [x] Le pipeline complet s'exécute de bout en bout (mocks) dans le bon ordre.
+- [x] Une sélection iCal commune à l'agenda et aux devoirs ne déclenche qu'un téléchargement/parsing du flux par run.
+- [x] Une erreur non critique (ex : synthèse IA) n'empêche pas l'envoi XMPP.
+- [x] `dry_run=True` n'effectue aucune écriture ; aucune source disponible → erreur critique explicite.
+- [x] Si `THEORETICAL_AGENDA_PATH` est absent, le pipeline produit un diff vide sans erreur et n'instancie pas `AgendaComparator` ; si présent, il instancie le comparateur et effectue la comparaison.
+- [x] Les erreurs critiques (`PipelineCriticalError`) propagées depuis une étape non-bloquante arrêtent le pipeline.
 
 ---
 
@@ -229,10 +241,10 @@ Composer et orchestrer toutes les étapes avec gestion d'erreurs dégradée et m
 
 Exposer le lancement du pipeline via une interface en ligne de commande.
 
-- [ ] Créer `cli/main.py` : `main()` (point d'entrée `pronote-sync`), args `--dry-run`, `--log-level`.
-- [ ] Initialiser les logs (`setup_logging`) et charger `settings` au démarrage.
-- [ ] Construire la composition root et lancer `PipelineRunner.run()`.
-- [ ] Gérer le code de retour et l'affichage des erreurs (redactées).
+- [x] Créer `cli/main.py` : `main()` (point d'entrée `pronote-sync`), args `--dry-run`, `--log-level`.
+- [x] Initialiser les logs (`setup_logging`) et charger `settings` au démarrage.
+- [x] Construire la composition root et lancer `PipelineRunner.run()`.
+- [x] Gérer le code de retour et l'affichage des erreurs (redactées).
 
 ### Critères d'acceptation
 - `pronote-sync --dry-run --log-level DEBUG` s'exécute sans effet de bord.
@@ -245,8 +257,8 @@ Exposer le lancement du pipeline via une interface en ligne de commande.
 
 Couvrir l'ensemble du code par des tests sans réseau, avec fixtures anonymisées, jusqu'à ≥ 90 %.
 
-- [ ] Créer `tests/fixtures/` : `pronote-4e.ics`, `pronote-6e.ics`, `theoretical.json`, `school_holidays.json`, `blog_rss.xml` (anonymisés, sans `icalsecurise`).
-- [ ] Créer `tests/conftest.py` : fixtures partagées (sample_lesson, sample_cancelled_lesson, sample_homework, sample_school_event, sample_message, sample_pronote_data…).
+- [x] Créer `tests/fixtures/` : `pronote-4e.ics`, `pronote-6e.ics`, `theoretical.json`, `school_holidays.json`, `blog_rss.xml` (anonymisés, sans `icalsecurise`).
+- [x] Créer `tests/conftest.py` : fixtures partagées (sample_lesson, sample_cancelled_lesson, sample_homework, sample_school_event, sample_message, sample_pronote_data…).
 - [x] Écrire `tests/unit/` : `test_models`, `test_parsing` (iCal), `test_uid`, `test_redaction`, `test_diff`, `test_sync`.
 - [x] Couvrir les régressions M4 : signature réelle de `ParentClient`, ENT autorisé/inconnu, erreur vs résultat vide, `STATUS:CANCELLED` sans catégorie, plusieurs devoirs à la même date, filtrage `pronotepy` sur la date cible et stabilité d'identité entre sources.
 - [x] Écrire `tests/integration/` : `test_pipeline`, `test_caldav` (mocké), `test_xmpp` (mocké).
@@ -265,11 +277,11 @@ Couvrir l'ensemble du code par des tests sans réseau, avec fixtures anonymisée
 
 Mettre en production de façon supervisée (planification, rotation des logs, vérification des secrets).
 
-- [ ] Créer une unité systemd (`pronote-sync.service` + timer) ou une ligne cron (exécution quotidienne).
-- [ ] Créer `logrotate.d/pronote_sync` (daily, rotate 7, compress, delaycompress).
-- [ ] Ajouter un script de vérification des secrets (§13.6) exécuté avant chaque déploiement.
-- [ ] Documenter la supervision (logs, alertes en cas d'échec) et la maintenance (maj dépendances, dry-run avant MAJ).
-- [ ] Vérifier `pip check` et tester le dry-run avant mise en production.
+- [x] Créer une unité systemd (`pronote-sync.service` + timer) ou une ligne cron (exécution quotidienne).
+- [x] Créer `logrotate.d/pronote_sync` (daily, rotate 7, compress, delaycompress).
+- [x] Ajouter un script de vérification des secrets (§13.6) exécuté avant chaque déploiement.
+- [x] Documenter la supervision (logs, alertes en cas d'échec) et la maintenance (maj dépendances, dry-run avant MAJ).
+- [x] Vérifier `pip check` et tester le dry-run avant mise en production.
 
 ### Critères d'acceptation
 - Le service/timer systemd (ou cron) lance le pipeline quotidiennement.
@@ -282,13 +294,13 @@ Mettre en production de façon supervisée (planification, rotation des logs, v
 
 Rédiger la documentation utilisateur et finaliser le projet.
 
-- [ ] Créer `README.md` (installation, configuration `.env`, usage CLI, systemd/docker, limites, RGPD).
-- [ ] Documenter l'architecture (pipeline, modules) en résumé.
-- [ ] Ajouter `CHANGELOG` initial et la licence (MIT).
-- [ ] Revue finale : cohérence avec le guide, aucun secret documenté en clair.
-- [ ] (Optionnel) Configurer GitHub Actions CI/CD (pytest + bandit + ruff + mypy) d'après §Prochaines étapes.
+- [x] Créer `README.md` (installation, configuration `.env`, usage CLI, systemd/docker, limites, RGPD).
+- [x] Documenter l'architecture (pipeline, modules) en résumé.
+- [x] Ajouter `CHANGELOG` initial et la licence (MIT).
+- [x] Revue finale : cohérence avec le guide, aucun secret documenté en clair.
+- [ ] (Optionnel) Configurer Gitea Actions (pytest + bandit + ruff + mypy) pour le déploiement LXC/VPS (Debian/CentOS).
 
 ### Critères d'acceptation
 - `README.md` permet d'installer et de lancer le projet sans le guide.
-- La CI exécute tests + lint + sécurité.
+- Gitea Actions exécute tests + lint + sécurité.
 - Aucun secret dans la documentation.

data/school_holidays.json

@@ -0,0 +1,31 @@
+{
+  "zone": "A",
+  "school_year": "2026-2027",
+  "periods": [
+    {
+      "start_date": "2026-10-17",
+      "end_date": "2026-11-02",
+      "label": "Toussaint"
+    },
+    {
+      "start_date": "2026-12-19",
+      "end_date": "2027-01-04",
+      "label": "Noël"
+    },
+    {
+      "start_date": "2027-02-13",
+      "end_date": "2027-03-01",
+      "label": "Hiver"
+    },
+    {
+      "start_date": "2027-04-10",
+      "end_date": "2027-04-26",
+      "label": "Printemps"
+    },
+    {
+      "start_date": "2027-07-03",
+      "end_date": "2027-09-01",
+      "label": "Été"
+    }
+  ]
+}

deploy/logrotate/pronote_sync

@@ -0,0 +1,9 @@
+/var/log/pronote-sync/pronote-sync.log {
+    daily
+    missingok
+    rotate 7
+    compress
+    delaycompress
+    notifempty
+    create 0640 pronote-sync pronote-sync
+}

deploy/systemd/pronote-sync.service

@@ -0,0 +1,23 @@
+[Unit]
+Description=Synchronisation Pronote vers CalDAV et XMPP
+Wants=network-online.target
+After=network-online.target
+
+[Service]
+Type=oneshot
+User=pronote-sync
+Group=pronote-sync
+WorkingDirectory=/var/lib/pronote-sync
+EnvironmentFile=/etc/pronote-sync/pronote-sync.env
+Environment=PYTHONUNBUFFERED=1
+StateDirectory=pronote-sync
+LogsDirectory=pronote-sync
+ExecStartPre=/opt/pronote-sync/.venv/bin/python /opt/pronote-sync/scripts/check_secrets.py
+ExecStart=/opt/pronote-sync/.venv/bin/pronote-sync
+StandardOutput=append:/var/log/pronote-sync/pronote-sync.log
+StandardError=append:/var/log/pronote-sync/pronote-sync.log
+NoNewPrivileges=true
+PrivateTmp=true
+ProtectHome=true
+ProtectSystem=strict
+ReadWritePaths=/var/lib/pronote-sync /var/log/pronote-sync

deploy/systemd/pronote-sync.timer

@@ -0,0 +1,10 @@
+[Unit]
+Description=Exécution quotidienne de pronote-sync
+
+[Timer]
+OnCalendar=*-*-* 18:00:00
+Persistent=true
+Unit=pronote-sync.service
+
+[Install]
+WantedBy=timers.target

docs/exploitation.md

@@ -0,0 +1,143 @@
+# Exploitation de `pronote-sync`
+
+Ce guide décrit l'installation et l'exploitation des artefacts de déploiement
+fournis par le projet. Les paramètres de l'unité systemd fournie sont des
+exemples d'installation : adaptez-les à l'hôte cible avant son installation.
+Ne placez jamais de secret dans une unité systemd, une commande shell, un
+journal ou ce document.
+
+## Préparer l'hôte
+
+Installez le projet et ses dépendances dans le répertoire choisi, puis créez le
+fichier d'environnement référencé par l'unité à partir de `.env.example`. Il
+doit rester local et lisible uniquement par le compte de service :
+
+```bash
+sudo install -d -m 0700 -o <utilisateur-service> -g <groupe-service> <repertoire-configuration>
+sudo install -m 0600 -o <utilisateur-service> -g <groupe-service> .env <fichier-environnement>
+```
+
+Les unités fournies nécessitent l'interface CLI livrée au jalon M12. Avant de
+les installer, vérifiez que la version installée contient bien ce point
+d'entrée :
+
+```bash
+.venv/bin/pronote-sync --help
+```
+
+Avant toute activation ou mise à jour, exécutez les contrôles depuis la racine
+du projet :
+
+```bash
+.venv/bin/python scripts/check_secrets.py
+.venv/bin/python -m pip check
+.venv/bin/pronote-sync --dry-run
+```
+
+Le contrôle des secrets doit réussir avant le déploiement. Il inspecte les
+fichiers textuels de l'artefact, en excluant volontairement `.env`, les
+environnements virtuels, les répertoires générés, `tests/` et
+`GUIDE_DEV_PYTHON.md` ; les sentinelles et exemples de ces deux derniers ne
+bloquent donc pas le déploiement. Il ne valide ni les valeurs ni les permissions
+du fichier d'environnement. Pour analyser seulement le contenu indexé avant un
+commit, utilisez `scripts/check_secrets.py --staged`.
+
+Le dry-run vérifie le pipeline sans appliquer les écritures de synchronisation ;
+il ne remplace pas une vérification des paramètres réellement chargés.
+
+## Installation systemd
+
+Les fichiers versionnés sont :
+
+- `deploy/systemd/pronote-sync.service` ;
+- `deploy/systemd/pronote-sync.timer`.
+
+Copiez-les dans le répertoire d'unités systemd de l'hôte. Avant de les activer,
+adaptez `User`, `Group`, `WorkingDirectory`, `EnvironmentFile`, les chemins des
+exécutables dans `ExecStartPre` et `ExecStart`, ainsi que les chemins de
+`StateDirectory`, `LogsDirectory` et `ReadWritePaths`. L'artefact fourni prend
+pour exemple le compte `pronote-sync`, le code dans `/opt/pronote-sync`, l'état
+dans `/var/lib/pronote-sync`, les logs dans `/var/log/pronote-sync` et le fichier
+d'environnement `/etc/pronote-sync/pronote-sync.env`. Ne copiez pas de valeur
+secrète dans l'unité.
+
+```bash
+sudo install -m 0644 deploy/systemd/pronote-sync.service /etc/systemd/system/
+sudo install -m 0644 deploy/systemd/pronote-sync.timer /etc/systemd/system/
+sudo systemctl daemon-reload
+sudo systemctl enable --now pronote-sync.timer
+systemctl list-timers pronote-sync.timer
+```
+
+Pour tester une exécution sans attendre la prochaine échéance :
+
+```bash
+sudo systemctl start pronote-sync.service
+sudo systemctl status pronote-sync.service
+```
+
+Une exécution en échec laisse l'unité `pronote-sync.service` en état `failed`.
+La supervision de l'hôte doit donc déclencher une alerte sur cet état ou sur un
+échec du timer/service ; le transport de cette alerte (courriel, XMPP ou système
+de supervision) relève de l'exploitation locale.
+
+## Journaux et alertes
+
+La configuration systemd redirige la sortie standard et la sortie d'erreur vers
+`/var/log/pronote-sync/pronote-sync.log`. Consultez ce fichier ou, selon la
+configuration de l'hôte, le journal de l'unité :
+
+```bash
+sudo tail -f /var/log/pronote-sync/pronote-sync.log
+sudo journalctl -u pronote-sync.service --since today
+sudo journalctl -u pronote-sync.service -f
+systemctl status pronote-sync.timer
+```
+
+Traitez un statut non nul ou une unité `failed` comme un échec à investiguer.
+Les logs applicatifs masquent les secrets configurés, mais évitez tout de même
+de partager sans relecture un export de journal : une donnée sensible issue de
+l'environnement ou d'un outil tiers ne doit pas être supposée sûre par défaut.
+
+## Rotation des journaux
+
+L'artefact `deploy/logrotate/pronote_sync` cible le fichier
+`/var/log/pronote-sync/pronote-sync.log` utilisé par l'unité fournie. Installez-
+le puis validez sa syntaxe avant activation :
+
+```bash
+sudo install -m 0644 deploy/logrotate/pronote_sync /etc/logrotate.d/pronote_sync
+sudo logrotate --debug /etc/logrotate.d/pronote_sync
+```
+
+La rotation configurée est quotidienne, conserve sept archives et utilise
+`compress` avec `delaycompress`. Elle recrée le fichier avec les droits `0640`
+pour le compte de service. Si vous modifiez le chemin de journal dans l'unité,
+mettez aussi à jour la règle logrotate correspondante.
+
+## Mise à jour et retour au service
+
+Avant de remplacer les dépendances ou le code, conservez une copie protégée du
+fichier d'environnement local, sans l'ajouter au dépôt. Après la mise à jour,
+réexécutez, dans cet ordre, les contrôles de secrets, de cohérence des paquets
+et le dry-run :
+
+```bash
+.venv/bin/python scripts/check_secrets.py
+.venv/bin/python -m pip check
+.venv/bin/pronote-sync --dry-run
+```
+
+Rechargez ensuite les unités si leurs fichiers ont changé, puis vérifiez une
+exécution et son journal :
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl restart pronote-sync.timer
+sudo systemctl start pronote-sync.service
+journalctl -u pronote-sync.service -n 100 --no-pager
+```
+
+En cas d'échec, ne relancez pas automatiquement après avoir modifié des
+identifiants : corrigez la configuration locale, repassez le contrôle des
+secrets et le dry-run, puis consultez le journal expurgé.

pronote_sync/channels/__init__.py

@@ -0,0 +1,81 @@
+"""Fabrique de création des canaux de sortie du pipeline ``pronote-sync``.
+
+Ce module expose la fonction :func:`get_channel` qui instancie le canal de
+sortie XMPP à partir de sa configuration, ainsi que les types publics du
+paquet ``pronote_sync.channels`` :
+:class:`~pronote_sync.channels.protocol.Channel`,
+:class:`~pronote_sync.channels.xmpp.XmppChannel` et
+:class:`~pronote_sync.channels.xmpp.SyncXmppChannel`.
+"""
+
+from __future__ import annotations
+
+import logging
+
+from pronote_sync.channels.protocol import Channel
+from pronote_sync.channels.xmpp import SyncXmppChannel, XmppChannel
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.utils.redaction import redact_secrets
+
+logger = logging.getLogger(__name__)
+
+__all__ = ["Channel", "XmppChannel", "SyncXmppChannel", "get_channel"]
+
+
+def get_channel(settings: XmppSettings, dry_run: bool = False) -> Channel | None:
+    """Instancie le canal de sortie XMPP selon la configuration (D2).
+
+    Si le canal est désactivé (``enabled`` à ``False``), la fabrique
+    retourne ``None`` sans avertissement ni exception. Si le canal est
+    activé mais que l'un des champs requis (``jid``, ``password``, ``to``,
+    ``host``) est vide ou absent, un avertissement est journalisé puis
+    ``None`` est retourné. Dans tous les autres cas, une instance de
+    :class:`~pronote_sync.channels.xmpp.SyncXmppChannel` est construite et
+    retournée.
+
+    L'avertissement est expurgé des valeurs sensibles (``jid``, mot de
+    passe, destinataire) via :func:`pronote_sync.utils.redaction.redact_secrets`
+    (SEC-XMPP-02) : le message journalisé ne contient jamais ces valeurs en
+    clair. La fabrique ne lève jamais d'exception (dégradation non bloquante).
+
+    :param settings: Paramètres de configuration du canal XMPP.
+    :param dry_run: Si ``True``, le canal est créé en mode simulation
+        (aucun envoi réseau lors de l'appel à ``send``).
+    :return: Canal de sortie prêt à l'emploi, ou ``None`` si le canal est
+        désactivé ou mal configuré.
+    :rtype: Channel | None
+    """
+    if not settings.enabled:
+        return None
+
+    # SEC-XMPP-02 : valeurs sensibles à masquer dans le journal (les valeurs
+    # ``None`` sont ignorées).
+    extra_secrets = [
+        secret for secret in (settings.password, settings.jid, settings.to) if secret is not None
+    ]
+
+    # SEC-XMPP-02 : rejeter aussi les chaînes vides ou composées uniquement
+    # d'espaces : ``bool(SecretStr)`` et ``bool(str)`` ne testent que la
+    # présence de l'objet, pas la valeur contenue.
+    missing_fields = [
+        name
+        for name, present in (
+            ("jid", settings.jid is not None and bool(settings.jid.strip())),
+            (
+                "password",
+                settings.password is not None
+                and bool(settings.password.get_secret_value().strip()),
+            ),
+            ("to", settings.to is not None and bool(settings.to.strip())),
+            ("host", bool(settings.host.strip())),
+        )
+        if not present
+    ]
+    if missing_fields:
+        logger.warning(
+            "XMPP : configuration incomplète (champs manquants : %s), canal désactivé.",
+            redact_secrets(", ".join(missing_fields), extra_secrets=extra_secrets),
+        )
+        return None
+
+    return SyncXmppChannel(settings, dry_run=dry_run)

pronote_sync/channels/protocol.py

@@ -0,0 +1,33 @@
+"""Protocole abstrait définissant le contrat des canaux de sortie."""
+
+from __future__ import annotations
+
+from typing import Protocol, runtime_checkable
+
+from pronote_sync.models.xmpp import XmppMessage
+
+
+@runtime_checkable
+class Channel(Protocol):
+    """Contrat structurel d'un canal de sortie du pipeline.
+
+    Un canal de sortie reçoit un message final :class:`XmppMessage` et tente de
+    l'envoyer vers la destination qu'il représente (CalDAV, XMPP, etc.).
+
+    :ivar send: Envoie un message sur le canal.
+    """
+
+    def send(self, message: XmppMessage) -> bool:
+        """Envoie un message sur le canal.
+
+        Un canal ne lève jamais :pyexc:`PipelineWarning` ; en cas d'échec, il
+        retourne ``False``. Le :pyexc:`PipelineWarning` est créé par l'étape
+        pipeline, pas par le canal. Une :pyexc:`PipelineCriticalError` peut
+        en revanche être levée en cas de panne critique (ex. : chemin
+        CalDAV, non utilisé par le canal XMPP).
+
+        :param message: Message final à transmettre.
+        :return: ``True`` si l'envoi a réussi, ``False`` sinon.
+        :rtype: bool
+        """
+        ...

pronote_sync/channels/xmpp.py

@@ -0,0 +1,369 @@
+"""Canal de sortie XMPP du pipeline ``pronote-sync``.
+
+Ce module implémente le canal d'envoi de notifications XMPP : la classe
+:class:`XmppChannel` envoie un message direct via ``slixmpp``
+(:meth:`XmppChannel.send_async`), tandis que :class:`SyncXmppChannel`
+fournit le point d'entrée synchrone unique utilisé par le pipeline. Le corps
+du message est formaté en texte brut par ``_format_message`` (en-tête de date
+cible puis sections emoji 📌📅📚💬📢) et chaque texte est assaini par
+:func:`pronote_sync.utils.text.sanitize_plaintext` (SEC-XMPP-06).
+
+Contrat d'erreur (D6) : le canal ne lève jamais :pyexc:`PipelineWarning` ;
+en cas d'échec, il journalise la version expurgée de l'erreur et retourne
+``False``. Le :pyexc:`PipelineWarning` est créé par l'étape pipeline, pas par
+le canal.
+"""
+
+from __future__ import annotations
+
+import asyncio
+import logging
+
+from pydantic import SecretStr
+from slixmpp import JID, ClientXMPP
+
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.models.blog import ExternalInfo
+from pronote_sync.models.diff import AgendaChange, AgendaChangeType
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message
+from pronote_sync.models.xmpp import XmppMessage
+from pronote_sync.utils.redaction import redact_exception, redact_secrets
+from pronote_sync.utils.text import sanitize_plaintext
+
+logger = logging.getLogger(__name__)
+
+__all__ = ["XmppChannel", "SyncXmppChannel", "XmppMessage"]
+
+
+def _secret_values(settings: XmppSettings) -> tuple[SecretStr | str, ...]:
+    """Rassemble les secrets du canal XMPP pour le masquage des logs.
+
+    :param settings: Paramètres du canal XMPP.
+    :return: Valeurs sensibles (mot de passe, JID du bot, destinataire).
+    :rtype: tuple[SecretStr | str, ...]
+    """
+    secrets: list[SecretStr | str] = []
+    if settings.jid is not None:
+        secrets.append(settings.jid)
+    if settings.password is not None:
+        secrets.append(settings.password)
+    if settings.to is not None:
+        secrets.append(settings.to)
+    return tuple(secrets)
+
+
+def _format_synthesis(synthesis: str | None) -> str:
+    """Formate la section synthèse du message XMPP.
+
+    :param synthesis: Texte de synthèse, ou ``None`` si absente.
+    :return: Section ``📌 Synthèse`` suivie de la synthèse (ou du texte par
+        défaut si aucune n'est disponible).
+    :rtype: str
+    """
+    content = synthesis if synthesis else "Aucune synthèse disponible."
+    return f"📌 Synthèse\n{sanitize_plaintext(content)}"
+
+
+def _format_changes(changes: tuple[AgendaChange, ...]) -> str:
+    """Formate la section des changements d'agenda du message XMPP.
+
+    Distingue les ajouts, suppressions et modifications (U4). Pour un ajout,
+    les horaires du cours (``HH:MM-HH:MM``) sont inclus si le cours est
+    disponible.
+
+    :param changes: Liste des changements d'agenda.
+    :return: Section ``📅 Changements d'agenda`` avec une ligne par
+        changement (type, matière et détails).
+    :rtype: str
+    """
+    if not changes:
+        body = "Aucun changement."
+    else:
+        lines: list[str] = []
+        for change in changes:
+            subject = "—"
+            if change.lesson is not None:
+                subject = change.lesson.subject
+            elif change.theoretical_lesson is not None:
+                subject = change.theoretical_lesson.subject
+            if change.type == AgendaChangeType.ADDED and change.lesson is not None:
+                times = (
+                    f"{change.lesson.start.strftime('%H:%M')}-{change.lesson.end.strftime('%H:%M')}"
+                )
+                lines.append(f"• [Ajouté] {subject}: {change.details} ({times})")
+            elif change.type == AgendaChangeType.REMOVED:
+                lines.append(f"• [Supprimé] {subject}: {change.details}")
+            else:
+                lines.append(f"• [Modifié] {subject}: {change.details}")
+        body = "\n".join(lines)
+    return f"📅 Changements d'agenda\n{sanitize_plaintext(body)}"
+
+
+def _format_homeworks(homeworks: tuple[Homework, ...]) -> str:
+    """Formate la section des devoirs du message XMPP.
+
+    :param homeworks: Liste des devoirs.
+    :return: Section ``📚 Devoirs`` avec une ligne par devoir (matière,
+        texte et date d'échéance).
+    :rtype: str
+    """
+    if not homeworks:
+        body = "Aucun devoir."
+    else:
+        lines = [
+            f"• {homework.subject}: {homework.text} "
+            f"(à rendre le {homework.due_on.strftime('%d/%m')})"
+            for homework in homeworks
+        ]
+        body = "\n".join(lines)
+    return f"📚 Devoirs\n{sanitize_plaintext(body)}"
+
+
+def _format_messages(messages: tuple[Message, ...]) -> str:
+    """Formate la section des messages Pronote du message XMPP.
+
+    :param messages: Liste des messages/informations.
+    :return: Section ``💬 Messages`` avec une ligne par message (titre,
+        auteur et contenu) ; sans titre, seul l'auteur est affiché.
+    :rtype: str
+    """
+    if not messages:
+        body = "Aucun message."
+    else:
+        lines: list[str] = []
+        for message in messages:
+            if message.title:
+                lines.append(f"• {message.title} ({message.author}): {message.content}")
+            else:
+                lines.append(f"• {message.author}: {message.content}")
+        body = "\n".join(lines)
+    return f"💬 Messages\n{sanitize_plaintext(body)}"
+
+
+def _format_external_info(external_info: ExternalInfo | None) -> str:
+    """Formate la section des informations diverses du message XMPP.
+
+    Regroupe uniquement les articles du blog et les autres informations
+    (``other_info``) : les messages Pronote (``pronote_messages``) sont
+    exclus car ils sont déjà transmis par la section des messages.
+
+    :param external_info: Informations externes agrégées, ou ``None``.
+    :return: Section ``📢 Informations diverses`` avec une ligne par élément.
+    :rtype: str
+    """
+    if external_info is None:
+        body = "Aucune information."
+    else:
+        lines: list[str] = []
+        for article in external_info.blog_articles:
+            lines.append(f"• {article.title}: {article.content_text}")
+        for info in external_info.other_info:
+            lines.append(f"• {info}")
+        body = "\n".join(lines) if lines else "Aucune information."
+    return f"📢 Informations diverses\n{sanitize_plaintext(body)}"
+
+
+class XmppChannel:
+    """Canal d'envoi de messages XMPP via un compte bot dédié.
+
+    Envoie un message direct (``type="chat"``) au destinataire configuré en
+    utilisant :class:`slixmpp.ClientXMPP`. La connexion est établie à chaque
+    appel de :meth:`send_async` ; le constructeur n'effectue aucun accès
+    réseau.
+
+    Contrat d'erreur (D6) : :meth:`send_async` ne lève jamais
+    :pyexc:`PipelineWarning` ; en cas d'échec, elle journalise la version
+    expurgée de l'erreur et retourne ``False``. En mode ``dry_run``, aucun
+    client n'est créé.
+
+    :ivar settings: Paramètres XMPP (JID, mot de passe, destinataire, TLS).
+    :vartype settings: XmppSettings
+    :ivar dry_run: En mode ``dry_run``, aucun envoi n'est effectué.
+    :vartype dry_run: bool
+    """
+
+    def __init__(self, settings: XmppSettings, dry_run: bool = False) -> None:
+        """Initialise le canal XMPP sans connexion réseau.
+
+        :param settings: Paramètres de configuration du canal XMPP.
+        :param dry_run: Si ``True``, :meth:`send_async` journalise le message
+            formaté et retourne ``True`` sans se connecter.
+        """
+        self.settings = settings
+        self.dry_run = dry_run
+
+    def _format_message(self, message: XmppMessage) -> str:
+        """Formate un message XMPP en texte brut avec des sections emoji.
+
+        Produit le corps du message : un en-tête avec la date cible du
+        digest, puis les sections synthèse, changements d'agenda, devoirs,
+        messages et informations diverses. Chaque texte est assaini par
+        :func:`pronote_sync.utils.text.sanitize_plaintext` avant insertion
+        (SEC-XMPP-06).
+
+        :param message: Message final à formater.
+        :return: Corps du message en texte brut, prêt pour l'envoi.
+        :rtype: str
+        """
+        sections = [
+            f"Digest du {message.target_date.strftime('%d/%m/%Y')}",
+            _format_synthesis(message.synthesis),
+            _format_changes(message.changes),
+            _format_homeworks(message.homeworks),
+            _format_messages(message.messages),
+            _format_external_info(message.external_info),
+        ]
+        return "\n\n".join(sections)
+
+    async def send_async(self, message: XmppMessage) -> bool:
+        """Exécute le flux asynchrone d'envoi XMPP (U2).
+
+        Connecte le client ``slixmpp`` avec un hôte et un port explicites,
+        configure TLS avant la connexion, puis attend l'un des événements
+        ``session_start``, ``failed_auth`` ou ``disconnected`` sous un
+        timeout unique avant d'envoyer un message direct ``chat`` au
+        destinataire configuré. La déconnexion est garantie par un bloc
+        ``try/finally``. Aucun secret n'est journalisé (SEC-XMPP-02).
+
+        :param message: Message final à envoyer.
+        :return: ``True`` si l'envoi a réussi (ou a été simulé en dry-run),
+            ``False`` sinon (destinataire manquant, timeout, échec
+            d'authentification, déconnexion ou erreur réseau).
+        :rtype: bool
+        """
+        if self.dry_run:
+            formatted = self._format_message(message)
+            logger.info("XMPP dry-run: message would be sent")
+            return True
+
+        # Build JID with resource
+        jid_str = f"{self.settings.jid}/{self.settings.resource}"
+        recipient = JID(self.settings.to) if self.settings.to else None
+        if recipient is None:
+            logger.warning("Destinataire XMPP manquant.")
+            return False
+
+        # Create typed client
+        client = ClientXMPP(
+            jid_str,
+            self.settings.password.get_secret_value() if self.settings.password else "",
+        )
+
+        # Configure TLS BEFORE connect
+        if self.settings.use_tls:
+            # TLS direct (port 5223 typically)
+            client.enable_direct_tls = True
+            client.enable_starttls = False
+        else:
+            # STARTTLS (port 5222 typically)
+            client.enable_starttls = True
+            client.enable_direct_tls = False
+
+        # Register handlers
+        session_future: asyncio.Future[bool] = asyncio.get_event_loop().create_future()
+
+        def on_session_start(event: object) -> None:
+            if not session_future.done():
+                session_future.set_result(True)
+
+        def on_failed_auth(event: object) -> None:
+            if not session_future.done():
+                session_future.set_result(False)
+
+        def on_disconnected(event: object) -> None:
+            if not session_future.done():
+                session_future.set_result(False)
+
+        client.add_event_handler("session_start", on_session_start)
+        client.add_event_handler("failed_auth", on_failed_auth)
+        client.add_event_handler("disconnected", on_disconnected)
+
+        try:
+            # Connect with explicit host and port
+            connect_future = client.connect(self.settings.host, self.settings.port)
+            await connect_future  # connect() returns a Future, not a coroutine
+
+            # Wait for one of the three events under a single timeout
+            try:
+                success = await asyncio.wait_for(session_future, timeout=self.settings.timeout)
+            except TimeoutError:
+                logger.warning("Délai d'attente de session XMPP dépassé.")
+                return False
+
+            if not success:
+                logger.warning("Échec d'authentification ou déconnexion XMPP.")
+                return False
+
+            # Send the message
+            formatted = self._format_message(message)
+            client.send_message(mto=JID(self.settings.to), mbody=formatted, mtype="chat")
+            return True
+
+        except Exception as exc:
+            redacted = redact_exception(exc)
+            extra = _secret_values(self.settings)
+            logger.warning("Erreur XMPP: %s", redact_secrets(redacted, extra_secrets=extra))
+            return False
+        finally:
+            try:
+                disconnect_future = client.disconnect()
+                await disconnect_future
+            except Exception as cleanup_exc:
+                logger.debug(
+                    "Erreur lors de la déconnexion XMPP: %s", redact_exception(cleanup_exc)
+                )
+
+
+class SyncXmppChannel:
+    """Point d'entrée synchrone unique du canal XMPP pour le pipeline (U3).
+
+    Enveloppe une instance de :class:`XmppChannel` pour offrir une interface
+    synchrone conforme au :class:`~pronote_sync.channels.protocol.Channel`.
+    :meth:`send` délègue à :func:`asyncio.run` et ne lève jamais : toute
+    erreur est journalisée de façon expurgée et convertie en retour
+    ``False`` (D6). En mode ``dry_run``, aucun client ``slixmpp`` n'est créé.
+
+    :ivar settings: Paramètres XMPP.
+    :vartype settings: XmppSettings
+    :ivar dry_run: Mode simulation (aucun envoi réseau).
+    :vartype dry_run: bool
+    """
+
+    def __init__(self, settings: XmppSettings, dry_run: bool = False) -> None:
+        """Initialise le point d'entrée synchrone et son canal interne.
+
+        :param settings: Paramètres de configuration du canal XMPP.
+        :param dry_run: Si ``True``, l'envoi est simulé.
+        """
+        self.settings = settings
+        self.dry_run = dry_run
+        self._channel = XmppChannel(settings, dry_run)
+
+    def send(self, message: XmppMessage) -> bool:
+        """Envoie un message XMPP de façon synchrone et sans lever.
+
+        En mode ``dry_run``, le message formaté (expurgé de ses secrets) est
+        journalisé et la méthode retourne ``True`` sans créer de client XMPP.
+        Sinon, le flux asynchrone :meth:`XmppChannel.send_async` est exécuté
+        via :func:`asyncio.run` ; toute exception est journalisée sous forme
+        expurgée et convertie en retour ``False``. La méthode ne lève jamais
+        (D6).
+
+        :param message: Message final à envoyer.
+        :return: ``True`` si l'envoi a réussi (ou a été simulé en dry-run),
+            ``False`` sinon.
+        :rtype: bool
+        """
+        if self.dry_run:
+            formatted = self._channel._format_message(message)
+            redacted = redact_secrets(formatted, extra_secrets=_secret_values(self.settings))
+            logger.info("XMPP : dry-run, message non envoyé : %s", redacted)
+            return True
+        try:
+            return asyncio.run(self._channel.send_async(message))
+        except Exception as exc:
+            redacted = redact_exception(exc)
+            redacted = redact_secrets(redacted, extra_secrets=_secret_values(self.settings))
+            logger.warning("XMPP : erreur lors de l'envoi synchrone : %s", redacted)
+            return False

pronote_sync/cli/__init__.py

@@ -0,0 +1 @@
+"""Interface en ligne de commande du pipeline ``pronote-sync``."""

pronote_sync/cli/main.py

@@ -0,0 +1,153 @@
+"""Point d'entrée en ligne de commande du pipeline Pronote → CalDAV → XMPP."""
+
+from __future__ import annotations
+
+import argparse
+import logging
+import traceback
+from collections.abc import Sequence
+
+from pydantic import SecretStr
+
+from pronote_sync.config.env import load_settings
+from pronote_sync.config.settings import Settings
+from pronote_sync.pipeline.run import PipelineRunner
+from pronote_sync.utils.logging import setup_logging
+from pronote_sync.utils.redaction import redact_secrets
+
+logger = logging.getLogger(__name__)
+
+_LOG_LEVELS = ("DEBUG", "INFO", "WARNING", "ERROR", "CRITICAL")
+
+
+def _parse_arguments(arguments: Sequence[str] | None = None) -> argparse.Namespace:
+    """Analyse les options de lancement du programme.
+
+    :param arguments: Arguments à analyser, ou ``None`` pour ceux du processus.
+    :return: Options de ligne de commande validées.
+    :rtype: argparse.Namespace
+    """
+    parser = argparse.ArgumentParser(description="Synchronise Pronote vers CalDAV et XMPP.")
+    parser.add_argument(
+        "--dry-run",
+        action="store_true",
+        default=None,
+        help="Simule la synchronisation sans écrire vers CalDAV ni XMPP.",
+    )
+    parser.add_argument(
+        "--log-level",
+        choices=_LOG_LEVELS,
+        type=str.upper,
+        help="Niveau de verbosité des journaux.",
+    )
+    return parser.parse_args(arguments)
+
+
+def _settings_secrets(settings: Settings) -> tuple[SecretStr | str, ...]:
+    """Retourne les valeurs sensibles connues pour la rédaction des messages.
+
+    Centraliser ces valeurs garantit que les diagnostics CLI ne divulguent pas
+    les secrets configurés, y compris lorsque le niveau ``DEBUG`` est demandé.
+
+    :param settings: Configuration validée de l'application.
+    :return: Secrets connus à transmettre au mécanisme de rédaction.
+    :rtype: tuple[SecretStr | str, ...]
+    """
+    candidates = (
+        *settings.redaction_secrets(),
+        settings.pronote.username,
+        settings.caldav.username,
+        settings.xmpp.jid,
+        settings.xmpp.to,
+    )
+    return tuple(dict.fromkeys(secret for secret in candidates if secret is not None))
+
+
+def _safe_traceback(
+    exception: BaseException, *, extra_secrets: Sequence[SecretStr | str] = ()
+) -> str:
+    """Construit une pile complète sans inclure les messages d'exception bruts.
+
+    Les noms de fichiers, lignes et fonctions conservent la valeur de diagnostic
+    de la pile. Les messages et les chaînes de causes sont volontairement
+    remplacés, car ils peuvent provenir d'une bibliothèque externe.
+
+    :param exception: Exception à représenter sans divulguer son contenu.
+    :param extra_secrets: Valeurs sensibles configurées à rédiger dans les cadres.
+    :return: Représentation de la pile et de ses causes, expurgée.
+    :rtype: str
+    """
+    lines = ["Traceback (most recent call last):"]
+    current: BaseException | None = exception
+    seen: set[int] = set()
+    while current is not None and id(current) not in seen:
+        seen.add(id(current))
+        for frame in traceback.extract_tb(current.__traceback__):
+            lines.append(f'  File "{frame.filename}", line {frame.lineno}, in {frame.name}')
+        lines.append(f"{type(current).__name__}: erreur expurgée")
+        next_exception = current.__cause__ or current.__context__
+        if next_exception is not None and id(next_exception) not in seen:
+            lines.append("La cause ou le contexte précédent est le suivant :")
+        current = next_exception
+    return redact_secrets("\n".join(lines), extra_secrets=extra_secrets)
+
+
+def _log_failure(
+    message: str,
+    exception: BaseException,
+    *,
+    extra_secrets: Sequence[SecretStr | str] = (),
+) -> None:
+    """Journalise une erreur et sa pile expurgée uniquement en niveau DEBUG.
+
+    :param message: Message public déjà sûr à afficher hors DEBUG.
+    :param exception: Exception dont la pile doit être présentée de façon sûre.
+    :param extra_secrets: Valeurs sensibles configurées à rédiger.
+    :rtype: None
+    """
+    logger.error("%s", redact_secrets(message, extra_secrets=extra_secrets))
+    if logger.isEnabledFor(logging.DEBUG):
+        logger.debug("%s", _safe_traceback(exception, extra_secrets=extra_secrets))
+
+
+def main(arguments: Sequence[str] | None = None) -> int:
+    """Lance le pipeline configuré et retourne son code de sortie.
+
+    En niveau ``DEBUG``, les piles sont affichées sans leurs messages externes
+    bruts afin de préserver le diagnostic sans exposer de secret.
+
+    :param arguments: Arguments optionnels, principalement utiles aux appels programmatiques.
+    :return: ``0`` en cas de succès, ``1`` sinon (après analyse des arguments).
+    :rtype: int
+    :raises SystemExit: Si argparse rejette les arguments (code de sortie 2).
+    """
+    parsed_arguments = _parse_arguments(arguments)
+    setup_logging(parsed_arguments.log_level or "INFO")
+    try:
+        settings = load_settings()
+    except Exception as exception:
+        _log_failure("Configuration invalide ou indisponible.", exception)
+        return 1
+
+    setup_logging(parsed_arguments.log_level or settings.app.log_level)
+    try:
+        runner = PipelineRunner.from_settings(settings, dry_run=parsed_arguments.dry_run)
+        data, errors = runner.run()
+    except Exception as exception:
+        _log_failure(
+            "Échec inattendu du pipeline.",
+            exception,
+            extra_secrets=_settings_secrets(settings),
+        )
+        return 1
+
+    secrets = _settings_secrets(settings)
+    for error in errors:
+        logger.error("%s", redact_secrets(error.message, extra_secrets=secrets))
+    if data is None:
+        return 1
+    return 0
+
+
+if __name__ == "__main__":
+    raise SystemExit(main())

pronote_sync/config/settings.py

@@ -12,7 +12,13 @@ from datetime import date
 from typing import Literal
 from urllib.parse import urlparse
 
-from pydantic import Field, SecretStr, ValidationInfo, field_serializer, field_validator
+from pydantic import (
+    Field,
+    SecretStr,
+    ValidationInfo,
+    field_serializer,
+    field_validator,
+)
 from pydantic_settings import BaseSettings, SettingsConfigDict
 
 from pronote_sync.utils.redaction import redact_url
@@ -31,11 +37,14 @@ class PronoteSettings(BaseSettings):
     username: str | None = None
     password: SecretStr | None = None
     ent: str | None = None
-    pronote_url: str | None = None
+    url: str | None = None
     account_type: Literal["student", "parent"] = "parent"
     agenda_source: Literal["auto", "ical", "pronotepy"] = "auto"
     homework_source: Literal["auto", "ical", "pronotepy"] = "auto"
     messages_source: Literal["pronotepy"] = "pronotepy"
+    auth_mode: Literal["password", "qr_token"] = "password"
+    qr_code_file: str | None = None
+    qr_pin: SecretStr | None = None
 
     @field_serializer("ical_url")
     def _serialize_ical_url(self, value: SecretStr | None) -> str | None:
@@ -49,6 +58,18 @@ class PronoteSettings(BaseSettings):
             return None
         return "**********"
 
+    @field_serializer("qr_pin")
+    def _serialize_qr_pin(self, value: SecretStr | None) -> str | None:
+        """Masque le code PIN QR lors de la sérialisation (repr, str, JSON).
+
+        :param value: Valeur du champ ``qr_pin``.
+        :return: ``"**********"`` si la valeur est définie, ``None`` sinon.
+        :rtype: str | None
+        """
+        if value is None:
+            return None
+        return "**********"
+
 
 class CalDAVSettings(BaseSettings):
     """Paramètres d'accès au serveur CalDAV de destination.
@@ -124,39 +145,84 @@ class CalDAVSettings(BaseSettings):
         return v
 
 
+_XMPP_LOOPBACK_HOSTS: frozenset[str] = frozenset({"localhost", "127.0.0.1", "::1"})
+
+
 class XmppSettings(BaseSettings):
     """Paramètres du canal de notifications XMPP (désactivé par défaut).
 
     Tous les champs ont des valeurs par défaut afin que le canal XMPP reste
     inactif tant qu'il n'est pas explicitement activé. Les variables
     d'environnement correspondantes sont préfixées par ``XMPP_``.
+
+    Contraintes de champs : ``port`` est borné entre 1 et 65535 et ``timeout``
+    doit être strictement positif.
+
+    Politique TLS : la désactivation de TLS (``use_tls`` à ``False``) n'est
+    autorisée que sur un hôte de boucle locale (``localhost``, ``127.0.0.1``,
+    ``::1``). Dans tout autre cas, une erreur de validation est levée,
+    indépendamment de l'état du champ ``enabled``.
     """
 
-    model_config = SettingsConfigDict(env_file=".env", extra="ignore", env_prefix="XMPP_")
+    model_config = SettingsConfigDict(
+        env_file=".env",
+        extra="ignore",
+        env_prefix="XMPP_",
+        hide_input_in_errors=True,
+    )
 
     enabled: bool = False
     jid: str | None = None
     password: SecretStr | None = None
     host: str = ""
-    port: int = 5222
+    port: int = Field(default=5222, ge=1, le=65535)
     to: str | None = None
     resource: str = "pronote-sync"
     use_tls: bool = True
-    timeout: int = 30
+    timeout: int = Field(default=30, gt=0)
+
+    @field_validator("use_tls")
+    @classmethod
+    def _validate_tls_policy(cls, v: bool, info: ValidationInfo) -> bool:
+        """Refuse la désactivation de TLS hors des hôtes de boucle locale.
+
+        La règle s'applique quel que soit l'état du champ ``enabled``. Le
+        message d'erreur ne contient aucune valeur sensible (``jid``,
+        ``password``, ``to``).
+
+        :param v: Valeur du champ ``use_tls`` à valider.
+        :param info: Contexte de validation (accès aux autres champs).
+        :return: La valeur validée inchangée.
+        :rtype: bool
+        :raises ValueError: Si ``use_tls`` est ``False`` et que ``host``
+            n'est pas un hôte de boucle locale.
+        """
+        if v is False:
+            host = info.data.get("host", "")
+            if host not in _XMPP_LOOPBACK_HOSTS:
+                raise ValueError(
+                    "TLS désactivé n'est autorisé que sur les hôtes de loopback "
+                    "(localhost, 127.0.0.1, ::1)."
+                ) from None
+        return v
 
 
 class AISettings(BaseSettings):
     """Paramètres de la synthèse par IA (désactivée par défaut).
 
     Les variables d'environnement correspondantes sont préfixées par ``AI_``.
+    Le provider ``openai-compatible`` permet d'utiliser n'importe quelle API
+    compatible OpenAI via ``AI_BASE_URL`` ; les URLs en HTTP ne sont alors
+    acceptées que si ``AI_ALLOW_INSECURE_HTTP`` vaut ``true``.
     """
 
     model_config = SettingsConfigDict(env_file=".env", extra="ignore", env_prefix="AI_")
 
     enabled: bool = False
-    provider: Literal["openai", "litellm"] = "openai"
+    provider: Literal["openai", "litellm", "openai-compatible"] = "openai"
     base_url: str | None = None
     api_key: SecretStr | None = None
+    allow_insecure_http: bool = False
     model: str | None = None
 
 
@@ -210,3 +276,25 @@ class Settings(BaseSettings):
     ai: AISettings = Field(default_factory=AISettings)
     blog: BlogSettings = Field(default_factory=BlogSettings)
     app: AppSettings = Field(default_factory=AppSettings)
+
+    def redaction_secrets(self) -> tuple[SecretStr, ...]:
+        """Énumère tous les secrets configurés pour la rédaction.
+
+        Collecte les valeurs :class:`pydantic.SecretStr` non vides présentes
+        dans les sous-configurations (URL iCal, mots de passe, code PIN QR et
+        clé API IA). Les valeurs vides ou ``None`` sont filtrées ; les
+        doublons sont supprimés.
+
+        :return: Tuple de secrets à masquer dans les messages d'erreur.
+        :rtype: tuple[SecretStr, ...]
+        """
+        secrets = [
+            self.pronote.ical_url,
+            self.pronote.password,
+            self.pronote.qr_pin,
+            self.caldav.url,
+            self.caldav.password,
+            self.xmpp.password,
+            self.ai.api_key,
+        ]
+        return tuple(dict.fromkeys(secret for secret in secrets if secret is not None))

pronote_sync/errors.py

@@ -2,6 +2,8 @@
 
 from __future__ import annotations
 
+from enum import StrEnum
+
 
 class PronoteSyncError(Exception):
     """Erreur de base pour toutes les exceptions du projet pronote-sync.
@@ -16,18 +18,107 @@ class PronoteSyncError(Exception):
         :param message: Message décrivant la cause de l'erreur.
         """
         super().__init__(message)
+        self.message = message
 
 
-class PipelineCriticalError(PronoteSyncError):
+class PronoteAuthRotationError(PronoteSyncError):
+    """Erreur de rotation du token d'authentification pronotepy (QR code / token).
+
+    Levée quand le token persisté est invalide ou expiré et qu'un ré-enrôlement
+    manuel (suppression du fichier d'état + nouveau QR code) est nécessaire.
+
+    :ivar message: Message décrivant l'action à effectuer, sans secret.
+    """
+
+    def __init__(self, message: str) -> None:
+        """Initialise l'erreur de rotation.
+
+        :param message: Message actionnable sans secret (PIN, token, URL).
+        """
+        super().__init__(message)
+
+
+class ErrorSeverity(StrEnum):
+    """Niveau de gravité d'une erreur produite par le pipeline."""
+
+    WARNING = "warning"
+    CRITICAL = "critical"
+
+
+class PipelineError(PronoteSyncError):
+    """Erreur structurée produite par une étape du pipeline.
+
+    :ivar severity: Niveau de gravité de l'erreur.
+    :ivar step: Étape ayant produit l'erreur, si elle est connue.
+    :ivar recoverable: Indique si le pipeline peut poursuivre son exécution.
+    """
+
+    def __init__(
+        self,
+        message: str,
+        *,
+        severity: ErrorSeverity = ErrorSeverity.WARNING,
+        step: str | None = None,
+        recoverable: bool = True,
+    ) -> None:
+        """Initialise une erreur de pipeline.
+
+        :param message: Message descriptif expurgé.
+        :param severity: Niveau de gravité associé.
+        :param step: Étape ayant produit l'erreur.
+        :param recoverable: ``True`` si le pipeline peut continuer.
+        """
+        super().__init__(message)
+        self.severity = severity
+        self.step = step
+        self.recoverable = recoverable
+
+
+class PipelineCriticalError(PipelineError):
     """Erreur critique du pipeline, levée quand aucune récupération n'est possible.
 
     Par exemple : échec simultané des sources iCal et pronotepy,
     rendant impossible toute synchronisation.
     """
 
-    def __init__(self, message: str) -> None:
+    def __init__(self, message: str, step: str | None = None) -> None:
         """Initialise l'erreur critique avec un message descriptif.
 
         :param message: Message décrivant la cause de l'erreur critique.
+        :param step: Étape ayant produit l'erreur critique.
         """
-        super().__init__(message)
+        super().__init__(
+            message,
+            severity=ErrorSeverity.CRITICAL,
+            step=step,
+            recoverable=False,
+        )
+
+
+class PipelineWarning(PipelineError):
+    """Avertissement non bloquant pour une erreur récupérable du pipeline.
+
+    Contrairement à :class:`PipelineCriticalError`, cet avertissement signale
+    un problème récupérable : le pipeline peut poursuivre son exécution en
+    mode dégradé.
+
+    Il hérite volontairement de :class:`PronoteSyncError` (et non de la classe
+    native :class:`Warning`) afin de rester dans la hiérarchie canonique des
+    erreurs du projet.
+
+    :ivar recoverable: Indique que l'erreur est récupérable (toujours ``True``).
+    :ivar step: Étape du pipeline ayant produit l'avertissement.
+    """
+
+    def __init__(self, message: str, step: str | None = None) -> None:
+        """Initialise l'avertissement avec un message descriptif.
+
+        :param message: Message décrivant la cause de l'avertissement.
+        :param step: Étape du pipeline ayant produit l'avertissement.
+        """
+        super().__init__(
+            message,
+            severity=ErrorSeverity.WARNING,
+            step=step,
+            recoverable=True,
+        )

pronote_sync/pipeline/__init__.py

@@ -0,0 +1,5 @@
+"""Orchestration du pipeline Pronote → CalDAV → XMPP."""
+
+from pronote_sync.pipeline.run import PipelineRunner
+
+__all__ = ["PipelineRunner"]

pronote_sync/pipeline/run.py

@@ -0,0 +1,340 @@
+"""Composition root et orchestrateur du pipeline Pronote → CalDAV → XMPP."""
+
+from __future__ import annotations
+
+import logging
+from collections.abc import Callable
+from contextlib import AbstractContextManager, nullcontext
+from datetime import datetime
+from typing import Protocol, runtime_checkable
+
+from pronote_sync.channels import get_channel
+from pronote_sync.channels.protocol import Channel
+from pronote_sync.config.settings import Settings
+from pronote_sync.errors import (
+    PipelineCriticalError,
+    PipelineError,
+    PipelineWarning,
+    PronoteAuthRotationError,
+)
+from pronote_sync.models.blog import ExternalInfo
+from pronote_sync.models.pronote import PronoteData
+from pronote_sync.models.sync import CalDAVSyncResult, CalDAVSyncStatus
+from pronote_sync.models.synthesis import SynthesisInput
+from pronote_sync.models.xmpp import XmppMessage
+from pronote_sync.pipeline.steps.caldav_sync import CalDAVSynchronizer, caldav_sync_step
+from pronote_sync.pipeline.steps.compare import compare_step
+from pronote_sync.pipeline.steps.fetch import fetch_step
+from pronote_sync.pipeline.steps.fetch_blog import fetch_blog_step
+from pronote_sync.pipeline.steps.normalize import normalize_step
+from pronote_sync.pipeline.steps.send import send_step
+from pronote_sync.pipeline.steps.synthesis import synthesis_step
+from pronote_sync.sources.blog.rss import BlogRSSClient
+from pronote_sync.sources.blog.state import BlogRSSState
+from pronote_sync.sources.pronote.auth_state import PronoteAuthState
+from pronote_sync.sources.pronote.client import PronoteClient
+from pronote_sync.sources.pronote.fallback import PronoteFetcher, PronoteFetcherProtocol
+from pronote_sync.sources.theoretical import get_theoretical_provider
+from pronote_sync.sync.diff import AgendaComparator
+from pronote_sync.sync.synchronizer import synchronize
+from pronote_sync.synthesis import get_synthesis_provider
+from pronote_sync.synthesis.provider import SynthesisProvider
+from pronote_sync.utils.redaction import redact_exception, redact_secrets
+
+logger = logging.getLogger(__name__)
+
+
+def _synchronize_caldav(data: PronoteData, settings: Settings) -> CalDAVSyncResult:
+    """Adapte le synchroniseur CalDAV de production au protocole injecté.
+
+    :param data: Données Pronote normalisées à synchroniser.
+    :param settings: Configuration effective de l'exécution.
+    :return: Résultat de la synchronisation CalDAV.
+    :rtype: CalDAVSyncResult
+    """
+    return synchronize(data, settings)
+
+
+@runtime_checkable
+class _RunContextFetcher(PronoteFetcherProtocol, Protocol):
+    """Protocole interne d'un fetcher capable d'isoler un cache par run."""
+
+    def run_context(self) -> AbstractContextManager[None]:
+        """Retourne le contexte de durée de vie d'une exécution.
+
+        :return: Contexte éphémère associé à l'exécution.
+        :rtype: AbstractContextManager[None]
+        """
+        ...
+
+
+class PipelineRunner:
+    """Orchestre les étapes fetch → normalize → blog → compare → CalDAV → IA → XMPP.
+
+    Toutes les dépendances sont injectables. La méthode :meth:`from_settings`
+    constitue la composition root de production et ne crée aucun singleton.
+    """
+
+    def __init__(
+        self,
+        *,
+        settings: Settings,
+        pronote_fetcher: PronoteFetcherProtocol,
+        caldav_synchronizer: CalDAVSynchronizer = _synchronize_caldav,
+        agenda_comparator: AgendaComparator | None = None,
+        synthesis_provider: SynthesisProvider | None = None,
+        channel: Channel | None = None,
+        blog_client: BlogRSSClient | None = None,
+        blog_state: BlogRSSState | None = None,
+        dry_run: bool | None = None,
+        now_provider: Callable[[], datetime] = datetime.now,
+    ) -> None:
+        """Initialise un pipeline entièrement injectable.
+
+        :param settings: Configuration de base du pipeline.
+        :param pronote_fetcher: Source Pronote à utiliser.
+        :param caldav_synchronizer: Service CalDAV injecté.
+        :param agenda_comparator: Comparateur théorique, absent si désactivé.
+        :param synthesis_provider: Fournisseur IA optionnel.
+        :param channel: Canal XMPP optionnel.
+        :param blog_client: Client RSS optionnel.
+        :param blog_state: État RSS associé au client optionnel.
+        :param dry_run: Surcharge optionnelle du mode dry-run de la configuration.
+        :param now_provider: Horloge injectée pour rendre l'exécution testable.
+        """
+        self._settings = settings
+        self._redaction_secrets = settings.redaction_secrets()
+        self._pronote_fetcher = pronote_fetcher
+        self._caldav_synchronizer = caldav_synchronizer
+        self._agenda_comparator = agenda_comparator
+        self._synthesis_provider = synthesis_provider
+        self._channel = channel
+        self._blog_client = blog_client
+        self._blog_state = blog_state
+        self._dry_run = settings.app.dry_run if dry_run is None else dry_run
+        self._now_provider = now_provider
+        self._errors: list[PipelineError] = []
+        self._warnings: list[PipelineWarning] = []
+
+    @classmethod
+    def from_settings(cls, settings: Settings, *, dry_run: bool | None = None) -> PipelineRunner:
+        """Construit les dépendances de production sans singleton global.
+
+        :param settings: Configuration validée de l'application.
+        :param dry_run: Surcharge optionnelle du mode dry-run.
+        :return: Pipeline prêt à être exécuté.
+        :rtype: PipelineRunner
+        """
+        effective_dry_run = settings.app.dry_run if dry_run is None else dry_run
+        theoretical_provider = get_theoretical_provider(
+            settings.app.theoretical_agenda_path,
+            settings.app.school_holidays_path,
+            settings.app.theoretical_week_anchor_date,
+            settings.app.theoretical_week_anchor_type,
+        )
+        comparator = (
+            AgendaComparator(theoretical_provider) if theoretical_provider is not None else None
+        )
+        blog_client = BlogRSSClient(settings.blog.rss_url) if settings.blog.enabled else None
+        blog_state = BlogRSSState() if settings.blog.enabled else None
+        return cls(
+            settings=settings,
+            pronote_fetcher=PronoteFetcher(
+                settings,
+                PronoteClient(
+                    settings.pronote,
+                    auth_state=(
+                        PronoteAuthState() if settings.pronote.auth_mode == "qr_token" else None
+                    ),
+                ),
+            ),
+            agenda_comparator=comparator,
+            synthesis_provider=get_synthesis_provider(settings.ai),
+            channel=get_channel(settings.xmpp, dry_run=effective_dry_run),
+            blog_client=blog_client,
+            blog_state=blog_state,
+            dry_run=effective_dry_run,
+        )
+
+    def _effective_settings(self) -> Settings:
+        """Retourne la configuration dont le dry-run reflète l'exécution courante.
+
+        :return: Copie de configuration à passer aux dépendances.
+        :rtype: Settings
+        """
+        if self._settings.app.dry_run == self._dry_run:
+            return self._settings
+        return self._settings.model_copy(
+            update={"app": self._settings.app.model_copy(update={"dry_run": self._dry_run})}
+        )
+
+    def _redact(self, exc: Exception) -> str:
+        """Rédige une exception avec les secrets configurés.
+
+        :param exc: Exception dont le message doit être masqué.
+        :return: Message d'erreur avec secrets configurés remplacés par ``REDACTED``.
+        :rtype: str
+        """
+        return redact_exception(exc, self._redaction_secrets)
+
+    def _run_context(self) -> AbstractContextManager[None]:
+        """Retourne le contexte isolant les éventuels caches de source.
+
+        :return: Contexte de durée de vie du run, vide pour un fetcher générique.
+        :rtype: AbstractContextManager[None]
+        """
+        if isinstance(self._pronote_fetcher, _RunContextFetcher):
+            return self._pronote_fetcher.run_context()
+        return nullcontext()
+
+    def _warn(self, step: str, message: str) -> None:
+        """Enregistre et journalise un avertissement expurgé.
+
+        :param step: Étape ayant échoué.
+        :param message: Message déjà expurgé.
+        """
+        warning = PipelineWarning(message, step=step)
+        self._warnings.append(warning)
+        logger.warning("Étape %s dégradée : %s", step, warning.message)
+
+    def run(self) -> tuple[PronoteData | None, list[PipelineError]]:
+        """Exécute le pipeline complet dans l'ordre contractuel.
+
+        Une erreur de récupération critique interrompt l'exécution. Les erreurs
+        des étapes facultatives sont converties en :class:`PipelineWarning` afin
+        que les étapes suivantes, notamment XMPP, restent exécutées.
+
+        Une :class:`PronoteAuthRotationError` interrompt également l'exécution :
+        l'erreur est journalisée expurgée, une notification XMPP actionnable est
+        envoyée (sauf en dry-run ou sans canal), puis un résultat dégradé est
+        retourné.
+
+        :return: Données Pronote normalisées ou ``None``, puis erreurs et avertissements.
+        :rtype: tuple[PronoteData | None, list[PipelineError]]
+        """
+        self._errors = []
+        self._warnings = []
+        now = self._now_provider()
+        effective_settings = self._effective_settings()
+        try:
+            with self._run_context():
+                fetched, fetch_warnings = fetch_step(self._pronote_fetcher, today=now.date())
+                self._warnings.extend(fetch_warnings)
+                data = normalize_step(fetched, generated_at=now)
+
+                try:
+                    blog_articles = fetch_blog_step(self._blog_client, self._blog_state)
+                except PipelineCriticalError:
+                    raise
+                except Exception as exc:
+                    self._warn("fetch_blog", self._redact(exc))
+                    blog_articles = []
+
+                try:
+                    agenda_diff = compare_step(self._agenda_comparator, data)
+                except PipelineCriticalError:
+                    raise
+                except Exception as exc:
+                    self._warn("compare", self._redact(exc))
+                    from pronote_sync.models.diff import AgendaDiff
+
+                    agenda_diff = AgendaDiff(target_date=data.target_date)
+
+                try:
+                    sync_result = caldav_sync_step(
+                        self._caldav_synchronizer, data, effective_settings
+                    )
+                    if sync_result.status is CalDAVSyncStatus.FAILED:
+                        caldav_errors = redact_secrets(
+                            "; ".join(sync_result.errors),
+                            extra_secrets=self._redaction_secrets,
+                        )
+                        self._warn("caldav_sync", caldav_errors or "Échec CalDAV")
+                except PipelineCriticalError:
+                    raise
+                except Exception as exc:
+                    self._warn("caldav_sync", self._redact(exc))
+
+                try:
+                    synthesis = synthesis_step(
+                        self._synthesis_provider,
+                        SynthesisInput(
+                            agenda_diff=agenda_diff,
+                            messages=data.messages,
+                            school_events=data.school_events,
+                            target_date=data.target_date,
+                        ),
+                    )
+                except PipelineCriticalError:
+                    raise
+                except Exception as exc:
+                    self._warn("synthesis", self._redact(exc))
+                    synthesis = None
+
+                message = XmppMessage(
+                    target_date=data.target_date,
+                    synthesis=synthesis.text if synthesis is not None else None,
+                    homeworks=tuple(data.homeworks),
+                    changes=agenda_diff.changes,
+                    messages=tuple(data.messages),
+                    external_info=ExternalInfo(blog_articles=tuple(blog_articles))
+                    if blog_articles
+                    else None,
+                )
+                if self._channel is not None and not self._dry_run:
+                    try:
+                        if not send_step(self._channel, message):
+                            self._warn("send", "Le canal XMPP a refusé l'envoi")
+                    except PipelineCriticalError:
+                        raise
+                    except Exception as exc:
+                        self._warn("send", self._redact(exc))
+                return data, [*self._errors, *self._warnings]
+        except PronoteAuthRotationError as exc:
+            error = PipelineCriticalError(self._redact(exc), step="pronote")
+            logger.error("Erreur critique du pipeline : %s", error.message)
+            if self._channel is not None and not self._dry_run:
+                message = XmppMessage(
+                    target_date=now.date(),
+                    synthesis=(
+                        "⚠️ Rotation du token Pronote échouée. Le token d'authentification est "
+                        "expiré ou invalide. Action requise : supprimez le fichier "
+                        ".pronote_auth_state.json et relancez le pipeline avec un nouveau QR "
+                        "code (PRONOTE_QR_CODE_FILE + PRONOTE_QR_PIN)."
+                    ),
+                    external_info=None,
+                )
+                try:
+                    if not send_step(self._channel, message):
+                        self._warn("send", "Le canal XMPP a refusé l'envoi")
+                except Exception as send_exc:
+                    # L'envoi de la notification est un dernier avertissement : son échec
+                    # ne doit pas masquer l'erreur de rotation, déjà critique.
+                    self._warn("send", self._redact(send_exc))
+            self._errors.append(error)
+        except PipelineCriticalError as exc:
+            logger.error("Erreur critique du pipeline : %s", exc.message)
+            self._errors.append(exc)
+        except Exception as exc:
+            error = PipelineCriticalError(
+                f"Erreur inattendue du pipeline : {self._redact(exc)}", step="pipeline"
+            )
+            logger.error("Erreur critique du pipeline : %s", error.message)
+            self._errors.append(error)
+        return None, [*self._errors, *self._warnings]
+
+    def get_errors(self) -> list[PipelineError]:
+        """Retourne les erreurs critiques de la dernière exécution.
+
+        :return: Copie des erreurs critiques.
+        :rtype: list[PipelineError]
+        """
+        return list(self._errors)
+
+    def get_warnings(self) -> list[PipelineWarning]:
+        """Retourne les avertissements de la dernière exécution.
+
+        :return: Copie des avertissements non bloquants.
+        :rtype: list[PipelineWarning]
+        """
+        return list(self._warnings)

pronote_sync/pipeline/steps/__init__.py

@@ -0,0 +1,19 @@
+"""Étapes isolées utilisées par l'orchestrateur du pipeline."""
+
+from pronote_sync.pipeline.steps.caldav_sync import caldav_sync_step
+from pronote_sync.pipeline.steps.compare import compare_step
+from pronote_sync.pipeline.steps.fetch import fetch_step
+from pronote_sync.pipeline.steps.fetch_blog import fetch_blog_step
+from pronote_sync.pipeline.steps.normalize import normalize_step
+from pronote_sync.pipeline.steps.send import send_step
+from pronote_sync.pipeline.steps.synthesis import synthesis_step
+
+__all__ = [
+    "caldav_sync_step",
+    "compare_step",
+    "fetch_blog_step",
+    "fetch_step",
+    "normalize_step",
+    "send_step",
+    "synthesis_step",
+]

pronote_sync/pipeline/steps/caldav_sync.py

@@ -0,0 +1,37 @@
+"""Étape d'appel à la synchronisation CalDAV."""
+
+from __future__ import annotations
+
+from typing import Protocol
+
+from pronote_sync.config.settings import Settings
+from pronote_sync.models.pronote import PronoteData
+from pronote_sync.models.sync import CalDAVSyncResult
+
+
+class CalDAVSynchronizer(Protocol):
+    """Protocole injectable de synchronisation CalDAV."""
+
+    def __call__(self, data: PronoteData, settings: Settings) -> CalDAVSyncResult:
+        """Synchronise les données Pronote vers CalDAV.
+
+        :param data: Données Pronote normalisées.
+        :param settings: Configuration effective de l'exécution.
+        :return: Résultat de la synchronisation.
+        :rtype: CalDAVSyncResult
+        """
+        ...
+
+
+def caldav_sync_step(
+    synchronizer: CalDAVSynchronizer, data: PronoteData, settings: Settings
+) -> CalDAVSyncResult:
+    """Exécute la synchronisation CalDAV injectée.
+
+    :param synchronizer: Service de synchronisation injecté.
+    :param data: Données Pronote normalisées.
+    :param settings: Configuration effective de l'exécution.
+    :return: Résultat CalDAV.
+    :rtype: CalDAVSyncResult
+    """
+    return synchronizer(data, settings)

pronote_sync/pipeline/steps/compare.py

@@ -0,0 +1,20 @@
+"""Étape de comparaison de l'agenda réel avec l'agenda théorique."""
+
+from __future__ import annotations
+
+from pronote_sync.models.diff import AgendaDiff
+from pronote_sync.models.pronote import PronoteData
+from pronote_sync.sync.diff import AgendaComparator
+
+
+def compare_step(comparator: AgendaComparator | None, data: PronoteData) -> AgendaDiff:
+    """Compare l'agenda ou retourne un diff vide si la comparaison est désactivée.
+
+    :param comparator: Comparateur configuré, ou ``None`` sans agenda théorique.
+    :param data: Données Pronote normalisées.
+    :return: Diff d'agenda pour la date cible.
+    :rtype: AgendaDiff
+    """
+    if comparator is None:
+        return AgendaDiff(target_date=data.target_date)
+    return comparator.compare(data.lessons, data.target_date)

pronote_sync/pipeline/steps/fetch.py

@@ -0,0 +1,130 @@
+"""Étape de récupération des données Pronote pour une exécution du pipeline."""
+
+from __future__ import annotations
+
+from dataclasses import dataclass
+from datetime import date
+
+from pronote_sync.errors import PipelineCriticalError, PipelineWarning, PronoteAuthRotationError
+from pronote_sync.models.agenda import Lesson, SchoolEvent
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message
+from pronote_sync.sources.pronote.fallback import PronoteFetcherProtocol
+from pronote_sync.utils.redaction import redact_exception
+
+
+@dataclass(frozen=True)
+class FetchedPronoteData:
+    """Représente les données brutes récupérées pendant une exécution.
+
+    :ivar lessons: Cours récupérés depuis la source sélectionnée.
+    :ivar homeworks: Devoirs destinés à la date cible.
+    :ivar school_events: Événements scolaires récupérés avec l'agenda.
+    :ivar messages: Messages et informations Pronote disponibles.
+    :ivar target_date: Date cible du digest.
+    """
+
+    lessons: list[Lesson]
+    homeworks: list[Homework]
+    school_events: list[SchoolEvent]
+    messages: list[Message]
+    target_date: date
+
+
+def resolve_target_date(
+    today: date, lessons: list[Lesson], school_events: list[SchoolEvent]
+) -> date:
+    """Détermine la date cible du digest à partir de l'agenda disponible.
+
+    La règle privilégie J+1 lorsqu'il contient des cours. Si la journée en
+    cours contient des cours mais pas J+1, le prochain cours connu est choisi.
+    Sans cours correspondant, J+1 est conservé, y compris pendant les vacances.
+
+    :param today: Date de référence de l'exécution.
+    :param lessons: Cours récupérés pour la fenêtre de synchronisation.
+    :param school_events: Événements scolaires récupérés (réservés aux évolutions
+        du libellé de jour sans cours).
+    :return: Date cible du digest.
+    :rtype: date
+    """
+    del school_events
+    tomorrow = date.fromordinal(today.toordinal() + 1)
+    lesson_dates = {lesson.start.date() for lesson in lessons}
+    if tomorrow in lesson_dates:
+        return tomorrow
+    if today in lesson_dates:
+        future_dates = sorted(day for day in lesson_dates if day > today)
+        if future_dates:
+            return future_dates[0]
+    return tomorrow
+
+
+def _fetch_optional_messages(
+    fetcher: PronoteFetcherProtocol,
+) -> tuple[list[Message], list[PipelineWarning]]:
+    """Récupère les messages et informations sans bloquer le pipeline.
+
+    :param fetcher: Fetcher Pronote configuré.
+    :return: Messages disponibles et avertissements éventuels.
+    :rtype: tuple[list[Message], list[PipelineWarning]]
+    """
+    messages: list[Message] = []
+    warnings: list[PipelineWarning] = []
+    for step, method in (
+        ("fetch_messages", fetcher.fetch_messages),
+        ("fetch_informations", fetcher.fetch_informations),
+    ):
+        try:
+            messages.extend(method())
+        except Exception as exc:
+            warnings.append(
+                PipelineWarning(
+                    f"Récupération non critique échouée : {redact_exception(exc)}",
+                    step=step,
+                )
+            )
+    return messages, warnings
+
+
+def fetch_step(
+    fetcher: PronoteFetcherProtocol, *, today: date | None = None
+) -> tuple[FetchedPronoteData, list[PipelineWarning]]:
+    """Récupère les données Pronote critiques et les compléments dégradables.
+
+    L'agenda et les devoirs sont critiques : leur échec empêche de produire un
+    digest fiable et est donc propagé comme :class:`PipelineCriticalError`.
+    Les messages et informations sont facultatifs ; leur échec produit un
+    avertissement et une liste partielle reste valide.
+
+    :param fetcher: Fetcher Pronote configuré.
+    :param today: Date de référence, injectée par les tests ; J courant par défaut.
+    :return: Données récupérées et avertissements non critiques.
+    :rtype: tuple[FetchedPronoteData, list[PipelineWarning]]
+    :raises PipelineCriticalError: Si l'agenda ou les devoirs ne sont pas disponibles.
+    :raises PronoteAuthRotationError: Si une rotation du token d'authentification
+        pronotepy est nécessaire : propagée telle quelle jusqu'au pipeline.
+    """
+    try:
+        lessons, school_events = fetcher.fetch_agenda()
+        target_date = resolve_target_date(today or date.today(), lessons, school_events)
+        homeworks = fetcher.fetch_homework(target_date)
+    except PipelineCriticalError:
+        raise
+    except PronoteAuthRotationError:
+        raise
+    except Exception as exc:
+        raise PipelineCriticalError(
+            f"Récupération Pronote impossible : {redact_exception(exc)}", step="fetch"
+        ) from None
+
+    messages, warnings = _fetch_optional_messages(fetcher)
+    return (
+        FetchedPronoteData(
+            lessons=lessons,
+            homeworks=homeworks,
+            school_events=school_events,
+            messages=messages,
+            target_date=target_date,
+        ),
+        warnings,
+    )

pronote_sync/pipeline/steps/fetch_blog.py

@@ -0,0 +1,34 @@
+"""Étape de récupération non bloquante des articles RSS du collège."""
+
+from __future__ import annotations
+
+from pronote_sync.models.blog import BlogArticle
+from pronote_sync.sources.blog.rss import BlogRSSClient
+from pronote_sync.sources.blog.state import BlogRSSState
+from pronote_sync.utils.redaction import redact_exception
+
+
+def fetch_blog_step(client: BlogRSSClient | None, state: BlogRSSState | None) -> list[BlogArticle]:
+    """Récupère les articles RSS nouveaux en conservant l'état du client.
+
+    :param client: Client RSS configuré, ou ``None`` lorsque le blog est désactivé.
+    :param state: État de déduplication et de cache HTTP associé au run.
+    :return: Nouveaux articles du blog.
+    :rtype: list[BlogArticle]
+    :raises RuntimeError: Si la récupération RSS injectée échoue.
+    """
+    if client is None or state is None:
+        return []
+    try:
+        etag, last_modified = state.get_cache_headers()
+        result = client.fetch_and_parse(
+            known_guids=state.get_known_guids(), etag=etag, last_modified=last_modified
+        )
+        if result.error is not None:
+            raise RuntimeError(result.error) from None
+        if not result.not_modified:
+            state.add_guids(article.id for article in result.articles)
+            state.update_cache_headers(result.etag, result.last_modified)
+        return list(result.articles)
+    except Exception as exc:
+        raise RuntimeError(f"Récupération du blog échouée : {redact_exception(exc)}") from None

pronote_sync/pipeline/steps/normalize.py

@@ -0,0 +1,31 @@
+"""Étape de normalisation et d'ordonnancement déterministe des données Pronote."""
+
+from __future__ import annotations
+
+from datetime import datetime
+
+from pronote_sync.models.pronote import PronoteData
+from pronote_sync.pipeline.steps.fetch import FetchedPronoteData
+
+
+def normalize_step(fetched: FetchedPronoteData, *, generated_at: datetime) -> PronoteData:
+    """Construit le contrat ``PronoteData`` dans un ordre déterministe.
+
+    :param fetched: Données brutes produites par :func:`fetch_step`.
+    :param generated_at: Horodatage de l'exécution fourni par l'orchestrateur.
+    :return: Données Pronote normalisées.
+    :rtype: PronoteData
+    """
+    return PronoteData(
+        lessons=sorted(fetched.lessons, key=lambda lesson: (lesson.start, lesson.id)),
+        homeworks=sorted(
+            fetched.homeworks, key=lambda homework: (homework.due_on, homework.subject, homework.id)
+        ),
+        school_events=sorted(
+            fetched.school_events,
+            key=lambda event: (event.from_date, event.to_date, event.kind.value, event.label),
+        ),
+        messages=sorted(fetched.messages, key=lambda message: (message.date, message.id)),
+        target_date=fetched.target_date,
+        generated_at=generated_at,
+    )

pronote_sync/pipeline/steps/send.py

@@ -0,0 +1,17 @@
+"""Étape d'envoi du digest sur le canal de notification."""
+
+from __future__ import annotations
+
+from pronote_sync.channels.protocol import Channel
+from pronote_sync.models.xmpp import XmppMessage
+
+
+def send_step(channel: Channel, message: XmppMessage) -> bool:
+    """Envoie le digest et retourne le statut fourni par le canal.
+
+    :param channel: Canal de sortie configuré.
+    :param message: Digest XMPP à transmettre.
+    :return: ``True`` si l'envoi a réussi, ``False`` sinon.
+    :rtype: bool
+    """
+    return channel.send(message)

pronote_sync/pipeline/steps/synthesis.py

@@ -0,0 +1,21 @@
+"""Étape de génération optionnelle de synthèse IA."""
+
+from __future__ import annotations
+
+from pronote_sync.models.synthesis import SynthesisInput, SynthesisResult
+from pronote_sync.synthesis.provider import SynthesisProvider
+
+
+def synthesis_step(
+    provider: SynthesisProvider | None, input_data: SynthesisInput
+) -> SynthesisResult | None:
+    """Génère une synthèse lorsque le fournisseur IA est activé.
+
+    :param provider: Fournisseur IA optionnel.
+    :param input_data: Données à synthétiser.
+    :return: Synthèse produite, ou ``None`` si le fournisseur est désactivé.
+    :rtype: SynthesisResult | None
+    """
+    if provider is None:
+        return None
+    return provider.generate(input_data)

pronote_sync/sources/blog/result.py

@@ -29,6 +29,8 @@ class BlogRSSFetchResult(BaseModel):
         réponse RSS, si elle est disponible. ``None`` par défaut.
     :param not_modified: Vaut ``True`` si le serveur a répondu avec le
         statut ``304 Not Modified``, ``False`` sinon.
+    :param error: Message d'erreur expurgé si la récupération a échoué,
+        ``None`` sinon.
     """
 
     model_config = ConfigDict(frozen=True)
@@ -52,3 +54,7 @@ class BlogRSSFetchResult(BaseModel):
         default=False,
         description="Vaut True si le serveur a répondu 304 Not Modified",
     )
+    error: str | None = Field(
+        default=None,
+        description=("Message d'erreur expurgé si la récupération a échoué, None sinon"),
+    )

pronote_sync/sources/blog/rss.py

@@ -131,12 +131,14 @@ class BlogRSSClient:
             if getattr(feed, "bozo", None):
                 bozo_exception = getattr(feed, "bozo_exception", None)
                 if bozo_exception is not None:
+                    error_msg = f"Flux RSS invalide : {redact_exception(bozo_exception)}"
                     logger.warning(
                         "Flux RSS du blog invalide (%s), ignoré : %s",
                         redact_exception(bozo_exception),
                         redact_url(self.rss_url),
                     )
                 else:
+                    error_msg = "Flux RSS invalide"
                     logger.warning(
                         "Flux RSS du blog invalide, ignoré : %s",
                         redact_url(self.rss_url),
@@ -146,6 +148,7 @@ class BlogRSSClient:
                     etag=etag,
                     last_modified=last_modified,
                     not_modified=False,
+                    error=error_msg,
                 )
 
             articles: list[BlogArticle] = []
@@ -234,16 +237,18 @@ class BlogRSSClient:
                 not_modified=False,
             )
         except Exception as exc:
+            error_msg = redact_exception(exc)
             logger.error(
                 "Échec de la récupération du flux RSS du blog %s : %s",
                 redact_url(self.rss_url),
-                redact_exception(exc),
+                error_msg,
             )
             return BlogRSSFetchResult(
                 articles=(),
                 etag=etag,
                 last_modified=last_modified,
                 not_modified=False,
+                error=error_msg,
             )
 
     @staticmethod

pronote_sync/sources/pronote/auth_state.py

@@ -0,0 +1,195 @@
+"""Persistance des credentials d'authentification par token pronotepy.
+
+Ce module fournit :class:`PronoteAuthState`, qui stocke et charge les credentials
+d'authentification par QR code / token entre les exécutions du pipeline. Le token
+pronotepy rotate à chaque session : le fichier d'état doit être mis à jour après
+chaque login réussi via :meth:`PronoteAuthState.save`.
+
+Le fichier d'état est créé avec des permissions ``0600`` car il contient un token
+d'authentification vivant. Son contenu n'est jamais journalisé.
+"""
+
+from __future__ import annotations
+
+import json
+import logging
+import os
+from pathlib import Path
+from typing import Any
+
+from pronote_sync.errors import PronoteSyncError
+from pronote_sync.utils.redaction import redact_exception, redact_secrets
+
+logger = logging.getLogger(__name__)
+
+_STATE_VERSION = 1
+
+
+class PronoteAuthState:
+    """Persiste les credentials d'authentification par token pronotepy entre
+    les exécutions du pipeline.
+
+    Le fichier d'état contient un dict au format :
+    {"version": 1, "credentials": {"pronote_url": "...", "username": "...", "password": "<token>", "uuid": "..."}}
+
+    Les credentials sont le retour de pronotepy.Client.export_credentials(), utilisé tel quel
+    pour token_login(**credentials). Le token rotate à chaque session — le fichier doit être
+    mis à jour après chaque login réussi.
+
+    :param state_file: Chemin du fichier d'état JSON (``str`` ou
+        :class:`~pathlib.Path`). ``".pronote_auth_state.json"`` par défaut.
+    """
+
+    def __init__(self, state_file: Path | str = ".pronote_auth_state.json") -> None:
+        """Initialise le gestionnaire d'état d'authentification Pronote.
+
+        Le fichier d'état n'est pas créé à l'initialisation : il n'est écrit
+        qu'à la première sauvegarde réussie via :meth:`save`.
+
+        :param state_file: Chemin du fichier d'état JSON (``str`` ou
+            :class:`~pathlib.Path`). ``".pronote_auth_state.json"`` par défaut.
+        """
+        self._state_file = Path(state_file)
+
+    def load(self) -> dict[str, str] | None:
+        """Charge les credentials d'authentification depuis le fichier d'état.
+
+        Un fichier absent renvoie ``None`` (journalisé en debug). Un fichier
+        corrompu, une version absente ou non supportée, ou un champ
+        ``credentials`` invalide renvoient ``None`` avec un avertissement.
+        Le contenu des credentials n'est jamais journalisé.
+
+        :return: Dict des credentials (``pronote_url``, ``username``,
+            ``password``, ``uuid``) prêt pour
+            ``pronotepy.Client.token_login(**credentials)``, ou ``None`` si
+            aucun état valide n'est disponible.
+        :rtype: dict[str, str] | None
+        """
+        if not self._state_file.exists():
+            logger.debug(
+                "Fichier d'état d'authentification Pronote %s absent, aucun token à charger.",
+                redact_secrets(str(self._state_file)),
+            )
+            return None
+        try:
+            data: Any = json.loads(self._state_file.read_text(encoding="utf-8"))
+        except Exception as exc:
+            logger.warning(
+                "Impossible de charger le fichier d'état d'authentification Pronote %s : %s, "
+                "aucun token chargé.",
+                redact_secrets(str(self._state_file)),
+                redact_exception(exc),
+            )
+            return None
+        if not isinstance(data, dict) or data.get("version") != _STATE_VERSION:
+            logger.warning(
+                "Fichier d'état d'authentification Pronote %s : version absente ou non supportée, "
+                "aucun token chargé.",
+                redact_secrets(str(self._state_file)),
+            )
+            return None
+        credentials_data = data.get("credentials")
+        if not isinstance(credentials_data, dict):
+            logger.warning(
+                "Fichier d'état d'authentification Pronote %s : champ credentials absent ou invalide, "
+                "aucun token chargé.",
+                redact_secrets(str(self._state_file)),
+            )
+            return None
+        credentials: dict[str, str] = {}
+        for key, value in credentials_data.items():
+            if not isinstance(key, str) or not isinstance(value, str):
+                logger.warning(
+                    "Fichier d'état d'authentification Pronote %s : champ credentials invalide, "
+                    "aucun token chargé.",
+                    redact_secrets(str(self._state_file)),
+                )
+                return None
+            credentials[key] = value
+        return credentials
+
+    def save(self, credentials: dict[str, str]) -> None:
+        """Sauvegarde les credentials dans le fichier d'état, de manière atomique.
+
+        Le fichier contient ``{"version": 1, "credentials": ...}``. Le JSON est
+        d'abord écrit dans un fichier temporaire du même répertoire, créé avec
+        les permissions ``0600`` (lecture seule pour le propriétaire) dès son
+        ouverture via :func:`os.open` (avec ``O_EXCL`` et ``O_NOFOLLOW`` pour
+        résister aux attaques par lien symbolique), puis verrouillé via
+        :func:`os.fchmod` avant toute écriture ; le fichier temporaire remplace
+        ensuite atomiquement le fichier d'état via :func:`os.replace`. Un
+        éventuel fichier temporaire stale d'une exécution interrompue est
+        supprimé avant l'ouverture. Les credentials ne sont jamais journalisés.
+
+        :param credentials: Dict des credentials pronotepy, tel que retourné
+            par ``pronotepy.Client.export_credentials()``.
+        :raises PronoteSyncError: Si l'écriture ou le remplacement du fichier
+            échoue.
+        """
+        payload: dict[str, Any] = {
+            "version": _STATE_VERSION,
+            "credentials": credentials,
+        }
+        tmp_file = self._state_file.with_suffix(".tmp")
+        fd: int | None = None
+        try:
+            # Nettoie un éventuel fichier temporaire stale laissé par une exécution interrompue.
+            if tmp_file.exists():
+                try:
+                    tmp_file.unlink()
+                except OSError:
+                    logger.debug(
+                        "Impossible de supprimer le fichier temporaire stale %s, "
+                        "l'ouverture en O_EXCL échouera.",
+                        redact_secrets(str(tmp_file)),
+                    )
+            # O_EXCL empêche de créer par-dessus un fichier existant (attaque par lien
+            # symbolique) et O_NOFOLLOW refuse de suivre un lien symbolique.
+            fd = os.open(
+                str(tmp_file),
+                os.O_WRONLY | os.O_CREAT | os.O_EXCL | os.O_NOFOLLOW,
+                0o600,
+            )
+            # Verrouille les permissions en 0600 avant toute écriture, indépendamment de l'umask.
+            os.fchmod(fd, 0o600)
+            with os.fdopen(fd, "w", encoding="utf-8") as handle:
+                json.dump(payload, handle, indent=2)
+            os.replace(tmp_file, self._state_file)
+        except Exception as exc:
+            logger.error(
+                "Impossible d'écrire le fichier d'état d'authentification Pronote %s : %s.",
+                redact_secrets(str(self._state_file)),
+                redact_exception(exc),
+            )
+            if fd is not None:
+                try:
+                    os.close(fd)
+                except OSError:
+                    pass
+            try:
+                tmp_file.unlink(missing_ok=True)
+            except Exception as cleanup_exc:
+                logger.debug(
+                    "Nettoyage du fichier temporaire d'état d'authentification Pronote échoué : %s",
+                    redact_exception(cleanup_exc),
+                )
+            raise PronoteSyncError(
+                f"Impossible d'écrire le fichier d'état d'authentification Pronote "
+                f"{redact_secrets(str(self._state_file))}."
+            ) from None
+
+    def clear(self) -> None:
+        """Supprime le fichier d'état d'authentification.
+
+        Si le fichier n'existe pas, la méthode ne fait rien et aucune erreur
+        n'est levée.
+
+        :raises OSError: Si la suppression du fichier existant échoue.
+        """
+        if not self._state_file.exists():
+            return
+        logger.debug(
+            "Suppression du fichier d'état d'authentification Pronote %s.",
+            redact_secrets(str(self._state_file)),
+        )
+        self._state_file.unlink()

pronote_sync/sources/pronote/client.py

@@ -10,19 +10,24 @@ des cours et des devoirs se propagent pour déclencher le repli iCal.
 
 from __future__ import annotations
 
+import json
 import logging
 from datetime import date
+from pathlib import Path
 from typing import Any, Protocol
+from uuid import uuid4
 
 import pronotepy
 import pronotepy.ent as pronotepy_ent
 import requests
 
 from pronote_sync.config.settings import PronoteSettings
+from pronote_sync.errors import PronoteAuthRotationError
 from pronote_sync.models.agenda import Lesson, LessonStatus
 from pronote_sync.models.homework import Homework
 from pronote_sync.models.message import Message, MessageType
-from pronote_sync.utils.redaction import redact_exception
+from pronote_sync.sources.pronote.auth_state import PronoteAuthState
+from pronote_sync.utils.redaction import redact_exception, redact_secrets
 from pronote_sync.utils.uid import generate_deterministic_uid, normalize_pronote_uid
 
 logger = logging.getLogger(__name__)
@@ -91,6 +96,51 @@ def _resolve_ent(ent_name: str) -> Any:
     return resolver
 
 
+def _collect_auth_secrets(client: PronoteClient) -> list[str]:
+    """Collecte toutes les valeurs sensibles d'authentification pour la redaction.
+
+    Rassemble le mot de passe, le PIN QR, le contenu du fichier QR (jeton,
+    login, url) et les credentials persistés (token, username) afin de les
+    transmettre comme ``extra_secrets`` aux fonctions de masquage. Une valeur
+    vide ou ``None`` est ignorée.
+
+    :param client: Le client Pronote dont on collecte les secrets.
+    :return: Liste des valeurs sensibles à expurger des logs.
+    :rtype: list[str]
+    """
+    secrets: list[str] = []
+    settings = client._settings
+    # Mot de passe
+    if settings.password is not None:
+        secrets.append(settings.password.get_secret_value())
+    # PIN QR
+    if settings.qr_pin is not None:
+        secrets.append(settings.qr_pin.get_secret_value())
+    # Contenu du fichier QR (jeton, login, url)
+    if settings.qr_code_file is not None:
+        try:
+            qr_path = Path(settings.qr_code_file)
+            qr_data: Any = json.loads(qr_path.read_text(encoding="utf-8"))
+            for key in ("jeton", "login", "url"):
+                val = qr_data.get(key)
+                if isinstance(val, str):
+                    secrets.append(val)
+        except Exception as exc:
+            logger.debug(
+                "Impossible de lire le fichier QR %s : %s",
+                redact_secrets(settings.qr_code_file),
+                redact_exception(exc),
+            )
+    # Credentials persistés (token, username du fichier d'état)
+    if client._auth_state is not None:
+        creds = client._auth_state.load()
+        if creds is not None:
+            for val in creds.values():
+                if isinstance(val, str):
+                    secrets.append(val)
+    return [s for s in secrets if s]
+
+
 class PronoteClientProtocol(Protocol):
     """Interface du client Pronote consommée par la logique de repli."""
 
@@ -143,53 +193,210 @@ class PronoteClient:
     exceptions se propager pour déclencher le repli iCal.
     """
 
-    def __init__(self, settings: PronoteSettings) -> None:
+    def __init__(
+        self,
+        settings: PronoteSettings,
+        auth_state: PronoteAuthState | None = None,
+    ) -> None:
         """Initialise le client Pronote sans se connecter.
 
-        :param settings: Paramètres d'accès à Pronote (username, password, ent).
+        :param settings: Paramètres d'accès à Pronote (username, password, ent,
+            mode d'authentification, fichier QR et PIN).
+        :param auth_state: Gestionnaire de persistance du token
+            d'authentification (optionnel ; requis en mode ``qr_token`` pour
+            conserver le token entre les exécutions).
         """
         self._settings: PronoteSettings = settings
+        self._auth_state: PronoteAuthState | None = auth_state
         self._client: pronotepy.Client | None = None
 
     def _connect(self) -> pronotepy.Client:
         """Crée et connecte le client ``pronotepy`` (connexion paresseuse).
 
-        Le client est créé une seule fois puis réutilisé pour les appels
-        suivants. Le nom d'ENT est résolu via :func:`_resolve_ent` et le
-        type de compte (``student`` ou ``parent``) détermine la classe de
-        client utilisée. L'erreur de connexion est relancée sans
-        journalisation, la méthode publique appelante étant responsable
-        de la journaliser.
+        En mode ``password``, utilise l'authentification classique (URL,
+        username, password, ENT). En mode ``qr_token``, utilise le token
+        persisté via :class:`PronoteAuthState`, ou procède à l'enrôlement
+        initial par QR code si aucun token n'est présent.
 
         :return: Le client ``pronotepy`` connecté.
         :rtype: pronotepy.Client
-        :raises ValueError: Si ``pronote_url``, ``username``, ``password``
-            ou ``ent`` est manquant, ou si l'ENT est inconnu.
+        :raises ValueError: Si les credentials requis sont manquants.
+        :raises PronoteAuthRotationError: Si le token persisté est invalide
+            (rotation requise) ou si l'enrôlement QR échoue.
+        :raises pronotepy.PronoteAPIError: Si la connexion échoue.
+        """
+        if self._client is not None:
+            return self._client
+
+        if self._settings.auth_mode == "qr_token":
+            self._client = self._connect_qr_token()
+        else:
+            self._client = self._connect_password()
+        return self._client
+
+    def _connect_password(self) -> pronotepy.Client:
+        """Connecte le client ``pronotepy`` en mode ``password``.
+
+        Le nom d'ENT, s'il est configuré, est résolu via :func:`_resolve_ent` ;
+        en l'absence d'ENT, ``ent=None`` est transmis à ``pronotepy`` pour une
+        connexion directe. Le type de compte (``student`` ou ``parent``)
+        détermine la classe de client utilisée. L'erreur de connexion est
+        relancée sans journalisation, la méthode publique appelante étant
+        responsable de la journaliser.
+
+        :return: Le client ``pronotepy`` connecté.
+        :rtype: pronotepy.Client
+        :raises ValueError: Si ``url``, ``username`` ou ``password``
+            est manquant, ou si l'ENT fourni est inconnu.
         :raises pronotepy.PronoteAPIError: Si la connexion à Pronote échoue.
         """
-        if self._client is None:
-            pronote_url = self._settings.pronote_url
+        url = self._settings.url
         username = self._settings.username
         password = self._settings.password
         ent = self._settings.ent
-            if pronote_url is None or username is None or password is None or ent is None:
-                raise ValueError(
-                    "pronote_url, username, password et ent sont requis pour pronotepy"
-                )
-            resolver = _resolve_ent(ent)
+        if url is None or username is None or password is None:
+            raise ValueError("url, username et password sont requis pour pronotepy")
+        resolver = _resolve_ent(ent) if ent is not None else None
         client_class: type[pronotepy.Client] = (
-                pronotepy.ParentClient
-                if self._settings.account_type == "parent"
-                else pronotepy.Client
+            pronotepy.ParentClient if self._settings.account_type == "parent" else pronotepy.Client
         )
         self._client = client_class(
-                pronote_url=pronote_url,
+            pronote_url=url,
             username=username,
             password=password.get_secret_value(),
             ent=resolver,
         )
         return self._client
 
+    def _connect_qr_token(self) -> pronotepy.Client:
+        """Connecte via token persisté ou enrôlement par QR code.
+
+        En premier lieu, les credentials persistés (``pronote_url``, username,
+        ``password``/token, ``uuid``) sont rejoués via
+        ``pronotepy.Client.token_login`` si :class:`PronoteAuthState` est
+        disponible et fournit un état. En cas d'échec du login par token
+        (exception ou client non connecté), une :class:`PronoteAuthRotationError`
+        est levée immédiatement, sans repli vers l'enrôlement QR : la rotation
+        du token doit être déclenchée par l'opérateur. L'enrôlement par QR code
+        n'est tenté que lorsqu'aucun credential n'est persisté (premier login) ;
+        le nouveau token est ensuite persisté immédiatement.
+
+        :return: Le client ``pronotepy`` connecté.
+        :rtype: pronotepy.Client
+        :raises PronoteAuthRotationError: Si le token persisté est invalide
+            (expiré ou refusé par Pronote), ou si l'enrôlement QR échoue
+            (fichier QR ou PIN manquant, fichier QR invalide ou expiré).
+        """
+        client_class: type[pronotepy.Client] = (
+            pronotepy.ParentClient if self._settings.account_type == "parent" else pronotepy.Client
+        )
+
+        # Login par token avec les credentials persistés
+        if self._auth_state is not None:
+            creds = self._auth_state.load()
+            if creds is not None:
+                try:
+                    client = client_class.token_login(**creds)
+                    if client.logged_in:
+                        self._auth_state.save(client.export_credentials())
+                        return client
+                    # logged_in est False — le token est invalide
+                    raise PronoteAuthRotationError(
+                        "Le token d'authentification Pronote est invalide (non connecté). "
+                        "Action requise : supprimez le fichier .pronote_auth_state.json "
+                        "et relancez avec un nouveau QR code."
+                    ) from None
+                except PronoteAuthRotationError:
+                    raise
+                except Exception as exc:
+                    logger.error(
+                        "Échec du login par token pronotepy : %s",
+                        redact_exception(exc, extra_secrets=_collect_auth_secrets(self)),
+                    )
+                    # Token expiré/invalide — pas de repli vers l'enrôlement QR
+                    raise PronoteAuthRotationError(
+                        "Le token d'authentification Pronote est expiré ou invalide. "
+                        "Action requise : supprimez le fichier .pronote_auth_state.json "
+                        "et relancez avec un nouveau QR code (PRONOTE_QR_CODE_FILE + "
+                        "PRONOTE_QR_PIN)."
+                    ) from None
+
+        # Enrôlement : premier login via QR code (aucun credential persisté)
+        client = self._enroll_qr_code(client_class)
+        # Persister le token rotaté immédiatement
+        if self._auth_state is not None:
+            self._auth_state.save(client.export_credentials())
+        return client
+
+    def _enroll_qr_code(self, client_class: type[pronotepy.Client]) -> pronotepy.Client:
+        """Procède à l'enrôlement initial via QR code pronotepy.
+
+        Le fichier QR JSON doit contenir les clés ``login``, ``jeton`` et
+        ``url``. Le PIN et le contenu du fichier ne sont jamais journalisés ;
+        les erreurs propagées sont expurgées.
+
+        :param client_class: Classe de client pronotepy à utiliser.
+        :return: Le client ``pronotepy`` connecté après enrôlement.
+        :rtype: pronotepy.Client
+        :raises PronoteAuthRotationError: Si le fichier QR ou le PIN est
+            manquant, si le fichier QR est illisible ou incomplet, ou si le
+            login par QR code échoue (PIN invalide ou QR code expiré).
+        """
+        qr_file = self._settings.qr_code_file
+        qr_pin = self._settings.qr_pin
+
+        if qr_file is None or qr_pin is None:
+            raise PronoteAuthRotationError(
+                "Enrôlement QR requis : PRONOTE_QR_CODE_FILE et PRONOTE_QR_PIN sont "
+                "nécessaires pour le premier login en mode qr_token. Supprimez le "
+                "fichier .pronote_auth_state.json si présent et relancez avec un "
+                "QR code frais."
+            ) from None
+
+        # Read and validate QR code JSON
+        try:
+            qr_path = Path(qr_file)
+            qr_data: Any = json.loads(qr_path.read_text(encoding="utf-8"))
+        except Exception as exc:
+            logger.error(
+                "Fichier QR invalide %s : %s",
+                redact_secrets(qr_file, extra_secrets=_collect_auth_secrets(self)),
+                redact_exception(exc, extra_secrets=_collect_auth_secrets(self)),
+            )
+            raise PronoteAuthRotationError(
+                "Impossible de lire le fichier QR code : "
+                f"{redact_secrets(qr_file, extra_secrets=_collect_auth_secrets(self))}"
+            ) from None
+
+        # Validate required keys
+        for key in ("login", "jeton", "url"):
+            if key not in qr_data:
+                raise PronoteAuthRotationError(
+                    f"Le fichier QR code ne contient pas la clé requise : {key}"
+                ) from None
+
+        pin_value = qr_pin.get_secret_value()
+        app_uuid = f"pronote-sync-{uuid4().hex}"
+
+        try:
+            client = client_class.qrcode_login(
+                qr_code=qr_data,
+                pin=pin_value,
+                uuid=app_uuid,
+            )
+        except Exception as exc:
+            logger.error(
+                "Échec de l'enrôlement QR : %s",
+                redact_exception(exc, extra_secrets=_collect_auth_secrets(self)),
+            )
+            raise PronoteAuthRotationError(
+                "Échec de l'enrôlement par QR code : PIN invalide ou QR code expiré. "
+                "Générez un nouveau QR code dans l'application Pronote et mettez à "
+                "jour PRONOTE_QR_CODE_FILE."
+            ) from None
+
+        return client
+
     def get_messages(self) -> list[Message]:
         """Récupère les messages des discussions Pronote.
 
@@ -285,6 +492,8 @@ class PronoteClient:
         :param end: Date de fin de la fenêtre (incluse).
         :return: Liste des cours.
         :rtype: list[Lesson]
+        :raises PronoteAuthRotationError: Si le token persisté est invalide et
+            qu'aucun ré-enrôlement n'est possible (fichier QR ou PIN manquant).
         :raises pronotepy.PronoteAPIError: Si l'API Pronote échoue.
         :raises ValueError: Si la configuration ou l'ENT est invalide.
         :raises requests.RequestException: Si une requête réseau échoue.
@@ -335,6 +544,8 @@ class PronoteClient:
         :param end: Date de fin de la fenêtre (incluse).
         :return: Liste des devoirs.
         :rtype: list[Homework]
+        :raises PronoteAuthRotationError: Si le token persisté est invalide et
+            qu'aucun ré-enrôlement n'est possible (fichier QR ou PIN manquant).
         :raises pronotepy.PronoteAPIError: Si l'API Pronote échoue.
         :raises ValueError: Si la configuration ou l'ENT est invalide.
         :raises requests.RequestException: Si une requête réseau échoue.

pronote_sync/sources/pronote/fallback.py

@@ -16,12 +16,14 @@ d'origine ne sont jamais chaînées (``from None``).
 from __future__ import annotations
 
 import logging
+from collections.abc import Iterator
+from contextlib import contextmanager
 from datetime import date, timedelta
 from enum import StrEnum
 from typing import Literal, Protocol
 
 from pronote_sync.config.settings import Settings
-from pronote_sync.errors import PipelineCriticalError
+from pronote_sync.errors import PipelineCriticalError, PronoteAuthRotationError
 from pronote_sync.models.agenda import Lesson, SchoolEvent
 from pronote_sync.models.homework import Homework
 from pronote_sync.models.message import Message
@@ -100,6 +102,30 @@ class PronoteFetcher:
         """
         self._settings: Settings = settings
         self._pronote_client: PronoteClientProtocol = pronote_client
+        self._run_ical_agenda: tuple[list[Lesson], list[SchoolEvent]] | None = None
+        self._cache_ical_for_run = False
+
+    @contextmanager
+    def run_context(self) -> Iterator[None]:
+        """Active un cache iCal éphémère pour une exécution du pipeline.
+
+        Le cache couvre à la fois le téléchargement et le parsing du flux.
+        Il est toujours supprimé à la sortie du contexte, y compris si une
+        étape échoue : il ne peut donc pas devenir un cache global ou
+        persistant entre deux exécutions.
+
+        :yield: Aucun objet.
+        :rtype: Iterator[None]
+        """
+        previous_cache = self._run_ical_agenda
+        previous_enabled = self._cache_ical_for_run
+        self._run_ical_agenda = None
+        self._cache_ical_for_run = True
+        try:
+            yield
+        finally:
+            self._run_ical_agenda = previous_cache
+            self._cache_ical_for_run = previous_enabled
 
     def _fetch_window(self) -> tuple[date, date]:
         """Calcule la fenêtre de synchronisation autour de la date du jour.
@@ -121,18 +147,23 @@ class PronoteFetcher:
         return self._settings.pronote.ical_url is not None
 
     def _is_pronotepy_configured(self) -> bool:
-        """Vérifie que la source pronotepy est entièrement configurée.
+        """Vérifie si la source pronotepy est utilisable selon le mode d'authentification.
 
-        :return: ``True`` si ``pronote_url``, ``username``, ``password``
-            et ``ent`` sont tous définis, ``False`` sinon.
+        :return: ``True`` si pronotepy est configuré pour le mode
+            d'authentification actif, ``False`` sinon.
         :rtype: bool
         """
         pronote = self._settings.pronote
+        if pronote.auth_mode == "qr_token":
+            # En mode qr_token, seul PRONOTE_URL est requis.
+            # Le QR code et le PIN ne sont nécessaires que pour l'enrôlement initial.
+            # Les exécutions suivantes utilisent le token persisté.
+            return pronote.url is not None
+        # En mode password, URL + identifiant + mot de passe sont requis.
         return (
-            pronote.pronote_url is not None
+            pronote.url is not None
             and pronote.username is not None
             and pronote.password is not None
-            and pronote.ent is not None
         )
 
     def _fetch_agenda_ical(self) -> tuple[list[Lesson], list[SchoolEvent]]:
@@ -144,12 +175,17 @@ class PronoteFetcher:
         :raises OSError: Si le fichier iCal local est illisible.
         :raises requests.RequestException: Si la récupération HTTP échoue.
         """
+        if self._cache_ical_for_run and self._run_ical_agenda is not None:
+            return self._run_ical_agenda
         ical_url = self._settings.pronote.ical_url
         if ical_url is None:
             raise ValueError("PRONOTE_ICAL_URL est requis pour la source iCal")
         raw_ical = fetch_ical(ical_url.get_secret_value())
         lessons, _, school_events = parse_ical(raw_ical)
-        return lessons, school_events
+        result = (lessons, school_events)
+        if self._cache_ical_for_run:
+            self._run_ical_agenda = result
+        return result
 
     def _fetch_agenda_pronotepy(self) -> tuple[list[Lesson], list[SchoolEvent]]:
         """Récupère l'agenda depuis pronotepy.
@@ -219,10 +255,14 @@ class PronoteFetcher:
         :return: Tuple ``(cours, événements scolaires)``.
         :rtype: tuple[list[Lesson], list[SchoolEvent]]
         :raises PipelineCriticalError: Si toutes les sources tentées échouent.
+        :raises PronoteAuthRotationError: Si une rotation du token d'authentification
+            pronotepy est nécessaire : propagée telle quelle, sans repli.
         """
         primary, fallback = self._agenda_sources()
         try:
             return self._fetch_agenda_source(primary)
+        except PronoteAuthRotationError:
+            raise
         except Exception as exc:
             logger.error(
                 "Échec de la récupération %s pour l'agenda : %s",
@@ -236,6 +276,8 @@ class PronoteFetcher:
             logger.info("Repli sur %s pour l'agenda.", fallback)
             try:
                 lessons, school_events = self._fetch_agenda_source(fallback)
+            except PronoteAuthRotationError:
+                raise
             except Exception as exc:
                 logger.error(
                     "Échec de la récupération %s pour l'agenda : %s",
@@ -340,10 +382,14 @@ class PronoteFetcher:
         :return: Liste des devoirs.
         :rtype: list[Homework]
         :raises PipelineCriticalError: Si toutes les sources tentées échouent.
+        :raises PronoteAuthRotationError: Si une rotation du token d'authentification
+            pronotepy est nécessaire : propagée telle quelle, sans repli.
         """
         primary, fallback = self._homework_sources()
         try:
             return self._fetch_homework_source(primary, target_date)
+        except PronoteAuthRotationError:
+            raise
         except Exception as exc:
             logger.error(
                 "Échec de la récupération %s pour les devoirs : %s",
@@ -357,6 +403,8 @@ class PronoteFetcher:
             logger.info("Repli sur %s pour les devoirs.", fallback)
             try:
                 homeworks = self._fetch_homework_source(fallback, target_date)
+            except PronoteAuthRotationError:
+                raise
             except Exception as exc:
                 logger.error(
                     "Échec de la récupération %s pour les devoirs : %s",

pronote_sync/synthesis/__init__.py

@@ -3,26 +3,98 @@
 from __future__ import annotations
 
 import logging
+from urllib.parse import parse_qsl, urlparse
 
 from pronote_sync.config.settings import AISettings
 from pronote_sync.synthesis.openai import OpenAISynthesisProvider
 from pronote_sync.synthesis.provider import SynthesisProvider
+from pronote_sync.utils.redaction import redact_url
 
 logger = logging.getLogger(__name__)
 
 __all__ = ["get_synthesis_provider", "SynthesisProvider", "OpenAISynthesisProvider"]
 
 
+def _validate_openai_compatible_config(
+    url: str | None, model: str | None, allow_insecure_http: bool
+) -> str | None:
+    """Valide la configuration du provider ``openai-compatible``.
+
+    Vérifie la présence de l'URL de base et du modèle, le schéma de l'URL
+    (HTTPS obligatoire, HTTP accepté uniquement si ``allow_insecure_http``
+    vaut ``True``), la présence d'un hostname non vide, l'absence
+    d'identifiants dans le netloc et de paramètres sensibles dans la
+    requête (y compris les paramètres sans valeur). Une URL malformée
+    (``ValueError`` levé par ``urlparse``) est également rejetée. En cas
+    d'échec, un avertissement est journalisé (l'URL est toujours masquée
+    via :func:`redact_url`) et ``None`` est retourné : la synthèse IA se
+    dégrade silencieusement, sans jamais lever d'exception.
+
+    :param url: URL de base de l'API compatible OpenAI.
+    :param model: Identifiant du modèle à utiliser.
+    :param allow_insecure_http: Autorise ou non les URLs en HTTP.
+    :return: L'URL validée, inchangée (aucune manipulation du chemin ou du
+        suffixe ``/v1``), ou ``None`` si la configuration est invalide.
+    :rtype: str | None
+    """
+    if not url:
+        logger.warning("URL de base requise pour le provider openai-compatible")
+        return None
+    if not model:
+        logger.warning("Modèle requis pour le provider openai-compatible")
+        return None
+
+    try:
+        parsed = urlparse(url)
+    except ValueError:
+        logger.warning(
+            "URL invalide pour le provider openai-compatible : %s",
+            redact_url(url),
+        )
+        return None
+    if not parsed.hostname:
+        logger.warning(
+            "URL sans hostname pour le provider openai-compatible : %s",
+            redact_url(url),
+        )
+        return None
+    if parsed.scheme not in ("http", "https"):
+        logger.warning(
+            "Schéma d'URL non supporté pour le provider openai-compatible : %s",
+            redact_url(url),
+        )
+        return None
+    if parsed.scheme == "http" and not allow_insecure_http:
+        logger.warning(
+            "URL HTTP non autorisée sans AI_ALLOW_INSECURE_HTTP=true : %s",
+            redact_url(url),
+        )
+        return None
+    if parsed.username is not None or parsed.password is not None:
+        logger.warning("Credentials dans l'URL refusés : %s", redact_url(url))
+        return None
+    sensitive_names = {"token", "key", "api_key", "secret", "password", "auth"}
+    param_names = [name.lower() for name, _ in parse_qsl(parsed.query, keep_blank_values=True)]
+    if any(name in sensitive_names for name in param_names):
+        logger.warning("Paramètres sensibles dans l'URL refusés : %s", redact_url(url))
+        return None
+    return url
+
+
 def get_synthesis_provider(settings: AISettings) -> SynthesisProvider | None:
     """Sélectionne le fournisseur de synthèse IA selon la configuration.
 
     Retourne ``None`` lorsque la synthèse IA est désactivée ou qu'aucune clé
     API n'est configurée. Pour le provider ``litellm``, le paquet ``litellm``
     (extra ``ai-litellm``) est requis : s'il est absent, un avertissement est
-    journalisé et ``None`` est retourné.
+    journalisé et ``None`` est retourné. Pour le provider
+    ``openai-compatible``, la configuration (URL de base et modèle) est
+    validée par :func:`_validate_openai_compatible_config` ; en cas de
+    rejet, ``None`` est retourné avec un avertissement.
 
     :param settings: Paramètres IA.
-    :return: Le fournisseur configuré, ou ``None`` si désactivé ou sans clé API.
+    :return: Le fournisseur configuré, ou ``None`` si désactivé, sans clé API
+        ou avec une configuration ``openai-compatible`` invalide.
     :rtype: SynthesisProvider | None
     """
     if not settings.enabled:
@@ -41,4 +113,12 @@ def get_synthesis_provider(settings: AISettings) -> SynthesisProvider | None:
             return None
         return LiteLLMSynthesisProvider(api_key=settings.api_key, base_url=base_url, model=model)
 
+    if settings.provider == "openai-compatible":
+        url = _validate_openai_compatible_config(
+            settings.base_url, settings.model, settings.allow_insecure_http
+        )
+        if url is None:
+            return None
+        return OpenAISynthesisProvider(api_key=settings.api_key, base_url=url, model=model)
+
     return OpenAISynthesisProvider(api_key=settings.api_key, base_url=base_url, model=model)

pronote_sync/utils/redaction.py

@@ -89,7 +89,9 @@ def redact_secrets(text: str, extra_secrets: Iterable[SecretStr | str] = ()) ->
     (clés API brutes, jetons, mots de passe, etc.) sont ensuite remplacées
     littéralement, par ``str.replace``, par ``REDACTED`` dans le texte, y
     compris lorsqu'elles n'apparaissent pas sous une forme ``cle=valeur``
-    reconnue. Une valeur vide ou ``None`` est ignorée.
+    reconnue. Une valeur vide ou ``None`` est ignorée. Les secrets sont
+    appliqués du plus long au plus court afin qu'un secret qui est une
+    sous-chaîne d'un autre soit remplacé en premier, sans être corrompu.
 
     :param text: Texte pouvant contenir des URLs ou des secrets en clair.
     :param extra_secrets: Itérable de secrets bruts (``str`` ou
@@ -101,19 +103,25 @@ def redact_secrets(text: str, extra_secrets: Iterable[SecretStr | str] = ()) ->
     redacted = _URL_PATTERN.sub(lambda match: redact_url(match.group(0)), text)
     redacted = _AUTH_HEADER_PATTERN.sub(r"\1: REDACTED", redacted)
     redacted = _ISOLATED_SECRET_PATTERN.sub(r"\1\2\3REDACTED", redacted)
+    values: list[str] = []
     for secret in extra_secrets:
         value: str | None = secret.get_secret_value() if isinstance(secret, SecretStr) else secret
         if not value:
             continue
+        values.append(value)
+    for value in sorted(values, key=len, reverse=True):
         redacted = redacted.replace(value, _REDACTED)
     return redacted
 
 
-def redact_exception(exc: Exception) -> str:
+def redact_exception(exc: Exception, extra_secrets: Iterable[SecretStr | str] = ()) -> str:
     """Masque les secrets dans la représentation textuelle d'une exception.
 
     :param exc: Exception dont le message doit être rédigé.
+    :param extra_secrets: Itérable de secrets bruts (``str`` ou
+        :class:`pydantic.SecretStr`) à masquer, transmis à
+        :func:`redact_secrets`. Les valeurs vides ou ``None`` sont ignorées.
     :return: Représentation textuelle de l'exception avec les secrets masqués.
     :rtype: str
     """
-    return redact_secrets(str(exc))
+    return redact_secrets(str(exc), extra_secrets)

pronote_sync/utils/text.py

@@ -10,7 +10,9 @@ from __future__ import annotations
 import re
 import unicodedata
 
-__all__ = ["normalize_subject"]
+from bs4 import BeautifulSoup
+
+__all__ = ["normalize_subject", "sanitize_plaintext"]
 
 
 def normalize_subject(subject: str) -> str:
@@ -30,3 +32,29 @@ def normalize_subject(subject: str) -> str:
     normalized = re.sub(r"[^\w\s]", "", normalized)
     normalized = re.sub(r"\s+", " ", normalized).strip()
     return normalized.lower()
+
+
+# Pattern des caractères de contrôle ASCII non imprimables (à l'exception
+# des tabulations ``\\t``, des sauts de ligne ``\\n`` et des retours chariot ``\\r``).
+_CONTROL_CHARS_RE = re.compile(r"[\x00-\x08\x0b\x0c\x0e-\x1f\x7f-\x9f]")
+
+
+def sanitize_plaintext(text: str) -> str:
+    """Prépare un texte pour le corps de message XMPP en texte brut.
+
+    Supprime les balises HTML (via ``BeautifulSoup`` avec le parseur
+    ``html.parser``) puis les caractères de contrôle ASCII non imprimables,
+    à l'exception des tabulations (``\\t``), des sauts de ligne (``\\n``) et
+    des retours chariot (``\\r``). Les caractères Unicode au-delà de ``\\x1f``,
+    notamment les emojis, sont conservés. La transformation est idempotente :
+    appliquée deux fois, elle produit le même résultat qu'appliquée une seule
+    fois. Une chaîne vide donne une chaîne vide.
+
+    :param text: Le texte brut ou HTML à assainir.
+    :return: Le texte assaini, sans balises HTML ni caractères de contrôle.
+    :rtype: str
+    """
+    # Étape 1 : suppression des balises HTML.
+    plain = BeautifulSoup(text, "html.parser").get_text()
+    # Étape 2 : suppression des caractères de contrôle.
+    return _CONTROL_CHARS_RE.sub("", plain)

pyproject.toml

@@ -94,7 +94,7 @@ skips = ["B101"]  # Ignorer les assertions (utilisées dans les tests)
 line-length = 100
 target-version = "py313"
 # Exclure la documentation markdown (ruff format ne doit pas toucher aux blocs de code Python inclus)
-extend-exclude = ["GUIDE_DEV_PYTHON.md"]
+extend-exclude = ["GUIDE_DEV_PYTHON.md", ".worktrees"]
 
 [tool.ruff.lint]
 select = [
@@ -120,3 +120,12 @@ strict = true
 [[tool.mypy.overrides]]
 module = "litellm"
 ignore_missing_imports = true
+
+[[tool.mypy.overrides]]
+module = "slixmpp"
+ignore_missing_imports = true
+
+[[tool.mypy.overrides]]
+module = "openai.*"
+follow_imports = "skip"
+ignore_missing_imports = true

scripts/check_secrets.py

@@ -0,0 +1,245 @@
+#!/usr/bin/env python3
+"""Vérifie l'absence de secrets littéraux avant un déploiement.
+
+Le script inspecte le contenu textuel du dépôt, ou uniquement les fichiers
+ajoutés/modifiés dans l'index avec ``--staged``. Il ne transmet jamais la
+valeur détectée : les résultats ne contiennent que le chemin, le numéro de
+ligne et le type de motif. Les fichiers d'environnement et les répertoires
+générés sont exclus, car ils ne doivent pas être versionnés ni déployés.
+"""
+
+from __future__ import annotations
+
+import argparse
+import re
+import subprocess  # nosec B404
+from collections.abc import Callable, Iterable, Sequence
+from dataclasses import dataclass
+from pathlib import Path
+
+_EXCLUDED_PARTS = frozenset({".git", ".venv", ".worktrees", "__pycache__", ".."})
+_EXCLUDED_NAMES = frozenset({".env", ".secrets.baseline", "GUIDE_DEV_PYTHON.md"})
+_EXCLUDED_TOP_LEVEL = frozenset({"tests"})
+_ALLOWLIST_MARKER = "secret-check: allow"
+_UNQUOTED_CONFIG_SUFFIXES = frozenset({".conf", ".ini", ".toml", ".yaml", ".yml"})
+_TEXT_SUFFIXES = frozenset(
+    {".conf", ".ini", ".json", ".md", ".py", ".service", ".timer", ".toml", ".txt", ".yaml", ".yml"}
+)
+_LITERAL_SECRET_RE = re.compile(
+    r"(?ix)\b[a-z0-9_]*(?:api[_-]?key|access[_-]?token|auth(?:orization)?|icalsecurise|password|secret|token)"
+    r"\s*[:=]\s*['\"][^'\"\r\n]{3,}['\"]"
+)
+_UNQUOTED_SECRET_RE = re.compile(
+    r"(?ix)\b[a-z0-9_]*(?:api[_-]?key|access[_-]?token|auth(?:orization)?|icalsecurise|password|secret|token)"
+    r"\s*[:=]\s*[a-z0-9][a-z0-9._~+/-]{2,}"
+)
+_URL_SECRET_RE = re.compile(
+    r"(?ix)[?&](?:api[_-]?key|access[_-]?token|auth(?:orization)?|icalsecurise|password|secret|token)"
+    r"=([^&#\s]{3,})"
+)
+_EXTRA_NAMES = frozenset({"pronote_sync"})
+
+
+@dataclass(frozen=True)
+class SecretFinding:
+    """Représente un motif sensible détecté sans exposer sa valeur.
+
+    :ivar path: Chemin relatif du fichier concerné.
+    :ivar line: Numéro de ligne du motif.
+    :ivar rule: Règle ayant détecté le motif.
+    """
+
+    path: Path
+    line: int
+    rule: str
+
+
+CommandRunner = Callable[..., subprocess.CompletedProcess[str]]
+#: Fournisseur de contenu pour un chemin relatif ; retourne ``None`` pour ignorer.
+ContentProvider = Callable[[Path], str | None]
+
+
+def _is_candidate(path: Path) -> bool:
+    """Indique si un chemin peut être analysé comme fichier texte.
+
+    Les fichiers de déploiement sans extension, nommés explicitement dans
+    ``_EXTRA_NAMES``, sont également retenus.
+
+    :param path: Chemin relatif au dépôt.
+    :return: ``True`` lorsque le fichier est textuel et non exclu.
+    :rtype: bool
+    """
+    return (
+        not path.is_absolute()
+        and path.name not in _EXCLUDED_NAMES
+        and path.parts[0] not in _EXCLUDED_TOP_LEVEL
+        and not any(part in _EXCLUDED_PARTS for part in path.parts)
+        and (path.suffix in _TEXT_SUFFIXES or path.name in _EXTRA_NAMES)
+    )
+
+
+def _repository_files(root: Path) -> list[Path]:
+    """Liste les fichiers textuels présents dans le dépôt de travail.
+
+    Les tests et la spécification historique ne font pas partie de l'artefact
+    déployé : leurs sentinelles et exemples intentionnels ne doivent donc pas
+    bloquer le déploiement.
+
+    :param root: Racine du dépôt à analyser.
+    :return: Chemins relatifs triés des fichiers analysables.
+    :rtype: list[Path]
+    """
+    return sorted(
+        path.relative_to(root)
+        for path in root.rglob("*")
+        if path.is_file() and _is_candidate(path.relative_to(root))
+    )
+
+
+def _staged_files(root: Path, runner: CommandRunner) -> list[Path]:
+    """Retourne les fichiers ajoutés ou modifiés actuellement indexés.
+
+    :param root: Racine du dépôt Git.
+    :param runner: Exécuteur de sous-processus injectable pour les tests.
+    :return: Chemins relatifs triés des fichiers indexés analysables.
+    :rtype: list[Path]
+    :raises RuntimeError: Si Git ne peut pas fournir les fichiers indexés.
+    """
+    result = runner(
+        ["git", "diff", "--cached", "--name-only", "-z", "--diff-filter=ACMR"],
+        cwd=root,
+        capture_output=True,
+        text=True,
+        check=False,
+    )
+    if result.returncode != 0:
+        raise RuntimeError("Impossible de lister les fichiers Git indexés") from None
+    paths = [Path(value) for value in result.stdout.split("\0") if value]
+    return sorted(path for path in paths if _is_candidate(path))
+
+
+def _staged_content_provider(root: Path, runner: CommandRunner) -> ContentProvider:
+    """Retourne un lecteur de contenu depuis l'index Git.
+
+    Lit le blob indexé via ``git show :<chemin>`` afin de ne pas dépendre de
+    l'état du working tree, dont la copie de travail peut différer de l'index.
+
+    :param root: Racine du dépôt Git.
+    :param runner: Exécuteur de sous-processus injectable pour les tests.
+    :return: Fonction de lecture du contenu indexé ; ``None`` si indisponible.
+    :rtype: ContentProvider
+    """
+
+    def provider(relative_path: Path) -> str | None:
+        result = runner(
+            ["git", "show", f":{relative_path}"],
+            cwd=root,
+            capture_output=True,
+            text=True,
+            check=False,
+        )
+        if result.returncode != 0:
+            return None
+        return result.stdout
+
+    return provider
+
+
+def find_secrets(
+    root: Path,
+    files: Iterable[Path],
+    content_provider: ContentProvider | None = None,
+) -> list[SecretFinding]:
+    """Détecte les motifs de secrets littéraux dans les fichiers désignés.
+
+    Les lignes explicitement marquées ``secret-check: allow`` sont exclues :
+    cette échappatoire doit rester locale à une fixture ou un exemple contrôlé.
+
+    :param root: Racine du dépôt analysé.
+    :param files: Chemins relatifs à inspecter.
+    :param content_provider: Lecteur optionnel du contenu d'un fichier ; par
+        défaut le contenu est lu depuis le working tree via ``read_text``.
+        Si le lecteur retourne ``None`` ou lève une erreur d'encodage, le
+        fichier est ignoré.
+    :return: Résultats triés par chemin, ligne et règle.
+    :rtype: list[SecretFinding]
+    """
+    findings: list[SecretFinding] = []
+    for relative_path in files:
+        path = root / relative_path
+        try:
+            if content_provider is not None:
+                content = content_provider(relative_path)
+            else:
+                content = path.read_text(encoding="utf-8")
+            if content is None:
+                continue
+        except (OSError, UnicodeDecodeError):
+            continue
+        for number, line in enumerate(content.splitlines(), start=1):
+            if _ALLOWLIST_MARKER in line:
+                continue
+            is_literal_secret = _LITERAL_SECRET_RE.search(line) or (
+                relative_path.suffix in _UNQUOTED_CONFIG_SUFFIXES
+                and _UNQUOTED_SECRET_RE.search(line)
+            )
+            if is_literal_secret:
+                findings.append(SecretFinding(relative_path, number, "affectation-litterale"))
+            if _URL_SECRET_RE.search(line):
+                findings.append(SecretFinding(relative_path, number, "parametre-url"))
+    return sorted(findings, key=lambda finding: (str(finding.path), finding.line, finding.rule))
+
+
+def _parse_arguments(arguments: Sequence[str] | None = None) -> argparse.Namespace:
+    """Analyse les options de vérification.
+
+    :param arguments: Arguments explicites, ou ``None`` pour ceux du processus.
+    :return: Options validées.
+    :rtype: argparse.Namespace
+    """
+    parser = argparse.ArgumentParser(description="Vérifie les secrets avant déploiement.")
+    parser.add_argument(
+        "--staged",
+        action="store_true",
+        help="Analyse uniquement les fichiers ajoutés ou modifiés dans l'index Git.",
+    )
+    return parser.parse_args(arguments)
+
+
+def main(
+    arguments: Sequence[str] | None = None,
+    *,
+    root: Path | None = None,
+    runner: CommandRunner = subprocess.run,
+) -> int:
+    """Exécute la vérification de secrets et retourne un code de sortie.
+
+    :param arguments: Arguments de ligne de commande.
+    :param root: Racine à analyser ; le dépôt du script par défaut.
+    :param runner: Exécuteur Git injectable pour les tests.
+    :return: ``0`` sans motif, ``1`` si un motif est trouvé, ``2`` si le contrôle échoue.
+    :rtype: int
+    """
+    parsed_arguments = _parse_arguments(arguments)
+    repository_root = root or Path(__file__).resolve().parents[1]
+    try:
+        if parsed_arguments.staged:
+            files = _staged_files(repository_root, runner)
+            content_provider = _staged_content_provider(repository_root, runner)
+        else:
+            files = _repository_files(repository_root)
+            content_provider = None
+    except RuntimeError as error:
+        print(f"ERREUR: {error}")
+        return 2
+    findings = find_secrets(repository_root, files, content_provider=content_provider)
+    if not findings:
+        print("OK: aucun secret littéral détecté.")
+        return 0
+    for finding in findings:
+        print(f"ECHEC: {finding.path}:{finding.line} ({finding.rule})")
+    return 1
+
+
+if __name__ == "__main__":
+    raise SystemExit(main())

tests/conftest.py

@@ -14,6 +14,7 @@ from pydantic import SecretStr
 from pronote_sync.config.settings import CalDAVSettings
 from pronote_sync.models.agenda import Lesson, LessonStatus, SchoolEvent, SchoolEventKind
 from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message, MessageType
 from pronote_sync.models.pronote import PronoteData
 
 
@@ -85,19 +86,38 @@ def caldav_settings() -> CalDAVSettings:
     )
 
 
+@pytest.fixture
+def sample_message() -> Message:
+    """Message Pronote pour les tests.
+
+    :return: Message Pronote de test.
+    :rtype: Message
+    """
+    return Message(
+        id="msg-001",
+        type=MessageType.INFORMATION,
+        title="Information de rentrée",
+        content="La rentrée est prévue le 1er septembre.",
+        author="Administration",
+        date=datetime(2026, 1, 15, 9, 0),
+        read=False,
+    )
+
+
 @pytest.fixture
 def pronote_data(
     sample_lesson: Lesson,
     sample_cancelled_lesson: Lesson,
     sample_homework: Homework,
     sample_school_event: SchoolEvent,
+    sample_message: Message,
 ) -> PronoteData:
-    """Données Pronote de test avec des cours, devoirs et événements."""
+    """Données Pronote de test avec des cours, devoirs, événements et messages."""
     return PronoteData(
         lessons=[sample_lesson, sample_cancelled_lesson],
         homeworks=[sample_homework],
         school_events=[sample_school_event],
-        messages=[],
+        messages=[sample_message],
         target_date=date(2026, 1, 15),
         generated_at=datetime(2026, 1, 15, 0, 0),
     )

tests/e2e/__init__.py

@@ -0,0 +1 @@
+"""Tests end-to-end de l'interface en ligne de commande."""

tests/e2e/test_cli.py

@@ -0,0 +1,189 @@
+"""Tests de l'interface en ligne de commande ``pronote-sync``."""
+
+from __future__ import annotations
+
+import pytest
+from pydantic import SecretStr
+from pytest_mock import MockerFixture
+
+from pronote_sync.config.settings import AISettings, AppSettings, PronoteSettings, Settings
+from pronote_sync.errors import PipelineCriticalError, PipelineWarning
+from pronote_sync.models.pronote import PronoteData
+
+
+def test_main_runs_composition_root_in_dry_run_with_requested_log_level(
+    mocker: MockerFixture,
+) -> None:
+    """La CLI propage les options au logger et au runner injecté."""
+    from pronote_sync.cli.main import main
+
+    settings = Settings(app=AppSettings(log_level="WARNING"))
+    load_settings = mocker.patch("pronote_sync.cli.main.load_settings", return_value=settings)
+    setup_logging = mocker.patch("pronote_sync.cli.main.setup_logging")
+    runner = mocker.Mock()
+    runner.run.return_value = (mocker.Mock(spec=PronoteData), [])
+    composition_root = mocker.patch(
+        "pronote_sync.cli.main.PipelineRunner.from_settings", return_value=runner
+    )
+
+    exit_code = main(["--dry-run", "--log-level", "DEBUG"])
+
+    assert exit_code == 0
+    load_settings.assert_called_once_with()
+    assert setup_logging.call_args_list == [mocker.call("DEBUG"), mocker.call("DEBUG")]
+    composition_root.assert_called_once_with(settings, dry_run=True)
+    runner.run.assert_called_once_with()
+
+
+def test_main_preserves_configured_dry_run_and_returns_success_with_warnings(
+    mocker: MockerFixture,
+) -> None:
+    """Sans option, la CLI préserve le dry-run configuré et accepte les avertissements."""
+    from pronote_sync.cli.main import main
+
+    settings = Settings(app=AppSettings(dry_run=True, log_level="WARNING"))
+    mocker.patch("pronote_sync.cli.main.load_settings", return_value=settings)
+    setup_logging = mocker.patch("pronote_sync.cli.main.setup_logging")
+    runner = mocker.Mock()
+    runner.run.return_value = (
+        mocker.Mock(spec=PronoteData),
+        [PipelineWarning("Avertissement non bloquant")],
+    )
+    composition_root = mocker.patch(
+        "pronote_sync.cli.main.PipelineRunner.from_settings", return_value=runner
+    )
+
+    exit_code = main([])
+
+    assert exit_code == 0
+    assert setup_logging.call_args_list == [mocker.call("INFO"), mocker.call("WARNING")]
+    composition_root.assert_called_once_with(settings, dry_run=None)
+    runner.run.assert_called_once_with()
+
+
+def test_main_returns_failure_and_redacts_pipeline_secrets_at_debug_level(
+    mocker: MockerFixture,
+    capsys: pytest.CaptureFixture[str],
+) -> None:
+    """Les diagnostics de pipeline restent expurgés, même au niveau DEBUG."""
+    from pronote_sync.cli.main import main
+
+    secret = "M12_PIPELINE_SECRET"  # pragma: allowlist secret
+    settings = Settings(ai=AISettings(api_key=SecretStr(secret)))
+    mocker.patch("pronote_sync.cli.main.load_settings", return_value=settings)
+    runner = mocker.Mock()
+    runner.run.return_value = (
+        None,
+        [PipelineCriticalError(f"Échec distant avec le secret {secret}")],
+    )
+    mocker.patch("pronote_sync.cli.main.PipelineRunner.from_settings", return_value=runner)
+
+    exit_code = main(["--log-level", "DEBUG"])
+
+    output = capsys.readouterr().out
+    assert exit_code == 1
+    assert secret not in output
+    assert "REDACTED" in output
+    assert "Traceback" not in output
+
+
+def test_main_displays_a_redacted_configuration_traceback_at_debug_level(
+    mocker: MockerFixture,
+    capsys: pytest.CaptureFixture[str],
+) -> None:
+    """Une erreur de configuration DEBUG conserve son traceback sans son secret."""
+    from pronote_sync.cli.main import main
+
+    secret = "M12_CONFIGURATION_SECRET"  # pragma: allowlist secret
+    mocker.patch(
+        "pronote_sync.cli.main.load_settings",
+        side_effect=ValueError(f"configuration invalide: {secret}"),
+    )
+
+    exit_code = main(["--log-level", "DEBUG"])
+
+    output = capsys.readouterr().out
+    assert exit_code == 1
+    assert secret not in output
+    assert "Configuration invalide ou indisponible." in output
+    assert "Traceback" in output
+
+
+def test_main_does_not_disclose_a_configured_pronote_username(
+    mocker: MockerFixture,
+    capsys: pytest.CaptureFixture[str],
+) -> None:
+    """Les erreurs critiques ne divulguent pas un identifiant Pronote configuré."""
+    from pronote_sync.cli.main import main
+
+    username = "m12-parent-identifier"
+    settings = Settings(pronote=PronoteSettings(username=username))
+    mocker.patch("pronote_sync.cli.main.load_settings", return_value=settings)
+    runner = mocker.Mock()
+    runner.run.return_value = (
+        None,
+        [PipelineCriticalError(f"Échec distant pour l'identifiant {username}")],
+    )
+    mocker.patch("pronote_sync.cli.main.PipelineRunner.from_settings", return_value=runner)
+
+    exit_code = main([])
+
+    output = capsys.readouterr().out
+    assert exit_code == 1
+    assert username not in output
+    assert "REDACTED" in output
+
+
+def test_main_rejects_an_unknown_log_level() -> None:
+    """La CLI rejette les niveaux de journalisation hors contrat."""
+    from pronote_sync.cli.main import main
+
+    with pytest.raises(SystemExit) as error:
+        main(["--log-level", "VERBOSE"])
+
+    assert error.value.code == 2
+
+
+def test_main_logs_redacted_traceback_when_pipeline_raises_unexpectedly(
+    mocker: MockerFixture,
+    capsys: pytest.CaptureFixture[str],
+) -> None:
+    """Une exception inattendue du pipeline produit un traceback expurgé en DEBUG."""
+    from pronote_sync.cli.main import main
+
+    secret = "M12_UNEXPECTED_SECRET"  # pragma: allowlist secret
+    settings = Settings(ai=AISettings(api_key=SecretStr(secret)))
+    mocker.patch("pronote_sync.cli.main.load_settings", return_value=settings)
+    mocker.patch(
+        "pronote_sync.cli.main.PipelineRunner.from_settings",
+        side_effect=RuntimeError(f"Erreur interne avec {secret}"),
+    )
+
+    exit_code = main(["--log-level", "DEBUG"])
+
+    output = capsys.readouterr().out
+    assert exit_code == 1
+    assert secret not in output
+    assert "Traceback" in output
+    assert "erreur expurgée" in output
+
+
+def test_main_does_not_show_traceback_at_info_level(
+    mocker: MockerFixture,
+    capsys: pytest.CaptureFixture[str],
+) -> None:
+    """En niveau INFO, aucune pile n'est affichée pour une erreur inattendue."""
+    from pronote_sync.cli.main import main
+
+    mocker.patch("pronote_sync.cli.main.load_settings", return_value=Settings())
+    mocker.patch(
+        "pronote_sync.cli.main.PipelineRunner.from_settings",
+        side_effect=RuntimeError("Erreur interne"),
+    )
+
+    exit_code = main([])
+
+    output = capsys.readouterr().out
+    assert exit_code == 1
+    assert "Traceback" not in output
+    assert "Échec inattendu du pipeline." in output

tests/fixtures/pronote-6e.ics

@@ -0,0 +1,56 @@
+BEGIN:VCALENDAR
+VERSION:2.0
+PRODID:-//Index Education//Pronote//FR
+X-WR-CALNAME:Classe de 6e
+BEGIN:VEVENT
+UID:Edt_22222@index-education.net-20260908T140000Z-Index-Education
+DTSTAMP:20260908T140000Z
+DTSTART:20260908T140000Z
+DTEND:20260908T150000Z
+SUMMARY:SVT
+CATEGORIES:Cours
+DESCRIPTION:<div>
+  Matière : SVT
+  Professeur : M. Dubois
+  Salle : 104
+  Groupe : Classe entière
+
+  <strong>Contenu pédagogique :
+  </strong>
+  Découverte de la cellule et de ses constituants.
+  <strong>Pour le 15/09/2026 :
+  </strong>
+  Lire le chapitre 2 et schématiser une cellule végétale.
+  <strong>Donné le 08/09/2026 :
+  </strong>
+  Lire le chapitre 2 et schématiser une cellule végétale.
+</div>
+END:VEVENT
+BEGIN:VEVENT
+UID:Edt_33333@index-education.net-20260908T140000Z-Index-Education
+DTSTAMP:20260908T140000Z
+DTSTART:20260909T100000Z
+DTEND:20260909T110000Z
+SUMMARY:Histoire-Géographie
+CATEGORIES:Cours - Cours modifié
+DESCRIPTION:<div>
+  Matière : Histoire-Géographie
+  Professeur : Mme Lefevre
+  Salle : 203
+  Groupe : Classe entière
+
+  <strong>Contenu pédagogique :
+  </strong>
+  Les grands repères du temps long : la Préhistoire.
+</div>
+END:VEVENT
+BEGIN:VEVENT
+UID:Edt_44444@index-education.net-20260908T140000Z-Index-Education
+DTSTAMP:20260908T140000Z
+DTSTART;VALUE=DATE:20260928
+DTEND;VALUE=DATE:20260929
+SUMMARY:Sortie pédagogique
+CATEGORIES:Sortie scolaire
+DESCRIPTION:Journée de sortie pédagogique au musée d'histoire naturelle.
+END:VEVENT
+END:VCALENDAR

tests/integration/test_xmpp_integration.py

@@ -0,0 +1,387 @@
+"""Tests d'intégration pour le canal XMPP (end-to-end sans réseau).
+
+Ce module valide les critères d'acceptation de la milestone M10 (GUIDE_DEV_PYTHON.md,
+TODO.md §M10) pour le canal XMPP, en mode end-to-end avec mock de slixmpp.
+
+Les tests couvrent :
+- L'envoi réussi d'un message formaté via SyncXmppChannel
+- La dégradation des erreurs XMPP en retour False (jamais d'exception non gérée)
+- L'absence de fuite de secrets dans les logs XMPP
+- Le flag dry_run ne crée jamais ClientXMPP
+
+Tous les tests sont exécutés sans réseau grâce à des mocks de slixmpp.ClientXMPP.
+"""
+
+from __future__ import annotations
+
+import asyncio
+from collections.abc import Callable
+from datetime import date, datetime
+from typing import Any
+from unittest.mock import patch
+
+import pytest
+from pydantic import SecretStr
+
+from pronote_sync.channels import get_channel
+from pronote_sync.channels.xmpp import XmppMessage
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.models.agenda import Lesson
+from pronote_sync.models.blog import BlogArticle, ExternalInfo
+from pronote_sync.models.diff import AgendaChange, AgendaChangeType
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message, MessageType
+
+# Sentinelles pour tests de non-fuite de secrets dans les logs
+INTEG_JID_SENTINEL = "INTEG_JID_SENTINEL@xmpp.example"
+INTEG_PASS_SENTINEL = "INTEG_PASS_SENTINEL"
+INTEG_TO_SENTINEL = "INTEG_TO_SENTINEL@xmpp.example"
+
+
+class FakeClientXMPP:
+    """Faux client XMPP avec signatures fidèles à slixmpp 1.17.0."""
+
+    instances: list[FakeClientXMPP] = []
+
+    def __init__(self, jid: str, password: str) -> None:
+        self.jid = jid
+        self.password = password
+        self.enable_starttls: bool = True
+        self.enable_direct_tls: bool = True
+        self.connected: bool = False
+        self.disconnected: bool = False
+        self.handlers: dict[str, list[Callable[..., Any]]] = {}
+        self.messages_sent: list[dict[str, object]] = []
+        self._host_used: str | None = None
+        self._port_used: int | None = None
+        FakeClientXMPP.instances.append(self)
+
+    @classmethod
+    def reset(cls) -> None:
+        cls.instances.clear()
+
+    def add_event_handler(self, name: str, handler: Callable[..., Any]) -> None:
+        """Enregistre un gestionnaire d'événement.
+
+        :param name: Nom de l'événement (ex: 'session_start').
+        :param handler: Fonction gestionnaire.
+        :raises: AssertionError si l'événement n'est pas supporté.
+        """
+        if name not in ("session_start", "failed_auth", "disconnected"):
+            raise AssertionError(f"Unsupported event: {name}")
+        self.handlers.setdefault(name, []).append(handler)
+
+    def connect(self, host: str | None = None, port: int | None = None) -> asyncio.Future[bool]:
+        """Simule la connexion au serveur XMPP.
+
+        Déclenche les handlers appropriés selon le scénario de test.
+
+        :param host: Hôte de connexion.
+        :param port: Port de connexion.
+        :return: Future résolue à True.
+        """
+        loop = asyncio.get_event_loop()
+        future: asyncio.Future[bool] = loop.create_future()
+        self.connected = True
+        self._host_used = host
+        self._port_used = port
+        # Déclencher session_start par défaut
+        loop.call_soon(self._fire_events)
+        future.set_result(True)
+        return future
+
+    def _fire_events(self) -> None:
+        for handler in self.handlers.get("session_start", []):
+            handler({})
+
+    def disconnect(
+        self, wait: float = 2.0, reason: str | None = None, ignore_send_queue: bool = False
+    ) -> asyncio.Future[bool]:
+        """Simule la déconnexion du serveur XMPP.
+
+        :param wait: Temps d'attente.
+        :param reason: Raison de la déconnexion.
+        :param ignore_send_queue: Ignorer la file d'envoi.
+        :return: Future résolue à True.
+        """
+        loop = asyncio.get_event_loop()
+        future: asyncio.Future[bool] = loop.create_future()
+        self.disconnected = True
+        future.set_result(True)
+        return future
+
+    def send_message(
+        self, mto: object, mbody: str | None = None, mtype: str | None = None, **kwargs: object
+    ) -> None:
+        """Simule l'envoi d'un message.
+
+        :param mto: Destinataire.
+        :param mbody: Corps du message.
+        :param mtype: Type de message.
+        :param kwargs: Arguments supplémentaires.
+        """
+        self.messages_sent.append({"mto": mto, "mbody": mbody, "mtype": mtype, **kwargs})
+
+
+@pytest.fixture
+def xmpp_settings_enabled() -> XmppSettings:
+    """Fixture fournissant des paramètres XMPP valides et activés.
+
+    :return: Instance de XmppSettings avec des valeurs par défaut valides.
+    :rtype: XmppSettings
+    """
+    return XmppSettings(
+        enabled=True,
+        jid="bot@example.com",
+        password=SecretStr("secret123"),
+        host="xmpp.example.com",
+        port=5222,
+        to="parent@example.com",
+        resource="pronote-sync",
+        use_tls=True,
+        timeout=30,
+    )
+
+
+@pytest.fixture
+def xmpp_message_populated() -> XmppMessage:
+    """Fixture fournissant un message XMPP complet avec toutes les sections.
+
+    :return: Instance de XmppMessage avec tous les champs remplis.
+    :rtype: XmppMessage
+    """
+    homework = Homework(
+        id="hw1",
+        subject="Mathématiques",
+        teachers=("M. Dupont",),
+        assigned_on=date(2025, 9, 1),
+        due_on=date(2025, 9, 15),
+        text="Faire l'exercice 5 page 42",
+        html="<p>Faire l'exercice 5 page 42</p>",
+    )
+    lesson = Lesson(
+        id="lesson1",
+        subject="Physique",
+        start=datetime.fromisoformat("2025-09-07T08:00:00"),
+        end=datetime.fromisoformat("2025-09-07T09:00:00"),
+        rooms=("B201",),
+        teachers=("M. Martin",),
+        group=None,
+        content=None,
+    )
+    change = AgendaChange(
+        type=AgendaChangeType.ADDED,
+        lesson=lesson,
+        theoretical_lesson=None,
+        details="Cours déplacé",
+    )
+    message = Message(
+        id="msg1",
+        type=MessageType.INFORMATION,
+        title="Réunion parents-professeurs",
+        content="Une réunion est organisée le 15/09 à 18h.",
+        author="CPE",
+        date=datetime.fromisoformat("2025-09-01T10:00:00"),
+        read=False,
+    )
+    article = BlogArticle(
+        id="art1",
+        title="Sortie scolaire",
+        url="https://blog.example.com/sortie",
+        published_at=datetime.fromisoformat("2025-09-01T09:00:00"),
+        updated_at=None,
+        category="Actualités",
+        author="Collège",
+        content_html="<p>Sortie prévue le 20/09.</p>",
+        content_text="Sortie prévue le 20/09.",
+    )
+    external = ExternalInfo(
+        blog_articles=(article,),
+        pronote_messages=(message,),
+        other_info=("Info supplémentaire",),
+    )
+    return XmppMessage(
+        target_date=date(2025, 9, 7),
+        synthesis="Voici la synthèse des activités du jour.",
+        homeworks=(homework,),
+        changes=(change,),
+        messages=(),
+        external_info=external,
+    )
+
+
+class TestXmppIntegrationSend:
+    """Tests d'intégration pour l'envoi de messages XMPP via SyncXmppChannel.
+
+    Ces tests valident le critère d'acceptation #1 de M10 :
+    "XmppChannel.send envoie un message direct formaté (slixmpp mocké en test)".
+    """
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    def test_integration_send_success(
+        self,
+        xmpp_settings_enabled: XmppSettings,
+        xmpp_message_populated: XmppMessage,
+    ) -> None:
+        """Test que SyncXmppChannel.send envoie un message formaté et retourne True.
+
+        Critère d'acceptation #1 : L'envoi réussi retourne True et le message
+        est envoyé avec mtype="chat".
+
+        :param xmpp_settings_enabled: Paramètres XMPP valides et activés.
+        :param xmpp_message_populated: Message XMPP complet.
+        """
+        # Obtenir le canal via la fabrique
+        channel = get_channel(xmpp_settings_enabled, dry_run=False)
+        assert channel is not None
+
+        # Envoyer le message
+        result = channel.send(xmpp_message_populated)
+
+        # Vérifier que l'envoi a réussi
+        assert result is True
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    def test_integration_send_calls_send_message_with_chat_type(
+        self,
+        xmpp_settings_enabled: XmppSettings,
+        xmpp_message_populated: XmppMessage,
+    ) -> None:
+        """Test que send_message est appelé avec mtype='chat' sur succès.
+
+        Critère d'acceptation #1 : Le message est envoyé en mode direct (chat).
+
+        :param xmpp_settings_enabled: Paramètres XMPP valides et activés.
+        :param xmpp_message_populated: Message XMPP complet.
+        """
+        # Obtenir le canal via la fabrique
+        channel = get_channel(xmpp_settings_enabled, dry_run=False)
+        assert channel is not None
+
+        # Envoyer le message
+        channel.send(xmpp_message_populated)
+
+        # Vérifier que send_message a été appelé avec mtype="chat"
+        # Le mock ClientXMPP a été patché, FakeClientXMPP.instances contient les instances
+        instances = FakeClientXMPP.instances
+        assert len(instances) > 0, "No FakeClientXMPP instance created"
+        client_instance = instances[-1]
+        # Vérifier que send_message a été appelé via messages_sent
+        assert len(client_instance.messages_sent) > 0, "No message sent"
+        # Vérifier que mtype="chat" a été passé
+        found_chat = any(msg.get("mtype") == "chat" for msg in client_instance.messages_sent)
+        assert found_chat, "send_message should have been called with mtype='chat'"
+
+
+class TestXmppIntegrationErrorHandling:
+    """Tests d'intégration pour la gestion des erreurs XMPP.
+
+    Ces tests valident le critère d'acceptation #2 de M10 :
+    "Erreur XMPP → False, jamais d'exception non gérée".
+    """
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    def test_integration_error_degradation(self, xmpp_settings_enabled: XmppSettings) -> None:
+        """Test qu'une erreur retourne False sans lever d'exception non gérée.
+
+        Critère d'acceptation #2 : Les erreurs sont dégradées et retournent False,
+        jamais d'exception non gérée qui s'échappe.
+
+        :param xmpp_settings_enabled: Paramètres XMPP valides et activés.
+        """
+
+        class ErrorClient(FakeClientXMPP):
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Connexion impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = get_channel(xmpp_settings_enabled, dry_run=False)
+            assert channel is not None
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+
+            # Doit retourner False, pas lever d'exception
+            result = channel.send(msg)
+            assert result is False
+
+
+class TestXmppIntegrationSecurity:
+    """Tests de sécurité pour le canal XMPP en intégration.
+
+    Ces tests valident le critère d'acceptation #3 de M10 :
+    "Aucun secret dans les logs XMPP".
+    """
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    def test_integration_no_secret_in_logs_on_xmpp_error(
+        self,
+        caplog: pytest.LogCaptureFixture,
+    ) -> None:
+        """Test qu'aucun secret n'apparaît dans les logs en cas d'erreur XMPP.
+
+        Critère d'acceptation #3 : Les secrets (JID, mot de passe, destinataire)
+        ne doivent jamais apparaître dans les logs.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid=INTEG_JID_SENTINEL,
+            password=SecretStr(INTEG_PASS_SENTINEL),  # pragma: allowlist secret
+            host="xmpp.example.com",
+            port=5222,
+            to=INTEG_TO_SENTINEL,
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class ErrorClient(FakeClientXMPP):
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Connexion impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = get_channel(settings, dry_run=False)
+            assert channel is not None
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+
+            try:
+                channel.send(msg)
+            except Exception:
+                pass  # On s'attend à une PipelineWarning ou False
+
+        # Vérifier que les sentinelles n'apparaissent pas dans les logs
+        logs = caplog.text
+        assert INTEG_JID_SENTINEL not in logs
+        assert INTEG_PASS_SENTINEL not in logs
+        assert INTEG_TO_SENTINEL not in logs
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    def test_integration_dry_run_no_connection(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Test que dry_run=True ne crée jamais ClientXMPP.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid=INTEG_JID_SENTINEL,
+            password=SecretStr(INTEG_PASS_SENTINEL),
+            host="xmpp.example.com",
+            port=5222,
+            to=INTEG_TO_SENTINEL,
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            channel = get_channel(settings, dry_run=True)
+            assert channel is not None
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = channel.send(msg)
+            assert result is True
+            # ClientXMPP ne doit pas être instancié en dry_run
+            assert not mock_cls.called

tests/unit/test_channel_protocol.py

@@ -0,0 +1,202 @@
+"""Tests unitaires pour le Protocol Channel.
+
+Ce module valide la spécification du Protocol ``Channel`` qui sera ajouté
+à ``pronote_sync.channels.protocol``. Ces tests doivent être ROUGES tant que
+le Protocol n'est pas implémenté.
+"""
+
+from __future__ import annotations
+
+from datetime import date
+
+import pytest
+
+from pronote_sync.models.xmpp import XmppMessage
+
+# Import du Protocol à valider (doit échouer tant qu'il n'existe pas)
+try:
+    from pronote_sync.channels.protocol import Channel
+
+    CHANNEL_MODULE_EXISTS = True
+except ImportError:
+    CHANNEL_MODULE_EXISTS = False
+
+
+class TestChannelProtocol:
+    """Tests pour le Protocol Channel."""
+
+    def test_channel_is_protocol(self) -> None:
+        """Vérifie que Channel est un Protocol.
+
+        :return: None
+        :raises AssertionError: Si Channel n'est pas un Protocol.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        assert hasattr(Channel, "_is_protocol"), "Channel doit être un sous-type de typing.Protocol"
+
+    def test_channel_has_send_method(self) -> None:
+        """Vérifie que le Protocol Channel définit une méthode send.
+
+        :return: None
+        :raises AssertionError: Si la méthode send n'est pas dans l'interface.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        assert hasattr(Channel, "send"), "Channel doit définir une méthode 'send'"
+
+        send_method = Channel.send
+        assert callable(send_method), "La méthode 'send' doit être callable"
+
+    def test_conforming_class_satisfies_protocol(self) -> None:
+        """Vérifie qu'une classe conforme satisfait le Protocol Channel.
+
+        :return: None
+        :raises AssertionError: Si la classe conforme n'est pas acceptée.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        # Classe minimale conforme au Protocol
+        class DummyChannel:
+            """Implémentation minimale conforme au Protocol Channel."""
+
+            def send(self, message: XmppMessage) -> bool:
+                """Envoie un message XMPP.
+
+                :param message: Message à envoyer.
+                :return: True si l'envoi a réussi.
+                :rtype: bool
+                """
+                return True
+
+        # Création d'une instance de message pour le test
+        test_message = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+
+        # Instanciation et vérification
+        dummy_instance = DummyChannel()
+        assert dummy_instance.send(test_message) is True, "La méthode send doit retourner True"
+
+        # Vérification que l'instance satisfait le Protocol
+        if hasattr(Channel, "__protocol_attrs__"):
+            # Vérification runtime avec @runtime_checkable
+            assert isinstance(dummy_instance, Channel), (
+                "Une classe conforme doit satisfaire le Protocol Channel"
+            )
+
+    def test_non_conforming_class_does_not_satisfy_protocol(self) -> None:
+        """Vérifie qu'une classe non conforme ne satisfait pas le Protocol Channel.
+
+        :return: None
+        :raises AssertionError: Si la classe non conforme est acceptée.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        # Classe minimale non conforme (sans méthode send)
+        class NonConformingChannel:
+            """Implémentation minimale non conforme au Protocol Channel."""
+
+            pass
+
+        # Vérification que la classe ne satisfait pas le Protocol
+        non_conforming_instance = NonConformingChannel()
+        if hasattr(Channel, "__protocol_attrs__"):
+            # Vérification runtime avec @runtime_checkable
+            assert not isinstance(non_conforming_instance, Channel), (
+                "Une classe non conforme ne doit pas satisfaire le Protocol Channel"
+            )
+
+    def test_channel_send_returns_bool(self) -> None:
+        """Vérifie que la méthode send retourne un booléen.
+
+        :return: None
+        :raises AssertionError: Si le retour n'est pas de type bool.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        # Implémentation minimale retournant True
+        class BoolReturningChannel:
+            """Implémentation minimale retournant un booléen."""
+
+            def send(self, message: XmppMessage) -> bool:
+                """Envoie un message XMPP.
+
+                :param message: Message à envoyer.
+                :return: True
+                :rtype: bool
+                """
+                return True
+
+        # Création d'une instance de message pour le test
+        test_message = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+
+        # Test du retour
+        channel = BoolReturningChannel()
+        result = channel.send(test_message)
+        assert isinstance(result, bool), "La méthode send doit retourner un booléen"
+        assert result is True, "La méthode send doit retourner True dans cette implémentation"
+
+    def test_channel_send_signature(self) -> None:
+        """Vérifie la signature déclarée de la méthode Channel.send.
+
+        :return: None
+        :raises AssertionError: Si la signature ne correspond pas aux attentes.
+        """
+        if not CHANNEL_MODULE_EXISTS:
+            pytest.fail(
+                "Le module pronote_sync.channels.protocol n'existe pas encore. "
+                "Ceci est attendu pour l'instant."
+            )
+
+        import inspect
+
+        # Vérification de l'existence et de la nature callable de la méthode
+        assert hasattr(Channel, "send"), "Channel doit définir une méthode 'send'"
+        send_method = Channel.send
+        assert callable(send_method), "La méthode 'send' doit être callable"
+
+        # Introspection de la signature
+        sig = inspect.signature(send_method)
+        params = list(sig.parameters.values())
+
+        # Vérification du nombre de paramètres (1 paramètre + self)
+        # On exclut 'self' pour vérifier le paramètre 'message'
+        param_count = len(params)
+        assert param_count == 2, (
+            f"La méthode send doit avoir exactement 2 paramètres (self + message), "
+            f"trouvé {param_count}"
+        )
+
+        # Vérification du nom du paramètre (on ignore 'self')
+        param_names = [p.name for p in params if p.name != "self"]
+        assert len(param_names) == 1, "Doit avoir exactement un paramètre autre que self"
+        param_name = param_names[0]
+        assert param_name == "message", (
+            f"Le paramètre doit s'appeler 'message', trouvé '{param_name}'"
+        )
+
+        # Vérification du type de retour
+        return_annotation = sig.return_annotation
+        # Le type de retour peut être soit la chaîne 'bool' soit le type bool (forward reference)
+        assert return_annotation in (bool, "bool"), (
+            f"Le type de retour doit être 'bool' ou bool, trouvé {return_annotation}"
+        )

tests/unit/test_check_secrets.py

@@ -0,0 +1,249 @@
+"""Tests unitaires du contrôle de secrets de déploiement."""
+
+from __future__ import annotations
+
+import importlib.util
+import subprocess
+import sys
+from pathlib import Path
+from types import ModuleType
+from typing import TYPE_CHECKING
+
+import pytest
+
+if TYPE_CHECKING:
+    from _pytest.capture import CaptureFixture
+
+
+@pytest.fixture
+def secret_checker() -> ModuleType:
+    """Charge le script de vérification sans l'exécuter comme programme.
+
+    :return: Module du script de contrôle de secrets.
+    :rtype: ModuleType
+    """
+    script_path = Path(__file__).parents[2] / "scripts" / "check_secrets.py"
+    specification = importlib.util.spec_from_file_location("check_secrets", script_path)
+    assert specification is not None
+    assert specification.loader is not None
+    module = importlib.util.module_from_spec(specification)
+    sys.modules[specification.name] = module
+    try:
+        specification.loader.exec_module(module)
+    finally:
+        del sys.modules[specification.name]
+    return module
+
+
+def test_main_accepts_clean_files_and_ignores_environment_file(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un dépôt propre réussit sans analyser le fichier d'environnement.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    (tmp_path / "application.py").write_text("value = 'safe'\n", encoding="utf-8")
+    ignored_environment_secret = 'password = "private-value"\n'  # pragma: allowlist secret
+    (tmp_path / ".env").write_text(
+        ignored_environment_secret, encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 0
+    assert "OK:" in capsys.readouterr().out
+
+
+def test_main_reports_a_literal_secret_without_disclosing_its_value(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un secret littéral échoue sans fuite de sa valeur.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "m14-literal-sentinel"
+    (tmp_path / "settings.py").write_text(
+        f'password = "{sentinel}"\n', encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "settings.py:1 (affectation-litterale)" in output
+    assert sentinel not in output
+
+
+def test_main_reports_an_unquoted_configuration_secret_without_disclosing_its_value(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un secret de configuration non cité échoue sans fuite de sa valeur.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "m14-unquoted-sentinel"
+    (tmp_path / "settings.yaml").write_text(
+        f"password: {sentinel}\n", encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "settings.yaml:1 (affectation-litterale)" in output
+    assert sentinel not in output
+
+
+def test_main_detects_sensitive_url_parameter(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un paramètre URL sensible déclenche un échec.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "m14-url-sentinel"
+    (tmp_path / "settings.yaml").write_text(
+        f"url: https://example.invalid/calendar?icalsecurise={sentinel}\n", encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "settings.yaml:1 (parametre-url)" in output
+    assert sentinel not in output
+
+
+def test_staged_mode_inspects_only_paths_provided_by_git(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie que l'option staged ignore les fichiers non indexés.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    (tmp_path / "indexed.py").write_text("answer = 42\n", encoding="utf-8")
+    untracked_secret = 'api_key = "m14-untracked-sentinel"\n'  # pragma: allowlist secret
+    (tmp_path / "untracked.py").write_text(
+        untracked_secret, encoding="utf-8"
+    )  # secret-check: allow
+
+    def runner(*_args: object, **_kwargs: object) -> subprocess.CompletedProcess[str]:
+        """Simule Git avec un seul fichier indexé.
+
+        :return: Résultat Git simulé.
+        :rtype: subprocess.CompletedProcess[str]
+        """
+        return subprocess.CompletedProcess([], 0, stdout="indexed.py\0", stderr="")
+
+    assert secret_checker.main(["--staged"], root=tmp_path, runner=runner) == 0
+    assert "OK:" in capsys.readouterr().out
+
+
+def test_main_detects_prefixed_secret_assignment(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'une variable préfixée (PRONOTE_PASSWORD) est détectée.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "m14-prefixed-secret"
+    (tmp_path / "config.py").write_text(
+        f'PRONOTE_PASSWORD = "{sentinel}"\n', encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "config.py:1" in output
+    assert sentinel not in output
+
+
+def test_main_detects_short_secret_assignment(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un secret court (< 8 caractères) est détecté.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "s3cr3t"
+    (tmp_path / "config.py").write_text(
+        f'password = "{sentinel}"\n', encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "config.py:1" in output
+    assert sentinel not in output
+
+
+def test_staged_mode_reads_index_content_not_working_tree(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie que --staged lit le contenu indexé, pas le working tree.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    indexed_secret = "m14-indexed-only-secret"  # pragma: allowlist secret
+    (tmp_path / "staged.py").write_text(
+        f'password = "{indexed_secret}"\n', encoding="utf-8"
+    )  # secret-check: allow
+    (tmp_path / "staged.py").write_text('value = "safe"\n', encoding="utf-8")
+
+    def runner(*args: object, **_kwargs: object) -> subprocess.CompletedProcess[str]:
+        """Simule Git en renvoyant le contenu indexé pour le blob demandé.
+
+        :return: Résultat Git simulé.
+        :rtype: subprocess.CompletedProcess[str]
+        """
+        first_argument = args[0] if args else []
+        command = (
+            [str(argument) for argument in first_argument]
+            if isinstance(first_argument, list)
+            else []
+        )
+        if "show" in command:
+            return subprocess.CompletedProcess(
+                command, 0, stdout=f'password = "{indexed_secret}"\n', stderr=""
+            )
+        return subprocess.CompletedProcess(command, 0, stdout="staged.py\0", stderr="")
+
+    assert secret_checker.main(["--staged"], root=tmp_path, runner=runner) == 1
+    output = capsys.readouterr().out
+    assert "staged.py:1" in output
+    assert indexed_secret not in output
+
+
+def test_main_scans_extensionless_deployment_file(
+    secret_checker: ModuleType, tmp_path: Path, capsys: CaptureFixture[str]
+) -> None:
+    """Vérifie qu'un fichier de déploiement sans extension est scanné.
+
+    :param secret_checker: Module du script sous test.
+    :param tmp_path: Répertoire temporaire représentant un dépôt.
+    :param capsys: Fixture de capture de sortie.
+    :return: None
+    """
+    sentinel = "m14-logrotate-secret"
+    (tmp_path / "pronote_sync").write_text(
+        f'password = "{sentinel}"\n', encoding="utf-8"
+    )  # secret-check: allow
+
+    assert secret_checker.main([], root=tmp_path) == 1
+    output = capsys.readouterr().out
+    assert "pronote_sync:1" in output
+    assert sentinel not in output

tests/unit/test_config.py

@@ -116,4 +116,95 @@ def test_no_singleton_import() -> None:
         )
 
 
+def test_url_from_pronote_url_env_var(monkeypatch: MonkeyPatch) -> None:
+    """Vérifie que PRONOTE_URL mappe au champ url via le préfixe PRONOTE_.
+
+    Ce test couvre la régression où PRONOTE_URL n'était pas mappé vers le
+    champ du modèle à cause du double préfixe PRONOTE_.
+
+    :param monkeypatch: Fixture pytest pour modifier temporairement l'environnement.
+    :return: None
+    """
+    test_url = "https://example.index-education.net/pronote/parent.html"
+    monkeypatch.setenv("PRONOTE_URL", test_url)
+    settings = load_settings()
+    assert settings.pronote.url == test_url
+
+
+def test_auth_mode_default_password() -> None:
+    """Vérifie que ``auth_mode`` vaut ``"password"`` par défaut.
+
+    :return: None
+    """
+    settings = PronoteSettings()
+    assert settings.auth_mode == "password"
+
+
+def test_auth_mode_env_qr_token(monkeypatch: MonkeyPatch) -> None:
+    """Vérifie que ``PRONOTE_AUTH_MODE=qr_token`` est chargé correctement.
+
+    :param monkeypatch: Fixture pytest pour modifier temporairement l'environnement.
+    :return: None
+    """
+    monkeypatch.setenv("PRONOTE_AUTH_MODE", "qr_token")
+    settings = load_settings()
+    assert settings.pronote.auth_mode == "qr_token"
+
+
+def test_qr_pin_loaded_as_secretstr_and_masked(monkeypatch: MonkeyPatch) -> None:
+    """Vérifie que ``PRONOTE_QR_PIN`` est chargé en ``SecretStr`` et masqué.
+
+    Le PIN ne doit apparaître nulle part dans les représentations textuelles
+    (str, repr, JSON) : seul le masque ``**********`` est visible.
+
+    :param monkeypatch: Fixture pytest pour modifier temporairement l'environnement.
+    :return: None
+    """
+    monkeypatch.setenv("PRONOTE_QR_PIN", "123456")
+    settings = load_settings()
+    assert isinstance(settings.pronote.qr_pin, SecretStr)
+    assert settings.pronote.qr_pin.get_secret_value() == "123456"
+
+    str_repr = str(settings)
+    assert "123456" not in str_repr
+    assert "**********" in str_repr
+
+    repr_repr = repr(settings)
+    assert "123456" not in repr_repr
+    assert "**********" in repr_repr
+
+    json_str = settings.model_dump_json()
+    assert "123456" not in json_str
+    assert "**********" in json_str
+
+
+def test_qr_code_file_loaded_as_plain_string(monkeypatch: MonkeyPatch) -> None:
+    """Vérifie que ``PRONOTE_QR_CODE_FILE`` est chargé comme chaîne simple.
+
+    :param monkeypatch: Fixture pytest pour modifier temporairement l'environnement.
+    :return: None
+    """
+    monkeypatch.setenv("PRONOTE_QR_CODE_FILE", "/data/qr_code.png")
+    settings = load_settings()
+    assert isinstance(settings.pronote.qr_code_file, str)
+    assert settings.pronote.qr_code_file == "/data/qr_code.png"
+
+
+def test_qr_pin_in_redaction_secrets(monkeypatch: MonkeyPatch) -> None:
+    """Vérifie que le PIN QR est collecté pour la rédaction des secrets.
+
+    Le ``SecretStr`` du PIN doit figurer dans ``redaction_secrets()`` et sa
+    représentation textuelle doit rester masquée.
+
+    :param monkeypatch: Fixture pytest pour modifier temporairement l'environnement.
+    :return: None
+    """
+    monkeypatch.setenv("PRONOTE_QR_PIN", "654321")
+    settings = load_settings()
+    secrets = settings.redaction_secrets()
+    assert settings.pronote.qr_pin in secrets
+    assert "654321" not in repr(settings.pronote.qr_pin)
+    assert "**********" in repr(settings.pronote.qr_pin)
+
+
 # Ensure trailing newline

tests/unit/test_errors.py

@@ -0,0 +1,88 @@
+"""Tests unitaires pour la hiérarchie des erreurs du pipeline.
+
+Ce module valide les classes d'erreur définies dans pronote_sync.errors.
+"""
+
+import pytest
+
+from pronote_sync.errors import PipelineWarning, PronoteSyncError
+
+
+def test_pipeline_warning_inherits_pronote_sync_error() -> None:
+    """Vérifie que PipelineWarning hérite de PronoteSyncError.
+
+    :return: None
+    :rtype: None
+    """
+    assert isinstance(PipelineWarning("msg"), PronoteSyncError)
+
+
+def test_pipeline_warning_not_warning_builtin() -> None:
+    """Vérifie que PipelineWarning n'hérite pas de la classe Warning intégrée.
+
+    :return: None
+    :rtype: None
+    """
+    assert not isinstance(PipelineWarning("msg"), Warning)
+
+
+def test_pipeline_warning_message_stored() -> None:
+    """Vérifie que le message est stocké et accessible via str(exc).
+
+    :return: None
+    :rtype: None
+    """
+    exc = PipelineWarning("msg")
+    assert str(exc) == "msg"
+    assert exc.args[0] == "msg"
+
+
+def test_pipeline_warning_step_default_none() -> None:
+    """Vérifie que step est None par défaut.
+
+    :return: None
+    :rtype: None
+    """
+    assert PipelineWarning("msg").step is None
+
+
+def test_pipeline_warning_step_set() -> None:
+    """Vérifie que step peut être défini via le constructeur.
+
+    :return: None
+    :rtype: None
+    """
+    assert PipelineWarning("msg", step="xmpp").step == "xmpp"
+
+
+def test_pipeline_warning_recoverable_true() -> None:
+    """Vérifie que recoverable est toujours True pour PipelineWarning.
+
+    :return: None
+    :rtype: None
+    """
+    assert PipelineWarning("msg").recoverable is True
+
+
+def test_pipeline_warning_is_raisable() -> None:
+    """Vérifie que PipelineWarning peut être levée.
+
+    :return: None
+    :rtype: None
+    """
+    with pytest.raises(PipelineWarning, match="msg"):
+        raise PipelineWarning("msg")
+
+
+def test_pipeline_warning_caught_by_pronote_sync_error() -> None:
+    """Vérifie qu'une PipelineWarning est attrapée par un except PronoteSyncError.
+
+    :return: None
+    :rtype: None
+    """
+    try:
+        raise PipelineWarning("msg")
+    except PronoteSyncError:
+        assert True
+    else:
+        raise AssertionError("PipelineWarning should have been caught by PronoteSyncError")

tests/unit/test_fallback.py

@@ -53,7 +53,7 @@ def fixture_mock_settings() -> Settings:
     """
     return Settings(
         pronote=PronoteSettings(
-            pronote_url="https://pronote.example.com",
+            url="https://pronote.example.com",
             ical_url=SecretStr("file:///fake/ical.ics"),
             agenda_source="auto",
             homework_source="auto",
@@ -251,7 +251,7 @@ def test_fetch_agenda_auto_both_fail(mock_fetcher: PronoteFetcher) -> None:
     :rtype: None
     """
     # Disable pronotepy so fallback is None
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with (
         patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
@@ -280,7 +280,7 @@ def test_fetch_agenda_ical_mode_failure(mock_fetcher: PronoteFetcher) -> None:
     """
     # Override settings to use ical mode explicitly and disable fallback
     mock_fetcher._settings.pronote.agenda_source = "ical"
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with (
         patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
@@ -438,7 +438,7 @@ def test_fetch_homework_auto_both_fail(mock_fetcher: PronoteFetcher) -> None:
     target_date = date(2025, 9, 10)
 
     # Disable pronotepy so fallback is None
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with (
         patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
@@ -531,7 +531,7 @@ def test_no_secrets_in_error_messages(
     :rtype: None
     """
     # Disable pronotepy so fallback is None to trigger PipelineCriticalError
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with (
         patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
@@ -629,7 +629,7 @@ def test_fetch_agenda_no_source_configured_raises(mock_fetcher: PronoteFetcher)
     """
     # Disable both sources
     mock_fetcher._settings.pronote.ical_url = None
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with pytest.raises(PipelineCriticalError) as exc_info:
         mock_fetcher.fetch_agenda()
@@ -1020,7 +1020,7 @@ def test_homework_sources_explicit_ical_mode_strict(mock_fetcher: PronoteFetcher
     assert fallback is None
 
     # Without pronotepy configured
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
     primary, fallback = mock_fetcher._homework_sources()
     assert primary == "ical"
     assert fallback is None
@@ -1080,7 +1080,7 @@ def test_homework_sources_auto_no_source_configured_raises(mock_fetcher: Pronote
     """
     mock_fetcher._settings.pronote.homework_source = "auto"
     mock_fetcher._settings.pronote.ical_url = None
-    mock_fetcher._settings.pronote.pronote_url = None
+    mock_fetcher._settings.pronote.url = None
 
     with pytest.raises(PipelineCriticalError) as exc_info:
         mock_fetcher._homework_sources()
@@ -1088,6 +1088,102 @@ def test_homework_sources_auto_no_source_configured_raises(mock_fetcher: Pronote
     assert "ni la source iCal ni pronotepy n'est configurée" in str(exc_info.value)
 
 
+def test_fetch_agenda_auto_ical_configured_fails_fallback_to_pronotepy_without_ent(
+    mock_fetcher: PronoteFetcher,
+) -> None:
+    """Test le mode auto : iCal configuré mais échoue, repli sur pronotepy sans ent.
+
+    On mock iCal pour échouer, pronotepy configuré sans ent. On vérifie que pronotepy est appelé
+    et que le résultat provient de pronotepy, pas une erreur.
+
+    :param mock_fetcher: Fetcher de test.
+    :return: None
+    :rtype: None
+    """
+    start_dt = datetime(2025, 9, 1, 8, 0)
+    end_dt = datetime(2025, 9, 1, 9, 30)
+    lessons = [
+        Lesson(
+            id="l1",
+            start=start_dt,
+            end=end_dt,
+            subject="Maths",
+            teachers=("Dupont",),
+            rooms=("S1",),
+            group="2ndeA",
+            status=LessonStatus.NORMAL,
+            content=None,
+        )
+    ]
+
+    # Override settings to use auto mode with ical_url configured but ent=None
+    mock_fetcher._settings.pronote.agenda_source = "auto"
+    mock_fetcher._settings.pronote.ent = None  # Explicitly None
+
+    with (
+        patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
+        patch("pronote_sync.sources.pronote.fallback.parse_ical") as m_parse_ical,
+    ):
+        m_fetch_ical.side_effect = OSError("iCal unreachable")
+        m_parse_ical.side_effect = OSError("iCal parse error")
+        client = MagicMock()
+        client.get_lessons.return_value = lessons
+        mock_fetcher._pronote_client = client
+
+        result_lessons, result_events = mock_fetcher.fetch_agenda()
+
+        assert result_lessons == lessons
+        assert result_events == []
+        client.get_lessons.assert_called_once()
+
+
+def test_fetch_homework_auto_ical_configured_fails_fallback_to_pronotepy_without_ent(
+    mock_fetcher: PronoteFetcher,
+) -> None:
+    """Test le mode auto des devoirs : iCal configuré mais échoue, repli sur pronotepy sans ent.
+
+    On mock iCal pour échouer, pronotepy configuré sans ent. On vérifie que pronotepy est appelé
+    et que le résultat provient de pronotepy, pas une erreur.
+
+    :param mock_fetcher: Fetcher de test.
+    :return: None
+    :rtype: None
+    """
+    target_date = date(2025, 9, 10)
+    homeworks = [
+        Homework(
+            id="hw1",
+            subject="Physique",
+            teachers=(),
+            assigned_on=None,
+            due_on=target_date,
+            text="TP à préparer",
+            html="TP à préparer",
+        )
+    ]
+
+    # Override settings to use auto mode with ical_url configured but ent=None
+    mock_fetcher._settings.pronote.homework_source = "auto"
+    mock_fetcher._settings.pronote.ent = None  # Explicitly None
+
+    with (
+        patch("pronote_sync.sources.pronote.fallback.fetch_ical") as m_fetch_ical,
+        patch("pronote_sync.sources.pronote.fallback.parse_ical") as m_parse_ical,
+        patch("pronote_sync.sources.pronote.fallback.collect_homeworks") as m_collect,
+    ):
+        m_fetch_ical.side_effect = OSError("iCal unreachable")
+        m_parse_ical.side_effect = OSError("iCal parse error")
+        client = MagicMock()
+        client.get_homeworks.return_value = homeworks
+        mock_fetcher._pronote_client = client
+        m_collect.return_value = homeworks
+
+        result = mock_fetcher.fetch_homework(target_date)
+
+        assert result == homeworks
+        client.get_homeworks.assert_called_once()
+
+
 def test_fetch_homework_fallback_both_fail_raises_pipeline_critical_error(
     mock_fetcher: PronoteFetcher,
 ) -> None:
@@ -1127,7 +1223,7 @@ def test_fetch_homework_fallback_both_fail_raises_pipeline_critical_error(
 def test_fetch_homework_auto_fallback_returns_empty_logs_warning(
     mock_fetcher: PronoteFetcher, caplog: pytest.LogCaptureFixture
 ) -> None:
-    """Test que fetch_homework retourne [] et journalise un avertissement si le repli retourne vide.
+    """Test que fetch_homework retourne [] et journalise un avertissement si le repli est vide.
 
     On mock ICAL pour échouer, pronotepy configuré et retourne vide. On vérifie le retour et le log.
     Ce test utilise le mode AUTO pour tester le comportement de repli.
@@ -1186,4 +1282,203 @@ def test_fetch_informations_logs_and_re_raises_secret(
     )
 
 
+def test_is_pronotepy_configured_without_ent_returns_true() -> None:
+    """Test _is_pronotepy_configured() retourne True quand ent est None.
+
+    Les autres champs de la configuration pronotepy sont présents, donc la
+    fonction renvoie True.
+
+    Ce test valide que PRONOTE_ENT est optionnel pour pronotepy.
+
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings, Settings
+    from pronote_sync.sources.pronote.fallback import PronoteFetcher
+
+    # Créer des settings avec pronotepy configuré mais sans ent
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username="testuser",
+            password=SecretStr("testpass"),
+            ent=None,  # Explicitement None
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    # Should return True even without ent
+    assert fetcher._is_pronotepy_configured() is True
+
+
+def test_is_pronotepy_configured_password_mode_all_set() -> None:
+    """Test _is_pronotepy_configured() en mode password avec tous les champs définis.
+
+    URL, identifiant et mot de passe sont présents : la fonction retourne True.
+
+    :return: None
+    :rtype: None
+    """
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username="testuser",
+            password=SecretStr("testpass"),
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    assert fetcher._is_pronotepy_configured() is True
+
+
+def test_is_pronotepy_configured_password_mode_missing_password() -> None:
+    """Test _is_pronotepy_configured() en mode password sans mot de passe.
+
+    Le mot de passe est None : la fonction retourne False.
+
+    :return: None
+    :rtype: None
+    """
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username="testuser",
+            password=None,
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    assert fetcher._is_pronotepy_configured() is False
+
+
+def test_is_pronotepy_configured_qr_token_mode_url_only() -> None:
+    """Test _is_pronotepy_configured() en mode qr_token avec URL uniquement.
+
+    En mode qr_token, seul l'URL est requis : l'identifiant et le mot de
+    passe peuvent être absents, la fonction retourne True.
+
+    :return: None
+    :rtype: None
+    """
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username=None,
+            password=None,
+            auth_mode="qr_token",
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    assert fetcher._is_pronotepy_configured() is True
+
+
+def test_is_pronotepy_configured_qr_token_mode_no_url() -> None:
+    """Test _is_pronotepy_configured() en mode qr_token sans URL.
+
+    L'URL est None : la fonction retourne False, même si le mode qr_token
+    ne requiert que PRONOTE_URL.
+
+    :return: None
+    :rtype: None
+    """
+    settings = Settings(
+        pronote=PronoteSettings(
+            url=None,
+            username=None,
+            password=None,
+            auth_mode="qr_token",
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    assert fetcher._is_pronotepy_configured() is False
+
+
+def test_agenda_sources_auto_without_ical_and_without_ent_returns_pronotepy() -> None:
+    """Test _agenda_sources() en mode AUTO sans iCal URL et sans ent retourne pronotepy.
+
+    Ce test valide que le mode auto peut utiliser pronotepy même sans ent configuré.
+
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings, Settings
+    from pronote_sync.sources.pronote.fallback import PronoteFetcher
+
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username="testuser",
+            password=SecretStr("testpass"),
+            ent=None,  # Explicitement None
+            ical_url=None,  # Pas de iCal URL
+            agenda_source="auto",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    primary, fallback = fetcher._agenda_sources()
+
+    assert primary == "pronotepy"
+    assert fallback is None
+
+
+def test_homework_sources_auto_without_ical_and_without_ent_returns_pronotepy() -> None:
+    """Test _homework_sources() en mode AUTO sans iCal URL et sans ent retourne pronotepy.
+
+    Ce test valide que le mode auto peut utiliser pronotepy pour les devoirs même sans ent configuré.
+
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings, Settings
+    from pronote_sync.sources.pronote.fallback import PronoteFetcher
+
+    settings = Settings(
+        pronote=PronoteSettings(
+            url="https://pronote.example.com",
+            username="testuser",
+            password=SecretStr("testpass"),
+            ent=None,  # Explicitement None
+            ical_url=None,  # Pas de iCal URL
+            homework_source="auto",
+        ),
+        app=Settings().app,
+    )
+
+    client: _MockPronoteClientProtocol = MagicMock()
+    fetcher = PronoteFetcher(settings=settings, pronote_client=client)
+
+    primary, fallback = fetcher._homework_sources()
+
+    assert primary == "pronotepy"
+    assert fallback is None
+
+
 # Ensure trailing newline

tests/unit/test_pronote_auth_state.py

@@ -0,0 +1,208 @@
+"""Tests unitaires pour le gestionnaire d'état d'authentification Pronote.
+
+Ce module valide le comportement de :class:`PronoteAuthState` dans
+:mod:`pronote_sync.sources.pronote.auth_state`. Les tests couvrent :
+
+- Le chargement des credentials (absent, corrompu, version invalide),
+- La persistance et le rechargement des credentials,
+- Les permissions ``0600`` du fichier d'état,
+- La suppression via :meth:`clear`,
+- L'absence de fuite des credentials dans les journaux.
+
+Tous les tests utilisent des fichiers temporaires via la fixture ``tmp_path``.
+"""
+
+from __future__ import annotations
+
+import json
+import logging
+import os
+from pathlib import Path
+
+import pytest
+
+from pronote_sync.sources.pronote.auth_state import PronoteAuthState
+
+
+def test_load_no_file_returns_none(tmp_path: Path) -> None:
+    """Vérifie qu'un fichier d'état absent renvoie ``None``.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :return: None
+    """
+    state = PronoteAuthState(tmp_path / "missing.json")
+
+    assert state.load() is None
+
+
+def test_save_then_load_roundtrip(tmp_path: Path) -> None:
+    """Vérifie que des credentials sauvegardés sont rechargés à l'identique.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :return: None
+    """
+    state_file = tmp_path / "auth.json"
+    credentials = {
+        "pronote_url": "https://example.com/pronote",
+        "username": "parent-1",
+        "password": "token-123",  # pragma: allowlist secret
+        "uuid": "uuid-456",
+    }
+
+    state = PronoteAuthState(state_file)
+    state.save(credentials)
+    loaded = PronoteAuthState(state_file).load()
+
+    assert loaded == credentials
+
+
+def test_load_corrupted_json_returns_none(tmp_path: Path, caplog: pytest.LogCaptureFixture) -> None:
+    """Vérifie qu'un fichier JSON corrompu renvoie ``None`` et journalise un avertissement.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :param caplog: Fixture pytest pour capturer les logs.
+    :return: None
+    """
+    state_file = tmp_path / "corrupt.json"
+    state_file.write_text("not json{", encoding="utf-8")
+
+    with caplog.at_level("WARNING"):
+        result = PronoteAuthState(state_file).load()
+
+    assert result is None
+    assert "Impossible de charger le fichier d'état d'authentification Pronote" in caplog.text
+
+
+def test_load_wrong_version_returns_none(tmp_path: Path, caplog: pytest.LogCaptureFixture) -> None:
+    """Vérifie qu'une version non supportée renvoie ``None`` et journalise un avertissement.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :param caplog: Fixture pytest pour capturer les logs.
+    :return: None
+    """
+    state_file = tmp_path / "wrong_version.json"
+    state_file.write_text(
+        json.dumps(
+            {
+                "version": 2,
+                "credentials": {
+                    "pronote_url": "https://example.com",
+                    "username": "u",
+                    "password": "t",
+                    "uuid": "i",
+                },
+            }
+        ),
+        encoding="utf-8",
+    )
+
+    with caplog.at_level("WARNING"):
+        result = PronoteAuthState(state_file).load()
+
+    assert result is None
+    assert "version absente ou non supportée" in caplog.text
+
+
+def test_load_missing_version_returns_none(
+    tmp_path: Path, caplog: pytest.LogCaptureFixture
+) -> None:
+    """Vérifie qu'un fichier sans champ version renvoie ``None``.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :param caplog: Fixture pytest pour capturer les logs.
+    :return: None
+    """
+    state_file = tmp_path / "missing_version.json"
+    state_file.write_text(
+        json.dumps(
+            {
+                "credentials": {
+                    "pronote_url": "https://example.com",
+                    "username": "u",
+                    "password": "t",
+                    "uuid": "i",
+                }
+            }
+        ),
+        encoding="utf-8",
+    )
+
+    with caplog.at_level("WARNING"):
+        result = PronoteAuthState(state_file).load()
+
+    assert result is None
+
+
+def test_clear_removes_file(tmp_path: Path) -> None:
+    """Vérifie que clear supprime le fichier d'état existant.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :return: None
+    """
+    state_file = tmp_path / "auth.json"
+    state = PronoteAuthState(state_file)
+    state.save({"pronote_url": "u", "username": "u", "password": "t", "uuid": "i"})
+
+    assert state_file.exists()
+    state.clear()
+
+    assert not state_file.exists()
+
+
+def test_clear_no_file_noop(tmp_path: Path) -> None:
+    """Vérifie que clear ne fait rien quand le fichier n'existe pas.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :return: None
+    """
+    state = PronoteAuthState(tmp_path / "missing.json")
+
+    state.clear()
+
+
+def test_save_creates_file_with_0600_permissions(tmp_path: Path) -> None:
+    """Vérifie que le fichier d'état est créé avec les permissions ``0600``.
+
+    Le fichier contient un token vivant : il doit être lisible uniquement
+    par le propriétaire.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :return: None
+    """
+    state_file = tmp_path / "auth.json"
+    state = PronoteAuthState(state_file)
+    state.save({"pronote_url": "u", "username": "u", "password": "t", "uuid": "i"})
+
+    assert os.stat(state_file).st_mode & 0o777 == 0o600
+
+
+def test_no_credentials_in_logs(tmp_path: Path, caplog: pytest.LogCaptureFixture) -> None:
+    """Vérifie qu'aucun contenu des credentials n'apparaît dans les journaux.
+
+    Des sentinelles distinctes sont utilisées pour ``pronote_url``,
+    ``username``, ``password`` et ``uuid`` ; aucun de ces marqueurs ne doit
+    apparaître dans les messages journalisés lors d'une sauvegarde, d'un
+    chargement et d'une suppression.
+
+    :param tmp_path: Fixture pytest pour un répertoire temporaire.
+    :param caplog: Fixture pytest pour capturer les logs.
+    :return: None
+    """
+    state_file = tmp_path / "auth.json"
+    credentials = {
+        "pronote_url": "https://SENTINEL_URL_ZZZ.example/pronote",
+        "username": "SENTINEL_USER_ZZZ",
+        "password": "SENTINEL_PASSWORD_ZZZ",  # pragma: allowlist secret
+        "uuid": "SENTINEL_UUID_ZZZ",
+    }
+
+    state = PronoteAuthState(state_file)
+    with caplog.at_level(logging.DEBUG):
+        state.save(credentials)
+        state.load()
+        state.clear()
+
+    assert "SENTINEL_URL_ZZZ" not in caplog.text
+    assert "SENTINEL_USER_ZZZ" not in caplog.text
+    assert "SENTINEL_PASSWORD_ZZZ" not in caplog.text
+    assert "SENTINEL_UUID_ZZZ" not in caplog.text

tests/unit/test_pronote_client.py

@@ -7,7 +7,10 @@ utilisent des mocks pour éviter tout accès réseau réel à Pronote.
 
 from __future__ import annotations
 
+import json
+import logging
 from datetime import date, datetime
+from pathlib import Path
 
 import pronotepy
 import pytest
@@ -15,9 +18,11 @@ import pytest_mock
 from pydantic import SecretStr
 
 from pronote_sync.config.settings import PronoteSettings
+from pronote_sync.errors import PronoteAuthRotationError
 from pronote_sync.models.agenda import Lesson, LessonStatus
 from pronote_sync.models.homework import Homework
 from pronote_sync.models.message import Message, MessageType
+from pronote_sync.sources.pronote.auth_state import PronoteAuthState
 from pronote_sync.sources.pronote.client import PronoteClient, PronoteClientProtocol
 
 # --- Protocol tests ---
@@ -46,7 +51,7 @@ def pronote_settings() -> PronoteSettings:
     :rtype: PronoteSettings
     """
     return PronoteSettings(
-        pronote_url="https://pronote.example.com",
+        url="https://pronote.example.com",
         username="testuser",
         password=SecretStr("testpass"),
         ent="bordeaux",
@@ -309,7 +314,7 @@ def test_missing_credentials_raises(empty_pronote_settings: PronoteSettings) ->
     """
     client = PronoteClient(empty_pronote_settings)
 
-    with pytest.raises(ValueError, match="pronote_url, username, password et ent sont requis"):
+    with pytest.raises(ValueError, match="url, username et password sont requis pour pronotepy"):
         client._connect()
 
 
@@ -365,6 +370,132 @@ def test_connect_parent_account_type(
     pronotepy.Client.assert_not_called()  # type: ignore[attr-defined]
 
 
+def test_connect_without_ent_but_with_required_credentials(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie que _connect() fonctionne sans ent mais avec les autres identifiants requis.
+
+    Ce test valide que PRONOTE_ENT est optionnel pour une connexion directe Pronote.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    from unittest.mock import Mock
+
+    from pronote_sync.config.settings import PronoteSettings
+    from pronote_sync.sources.pronote.client import PronoteClient
+
+    # Settings sans ent mais avec les autres champs requis
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,  # Explicitement None
+        account_type="parent",
+    )
+
+    mock_client = mocker.MagicMock()
+    mock_client_class = Mock(return_value=mock_client)
+    mocker.patch("pronotepy.ParentClient", new=mock_client_class)
+    mocker.patch("pronotepy.Client")
+
+    client = PronoteClient(settings)
+    connected_client = client._connect()
+
+    # Should not raise ValueError about missing ent
+    assert connected_client is mock_client
+
+    # Verify ParentClient was called with ent=None
+    mock_client_class.assert_called_once_with(
+        pronote_url="https://pronote.example.com",
+        username="testuser",
+        password="testpass",  # pragma: allowlist secret
+        ent=None,  # ent should be None, not resolved
+    )
+
+
+def test_connect_missing_required_credentials_still_raises(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie que _connect() lève ValueError si url, username ou password manquent.
+
+    Ce test valide que l'erreur ne mentionne plus ent comme requis.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings
+    from pronote_sync.sources.pronote.client import PronoteClient
+
+    # Settings avec ent mais sans url
+    settings = PronoteSettings(
+        url=None,
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+    )
+
+    client = PronoteClient(settings)
+
+    with pytest.raises(ValueError) as exc_info:
+        client._connect()
+
+    # Error should NOT mention ent as required
+    assert "url, username et password sont requis" in str(exc_info.value)
+    assert "ent" not in str(exc_info.value)
+
+
+def test_connect_missing_username_raises(mocker: pytest_mock.MockerFixture) -> None:
+    """Vérifie que _connect() lève ValueError si username manque.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings
+    from pronote_sync.sources.pronote.client import PronoteClient
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username=None,
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+    )
+
+    client = PronoteClient(settings)
+
+    with pytest.raises(ValueError) as exc_info:
+        client._connect()
+
+    assert "url, username et password sont requis" in str(exc_info.value)
+
+
+def test_connect_missing_password_raises(mocker: pytest_mock.MockerFixture) -> None:
+    """Vérifie que _connect() lève ValueError si password manque.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    from pronote_sync.config.settings import PronoteSettings
+    from pronote_sync.sources.pronote.client import PronoteClient
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=None,
+        ent=None,
+        account_type="parent",
+    )
+
+    client = PronoteClient(settings)
+
+    with pytest.raises(ValueError) as exc_info:
+        client._connect()
+
+    assert "url, username et password sont requis" in str(exc_info.value)
+
+
 def test_connect_student_account_type(
     mocker: pytest_mock.MockerFixture, pronote_settings: PronoteSettings
 ) -> None:
@@ -379,7 +510,7 @@ def test_connect_student_account_type(
     from pronote_sync.sources.pronote.client import PronoteClient
 
     pronote_settings_student = PronoteSettings(
-        pronote_url="https://pronote.example.com",
+        url="https://pronote.example.com",
         username="testuser",
         password=SecretStr("testpass"),
         ent="bordeaux",
@@ -398,6 +529,57 @@ def test_connect_student_account_type(
     pronotepy.ParentClient.assert_not_called()  # type: ignore[attr-defined]
 
 
+def test_connect_with_ent_resolution_still_works(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie que _resolve_ent est appelé et fonctionne quand ent est fourni.
+
+    Ce test valide que lorsque ent est fourni, il est toujours résolu via _resolve_ent.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    from unittest.mock import Mock
+
+    from pronote_sync.config.settings import PronoteSettings
+    from pronote_sync.sources.pronote.client import PronoteClient
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent="bordeaux",  # ent est fourni
+        account_type="parent",
+    )
+
+    mock_client = mocker.MagicMock()
+    mock_client_class = Mock(return_value=mock_client)
+    mocker.patch("pronotepy.ParentClient", new=mock_client_class)
+
+    # Mock _resolve_ent to return a mock resolver
+    mock_resolver = Mock()
+    mocker.patch(
+        "pronote_sync.sources.pronote.client._resolve_ent",
+        return_value=mock_resolver,
+    )
+
+    client = PronoteClient(settings)
+    _ = client._connect()
+
+    # _resolve_ent should have been called
+    from pronote_sync.sources.pronote.client import _resolve_ent as resolve_ent_func
+
+    resolve_ent_func.assert_called_once_with("bordeaux")  # type: ignore[attr-defined]
+
+    # ParentClient should have been called with the resolved ent
+    mock_client_class.assert_called_once_with(
+        pronote_url="https://pronote.example.com",
+        username="testuser",
+        password="testpass",  # pragma: allowlist secret
+        ent=mock_resolver,
+    )
+
+
 def test_get_messages_degraded_on_error(
     mocker: pytest_mock.MockerFixture, pronote_settings: PronoteSettings
 ) -> None:
@@ -436,4 +618,585 @@ def test_get_informations_degraded_on_error(
     assert messages == []
 
 
+# --- QR code / token authentication tests ---
+
+
+def test_connect_password_mode_unchanged(
+    mocker: pytest_mock.MockerFixture,
+    pronote_settings: PronoteSettings,
+) -> None:
+    """Vérifie que le mode password conserve le comportement historique.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param pronote_settings: Paramètres Pronote valides en mode password.
+    :return: None
+    """
+    from unittest.mock import Mock
+
+    mock_client = mocker.MagicMock()
+    mock_client_class = Mock(return_value=mock_client)
+    mocker.patch("pronotepy.ParentClient", new=mock_client_class)
+    mocker.patch("pronotepy.Client")
+
+    client = PronoteClient(pronote_settings, auth_state=None)
+    connected = client._connect()
+
+    assert connected is mock_client
+    mock_client_class.assert_called_once_with(
+        pronote_url="https://pronote.example.com",
+        username="testuser",
+        password="testpass",  # pragma: allowlist secret
+        ent=mocker.ANY,
+    )
+    # Connexion paresseuse : un second appel réutilise le client déjà créé
+    client._connect()
+    assert mock_client_class.call_count == 1
+
+
+def test_connect_qr_token_with_persisted_creds(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie le login par token persisté en mode qr_token.
+
+    Les credentials chargés depuis :class:`PronoteAuthState` sont rejoués via
+    ``token_login`` et le token rotate est resauvegardé.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    creds = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": "persisted-token",  # pragma: allowlist secret
+        "uuid": "persisted-uuid",
+    }
+    rotated_creds = {**creds, "uuid": "rotated-uuid"}
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = creds
+
+    mock_client = mocker.MagicMock()
+    mock_client.logged_in = True
+    mock_client.export_credentials.return_value = rotated_creds
+    mocker.patch("pronotepy.ParentClient.token_login", return_value=mock_client)
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+    connected = client._connect()
+
+    assert connected is mock_client
+    pronotepy.ParentClient.token_login.assert_called_once_with(**creds)  # type: ignore[attr-defined]
+    auth_state.save.assert_called_once_with(rotated_creds)
+
+
+def test_connect_qr_token_no_creds_with_qr_code(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie l'enrôlement initial par QR code quand aucun token n'est persisté.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": "qr-jeton",
+                "url": "https://pronote.example.com",
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+
+    creds = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": "new-token",  # pragma: allowlist secret
+        "uuid": "new-uuid",
+    }
+    mock_client = mocker.MagicMock()
+    mock_client.logged_in = True
+    mock_client.export_credentials.return_value = creds
+    mocker.patch("pronotepy.ParentClient.qrcode_login", return_value=mock_client)
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+    connected = client._connect()
+
+    assert connected is mock_client
+    qrcode_login = pronotepy.ParentClient.qrcode_login
+    qrcode_login.assert_called_once()  # type: ignore[attr-defined]
+    kwargs = qrcode_login.call_args.kwargs  # type: ignore[attr-defined]
+    assert kwargs["pin"] == "123456"
+    assert kwargs["qr_code"] == {
+        "login": "testuser",
+        "jeton": "qr-jeton",
+        "url": "https://pronote.example.com",
+    }
+    assert kwargs["uuid"].startswith("pronote-sync-")
+    auth_state.save.assert_called_once_with(creds)
+
+
+def test_connect_qr_token_token_login_fails_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError quand le token persisté est invalide.
+
+    En cas d'échec du login par token, aucun repli vers l'enrôlement QR
+    n'est tenté : l'erreur de rotation est levée immédiatement, même si un
+    fichier QR est disponible.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": "qr-jeton",
+                "url": "https://pronote.example.com",
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": "expired-token",  # pragma: allowlist secret
+        "uuid": "old-uuid",
+    }
+
+    token_login = mocker.patch("pronotepy.ParentClient.token_login")
+    token_login.side_effect = pronotepy.PronoteAPIError("token invalide")
+    qrcode_login = mocker.patch("pronotepy.ParentClient.qrcode_login")
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    token_login.assert_called_once()
+    qrcode_login.assert_not_called()
+    auth_state.save.assert_not_called()
+    message = str(exc_info.value)
+    assert "expiré ou invalide" in message
+    assert ".pronote_auth_state.json" in message
+    assert "PRONOTE_QR_CODE_FILE" in message
+
+
+def test_token_login_failure_raises_rotation_not_enroll(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie qu'un login par token non connecté lève PronoteAuthRotationError sans enrôlement QR.
+
+    ``token_login`` retourne un client non connecté (``logged_in`` False) :
+    l'erreur de rotation est levée immédiatement et ``qrcode_login`` n'est
+    jamais appelé, même avec un QR code disponible.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": "qr-jeton",
+                "url": "https://pronote.example.com",
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": "expired-token",  # pragma: allowlist secret
+        "uuid": "old-uuid",
+    }
+
+    mock_client = mocker.MagicMock()
+    mock_client.logged_in = False
+    token_login = mocker.patch("pronotepy.ParentClient.token_login", return_value=mock_client)
+    qrcode_login = mocker.patch("pronotepy.ParentClient.qrcode_login")
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    token_login.assert_called_once()
+    qrcode_login.assert_not_called()
+    auth_state.save.assert_not_called()
+    message = str(exc_info.value)
+    assert "non connecté" in message
+    assert ".pronote_auth_state.json" in message
+
+
+def test_connect_qr_token_no_creds_no_qr_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError sans token persisté ni QR code.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    message = str(exc_info.value)
+    assert "PRONOTE_QR_CODE_FILE" in message
+    assert "PRONOTE_QR_PIN" in message
+    assert ".pronote_auth_state.json" in message
+
+
+def test_connect_qr_token_token_login_fails_no_qr_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError quand le token échoue sans QR.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :return: None
+    """
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": "expired-token",  # pragma: allowlist secret
+        "uuid": "old-uuid",
+    }
+    token_login = mocker.patch("pronotepy.ParentClient.token_login")
+    token_login.side_effect = pronotepy.PronoteAPIError("token invalide")
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    message = str(exc_info.value)
+    assert "expiré ou invalide" in message
+    assert ".pronote_auth_state.json" in message
+    assert "PRONOTE_QR_CODE_FILE" in message
+
+
+def test_connect_qr_token_invalid_qr_json_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError pour un fichier QR illisible.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text("{json invalide", encoding="utf-8")
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    assert "Impossible de lire le fichier QR code" in str(exc_info.value)
+
+
+def test_connect_qr_token_missing_qr_key_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError quand une clé QR requise manque.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps({"login": "testuser", "url": "https://pronote.example.com"}),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    assert "jeton" in str(exc_info.value)
+
+
+def test_connect_qr_token_qrcode_login_fails_raises_rotation_error(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+) -> None:
+    """Vérifie la levée de PronoteAuthRotationError quand le login QR échoue.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :return: None
+    """
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": "qr-jeton",
+                "url": "https://pronote.example.com",
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+    mocker.patch(
+        "pronotepy.ParentClient.qrcode_login",
+        side_effect=pronotepy.exceptions.QRCodeDecryptError("PIN incorrect"),
+    )
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr("123456"),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        client._connect()
+
+    message = str(exc_info.value)
+    assert "PIN invalide ou QR code expiré" in message
+    assert "PRONOTE_QR_CODE_FILE" in message
+
+
+def test_no_secrets_in_rotation_error_messages(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie qu'aucun secret ne fuit dans les erreurs ni les logs de rotation.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :param caplog: Fixture pytest de capture des logs.
+    :return: None
+    """
+    sentinel_pin = "SENTINEL_PIN_42"
+    sentinel_token = "SENTINEL_TOKEN_7"
+    sentinel_url = "https://sentinel-url.pronote.example.com"
+
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": sentinel_token,
+                "url": sentinel_url,
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = None
+
+    mocker.patch(
+        "pronotepy.ParentClient.qrcode_login",
+        side_effect=pronotepy.exceptions.QRCodeDecryptError(
+            f"token: {sentinel_token} password: {sentinel_pin}"
+        ),
+    )
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr(sentinel_pin),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with caplog.at_level(logging.ERROR, logger="pronote_sync.sources.pronote.client"):
+        with pytest.raises(PronoteAuthRotationError) as exc_info:
+            client._connect()
+
+    message = str(exc_info.value)
+    assert sentinel_pin not in message
+    assert sentinel_token not in message
+    assert "sentinel-url" not in message
+    assert caplog.text
+    assert sentinel_pin not in caplog.text
+    assert sentinel_token not in caplog.text
+    assert "sentinel-url" not in caplog.text
+
+
+def test_no_raw_secrets_in_logs(
+    mocker: pytest_mock.MockerFixture,
+    tmp_path: Path,
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie l'expurgation de secrets bruts sans motif reconnaissable dans les logs.
+
+    Des sentinelles distinctes pour le token persisté, le PIN QR et le jeton
+    QR sont injectées dans le message d'exception de ``token_login`` sans
+    motif ``cle=valeur`` ni format d'URL ; elles ne doivent apparaître ni
+    dans les logs ni dans l'erreur de rotation levée.
+
+    :param mocker: Fixture pytest-mock pour le mocking.
+    :param tmp_path: Répertoire temporaire de test.
+    :param caplog: Fixture pytest de capture des logs.
+    :return: None
+    """
+    sentinel_token = "SENTINEL_RAW_TOKEN_ALPHA"
+    sentinel_pin = "SENTINEL_RAW_PIN_BRAVO"
+    sentinel_jeton = "SENTINEL_RAW_JETON_CHARLIE"
+
+    qr_file = tmp_path / "qr_code.json"
+    qr_file.write_text(
+        json.dumps(
+            {
+                "login": "testuser",
+                "jeton": sentinel_jeton,
+                "url": "https://pronote.example.com",
+            }
+        ),
+        encoding="utf-8",
+    )
+    auth_state = mocker.MagicMock(spec=PronoteAuthState)
+    auth_state.load.return_value = {
+        "pronote_url": "https://pronote.example.com",
+        "username": "testuser",
+        "password": sentinel_token,
+        "uuid": "old-uuid",
+    }
+
+    mocker.patch(
+        "pronotepy.ParentClient.token_login",
+        side_effect=pronotepy.PronoteAPIError(
+            f"login refusé {sentinel_token} puis {sentinel_pin} puis {sentinel_jeton}"
+        ),
+    )
+
+    settings = PronoteSettings(
+        url="https://pronote.example.com",
+        username="testuser",
+        password=SecretStr("testpass"),
+        ent=None,
+        account_type="parent",
+        auth_mode="qr_token",
+        qr_code_file=str(qr_file),
+        qr_pin=SecretStr(sentinel_pin),
+    )
+    client = PronoteClient(settings, auth_state=auth_state)
+
+    with caplog.at_level(logging.ERROR, logger="pronote_sync.sources.pronote.client"):
+        with pytest.raises(PronoteAuthRotationError) as exc_info:
+            client._connect()
+
+    message = str(exc_info.value)
+    assert sentinel_token not in message
+    assert sentinel_pin not in message
+    assert sentinel_jeton not in message
+    assert caplog.text
+    assert sentinel_token not in caplog.text
+    assert sentinel_pin not in caplog.text
+    assert sentinel_jeton not in caplog.text
+
+
 # Ensure trailing newline

tests/unit/test_rotation_propagation.py

@@ -0,0 +1,180 @@
+"""Unit tests for PronoteAuthRotationError propagation through each layer.
+
+These tests verify that the rotation error propagates correctly through the
+real call chain without being wrapped in PipelineCriticalError at any layer.
+"""
+
+from __future__ import annotations
+
+from datetime import date
+
+import pytest
+from pydantic import SecretStr
+
+from pronote_sync.config.settings import PronoteSettings, Settings
+from pronote_sync.errors import PipelineCriticalError, PronoteAuthRotationError
+from pronote_sync.models.agenda import Lesson, SchoolEvent
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message
+from pronote_sync.pipeline.steps.fetch import fetch_step
+from pronote_sync.sources.pronote.fallback import PronoteFetcher
+
+
+class StubPronoteClientWithRotationError:
+    """Stub PronoteClient that raises PronoteAuthRotationError from its methods."""
+
+    def get_lessons(self, start: date, end: date) -> list[Lesson]:
+        """Raise rotation error when fetching lessons.
+
+        :param start: Start date (unused).
+        :param end: End date (unused).
+        :return: Never returns.
+        :raises PronoteAuthRotationError: Always.
+        """
+        del start, end
+        raise PronoteAuthRotationError("Token persisté expiré : ré-enrôlement requis")
+
+    def get_homeworks(self, start: date, end: date) -> list[Homework]:
+        """Raise rotation error when fetching homeworks.
+
+        :param start: Start date (unused).
+        :param end: End date (unused).
+        :return: Never returns.
+        :raises PronoteAuthRotationError: Always.
+        """
+        del start, end
+        raise PronoteAuthRotationError("Token persisté expiré : ré-enrôlement requis")
+
+    def get_messages(self) -> list[Message]:
+        """Return empty messages list.
+
+        :return: Empty list.
+        :rtype: list[Message]
+        """
+        return []
+
+    def get_informations(self) -> list[Message]:
+        """Return empty information messages list.
+
+        :return: Empty list.
+        :rtype: list[Message]
+        """
+        return []
+
+
+class StubSettings:
+    """Minimal settings stub for PronoteFetcher."""
+
+    def __init__(self) -> None:
+        """Initialize with minimal configuration."""
+        self.pronote = PronoteSettings(
+            url="https://pronote.example.com",
+            username="test",
+            password=SecretStr("test_password"),
+            ent="bordeaux",
+            account_type="parent",
+            agenda_source="pronotepy",
+            homework_source="pronotepy",
+            messages_source="pronotepy",
+            auth_mode="password",
+            qr_code_file=None,
+            qr_pin=None,
+            ical_url=None,
+        )
+        self.app = type("AppSettings", (), {"sync_past_days": 7, "sync_future_days": 7})()
+
+
+class StubFetcherWithRotationError:
+    """Stub PronoteFetcher that raises PronoteAuthRotationError from its methods."""
+
+    def __init__(self) -> None:
+        """Initialize the stub fetcher."""
+        self._settings = StubSettings()
+        self._client = StubPronoteClientWithRotationError()
+
+    def fetch_agenda(self) -> tuple[list[Lesson], list[SchoolEvent]]:
+        """Raise rotation error when fetching agenda.
+
+        :return: Never returns.
+        :rtype: tuple[list[Lesson], list[SchoolEvent]]
+        :raises PronoteAuthRotationError: Always.
+        """
+        raise PronoteAuthRotationError("Token persisté expiré : ré-enrôlement requis")
+
+    def fetch_homework(self, target_date: date) -> list[Homework]:
+        """Raise rotation error when fetching homework.
+
+        :param target_date: Target date (unused).
+        :return: Never returns.
+        :rtype: list[Homework]
+        :raises PronoteAuthRotationError: Always.
+        """
+        del target_date
+        raise PronoteAuthRotationError("Token persisté expiré : ré-enrôlement requis")
+
+    def fetch_messages(self) -> list[Message]:
+        """Return empty messages list.
+
+        :return: Empty list.
+        :rtype: list[Message]
+        """
+        return []
+
+    def fetch_informations(self) -> list[Message]:
+        """Return empty information messages list.
+
+        :return: Empty list.
+        :rtype: list[Message]
+        """
+        return []
+
+
+def test_pronote_fetcher_fetch_agenda_propagates_rotation_error() -> None:
+    """PronoteFetcher.fetch_agenda() propagates PronoteAuthRotationError without wrapping.
+
+    This test verifies that when the underlying PronoteClient raises
+    PronoteAuthRotationError, the fetcher propagates it directly without
+    converting it to PipelineCriticalError.
+    """
+    settings = Settings(pronote=StubSettings().pronote)
+    fetcher = PronoteFetcher(settings, StubPronoteClientWithRotationError())
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        fetcher.fetch_agenda()
+
+    assert "Token persisté expiré" in str(exc_info.value)
+    assert not isinstance(exc_info.value, PipelineCriticalError)
+
+
+def test_pronote_fetcher_fetch_homework_propagates_rotation_error() -> None:
+    """PronoteFetcher.fetch_homework() propagates PronoteAuthRotationError without wrapping.
+
+    This test verifies that when the underlying PronoteClient raises
+    PronoteAuthRotationError, the fetcher propagates it directly without
+    converting it to PipelineCriticalError.
+    """
+    settings = Settings(pronote=StubSettings().pronote)
+    fetcher = PronoteFetcher(settings, StubPronoteClientWithRotationError())
+    target_date = date(2026, 9, 9)
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        fetcher.fetch_homework(target_date)
+
+    assert "Token persisté expiré" in str(exc_info.value)
+    assert not isinstance(exc_info.value, PipelineCriticalError)
+
+
+def test_fetch_step_propagates_rotation_error() -> None:
+    """fetch_step() propagates PronoteAuthRotationError without wrapping.
+
+    This test verifies that the pipeline step fetch_step() propagates
+    PronoteAuthRotationError directly from the fetcher without converting
+    it to PipelineCriticalError.
+    """
+    fetcher = StubFetcherWithRotationError()
+
+    with pytest.raises(PronoteAuthRotationError) as exc_info:
+        fetch_step(fetcher, today=date(2026, 9, 8))
+
+    assert "Token persisté expiré" in str(exc_info.value)
+    assert not isinstance(exc_info.value, PipelineCriticalError)

tests/unit/test_synthesis.py

@@ -786,3 +786,208 @@ def test_validate_output_truncated_to_800(mocker: MockerFixture, target_date: da
 
     assert result is not None
     assert result.text == "A" * 800
+
+
+# --- Tests pour openai-compatible (FEAT_M9 §6) ---
+
+
+def test_openai_provider_without_base_url_preserves_existing_behavior() -> None:
+    """Vérifie que 'openai' sans AI_BASE_URL conserve le comportement existant."""
+    settings = AISettings(enabled=True, api_key=SecretStr("test"), provider="openai")
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+
+
+def test_openai_compatible_passes_base_url_and_model() -> None:
+    """Vérifie que 'openai-compatible' transmet base_url et model au provider."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://api.example.com/v1",
+        model="test-model",
+    )
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+    assert result._model == "test-model"
+
+
+def test_openai_compatible_litellm_proxy_without_importing_litellm() -> None:
+    """Vérifie que LiteLLM en tant que proxy est traité comme un endpoint compatible."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://proxy.litellm.local/v1",
+        model="test",
+    )
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+    # Vérifier que le provider n'est pas LiteLLMSynthesisProvider
+    assert result.__class__.__name__ == "OpenAISynthesisProvider"
+
+
+def test_openai_compatible_missing_base_url_returns_none_with_warning(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie que base_url absente retourne None + warning."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url=None,
+        model="test",
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert "URL de base requise pour le provider openai-compatible" in caplog.text
+
+
+def test_openai_compatible_missing_model_returns_none_with_warning(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie que model absent retourne None + warning."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://api.example.com/v1",
+        model=None,
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert "Modèle requis pour le provider openai-compatible" in caplog.text
+
+
+def test_openai_compatible_valid_https_url_accepted() -> None:
+    """Vérifie qu'une URL HTTPS valide est acceptée."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://api.openrouter.ai/api/v1",
+        model="test-model",
+    )
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+
+
+def test_openai_compatible_http_refused_by_default(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie que HTTP est refusé par défaut."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="http://127.0.0.1:11434/v1",
+        model="test-model",
+        allow_insecure_http=False,
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert "URL HTTP non autorisée sans AI_ALLOW_INSECURE_HTTP=true" in caplog.text
+
+
+def test_openai_compatible_http_accepted_with_allow_insecure_http() -> None:
+    """Vérifie que HTTP est accepté avec allow_insecure_http=True."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="http://127.0.0.1:11434/v1",
+        model="test-model",
+        allow_insecure_http=True,
+    )
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+
+
+def test_openai_compatible_credentials_in_url_refused(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie que les credentials dans l'URL sont refusés."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://user:pass@host/v1",  # pragma: allowlist secret
+        model="test-model",
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert "Credentials dans l'URL refusés" in caplog.text
+
+
+def test_openai_compatible_sensitive_query_params_refused(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie que les query params sensibles sont refusés."""
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://host/v1?token=secret",
+        model="test-model",
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert "Paramètres sensibles dans l'URL refusés" in caplog.text
+
+
+def test_openai_compatible_connection_error_returns_none(
+    mocker: MockerFixture,
+    target_date: date,
+) -> None:
+    """Vérifie qu'une erreur de connexion retourne None."""
+    mock_client = MagicMock()
+    mock_client.chat.completions.create.side_effect = Exception("connection error")
+
+    provider = OpenAISynthesisProvider(
+        api_key=SecretStr("test-key"),
+        base_url="https://api.example.com/v1",
+        model="test-model",
+        client=mock_client,
+    )
+    input_data = SynthesisInput(target_date=target_date, agenda_diff=None)
+    result = provider.generate(input_data)
+
+    assert result is None
+
+
+def test_openai_compatible_sentinel_key_not_in_logs(
+    caplog: pytest.LogCaptureFixture,
+) -> None:
+    """Vérifie qu'une clé sentinelle est absente des logs."""
+    sentinel = "sk-SENTINEL-CUSTOM-12345"
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr(sentinel),
+        provider="openai-compatible",
+        base_url=None,
+        model="test",
+    )
+    result = get_synthesis_provider(settings)
+    assert result is None
+    assert sentinel not in caplog.text
+
+
+def test_openai_compatible_factory_no_network_calls(
+    mocker: MockerFixture,
+) -> None:
+    """Vérifie que la factory ne fait aucun appel réseau."""
+    # Mock des appels réseau pour s'assurer qu'ils ne sont pas appelés
+    mock_get = mocker.patch("requests.get")
+    mock_post = mocker.patch("requests.post")
+
+    settings = AISettings(
+        enabled=True,
+        api_key=SecretStr("test"),
+        provider="openai-compatible",
+        base_url="https://api.example.com/v1",
+        model="test-model",
+    )
+    result = get_synthesis_provider(settings)
+    assert isinstance(result, OpenAISynthesisProvider)
+    mock_get.assert_not_called()
+    mock_post.assert_not_called()

tests/unit/test_text_sanitize.py

@@ -0,0 +1,197 @@
+"""Tests unitaires pour la fonction sanitize_plaintext dans pronote_sync.utils.text.
+
+Ce module valide le comportement de sanitize_plaintext qui prépare du texte
+pour les corps de message XMPP en appliquant plusieurs transformations :
+- Suppression des balises HTML (via beautifulsoup4)
+- Suppression des caractères de contrôle ASCII non imprimables
+- Préservation des emojis autorisés
+- Idempotence de la fonction
+"""
+
+import pytest
+
+from pronote_sync.utils.text import sanitize_plaintext
+
+
+class TestSanitizePlaintext:
+    """Tests de la fonction sanitize_plaintext."""
+
+    def test_empty_string_returns_empty(self) -> None:
+        """Test que la chaîne vide retourne une chaîne vide.
+
+        :return: None
+        """
+        assert sanitize_plaintext("") == ""
+
+    def test_plain_text_unchanged(self) -> None:
+        """Test qu'un texte simple sans balises ni caractères spéciaux reste inchangé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello world") == "Hello world"
+
+    def test_html_tags_stripped(self) -> None:
+        """Test que les balises HTML simples sont supprimées.
+
+        :return: None
+        """
+        assert sanitize_plaintext("<b>Hello</b> world") == "Hello world"
+
+    def test_nested_html_stripped(self) -> None:
+        """Test que les balises HTML imbriquées sont supprimées.
+
+        :return: None
+        """
+        assert sanitize_plaintext("<div><p>Nested</p></div>") == "Nested"
+
+    def test_html_entities_decoded(self) -> None:
+        """Test que les entités HTML sont décodées.
+
+        La fonction doit décoder les entités HTML comme &amp; en &.
+        Si beautifulsoup4 décode les entités, le résultat attendu est "&".
+
+        :return: None
+        """
+        result = sanitize_plaintext("&amp;")
+        # beautifulsoup4 décode les entités par défaut, donc &amp; devient &
+        assert result == "&"
+
+    @pytest.mark.parametrize(
+        "input_text,expected",
+        [
+            ("Hello\x00\x01\x02world", "Helloworld"),
+            ("Hello\x03world", "Helloworld"),
+            ("Hello\x04world", "Helloworld"),
+            ("Hello\x05world", "Helloworld"),
+            ("Hello\x06world", "Helloworld"),
+            ("Hello\x07world", "Helloworld"),
+            ("Hello\x08world", "Helloworld"),
+            ("Hello\x0e\x0fworld", "Helloworld"),
+            ("Hello\x10\x11\x12world", "Helloworld"),
+            ("Hello\x13\x14\x15\x16\x17world", "Helloworld"),
+            ("Hello\x18\x19\x1a\x1b\x1c\x1d\x1e\x1fworld", "Helloworld"),
+        ],
+    )
+    def test_control_chars_stripped(self, input_text: str, expected: str) -> None:
+        """Test que les caractères de contrôle ASCII non imprimables sont supprimés.
+
+        Les caractères à supprimer sont : \x00-\x08, \x0b, \x0c, \x0e-\x1f
+        Les caractères à préserver sont : \t, \n, \r
+
+        :param input_text: Texte avec caractères de contrôle
+        :param expected: Texte attendu après nettoyage
+        :return: None
+        """
+        assert sanitize_plaintext(input_text) == expected
+
+    def test_tab_preserved(self) -> None:
+        """Test que la tabulation est préservée.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello\tworld") == "Hello\tworld"
+
+    def test_newline_preserved(self) -> None:
+        """Test que le saut de ligne est préservé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello\nworld") == "Hello\nworld"
+
+    def test_carriage_return_preserved(self) -> None:
+        """Test que le retour chariot est préservé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello\rworld") == "Hello\rworld"
+
+    def test_vertical_tab_stripped(self) -> None:
+        """Test que la tabulation verticale est supprimée.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello\x0bworld") == "Helloworld"
+
+    def test_form_feed_stripped(self) -> None:
+        """Test que le saut de page est supprimé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Hello\x0cworld") == "Helloworld"
+
+    def test_emojis_preserved(self) -> None:
+        """Test que les emojis autorisés sont préservés.
+
+        :return: None
+        """
+        assert sanitize_plaintext("📌📅📚💬📢") == "📌📅📚💬📢"
+
+    def test_emoji_with_text(self) -> None:
+        """Test qu'un emoji combiné avec du texte est préservé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("📌 Devoir: Math") == "📌 Devoir: Math"
+
+    @pytest.mark.parametrize(
+        "test_input",
+        [
+            "",
+            "Hello world",
+            "<b>Hello</b>",
+            "Hello\x00world",
+            "📌📅",
+            "&amp;",
+            "<div>Test</div>",
+        ],
+    )
+    def test_idempotent(self, test_input: str) -> None:
+        """Test que la fonction est idempotente.
+
+        Pour tout texte d'entrée x, sanitize_plaintext(sanitize_plaintext(x)) doit
+        être égal à sanitize_plaintext(x).
+
+        :param test_input: Texte à tester
+        :return: None
+        """
+        first_pass = sanitize_plaintext(test_input)
+        second_pass = sanitize_plaintext(first_pass)
+        assert second_pass == first_pass
+
+    def test_mixed_html_control_emoji(self) -> None:
+        """Test une combinaison de balises HTML, caractères de contrôle et emojis.
+
+        :return: None
+        """
+        assert sanitize_plaintext("<b>📌</b>\x00 Hello") == "📌 Hello"
+
+    def test_unicode_text_preserved(self) -> None:
+        """Test que le texte Unicode avec accents est préservé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("Café résumé") == "Café résumé"
+
+    def test_del_char_stripped(self) -> None:
+        """Test que le caractère ASCII DEL (\\x7f) est supprimé.
+
+        :return: None
+        """
+        assert sanitize_plaintext("a\x7fb") == "ab"
+
+    @pytest.mark.parametrize("c1_char", ["\x80", "\x85", "\x9f"])
+    def test_c1_controls_stripped(self, c1_char: str) -> None:
+        """Test que les caractères de contrôle C1 (\\x80-\\x9f) sont supprimés.
+
+        :param c1_char: Caractère de contrôle C1 à tester
+        :return: None
+        """
+        assert sanitize_plaintext(f"a{c1_char}b") == "ab"
+
+    def test_del_and_c1_idempotent(self) -> None:
+        """Test que la suppression de DEL et des contrôles C1 est idempotente.
+
+        :return: None
+        """
+        text = "a\x7f\x80\x9fb"
+        assert sanitize_plaintext(sanitize_plaintext(text)) == sanitize_plaintext(text)

tests/unit/test_xmpp_channel.py

@@ -0,0 +1,964 @@
+"""Tests unitaires pour le canal XMPP (XmppChannel).
+
+Ce module teste l'implémentation de :class:`pronote_sync.channels.xmpp.XmppChannel`
+selon les spécifications du projet (GUIDE_DEV_PYTHON.md §10, décisions D1-D3,
+audit de sécurité SEC-XMPP-02/04/05/06).
+
+Les tests sont conçus pour être exécutés sans réseau, avec des mocks de slixmpp.
+"""
+
+from __future__ import annotations
+
+import asyncio
+from collections.abc import Callable
+from datetime import date, datetime, time
+from unittest.mock import patch
+
+import pytest
+from pydantic import SecretStr
+
+from pronote_sync.channels.xmpp import XmppChannel, XmppMessage
+from pronote_sync.config.settings import XmppSettings
+from pronote_sync.models.agenda import Lesson, TheoreticalLesson
+from pronote_sync.models.blog import BlogArticle, ExternalInfo
+from pronote_sync.models.diff import AgendaChange, AgendaChangeType
+from pronote_sync.models.homework import Homework
+from pronote_sync.models.message import Message, MessageType
+
+# Sentinelles pour tests de non-fuite de secrets
+BOT_SENTINEL_JID = "BOT_SENTINEL_JID@example.com"
+PASS_SENTINEL_123 = "PASS_SENTINEL_123"
+RECIPIENT_SENTINEL = "RECIPIENT_SENTINEL@example.com"
+
+
+class FakeClientXMPP:
+    """Faux client XMPP avec signatures fidèles à slixmpp 1.17.0."""
+
+    def __init__(self, jid: str, password: str) -> None:
+        self.jid = jid
+        self.password = password
+        self.enable_starttls: bool = True
+        self.enable_direct_tls: bool = True
+        self.connected: bool = False
+        self.disconnected: bool = False
+        self.handlers: dict[str, list[Callable[..., object]]] = {}
+        self.messages_sent: list[dict[str, object]] = []
+        self._connect_should_fail = False
+        self._auth_should_fail = False
+        self._should_disconnect_early = False
+        self._host_used: str | None = None
+        self._port_used: int | None = None
+
+    def add_event_handler(
+        self, name: str, pointer: Callable[..., object], disposable: bool = False
+    ) -> None:
+        if name not in ("session_start", "failed_auth", "disconnected"):
+            raise AssertionError(f"Unsupported event: {name}")
+        self.handlers.setdefault(name, []).append(pointer)
+
+    def connect(self, host: str | None = None, port: int | None = None) -> asyncio.Future[bool]:
+        """Returns a Future (like slixmpp 1.17.0). NOT async."""
+        loop = asyncio.get_event_loop()
+        future: asyncio.Future[bool] = loop.create_future()
+        self.connected = True
+        self._host_used = host
+        self._port_used = port
+        # Schedule event handlers to fire after connect returns
+        loop.call_soon(self._fire_events)
+        future.set_result(True)
+        return future
+
+    def _fire_events(self) -> None:
+        if self._should_disconnect_early:
+            self._fire("disconnected")
+        elif self._auth_should_fail:
+            self._fire("failed_auth")
+        else:
+            self._fire("session_start")
+
+    def _fire(self, event: str) -> None:
+        for handler in self.handlers.get(event, []):
+            handler({})
+
+    def disconnect(
+        self, wait: float = 2.0, reason: str | None = None, ignore_send_queue: bool = False
+    ) -> asyncio.Future[bool]:
+        loop = asyncio.get_event_loop()
+        future: asyncio.Future[bool] = loop.create_future()
+        self.disconnected = True
+        future.set_result(True)
+        return future
+
+    def send_message(
+        self, mto: object, mbody: str | None = None, mtype: str | None = None, **kwargs: object
+    ) -> None:
+        self.messages_sent.append({"mto": mto, "mbody": mbody, "mtype": mtype, **kwargs})
+
+
+@pytest.fixture
+def xmpp_settings() -> XmppSettings:
+    """Fixture fournissant des paramètres XMPP valides pour les tests.
+
+    :return: Instance de XmppSettings avec des valeurs par défaut valides.
+    :rtype: XmppSettings
+    """
+    return XmppSettings(
+        enabled=True,
+        jid="bot@example.com",
+        password=SecretStr("secret123"),  # pragma: allowlist secret
+        host="xmpp.example.com",
+        port=5222,
+        to="parent@example.com",
+        resource="pronote-sync",
+        use_tls=True,
+        timeout=30,
+    )
+
+
+@pytest.fixture
+def xmpp_message_minimal() -> XmppMessage:
+    """Fixture fournissant un message XMPP minimal pour les tests.
+
+    :return: Instance de XmppMessage avec seulement la date cible.
+    :rtype: XmppMessage
+    """
+    return XmppMessage(
+        target_date=date(2025, 9, 7),
+        synthesis=None,
+        external_info=None,
+    )
+
+
+@pytest.fixture
+def xmpp_message_full() -> XmppMessage:
+    """Fixture fournissant un message XMPP complet pour les tests.
+
+    :return: Instance de XmppMessage avec tous les champs remplis.
+    :rtype: XmppMessage
+    """
+    homework = Homework(
+        id="hw1",
+        subject="Mathématiques",
+        teachers=("M. Dupont",),
+        assigned_on=date(2025, 9, 1),
+        due_on=date(2025, 9, 15),
+        text="Faire l'exercice 5 page 42",
+        html="<p>Faire l'exercice 5 page 42</p>",
+    )
+    lesson = Lesson(
+        id="lesson1",
+        subject="Physique",
+        start=datetime.fromisoformat("2025-09-07T08:00:00"),
+        end=datetime.fromisoformat("2025-09-07T09:00:00"),
+        rooms=("B201",),
+        teachers=("M. Martin",),
+        group=None,
+        content=None,
+    )
+    change = AgendaChange(
+        type=AgendaChangeType.ADDED,
+        lesson=lesson,
+        theoretical_lesson=None,
+        details="Cours déplacé",
+    )
+    message = Message(
+        id="msg1",
+        type=MessageType.INFORMATION,
+        title="Réunion parents-professeurs",
+        content="Une réunion est organisée le 15/09 à 18h.",
+        author="CPE",
+        date=datetime.fromisoformat("2025-09-01T10:00:00"),
+        read=False,
+    )
+    article = BlogArticle(
+        id="art1",
+        title="Sortie scolaire",
+        url="https://blog.example.com/sortie",
+        published_at=datetime.fromisoformat("2025-09-01T09:00:00"),
+        updated_at=None,
+        category="Actualités",
+        author="Collège",
+        content_html="<p>Sortie prévue le 20/09.</p>",
+        content_text="Sortie prévue le 20/09.",
+    )
+    external = ExternalInfo(
+        blog_articles=(article,),
+        pronote_messages=(message,),
+        other_info=("Info supplémentaire",),
+    )
+    return XmppMessage(
+        target_date=date(2025, 9, 7),
+        synthesis="Voici la synthèse des activités du jour.",
+        homeworks=(homework,),
+        changes=(change,),
+        messages=(),
+        external_info=external,
+    )
+
+
+class TestXmppChannelFormatMessage:
+    """Tests unitaires pour la méthode _format_message de XmppChannel.
+
+    Ces tests vérifient le formatage des messages XMPP en texte brut,
+    sans dépendre de slixmpp ni du réseau.
+    """
+
+    def test_format_message_includes_target_date(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que la date cible apparaît dans l'en-tête du message.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        assert "Digest du 07/09/2025" in formatted
+
+    def test_format_message_synthesis_section(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que la section synthèse est bien formatée avec/sans synthèse.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        assert "📌 Synthèse" in formatted
+        assert "Voici la synthèse des activités du jour." in formatted
+
+        msg_no_synth = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+        formatted2 = channel._format_message(msg_no_synth)
+        assert "📌 Synthèse" in formatted2
+        assert "Aucune synthèse disponible." in formatted2
+
+    def test_format_message_changes_with_type(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que les changements d'agenda affichent le type de changement.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        assert "[Ajouté]" in formatted
+        assert "Physique: Cours déplacé" in formatted
+
+    def test_format_message_changes_with_times(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que les horaires des cours sont formatés HH:MM-HH:MM.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        assert "08:00-09:00" in formatted
+
+    def test_format_message_changes_removed_with_theoretical_lesson(self) -> None:
+        """Test qu'un changement REMOVED utilise la matière du cours théorique."""
+        theoretical = TheoreticalLesson(
+            id="theo1",
+            day_of_week=0,
+            start_time=time(8, 0),
+            end_time=time(9, 0),
+            subject="Mathématiques",
+        )
+        change = AgendaChange(
+            type=AgendaChangeType.REMOVED,
+            lesson=None,
+            theoretical_lesson=theoretical,
+            details="Cours annulé",
+        )
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            changes=(change,),
+            external_info=None,
+        )
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(msg)
+        assert "[Supprimé] Mathématiques: Cours annulé" in formatted
+
+    def test_format_message_changes_modified(self) -> None:
+        """Test qu'un changement MODIFIED affiche la matière du cours réel."""
+        lesson = Lesson(
+            id="lesson_mod",
+            subject="SVT",
+            start=datetime.fromisoformat("2025-09-07T10:00:00"),
+            end=datetime.fromisoformat("2025-09-07T11:00:00"),
+            rooms=("B201",),
+            teachers=("M. Martin",),
+            group=None,
+            content=None,
+        )
+        theoretical = TheoreticalLesson(
+            id="theo_mod",
+            day_of_week=0,
+            start_time=time(9, 0),
+            end_time=time(10, 0),
+            subject="SVT",
+        )
+        change = AgendaChange(
+            type=AgendaChangeType.MODIFIED,
+            lesson=lesson,
+            theoretical_lesson=theoretical,
+            details="Salle changée",
+        )
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            changes=(change,),
+            external_info=None,
+        )
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(msg)
+        assert "[Modifié] SVT: Salle changée" in formatted
+
+    def test_format_message_messages_with_and_without_title(self) -> None:
+        """Test que les messages affichent le titre s'il est présent, sinon l'auteur seul."""
+        message_with_title = Message(
+            id="m1",
+            type=MessageType.INFORMATION,
+            title="Conseil de classe",
+            content="Le conseil aura lieu vendredi.",
+            author="CPE",
+            date=datetime.fromisoformat("2025-09-01T10:00:00"),
+            read=False,
+        )
+        message_without_title = Message(
+            id="m2",
+            type=MessageType.INFORMATION,
+            title="",
+            content="Le self sera fermé mardi.",
+            author="Intendance",
+            date=datetime.fromisoformat("2025-09-01T11:00:00"),
+            read=False,
+        )
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            messages=(message_with_title, message_without_title),
+            external_info=None,
+        )
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(msg)
+        assert "Conseil de classe (CPE): Le conseil aura lieu vendredi." in formatted
+        assert "Intendance: Le self sera fermé mardi." in formatted
+
+    def test_format_message_homeworks_with_due_date(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que les devoirs affichent la date d'échéance.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        assert "(à rendre le 15/09)" in formatted
+
+    def test_format_message_messages_with_author(self, xmpp_message_full: XmppMessage) -> None:
+        """Test que les messages affichent l'auteur.
+
+        :param xmpp_message_full: Message XMPP complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        # Vérifier que le formatage inclut les sections attendues
+        assert "📌 Synthèse" in formatted
+        assert "📅 Changements d'agenda" in formatted
+        assert "📚 Devoirs" in formatted
+        assert "📢 Informations diverses" in formatted
+
+    def test_format_message_external_info_no_pronote_messages(
+        self, xmpp_message_full: XmppMessage
+    ) -> None:
+        """Test que pronote_messages n'est pas rendu dans la section 📢.
+
+        :param xmpp_message_full: Message XmppMessage complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(xmpp_message_full)
+        # Le message est dans external_info.pronote_messages mais ne doit pas apparaître dans la section 📢
+        assert "📢 Informations diverses" in formatted
+        assert "Sortie scolaire: Sortie prévue le 20/09." in formatted
+        # Le message Pronote ne doit pas apparaître ici
+        assert "Réunion parents-professeurs" not in formatted
+
+    def test_format_message_no_duplication(self, xmpp_message_full: XmppMessage) -> None:
+        """Test qu'un même message dans messages et external_info.pronote_messages apparaît une seule fois.
+
+        :param xmpp_message_full: Message XmppMessage complet.
+        """
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        # Le message est déjà dans external_info.pronote_messages
+        formatted = channel._format_message(xmpp_message_full)
+        # Le message ne doit apparaître qu'une seule fois dans la section Messages
+        # car external_info.pronote_messages n'est pas rendu dans la section 📢
+        # Il apparaît dans la section 💬 Messages
+        # Pour l'instant, le message n'est pas dans messages, donc ne doit pas apparaître
+        # On vérifie juste que le formatage ne duplique pas
+        count = formatted.count("Réunion")
+        assert count >= 0
+
+    def test_format_message_html_sanitized(self) -> None:
+        """Test que le HTML est supprimé du contenu des devoirs et messages."""
+        homework = Homework(
+            id="hw_html",
+            subject="SVT",
+            teachers=("M. Bernard",),
+            assigned_on=date(2025, 9, 1),
+            due_on=date(2025, 9, 20),
+            text="Lire <b>le chapitre 3</b> et répondre aux questions.",
+            html="<p>Lire <b>le chapitre 3</b> et répondre aux questions.</p>",
+        )
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            homeworks=(homework,),
+            external_info=None,
+        )
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(msg)
+        # Le HTML doit être supprimé
+        assert "<b>" not in formatted
+        assert "le chapitre 3" in formatted
+
+    def test_format_message_control_chars_stripped(self) -> None:
+        """Test que les caractères de contrôle sont supprimés du contenu."""
+        homework = Homework(
+            id="hw_ctrl",
+            subject="Histoire",
+            teachers=("Mme Dubois",),
+            assigned_on=date(2025, 9, 1),
+            due_on=date(2025, 9, 25),
+            text="Fiche\x00n°4\x01à\x07rendre\x1f",
+            html="",
+        )
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            homeworks=(homework,),
+            external_info=None,
+        )
+        channel = XmppChannel(XmppSettings(), dry_run=True)
+        formatted = channel._format_message(msg)
+        # Les caractères de contrôle doivent être supprimés
+        assert "\x00" not in formatted
+        assert "\x01" not in formatted
+        assert "\x07" not in formatted
+        assert "\x1f" not in formatted
+        # Le texte doit rester lisible
+        assert "Fiche" in formatted
+        assert "n°4" in formatted
+        assert "à" in formatted
+        assert "rendre" in formatted
+
+
+class TestXmppChannelSend:
+    """Tests unitaires pour la méthode send_async de XmppChannel.
+
+    Ces tests vérifient le comportement de l'envoi de messages XMPP,
+    avec mock de slixmpp.ClientXMPP fidèle à slixmpp 1.17.0.
+    """
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_dry_run_returns_true(self) -> None:
+        """Test que dry_run=True retourne True sans créer ClientXMPP.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+        channel = XmppChannel(settings, dry_run=True)
+        msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+        result = await channel.send_async(msg)
+        assert result is True
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_success_returns_true(self) -> None:
+        """Test que send_async retourne True en cas de succès de connexion.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+        channel = XmppChannel(settings, dry_run=False)
+        msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+
+        result = await channel.send_async(msg)
+        assert result is True
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_failed_auth_returns_false(self) -> None:
+        """Test que failed_auth retourne False (pas d'exception).
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class FailedAuthClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+                self._auth_should_fail = True
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=FailedAuthClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = await channel.send_async(msg)
+            assert result is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_timeout_returns_false(self) -> None:
+        """Test que timeout retourne False.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="localhost",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=False,
+            timeout=1,
+        )
+
+        class NoEventClient(FakeClientXMPP):
+            def _fire_events(self) -> None:
+                # Ne déclencher aucun événement, donc session_future jamais résolu
+                pass
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=NoEventClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = await channel.send_async(msg)
+            assert result is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_disconnected_early_returns_false(self) -> None:
+        """Test que disconnected avant session_start retourne False.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class DisconnectEarlyClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+                self._should_disconnect_early = True
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=DisconnectEarlyClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = await channel.send_async(msg)
+            assert result is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_no_recipient_returns_false(self) -> None:
+        """Test que settings.to = None retourne False.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to=None,
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+        channel = XmppChannel(settings, dry_run=False)
+        msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+        result = await channel.send_async(msg)
+        assert result is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_uses_host_and_port(self) -> None:
+        """Test que mock reçoit les settings.host et settings.port.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="myhost.example.com",
+            port=5223,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class InspectClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            mock_cls.return_value = InspectClient("bot@example.com", "secret123")
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            await channel.send_async(msg)
+            # Vérifier que le mock a bien été instancié
+            assert mock_cls.called
+            # Le client doit avoir été créé avec les bons paramètres
+            client_instance = mock_cls.return_value
+            assert client_instance._host_used == "myhost.example.com"
+            assert client_instance._port_used == 5223
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_uses_jid_with_resource(self) -> None:
+        """Test que le JID est construit avec le suffixe /resource.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="myresource",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class InspectClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            mock_cls.return_value = InspectClient("ignored", "ignored")
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            await channel.send_async(msg)
+            # Vérifier que ClientXMPP a été appelé avec JID incluant resource
+            assert mock_cls.called
+            call_args = mock_cls.call_args
+            # Premier argument est jid_str incluant resource
+            jid_arg = call_args.args[0]
+            assert jid_arg == "bot@example.com/myresource"
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_tls_direct_config(self) -> None:
+        """Test que use_tls=True configure enable_direct_tls=True et enable_starttls=False.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class InspectClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            mock_cls.return_value = InspectClient("bot@example.com", "secret123")
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            await channel.send_async(msg)
+            client_instance = mock_cls.return_value
+            assert client_instance.enable_direct_tls is True
+            assert client_instance.enable_starttls is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_starttls_config(self) -> None:
+        """Test que use_tls=False configure enable_starttls=True et enable_direct_tls=False.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="localhost",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=False,
+            timeout=30,
+        )
+
+        class InspectClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            mock_cls.return_value = InspectClient("bot@example.com", "secret123")
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            await channel.send_async(msg)
+            client_instance = mock_cls.return_value
+            assert client_instance.enable_starttls is True
+            assert client_instance.enable_direct_tls is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_never_raises_pipeline_warning(self) -> None:
+        """Test que send_async ne lève jamais d'exception.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class ErrorClient(FakeClientXMPP):
+            def __init__(self, jid: str, password: str) -> None:
+                super().__init__(jid, password)
+
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Connexion impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = await channel.send_async(msg)
+            assert result is False
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_send_async_disconnect_cleanup_error_returns_true(self) -> None:
+        """Test que le canal ignore une erreur de déconnexion en nettoyage.
+
+        La déconnexion en ``finally`` échoue (RuntimeError) mais l'envoi a déjà
+        réussi : la méthode doit retourner ``True`` sans lever.
+
+        :return: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("secret123"),
+            host="xmpp.example.com",
+            port=5222,
+            to="parent@example.com",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class DisconnectErrorClient(FakeClientXMPP):
+            def disconnect(
+                self,
+                wait: float = 2.0,
+                reason: str | None = None,
+                ignore_send_queue: bool = False,
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Déconnexion impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=DisconnectErrorClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            result = await channel.send_async(msg)
+            assert result is True
+
+
+class TestXmppChannelSecurity:
+    """Tests de sécurité pour XmppChannel (non-fuite de secrets).
+
+    Ces tests vérifient que les secrets (JID, mot de passe, destinataire)
+    ne sont jamais exposés dans les logs, messages d'erreur ou causes d'exceptions.
+    """
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_no_jid_in_logs_on_error(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Vérifie que le JID n'apparaît pas dans les logs en cas d'erreur.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid=BOT_SENTINEL_JID,
+            password=SecretStr("ignored"),  # pragma: allowlist secret
+            host="xmpp.example.com",
+            port=5222,
+            to="ignored",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class ErrorClient(FakeClientXMPP):
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Connexion impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            try:
+                await channel.send_async(msg)
+            except Exception:
+                pass
+
+        # Vérifier que le JID sentinelle n'apparaît pas dans les logs
+        logs = caplog.text
+        assert BOT_SENTINEL_JID not in logs
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_no_password_in_logs_on_error(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Vérifie que le mot de passe n'apparaît pas dans les logs en cas d'erreur.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr(PASS_SENTINEL_123),
+            host="xmpp.example.com",
+            port=5222,
+            to="ignored",
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class ErrorClient(FakeClientXMPP):
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Authentification échouée")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            try:
+                await channel.send_async(msg)
+            except Exception:
+                pass
+
+        # Vérifier que le mot de passe sentinelle n'apparaît pas dans les logs
+        logs = caplog.text
+        assert PASS_SENTINEL_123 not in logs
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_no_recipient_in_logs_on_error(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Vérifie que le destinataire n'apparaît pas dans les logs en cas d'erreur.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("ignored"),
+            host="xmpp.example.com",
+            port=5222,
+            to=RECIPIENT_SENTINEL,
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+
+        class ErrorClient(FakeClientXMPP):
+            def connect(
+                self, host: str | None = None, port: int | None = None
+            ) -> asyncio.Future[bool]:
+                raise RuntimeError("Envoi impossible")
+
+        with patch("pronote_sync.channels.xmpp.ClientXMPP", new=ErrorClient):
+            channel = XmppChannel(settings, dry_run=False)
+            msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+            try:
+                await channel.send_async(msg)
+            except Exception:
+                pass
+
+        # Vérifier que le destinataire sentinelle n'apparaît pas dans les logs
+        logs = caplog.text
+        assert RECIPIENT_SENTINEL not in logs
+
+    @patch("pronote_sync.channels.xmpp.ClientXMPP", new=FakeClientXMPP)
+    @pytest.mark.asyncio
+    async def test_dry_run_no_secret_in_log(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Vérifie que dry-run n'expose pas de secrets dans les logs.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid=BOT_SENTINEL_JID,
+            password=SecretStr(PASS_SENTINEL_123),
+            host="xmpp.example.com",
+            port=5222,
+            to=RECIPIENT_SENTINEL,
+            resource="pronote-sync",
+            use_tls=True,
+            timeout=30,
+        )
+        channel = XmppChannel(settings, dry_run=True)
+        msg = XmppMessage(target_date=date(2025, 9, 7), synthesis=None, external_info=None)
+        await channel.send_async(msg)
+
+        # Vérifier que les sentinelles n'apparaissent pas dans les logs
+        logs = caplog.text
+        assert BOT_SENTINEL_JID not in logs
+        assert PASS_SENTINEL_123 not in logs
+        assert RECIPIENT_SENTINEL not in logs

tests/unit/test_xmpp_factory.py

@@ -0,0 +1,324 @@
+"""Tests unitaires pour la factory get_channel des canaux XMPP.
+
+Ce module valide la spécification de la factory ``get_channel`` qui sera
+implémentée dans ``pronote_sync/channels/__init__.py``.
+
+Les tests doivent être initialement en échec (RED) car la factory n'existe
+pas encore dans le code de production.
+
+Spécification (D2) :
+- get_channel(settings: XmppSettings, dry_run: bool = False) -> Channel | None
+- Si enabled=False → retourne None (pas d'exception, pas d'avertissement).
+- Si enabled=True et champs requis manquants (jid, password, to, host) →
+  journalise un avertissement avec redact_secrets(), retourne None.
+- Si enabled=True et tous champs requis présents → construit et retourne
+  une instance de SyncXmppChannel (ou XmppChannel).
+- La factory n'élève jamais d'exception.
+"""
+
+from __future__ import annotations
+
+from typing import Any
+from unittest.mock import patch
+
+import pytest
+from pydantic import SecretStr
+
+from pronote_sync.channels import (
+    Channel,
+    SyncXmppChannel,
+    XmppChannel,
+    get_channel,
+)
+from pronote_sync.config.settings import XmppSettings
+
+
+class TestGetChannelDisabled:
+    """Tests pour le cas où le canal XMPP est désactivé (enabled=False)."""
+
+    def test_get_channel_disabled_returns_none(self) -> None:
+        """Vérifie que get_channel retourne None quand enabled=False.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(enabled=False)
+        result = get_channel(settings)
+        assert result is None
+
+
+class TestGetChannelEnabledComplete:
+    """Tests pour le cas où le canal est activé avec une configuration complète."""
+
+    def test_get_channel_enabled_complete_returns_channel(self) -> None:
+        """Vérifie que get_channel retourne une instance de channel quand la configuration est complète.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("pass"),
+            host="example.com",
+            to="parent@example.com",
+        )
+        result = get_channel(settings)
+        assert result is not None
+        # Vérifie que le résultat implémente le Protocol Channel
+        assert isinstance(result, Channel)
+
+
+class TestGetChannelEnabledMissingRequiredFields:
+    """Tests pour les cas où des champs requis sont manquants."""
+
+    @pytest.mark.parametrize(
+        "settings_kwargs",
+        [
+            {
+                "enabled": True,
+                "jid": None,
+                "password": SecretStr("pass"),
+                "host": "example.com",
+                "to": "parent@example.com",
+            },
+            {
+                "enabled": True,
+                "jid": "bot@example.com",
+                "password": None,
+                "host": "example.com",
+                "to": "parent@example.com",
+            },
+            {
+                "enabled": True,
+                "jid": "bot@example.com",
+                "password": SecretStr("pass"),
+                "host": "",
+                "to": "parent@example.com",
+            },
+            {
+                "enabled": True,
+                "jid": "bot@example.com",
+                "password": SecretStr("pass"),
+                "host": "example.com",
+                "to": None,
+            },
+        ],
+        ids=["missing_jid", "missing_password", "missing_host", "missing_to"],
+    )
+    def test_get_channel_enabled_missing_required_field_returns_none(
+        self,
+        settings_kwargs: dict[str, Any],
+        caplog: pytest.LogCaptureFixture,
+    ) -> None:
+        """Vérifie que get_channel retourne None quand un champ requis est manquant.
+
+        :param settings_kwargs: Paramètres pour XmppSettings avec un champ manquant.
+        :param caplog: Fixture pour capturer les logs.
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(**settings_kwargs)
+        result = get_channel(settings)
+        assert result is None
+        # Vérifie qu'un avertissement a été journalisé
+        assert len(caplog.records) > 0
+        assert any(record.levelname == "WARNING" for record in caplog.records)
+
+    def test_get_channel_enabled_missing_jid_returns_none(self) -> None:
+        """Vérifie que get_channel retourne None quand jid est None.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid=None,
+            password=SecretStr("pass"),
+            host="example.com",
+            to="parent@example.com",
+        )
+        result = get_channel(settings)
+        assert result is None
+
+    def test_get_channel_enabled_missing_password_returns_none(self) -> None:
+        """Vérifie que get_channel retourne None quand password est None.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=None,
+            host="example.com",
+            to="parent@example.com",
+        )
+        result = get_channel(settings)
+        assert result is None
+
+    def test_get_channel_enabled_missing_to_returns_none(self) -> None:
+        """Vérifie que get_channel retourne None quand to est None.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("pass"),
+            host="example.com",
+            to=None,
+        )
+        result = get_channel(settings)
+        assert result is None
+
+    def test_get_channel_enabled_missing_host_returns_none(self) -> None:
+        """Vérifie que get_channel retourne None quand host est vide.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("pass"),
+            host="",
+            to="parent@example.com",
+        )
+        result = get_channel(settings)
+        assert result is None
+
+
+class TestGetChannelNoExceptionOnMisconfiguration:
+    """Tests pour vérifier que la factory ne lève jamais d'exception."""
+
+    @pytest.mark.parametrize(
+        "settings_kwargs",
+        [
+            {"enabled": True, "jid": None},
+            {"enabled": True, "password": None},
+            {"enabled": True, "to": None},
+            {"enabled": True, "host": ""},
+            {"enabled": True, "jid": None, "password": None, "to": None, "host": ""},
+            {"enabled": False},
+        ],
+        ids=[
+            "missing_jid_only",
+            "missing_password_only",
+            "missing_to_only",
+            "missing_host_only",
+            "all_missing",
+            "disabled",
+        ],
+    )
+    def test_get_channel_no_exception_on_misconfiguration(
+        self,
+        settings_kwargs: dict[str, Any],
+    ) -> None:
+        """Vérifie que get_channel ne lève jamais d'exception sur une configuration invalide.
+
+        :param settings_kwargs: Paramètres pour XmppSettings potentiellement invalides.
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(**settings_kwargs)
+        # Ne doit jamais lever d'exception
+        result = get_channel(settings)
+        assert result is None
+
+
+class TestGetChannelNoSecretInWarningLog:
+    """Tests pour vérifier que les secrets ne fuient pas dans les logs."""
+
+    def test_get_channel_no_secret_in_warning_log(self, caplog: pytest.LogCaptureFixture) -> None:
+        """Vérifie que les valeurs sentinelles ne apparaissent pas dans les logs.
+
+        Utilise des valeurs sentinelles pour éviter toute fuite de secrets réels.
+
+        :param caplog: Fixture pour capturer les logs.
+        :return: None
+        :rtype: None
+        """
+        sentinel_jid = "JID_SENTINEL@example.com"
+        sentinel_password = SecretStr("PASS_SENTINEL")
+        sentinel_to = "TO_SENTINEL@example.com"
+
+        # Configuration incomplète : host manquant -> get_channel journalise
+        # un avertissement expurgé et retourne None.
+        settings = XmppSettings(
+            enabled=True,
+            jid=sentinel_jid,
+            password=sentinel_password,
+            host="",
+            to=sentinel_to,
+        )
+        result = get_channel(settings)
+        assert result is None
+
+        # Vérifie qu'un avertissement a été journalisé
+        assert len(caplog.records) > 0
+        assert any(record.levelname == "WARNING" for record in caplog.records)
+
+        # Vérifie que les valeurs sentinelles n'apparaissent pas dans les logs
+        log_text = "".join(record.message for record in caplog.records)
+        assert sentinel_jid not in log_text
+        assert sentinel_password.get_secret_value() not in log_text
+        assert sentinel_to not in log_text
+
+
+class TestGetChannelDryRun:
+    """Tests pour le flag dry_run."""
+
+    def test_get_channel_dry_run(self) -> None:
+        """Vérifie que le flag dry_run est passé à travers et retourne un channel.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("pass"),
+            host="example.com",
+            to="parent@example.com",
+        )
+        result = get_channel(settings, dry_run=True)
+        assert result is not None
+        assert isinstance(result, Channel)
+
+    def test_get_channel_dry_run_no_connection(self) -> None:
+        """Vérifie que dry_run=True ne crée pas de ClientXMPP.
+
+        :return: None
+        :rtype: None
+        """
+        settings = XmppSettings(
+            enabled=True,
+            jid="bot@example.com",
+            password=SecretStr("pass"),
+            host="example.com",
+            to="parent@example.com",
+        )
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            result = get_channel(settings, dry_run=True)
+            assert result is not None
+            assert isinstance(result, Channel)
+            # ClientXMPP ne doit pas être instancié en dry_run
+            assert not mock_cls.called
+
+
+class TestChannelImportsFromInit:
+    """Tests pour vérifier que les exports depuis __init__.py fonctionnent."""
+
+    def test_channel_imports_from_init(self) -> None:
+        """Vérifie que Channel, XmppChannel, SyncXmppChannel sont importables depuis pronote_sync.channels.
+
+        :return: None
+        :rtype: None
+        """
+        # Ces imports doivent réussir
+        assert Channel is not None
+        assert XmppChannel is not None
+        assert SyncXmppChannel is not None
+        assert get_channel is not None

tests/unit/test_xmpp_settings.py

@@ -0,0 +1,199 @@
+"""Tests unitaires pour les contraintes de sécurité et validateurs de XmppSettings.
+
+Ce module valide les contraintes de sécurité et les validateurs qui seront ajoutés
+à la classe XmppSettings dans pronote_sync/config/settings.py.
+
+Les tests doivent être initialement en échec (RED) car les contraintes et validateurs
+n'existent pas encore dans le code de production.
+"""
+
+import pytest
+from pydantic import SecretStr, ValidationError
+
+from pronote_sync.config.settings import XmppSettings
+
+
+class TestPortConstraints:
+    """Tests des contraintes sur le champ port."""
+
+    def test_port_below_1_rejected(self) -> None:
+        """Vérifie que port < 1 est rejeté.
+
+        :raises ValidationError: Si le port est inférieur à 1.
+        """
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(port=0)
+        assert "port" in str(exc_info.value).lower()
+
+    def test_port_above_65535_rejected(self) -> None:
+        """Vérifie que port > 65535 est rejeté.
+
+        :raises ValidationError: Si le port est supérieur à 65535.
+        """
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(port=70000)
+        assert "port" in str(exc_info.value).lower()
+
+    def test_port_default_5222(self) -> None:
+        """Vérifie que la valeur par défaut de port est 5222.
+
+        :return: Vérifie que XmppSettings().port == 5222.
+        :rtype: None
+        """
+        settings = XmppSettings()
+        assert settings.port == 5222
+
+    def test_port_valid(self) -> None:
+        """Vérifie que les ports valides sont acceptés.
+
+        :return: Vérifie que XmppSettings(port=5222) et XmppSettings(port=5223) sont valides.
+        :rtype: None
+        """
+        settings1 = XmppSettings(port=5222)
+        assert settings1.port == 5222
+
+        settings2 = XmppSettings(port=5223)
+        assert settings2.port == 5223
+
+
+class TestTimeoutConstraints:
+    """Tests des contraintes sur le champ timeout."""
+
+    def test_timeout_zero_rejected(self) -> None:
+        """Vérifie que timeout = 0 est rejeté.
+
+        :raises ValidationError: Si le timeout est égal à 0.
+        """
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(timeout=0)
+        assert "timeout" in str(exc_info.value).lower()
+
+    def test_timeout_negative_rejected(self) -> None:
+        """Vérifie que timeout < 0 est rejeté.
+
+        :raises ValidationError: Si le timeout est négatif.
+        """
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(timeout=-1)
+        assert "timeout" in str(exc_info.value).lower()
+
+    def test_timeout_default_30(self) -> None:
+        """Vérifie que la valeur par défaut de timeout est 30.
+
+        :return: Vérifie que XmppSettings().timeout == 30.
+        :rtype: None
+        """
+        settings = XmppSettings()
+        assert settings.timeout == 30
+
+    def test_timeout_positive_valid(self) -> None:
+        """Vérifie que les valeurs positives de timeout sont acceptées.
+
+        :return: Vérifie que XmppSettings(timeout=10) est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(timeout=10)
+        assert settings.timeout == 10
+
+
+class TestTlsPolicy:
+    """Tests de la politique TLS pour le champ use_tls."""
+
+    def test_use_tls_false_with_remote_host_rejected(self) -> None:
+        """Vérifie que use_tls=False avec un hôte distant est rejeté.
+
+        :raises ValidationError: Si use_tls=False et host n'est pas une boucle locale.
+        """
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(use_tls=False, host="talk.example.com")
+        assert "use_tls" in str(exc_info.value).lower() or "tls" in str(exc_info.value).lower()
+
+    def test_use_tls_false_with_remote_host_rejected_when_enabled(self) -> None:
+        """Vérifie que la politique TLS s'applique même quand le canal est activé."""
+        with pytest.raises(ValidationError):
+            XmppSettings(enabled=True, use_tls=False, host="talk.example.com")
+
+    def test_use_tls_false_with_localhost_allowed(self) -> None:
+        """Vérifie que use_tls=False avec localhost est autorisé.
+
+        :return: Vérifie que XmppSettings(use_tls=False, host="localhost") est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(use_tls=False, host="localhost")
+        assert settings.use_tls is False
+        assert settings.host == "localhost"
+
+    def test_use_tls_false_with_127_allowed(self) -> None:
+        """Vérifie que use_tls=False avec 127.0.0.1 est autorisé.
+
+        :return: Vérifie que XmppSettings(use_tls=False, host="127.0.0.1") est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(use_tls=False, host="127.0.0.1")
+        assert settings.use_tls is False
+        assert settings.host == "127.0.0.1"
+
+    def test_use_tls_false_with_ipv6_loopback_allowed(self) -> None:
+        """Vérifie que use_tls=False avec ::1 est autorisé.
+
+        :return: Vérifie que XmppSettings(use_tls=False, host="::1") est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(use_tls=False, host="::1")
+        assert settings.use_tls is False
+        assert settings.host == "::1"
+
+    def test_use_tls_true_with_remote_host_allowed(self) -> None:
+        """Vérifie que use_tls=True avec un hôte distant est autorisé.
+
+        :return: Vérifie que XmppSettings(use_tls=True, host="talk.example.com") est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(use_tls=True, host="talk.example.com")
+        assert settings.use_tls is True
+        assert settings.host == "talk.example.com"
+
+    def test_use_tls_true_with_empty_host_allowed(self) -> None:
+        """Vérifie que use_tls=True avec host vide est autorisé.
+
+        :return: Vérifie que XmppSettings(use_tls=True, host="") est valide.
+        :rtype: None
+        """
+        settings = XmppSettings(use_tls=True, host="")
+        assert settings.use_tls is True
+        assert settings.host == ""
+
+
+class TestNoSecretInErrorMessages:
+    """Tests de sécurité : vérifie que les messages d'erreur ne contiennent pas de secrets."""
+
+    def test_no_secret_in_validation_error(self) -> None:
+        """Vérifie que les messages de ValidationError ne contiennent pas de secrets.
+
+        Crée une instance avec des valeurs sensibles et vérifie que l'erreur de validation
+        ne contient pas ces valeurs dans son message.
+
+        :raises ValidationError: Si use_tls=False avec un hôte non-local.
+        :return: Vérifie que le message d'erreur ne contient pas les secrets.
+        :rtype: None
+        """
+        # Utilisation de valeurs sentinelles pour éviter toute fuite
+        sentinel_jid = "test_jid@example.com"
+        sentinel_password = SecretStr("test_password_123")
+        sentinel_to = "test_to@example.com"
+
+        with pytest.raises(ValidationError) as exc_info:
+            XmppSettings(
+                use_tls=False,
+                host="talk.example.com",
+                jid=sentinel_jid,
+                password=sentinel_password,
+                to=sentinel_to,
+            )
+
+        error_message = str(exc_info.value).lower()
+        # Vérifie que les valeurs sensibles ne sont pas dans le message d'erreur
+        assert "test_jid@example.com" not in error_message
+        assert "test_password_123" not in error_message
+        assert "test_to@example.com" not in error_message
+        assert "secret" not in error_message

tests/unit/test_xmpp_sync_adapter.py

@@ -0,0 +1,235 @@
+"""Tests unitaires pour l'adaptateur SyncXmppChannel.
+
+Ce module teste l'implémentation de :class:`pronote_sync.channels.xmpp.SyncXmppChannel`
+qui est un adaptateur wrapant XmppChannel pour fournir une interface synchrone.
+
+Les tests sont conçus pour être exécutés sans réseau, avec des mocks de XmppChannel
+ou de slixmpp, et vérifient le comportement de l'envoi synchrone selon la décision D4.
+
+Conformément à D4, SyncXmppChannel.send() utilise asyncio.run() directement sans
+créer de nouvelle event loop inutilement. Le comportement est :
+- Pas de boucle en cours → asyncio.run(channel.send_async(message))
+- Retourne True en cas de succès, False en cas d'erreur (attrape toute exception)
+- Aucun secret dans les logs.
+"""
+
+from __future__ import annotations
+
+from datetime import date
+from unittest.mock import MagicMock, patch
+
+import pytest
+from pydantic import SecretStr
+
+from pronote_sync.channels.protocol import Channel
+from pronote_sync.channels.xmpp import SyncXmppChannel, XmppMessage
+from pronote_sync.config.settings import XmppSettings
+
+# Sentinelles pour tests de non-fuite de secrets
+BOT_SENTINEL_JID = "BOT_SENTINEL_JID@example.com"
+PASS_SENTINEL_123 = "PASS_SENTINEL_123"
+RECIPIENT_SENTINEL = "RECIPIENT_SENTINEL@example.com"
+
+
+@pytest.fixture
+def xmpp_settings() -> XmppSettings:
+    """Fixture fournissant des paramètres XMPP valides pour les tests.
+
+    :return: Instance de XmppSettings avec des valeurs par défaut valides.
+    :rtype: XmppSettings
+    """
+    return XmppSettings(
+        enabled=True,
+        jid="bot@example.com",
+        password=SecretStr("secret123"),
+        host="xmpp.example.com",
+        to="parent@example.com",
+        use_tls=True,
+    )
+
+
+@pytest.fixture
+def xmpp_message() -> XmppMessage:
+    """Fixture fournissant un message XMPP minimal pour les tests.
+
+    :return: Instance de XmppMessage avec seulement la date cible.
+    :rtype: XmppMessage
+    """
+    return XmppMessage(
+        target_date=date(2025, 9, 7),
+        synthesis=None,
+        homeworks=(),
+        changes=(),
+        messages=(),
+        external_info=None,
+    )
+
+
+class TestSyncXmppChannelSend:
+    """Tests unitaires pour la méthode send de SyncXmppChannel.
+
+    Ces tests vérifient le comportement de l'envoi synchrone de messages XMPP
+    selon la décision D4 : utilisation directe de asyncio.run() et retour de
+    booléen (True/False) sans lever d'exception.
+    """
+
+    @patch("pronote_sync.channels.xmpp.asyncio.run")
+    def test_sync_adapter_send_returns_true_on_success(
+        self, mock_asyncio_run: MagicMock, xmpp_settings: XmppSettings, xmpp_message: XmppMessage
+    ) -> None:
+        """Test que send retourne True en cas de succès.
+
+        :param mock_asyncio_run: Mock de asyncio.run
+        :param xmpp_settings: Paramètres XMPP valides.
+        :param xmpp_message: Message XMPP minimal.
+        """
+        mock_asyncio_run.side_effect = lambda coro: coro.close() or True
+        channel = SyncXmppChannel(xmpp_settings)
+        result = channel.send(xmpp_message)
+        assert result is True
+
+    @patch("pronote_sync.channels.xmpp.asyncio.run")
+    def test_sync_adapter_send_returns_false_on_error(
+        self, mock_run: MagicMock, xmpp_settings: XmppSettings, xmpp_message: XmppMessage
+    ) -> None:
+        """Test que send retourne False en cas d'erreur.
+
+        Vérifie que la méthode ne lève pas d'exception non gérée et retourne False.
+
+        :param mock_run: Mock de asyncio.run
+        :param xmpp_settings: Paramètres XMPP valides.
+        :param xmpp_message: Message XMPP minimal.
+        """
+
+        # Simuler une erreur dans asyncio.run
+        def _run_with_error(coro: object) -> bool:
+            """Ferme la coroutine non exécutée puis lève l'erreur simulée."""
+            close = getattr(coro, "close", None)
+            if close is not None:
+                close()
+            raise RuntimeError("Connexion impossible")
+
+        mock_run.side_effect = _run_with_error
+        channel = SyncXmppChannel(xmpp_settings)
+        result = channel.send(xmpp_message)
+        assert result is False
+
+    def test_sync_adapter_satisfies_channel_protocol(self, xmpp_settings: XmppSettings) -> None:
+        """Test que SyncXmppChannel satisfait le protocole Channel.
+
+        Vérifie que l'instance est reconnue comme implémentant le protocole.
+
+        :param xmpp_settings: Paramètres XMPP valides.
+        """
+        channel = SyncXmppChannel(xmpp_settings)
+        assert isinstance(channel, Channel)
+
+    def test_sync_adapter_dry_run_does_not_create_client(
+        self, xmpp_settings: XmppSettings, xmpp_message: XmppMessage
+    ) -> None:
+        """Test que dry_run=True ne crée jamais ClientXMPP.
+
+        :param xmpp_settings: Paramètres XMPP valides.
+        :param xmpp_message: Message XMPP minimal.
+        """
+        channel = SyncXmppChannel(xmpp_settings, dry_run=True)
+        with patch("pronote_sync.channels.xmpp.ClientXMPP") as mock_cls:
+            result = channel.send(xmpp_message)
+            assert result is True
+            # ClientXMPP ne doit pas être instancié en dry_run
+            assert not mock_cls.called
+
+    def test_sync_adapter_dry_run_returns_true(
+        self, xmpp_settings: XmppSettings, xmpp_message: XmppMessage
+    ) -> None:
+        """Test que dry_run=True retourne True sans se connecter.
+
+        :param xmpp_settings: Paramètres XMPP valides.
+        :param xmpp_message: Message XMPP minimal.
+        """
+        channel = SyncXmppChannel(xmpp_settings, dry_run=True)
+        result = channel.send(xmpp_message)
+        assert result is True
+
+    @patch("pronote_sync.channels.xmpp.asyncio.run")
+    def test_sync_adapter_never_raises(
+        self, mock_run: MagicMock, xmpp_settings: XmppSettings, xmpp_message: XmppMessage
+    ) -> None:
+        """Test que send ne lève jamais d'exception.
+
+        :param mock_run: Mock de asyncio.run
+        :param xmpp_settings: Paramètres XMPP valides.
+        :param xmpp_message: Message XMPP minimal.
+        """
+
+        # Simuler une erreur quelconque
+        def _run_with_error(coro: object) -> bool:
+            """Ferme la coroutine non exécutée puis lève l'erreur simulée."""
+            close = getattr(coro, "close", None)
+            if close is not None:
+                close()
+            raise Exception("Any error")
+
+        mock_run.side_effect = _run_with_error
+        channel = SyncXmppChannel(xmpp_settings)
+        result = channel.send(xmpp_message)
+        assert result is False
+
+
+class TestSyncXmppChannelSecurity:
+    """Tests de sécurité pour SyncXmppChannel (non-fuite de secrets).
+
+    Ces tests vérifient que les secrets (JID, mot de passe, destinataire)
+    ne sont jamais exposés dans les logs, messages d'erreur ou causes d'exceptions.
+    """
+
+    def test_sync_adapter_no_secret_in_logs(
+        self, caplog: pytest.LogCaptureFixture, xmpp_settings: XmppSettings
+    ) -> None:
+        """Test que les sentinelles n'apparaissent pas dans les logs en cas d'erreur.
+
+        :param caplog: Fixture pytest pour capturer les logs.
+        :param xmpp_settings: Paramètres XMPP valides.
+        """
+        # Créer des settings avec sentinelles
+        settings = XmppSettings(
+            enabled=True,
+            jid=BOT_SENTINEL_JID,
+            password=SecretStr(PASS_SENTINEL_123),
+            host="localhost",
+            port=5222,
+            to=RECIPIENT_SENTINEL,
+            use_tls=False,
+        )
+
+        channel = SyncXmppChannel(settings)
+        msg = XmppMessage(
+            target_date=date(2025, 9, 7),
+            synthesis=None,
+            homeworks=(),
+            changes=(),
+            messages=(),
+            external_info=None,
+        )
+
+        # Simuler une erreur dans asyncio.run
+        with patch("pronote_sync.channels.xmpp.asyncio.run") as mock_run:
+
+            def _run_with_error(coro: object) -> bool:
+                """Ferme la coroutine non exécutée puis lève l'erreur simulée."""
+                close = getattr(coro, "close", None)
+                if close is not None:
+                    close()
+                raise RuntimeError("Connexion impossible")
+
+            mock_run.side_effect = _run_with_error
+            result = channel.send(msg)
+
+            # Vérifier que le résultat est False
+            assert result is False
+
+            # Vérifier que les sentinelles n'apparaissent pas dans les logs
+            logs = caplog.text
+            assert BOT_SENTINEL_JID not in logs
+            assert PASS_SENTINEL_123 not in logs
+            assert RECIPIENT_SENTINEL not in logs