feat(ffi): expose the crypto core to mobile through UniFFI

.gitea/workflows/ci.yml

@@ -1,8 +1,12 @@
 name: CI
 
 on:
+  # Les branches de travail aussi, et pas seulement `main` : pour un événement `push`, la
+  # forge exécute le workflow *du commit poussé*. Un job ajouté sur une branche s'y exerce
+  # donc tout de suite, sans dépendre de la façon dont elle résout les workflows d'une
+  # pull request — depuis la source ou depuis la cible, selon les versions.
   push:
-    branches: [main]
+    branches: [main, "feat/**", "fix/**"]
   pull_request:
 
 # Principe du moindre privilège : lecture seule par défaut. Conservé pour Gitea Actions ; si
@@ -80,3 +84,86 @@ jobs:
       - name: Build
         working-directory: apps/web
         run: npm run build
+
+  # Un job filtré par `if:` disparaît sans un mot du rapport : personne ne remarque que
+  # les tests iOS n'ont pas tourné. Ce job-ci tourne toujours, sur un runner Linux, et dit
+  # à voix haute ce que le garde a décidé — et, au passage, si le contexte `vars` est
+  # seulement disponible sur cette forge (il demande Gitea 1.20).
+  ios-gate:
+    name: Tests iOS — activés ?
+    runs-on: ubuntu-latest
+    steps:
+      - name: État du garde
+        run: |
+          valeur='${{ vars.MACOS_RUNNER }}'
+          echo "MACOS_RUNNER = « $valeur »"
+          if [ "$valeur" = "false" ]; then
+            echo "::warning::MACOS_RUNNER vaut « false » : les tests iOS sont volontairement écartés."
+          elif [ -z "$valeur" ]; then
+            echo "MACOS_RUNNER n'est pas définie pour ce dépôt — le job iOS tourne quand même."
+            echo "Une variable définie au niveau *utilisateur* ne s'applique pas à un dépôt"
+            echo "d'organisation : pour la voir ici, il faut la poser sur le dépôt ou sur"
+            echo "l'organisation (Paramètres du dépôt > Actions > Variables)."
+          else
+            echo "Le job iOS est activé et sera dispatché vers un runner étiqueté « macos »."
+          fi
+
+  ios:
+    name: App iOS (SwiftUI + UniFFI)
+    # Xcode et le simulateur n'existent que sur macOS : ce job réclame un runner de cette
+    # famille, étiqueté `macos` (voir tools/ci/README.md pour en brancher un).
+    #
+    # L'interrupteur est *à l'arrêt explicite*, et c'est le fruit d'une leçon. Un runner
+    # self-hosted est une machine réelle : éteinte, elle laisse le job en file d'attente et
+    # la pull request sans verdict — Gitea n'échoue pas, il attend. On avait donc écrit
+    # `== 'true'`, pour ne rien lancer par défaut.
+    #
+    # Sauf qu'une variable qui ne se résout pas — posée au niveau utilisateur alors que le
+    # dépôt appartient à une organisation, par exemple — rend une chaîne vide, et le job
+    # disparaît sans un mot : on croit avoir une CI iOS, on n'en a pas. Une file d'attente
+    # se voit ; une absence, non. Entre les deux, on préfère celle qui se voit.
+    #
+    # `MACOS_RUNNER` (Paramètres du **dépôt** ou de l'**organisation** > Actions >
+    # Variables) reste donc l'interrupteur, mais il ne sert qu'à *couper* : à `false` le
+    # job est écarté, dans tous les autres cas il tourne.
+    if: vars.MACOS_RUNNER != 'false'
+    runs-on: macos
+    # Le cœur crypto et son binding doivent déjà être verts : sans eux, l'app n'a rien
+    # à lier, et un échec ici ne dirait pas où le problème se trouve.
+    needs: crypto
+    steps:
+      - uses: actions/checkout@v4
+      # Pas d'action d'installation ici : sur une machine self-hosted, Xcode, rustup,
+      # xcodegen et Node sont ceux du poste. On vérifie qu'ils répondent plutôt que de
+      # les réinstaller à chaque exécution — et l'absence de l'un doit se lire d'un coup
+      # d'œil, pas se deviner trente lignes plus bas.
+      - name: Prérequis du poste
+        run: |
+          set -e
+          for outil in xcodebuild xcrun xcodegen cargo node npm; do
+            command -v "$outil" >/dev/null || { echo "::error::$outil introuvable sur ce runner"; exit 1; }
+          done
+          # `| head -1` ferait sortir xcodebuild en 141 (SIGPIPE) dès qu'il écrit la
+          # deuxième ligne : le shell des steps tourne en `-e -o pipefail`, et l'étape
+          # échouerait *après* avoir réussi. `sed -n 1p` lit tout le flux, lui.
+          xcodebuild -version | sed -n 1p
+      - name: Cibles Rust pour iOS
+        run: rustup target add aarch64-apple-ios aarch64-apple-ios-sim x86_64-apple-ios
+      - name: Dépendances du serveur de test
+        working-directory: apps/server
+        run: npm ci
+      # Construit l'XCFramework et les bindings, monte un serveur GhostPass local, amorce
+      # un coffre de test (registre gp:folders compris), déroule les suites, coupe le
+      # serveur pour éprouver le hors-ligne, puis remplit un formulaire dans Safari.
+      - name: Tests iOS
+        run: ./tools/ios/run-ios-tests.sh
+      # Un échec ne laisse qu'un nom de test : les rapports portent les captures d'écran
+      # et le journal du serveur, seuls moyens de comprendre sans reproduire localement.
+      - name: Rapports de test
+        if: failure()
+        uses: actions/upload-artifact@v4
+        with:
+          name: ios-test-results
+          path: apps/ios/TestResults/
+          retention-days: 7
+

.gitignore

@@ -20,3 +20,14 @@ dist/
 CLAUDE.md
 .claude/
 
+
+# iOS : tout ceci est produit par tools/ios/build-xcframework.sh ou par XcodeGen.
+apps/ios/Ghostpass.xcodeproj/
+apps/ios/Generated/
+apps/ios/Headers/
+apps/ios/GhostpassCrypto.xcframework/
+
+# Rapports de tests iOS (conservés en cas d'échec, régénérables)
+apps/ios/TestResults/
+apps/ios/.build/
+__pycache__/

.gitleaks.toml

@@ -15,3 +15,12 @@ paths = [
   '''(^|/)Cargo\.lock$''',
   '''(^|/)package-lock\.json$''',
 ]
+
+# Vecteur de test de la RFC 6238 (base32 de « 12345678901234567890 », doublé pour atteindre
+# 160 bits) : il est publié dans la norme et sert à vérifier que notre TOTP calcule les codes
+# attendus. `generic-api-key` le prend pour une clé à cause de son entropie. On autorise la
+# valeur elle-même, et non le fichier entier : un vrai secret collé dans les tests iOS doit
+# continuer à faire échouer le scan.
+regexes = [
+  '''GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ''',
+]