Lien d'inscription protégé par jeton, reçus fiscaux mécénat, infobulles et revue de sécurité

- Lien d'inscription protégé par un jeton (FormTemplate.access_token,
  /inscription/<token>), avec régénération depuis l'écran de configuration.
- Reçus fiscaux mécénat (cerfa 11580*05) : un PDF par bénévole ayant payé en
  mécénat, donateur/montant (chiffres et toutes lettres en français,
  app/mecenat/number_words.py)/date complétés par-dessus le modèle officiel.
- Jeu de démonstration : bénévoles avec cotisation classique ou mécénat payée.
- Infobulles (HelpTip et détail de cellule de la grille des besoins)
  repositionnées en position: fixed via JS, bornées à l'écran.
- Revue de sécurité : logo des emails en pièce jointe inline au lieu d'une
  URL (fuyait le jeton d'inscription), sujet retiré du log de remise des
  emails (pouvait porter un nom de bénévole), photo du formulaire public
  revalidée par décodage réel avant stockage, export Excel protégé contre
  l'injection de formule, sondage du statut de paiement limité en
  fréquence, pyjwt mis à jour.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/tests/test_email.py

@@ -106,3 +106,32 @@ def test_render_magic_link_uses_translations():
     assert subject
     assert "https://x/connexion?token=abc" in body
     assert "30" in body
+
+
+def test_message_without_logo_has_no_inline_image():
+    message = sender.build_message("a@b.fr", "Sujet", "Corps")
+    html_part = message.get_body(preferencelist=("html",))
+    assert "cid:" not in html_part.get_content()
+    assert not any(part.get_content_type() == "image/png" for part in message.walk())
+
+
+def test_logo_is_embedded_inline_never_as_an_external_url():
+    # Le logo est une pièce jointe « inline » (Content-ID), jamais une URL :
+    # `GET .../form/logo` exige le `access_token` du formulaire public
+    # depuis l'étape 27 — une URL externe dans l'email l'aurait exposé à
+    # quiconque lit la source du message (voir `app/email/branding.py`).
+    logo_bytes = b"\x89PNG\r\n\x1a\n" + b"fake-png-bytes"
+    message = sender.build_message(
+        "a@b.fr", "Sujet", "Corps", logo=(logo_bytes, "image/png")
+    )
+
+    html_part = message.get_body(preferencelist=("html",))
+    assert "cid:edition-logo" in html_part.get_content()
+    assert "access_token" not in html_part.get_content()
+    assert "http://" not in html_part.get_content()
+    assert "https://" not in html_part.get_content()
+
+    image_parts = [p for p in message.walk() if p.get_content_type() == "image/png"]
+    assert len(image_parts) == 1
+    assert image_parts[0].get_content() == logo_bytes
+    assert image_parts[0]["Content-ID"] == "<edition-logo>"