feat(25-6-b): le PDF d'une facture est figé — une pièce émise ne change plus (closes #387)

CHANGELOG.md

@@ -12,6 +12,12 @@ Le contenu est rédigé en français à destination des **fiduciaires, PME, ind
 
 ### Fixed
 
+- **Le PDF d'une facture changeait après son émission ([#387](https://github.com/guycorbaz/kesh/issues/387)).** Kesh le régénérait à chaque téléchargement, à partir des données du moment : modifier vos coordonnées, l'adresse du client ou la mise en page modifiait aussi les factures **déjà envoyées**, et deux téléchargements successifs ne rendaient jamais le même fichier. Impossible, dans ces conditions, de produire la copie exacte d'une pièce émise.
+
+  **Désormais**, le PDF est **figé** au premier téléchargement ou au premier envoi par e-mail qui suit la validation. Kesh le conserve avec son empreinte et rend ensuite ce même fichier, octet pour octet — y compris pour une facture annulée par un avoir. La fiche facture affiche *Document figé le …*. La dévalidation détache le document ; la revalidation en figera un nouveau. Les factures validées avant cette version sont figées à leur prochain téléchargement, avec les données du moment.
+
+  ⚠️ **Le répertoire des documents (`KESH_DOCUMENTS_DIR`) contient désormais des pièces à conserver, et il doit être sauvegardé et restauré avec la base** : ni le dump MariaDB ni le fichier `.keshbackup` ne les contiennent ([#503](https://github.com/guycorbaz/kesh/issues/503)). Un fichier manquant n'est jamais régénéré en silence : le téléchargement est refusé avec un message qui nomme le fichier à restaurer, et un administrateur peut, à défaut, **refiger** la facture — un nouveau document, tracé au journal d'audit avec l'ancienne et la nouvelle empreinte. Le manuel administrateur décrit la procédure.
+
 - **Le tableau de bord disait faux ([#388](https://github.com/guycorbaz/kesh/issues/388), [#389](https://github.com/guycorbaz/kesh/issues/389)).** La tuile *Dernières écritures* n'appelait rien et affichait « Aucune écriture » sur une comptabilité pleine ; elle liste désormais les cinq dernières écritures. *Factures ouvertes* n'affichait aucun montant et, pour un rôle Consultation, toujours « Aucune facture ouverte » : elle donne maintenant le nombre de factures ouvertes et leur **reste dû**, dont la part échue, à tous les rôles. Une tuile qui ne peut pas se charger le dit. Le solde des comptes bancaires est nommé **solde comptable** — il vient du grand livre, pas de la banque —, et la tuile le confronte au **dernier relevé CAMT importé** : solde du relevé, date et **écart**, corrigé des dates de valeur des mouvements rapprochés. Un compte du grand livre partagé par plusieurs comptes bancaires n'est plus compté deux fois dans le total, et les soldes ne passent plus par des nombres flottants.
 
 - **La balance des comptes ne concordait pas avec le bilan ([#385](https://github.com/guycorbaz/kesh/issues/385)).** Elle ne montrait que les **mouvements** de la période : le compte « clients » de la balance 2026 ne valait pas celui du bilan 2026, qui reporte les soldes depuis l'origine. Deux rapports, un compte, deux nombres — c'est ce qu'un réviseur trouve en dix minutes.
@@ -54,6 +60,10 @@ Le contenu est rédigé en français à destination des **fiduciaires, PME, ind
 
 ### Changed
 
+- **`invoices.csv` de l'export de souveraineté gagne trois colonnes** — `pdf_sha256`, `pdf_frozen_at`, `pdf_language`, l'empreinte, la date et la langue du PDF émis ([#387](https://github.com/guycorbaz/kesh/issues/387)). Elles s'insèrent **avant** `version`, `created_at` et `updated_at` : un outil qui lit ce fichier par position de colonne doit être ajusté. Le PDF lui-même n'est pas dans l'archive. L'API expose `pdfFrozenAt` et `pdfLanguage` sur la facture, et une route d'administration `POST /api/v1/invoices/{id}/pdf/refreeze` refige un document dont le fichier a disparu.
+
+- **Le PDF téléchargé d'une facture est dans la langue du client**, comme celui qui part par e-mail ([#387](https://github.com/guycorbaz/kesh/issues/387)). Il suivait jusqu'ici la langue de l'installation : le document téléchargé n'était donc pas forcément celui que le client avait reçu. Le premier téléchargement, quel que soit le rôle de l'utilisateur — consultation comprise —, fige le document et l'inscrit au journal d'audit. Une **clé d'API en lecture** fige aussi, à son nom — et une simple requête `HEAD` suffit. Une facture **annulée** dont le fichier manque ne peut pas être refigée : seule la restauration du fichier la répare. Restaurer une sauvegarde **antérieure** au gel fera figer un nouveau document au téléchargement suivant. Les rappels, eux, restent produits à chaque envoi ([#502](https://github.com/guycorbaz/kesh/issues/502)).
+
 - **« Total liquidités » devient « Total (solde comptable) »** sur le tableau de bord ([#389](https://github.com/guycorbaz/kesh/issues/389)) : le chiffre est le solde du grand livre, pas l'argent en banque. *(API : `GET /api/v1/bank-accounts` ajoute `statementClosingBalance`, `statementDate` et `ledgerBalanceAtStatement` ; les montants restent des chaînes décimales.)*
 
 - **La balance des comptes change de colonnes — écran, PDF et CSV ([#385](https://github.com/guycorbaz/kesh/issues/385)).** Ouverture | Débit | Crédit | Clôture : la colonne **« Solde »**, qui était le net des mouvements de la période et se prenait pour un solde de compte, disparaît de l'écran et du PDF. ⚠️ **Dans le CSV, la colonne `Solde` est remplacée** par `SoldeOuverture` (avant `TotalDebit`) et `SoldeCloture` (en dernier) : un outil qui lit ce fichier par position doit être adapté. Le CSV porte aussi la ligne du résultat reporté. *(API : `openingBalance` et `closingBalance` par compte, `retainedEarnings` et `openingBalanced` au rapport ; `balance` garde son sens — le net des mouvements.)*

README.md

@@ -28,7 +28,7 @@
 
 - **Comptabilité en partie double** — plan comptable suisse, écritures validées, journal d'audit consultable à l'écran
 - **Carnet d'adresses & catalogue produits** — contacts, conditions de paiement, TVA
-- **Facturation QR Bill 2.2** — génération PDF conforme au standard suisse, **adresses structurées (type S)** conformes à l'exigence SIX en vigueur (rue / n° / NPA / localité séparés) ✓
+- **Facturation QR Bill 2.2** — génération PDF conforme au standard suisse, **adresses structurées (type S)** conformes à l'exigence SIX en vigueur (rue / n° / NPA / localité séparés) ; le PDF émis est **figé** au premier téléchargement ou envoi, dans la langue du client, et rendu ensuite à l'identique ✓
 - **Ventilation du chiffre d'affaires par ligne de facture** — chaque ligne peut porter son propre **compte de produit** (honoraires, marchandises, prestations…), sélectionnable dans le formulaire ; une ligne laissée vide suit le compte par défaut de la société, affiché explicitement. L'écriture comptable ventile le crédit sur les bons comptes dès la validation, avoirs compris — compte de résultat exploitable sans reclassement manuel ✓
 - **Compte de produit sur la fiche article** — chaque article du catalogue porte **son** compte de produit, choisi une fois plutôt que ressaisi à chaque facture ; la ligne montée depuis le catalogue le **recopie** automatiquement, puis reste autonome — vidée, elle suit le compte par défaut de la société ✓
 - **Coordonnées de l'émetteur sur la facture** — téléphone, e-mail et site web figurent sous votre adresse sur le PDF, saisis une fois dans les réglages ; chaque champ est facultatif et n'occupe aucune place s'il est vide ✓