Les <form> admin_toggle_featured et duplicate étaient imbriqués dans
#bulk-form — HTML invalide, le navigateur soumettait le form parent
(suppression) au lieu du bon. Fix : attribut form="id" HTML5 + forms
cachés placés après le bulk-form. Ajoute note CSP + nested forms dans
consignes.md.
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
- oidc/start.php : arrêt immédiat (500) si session_start() échoue, évite
un flux OIDC condamné à l'échec silencieux (ex. session.save_path absent)
- oidc/callback.php : même garde + error_log sur échec du contrôle de state
pour faciliter le diagnostic (STATE absent/présent + session_id)
- consignes.md : règle PHP-FPM — toujours user=www-data, pas le compte admin
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
cedricAbonnel