feat(ui): panneau allégé, et le diagnostic nomme le chevauchement de plages

L'assistant « configuration serveur + client » disparaît. Il datait d'avant la
v0.8.0 et produisait un serveur WireGuard nu — sans API, sans quarantaine, sans
TOTP — incompatible avec le produit actuel, où le serveur enrôle le compte et
fournit un .conf. Son bouton « Appliquer le volet client » écrasait clés client
et clé publique du serveur : sur un poste déjà enrôlé, il détruisait le lien
avec le serveur, qui déclare l'ancienne clé publique.

L'identifiant VPN disparaît aussi, devenu sans emploi depuis que le serveur
reconnaît le poste à l'adresse de son tunnel. Un champ qui ne fait rien est
pire qu'un champ absent : il laisse croire qu'il compte. Les configurations
existantes sont purgées au chargement, profils compris. La pastille « À propos »
qui en déduisait « Code d'accès serveur » ou « Aucun code d'accès » n'affirme
plus rien qu'elle ne sache : l'accès passe par le serveur dans tous les cas.

Le sous-onglet Tunnel passe d'une liste de quinze champs à trois groupes :
l'essentiel, le split-DNS nommé comme tel — trois champs y portaient « DNS »
sans que rien ne dise lesquels allaient ensemble — et un repli « Avancé ».
Celui-ci réunit ce qui vient du serveur (adresse, port, clé publique) et ce qui
est correct par défaut (nom d'interface, URL de l'API, keepalive, MTU).

Le verrouillage après import d'un .conf devient persistant. Il existait déjà,
mais `_load_values` le levait sans condition : rouvrir le panneau ou changer de
profil rendait éditables, en silence, les champs décrivant un pair déjà déclaré
côté serveur. L'état est désormais enregistré et suit la configuration chargée.

Le diagnostic gagne une étape « Serveur DNS du réseau distant », qui couvre un
angle mort : le tunnel monte, le trafic passe, la résolution est au vert, et
pas un nom interne ne se résout. Deux causes, l'une et l'autre muettes — le
serveur DNS distant n'est couvert par aucune IP autorisée, ou il l'est mais son
adresse tombe aussi dans une plage que porte une carte du poste, auquel cas la
route locale l'emporte. Le second cas ne se déduit pas de la configuration :
l'étape interroge la route réellement retenue par le noyau, sans émettre de
paquet, et propose la route d'hôte qui reprend la main.

Le sous-onglet « Fuite DNS » devient « Résolution des noms » : il en faisait
trois choses sous un titre qui n'en annonçait qu'une. Son verdict « Statut
inconnu » recouvrait trois causes appelant trois gestes différents ; chacune
est maintenant nommée, avec l'action qui suit.

Enfin, la fenêtre. Sa hauteur augmente de 15 %, et son plancher passe de 520 à
703 : la page de test réclame 569 px et se chevauchait en dessous. Le rapport
de diagnostic passe en tableau à deux colonnes — il occupait 224 px quelle que
soit la largeur de la fenêtre, soit jusqu'à 79 % de blanc à droite, et tient
maintenant sur 38 % de hauteur en moins.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

app/core/config.py

@@ -36,11 +36,17 @@ _WG_DEFAULT: dict[str, Any] = {
     # Split-DNS : serveur DNS dédié pour les noms du réseau distant,
     # avec liste de domaines à résoudre via ce serveur (ex: ["local", "internal"]).
     # Laisser vide pour utiliser le DNS par défaut pour tout le trafic.
-    # Authentification auprès du serveur après montage du tunnel : identifiant
-    # du compte VPN tel que connu du serveur, et URL de son API. Laissée vide,
-    # celle-ci est déduite de l'adresse du client (cf. vpn_session.py).
-    "vpn_username": "",
+    # Authentification auprès du serveur après montage du tunnel : URL de son
+    # API. Laissée vide, elle est déduite de l'adresse du client et des IPs
+    # autorisées (cf. vpn_session.py). Aucun identifiant n'est stocké ni
+    # transmis : le serveur reconnaît le poste à l'IP source de son tunnel.
     "api_url": "",
+    # Champs décrivant le pair tel que le serveur le connaît (adresse, port,
+    # clé publique, IPs autorisées…) verrouillés parce qu'ils viennent d'un
+    # `.conf` importé. Persisté : le verrou ne tenait que le temps d'une
+    # session du panneau, et rouvrir celui-ci rendait ces champs éditables
+    # sans que rien ne le signale.
+    "config_locked": False,
     "split_dns_server": "",
     "split_dns_domains": [],
 }
@@ -85,7 +91,9 @@ class Config:
             self._apply_autostart(self._data["ui"]["autostart"])
 
     def _drop_local_mfa(self) -> None:
-        """Efface le secret TOTP local hérité des versions ≤ 0.8.0.
+        """Efface les réglages d'authentification devenus caducs.
+
+        Le secret TOTP local hérité des versions ≤ 0.8.0.
 
         Ce secret ne sert plus : le code à 6 chiffres est désormais validé
         par le serveur, contre un secret que le poste client ne détient pas.
@@ -94,10 +102,22 @@ class Config:
         au chargement plutôt qu'un simple abandon des clés.
         """
         stale = [k for k in ("mfa_enabled", "mfa_secret") if k in self._data]
-        if not stale:
-            return
         for key in stale:
             del self._data[key]
+        # `vpn_username` a disparu en v0.9.2 : le serveur reconnaît le poste à
+        # l'IP source de son tunnel, l'identifiant ne lui est plus transmis.
+        # Le retirer plutôt que l'ignorer, sinon `config.json` conserverait
+        # indéfiniment un réglage que plus rien ne lit et que l'utilisateur
+        # croirait encore actif.
+        if "vpn_username" in self._data.get("wg", {}):
+            del self._data["wg"]["vpn_username"]
+            stale.append("wg.vpn_username")
+        for profile in self._data.get("profiles", {}).values():
+            if isinstance(profile, dict) and "vpn_username" in profile:
+                del profile["vpn_username"]
+                stale.append("profil")
+        if not stale:
+            return
         self.save()
 
     def save(self):