feat(security): retire le MFA local, le code d'accès est celui du serveur (v0.8.1)

La v0.8.0 laissait cohabiter deux vérifications du code à 6 chiffres : la
fenêtre MFA locale, qui contrôlait un code contre un secret détenu par le
poste lui-même — et ne verrouillait donc que sa propre interface — puis la
validation par le serveur, seule à décider de l'accès réseau. L'ancienne
disparaît, avec le secret TOTP qu'elle stockait en clair dans config.json
(effacé au premier lancement) et l'onglet MFA du panneau Administrateur.

La saisie passe par une fenêtre dédiée qui relaie le refus exact du serveur
et laisse réessayer, la requête partant dans un thread pour qu'un serveur
muet ne fige pas l'application. Une ligne « Accès distant » distingue
désormais l'état de l'autorisation de celui du tunnel : monté sans code
validé, celui-ci ne mène nulle part.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

README.md

@@ -1,8 +1,8 @@
 # 🛡️ WGSecure (WGS)
 
-🚀 v0.8.0 · 🐍 · 🪟🐧 · 🔐 MFA TOTP · 🛡️ WireGuard
+🚀 v0.8.1 · 🐍 · 🪟🐧 · 🔐 Accès validé par le serveur · 🛡️ WireGuard
 
-**WGSecure** est une interface graphique multiplateforme (Windows & Linux) pour gérer une connexion WireGuard avec une surcouche MFA (authentification à deux facteurs TOTP).
+**WGSecure** est une interface graphique multiplateforme (Windows & Linux) pour gérer une connexion WireGuard dont l'accès aux ressources distantes est ouvert par un code à 6 chiffres validé **par le serveur**.
 
 ---
 
@@ -19,7 +19,7 @@
 | 🔑 | **Génération de clés** | Paire Curve25519 native (sans dépendance au binaire `wg`) |
 | 👤 | **Multi-profils** | Sauvegarde / bascule entre profils, import/export `.conf` |
 | 🛡️ | **Configuration WireGuard** | Serveur, port UDP, DNS, IP client, keepalive |
-| 🔐 | **MFA TOTP** | Compatible Bitwarden + QR Code |
+| 🔐 | **Code d'accès serveur** | Le tunnel monte en quarantaine ; le serveur ouvre l'accès après validation du code |
 | 🔍 | **Test DNS leak** | Vérifie que le DNS passe bien par le tunnel |
 | 🏓 | **Ping en temps réel** | Badge de latence dans l'interface principale |
 | 🔄 | **Auto-reconnexion** | Surveillance et reconnexion automatique si le tunnel tombe — activée par défaut (15 s) |
@@ -103,7 +103,7 @@ python main.py --no-tray
 1. 🚀 Lancer `python main.py --admin`
 2. 🛡️ Onglet **WireGuard** : renseigner l'adresse, le port et la clé publique du serveur
 3. 🔑 Onglet **Clés** : générer une paire de clés → copier la clé publique sur le serveur
-4. 🔐 Onglet **MFA** : activer le MFA, générer un secret, scanner le QR Code avec Bitwarden
+4. 🔐 Onglet **WireGuard** : renseigner l'identifiant VPN connu du serveur (le QR code TOTP est délivré par le serveur, pas par ce client)
 5. 🔒 Onglet **Sécurité** : définir un mot de passe pour l'accès admin
 6. ✅ **Enregistrer** → quitter → lancer `python main.py` en mode user
 
@@ -179,14 +179,14 @@ WGSecure/
 │   │   ├── single_instance.py   # 1️⃣  Garde une seule instance active
 │   │   ├── history.py           # 🕘 Historique des sessions (sessions.json)
 │   │   ├── log.py               # 📋 Journal d'événements (events.json)
-│   │   └── mfa.py               # 🔐 TOTP / QR Code
+│   │   └── vpn_session.py       # 🔐 Validation du code auprès du serveur
 │   ├── ui/
 │   │   ├── icons.py             # 🎨 Icônes bouclier générées par QPainter
 │   │   ├── main_window.py       # 👤 Fenêtre principale (mode user)
 │   │   ├── admin_window.py      # ⚙️  Panneau admin (onglets, thème sombre)
 │   │   ├── bw_graph.py          # 📊 Widget graphique bande passante
 │   │   ├── history_dialog.py    # 🕘 Dialogue historique des sessions
-│   │   ├── mfa_dialog.py        # 🔐 Dialogue de vérification MFA
+│   │   ├── access_code_dialog.py # 🔐 Saisie du code d'accès
 │   │   └── systray.py           # 🖥️ Icône systray + menu contextuel
 │   └── utils/
 │       └── platform_utils.py    # 🔧 Détection OS, élévation de privilèges
@@ -200,7 +200,7 @@ WGSecure/
 |---|---|
 | 🔑 Mot de passe admin | **bcrypt** (rounds=12) + sel intégré — migration transparente depuis SHA-256 |
 | 🗝️ Clé privée WireGuard | `~/.wgsecure/config.json` (Linux) / `%APPDATA%\WGSecure\` (Windows) |
-| 🔐 Secret MFA TOTP | Stocké dans le fichier de configuration local |
+| 🔐 Secret TOTP | **Jamais sur le poste client** — détenu par le serveur, qui seul valide le code et ouvre l'accès réseau |
 | 📄 Fichier `.conf` WireGuard | Permissions `0600` (lecture propriétaire uniquement) |
 
 > ⚠️ **Recommandation** : chiffrez votre disque pour protéger le fichier de configuration.