feat(sync): WebDAV sur l'APK, et le QR du poste qui le porte

Jeton "utilisateur:mot-de-passe" sur une URL ni Gitea ni GitHub = WebDAV,
authentification Basic. Fichier lu et ecrit tel quel ; l'ETag fait le sha
(If-None-Match, If-Match, 412 -> conflit). Clair autorise vers l'IP fixe du
poste seulement. Eprouve contre le WsgiDAV local : 304, PUT 204, puis
synchro du poste. Docs : CLAUDE.md, android-client/README.md (page eveillee
comprise).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

android-client/README.md

@@ -416,6 +416,32 @@ gestionnaire ne s'exécutait pas (dont « Tap again to delete »). Une vraie
   détail reste dans le journal local.
 - **Nom par défaut `data.json`** au lieu de `vault-sync.json` — voir CLAUDE.md.
 
+## WebDAV — 2026-10-02
+
+Troisième transport, à côté de Gitea et GitHub, éprouvé contre le **WsgiDAV
+local du poste** (`E:\webdav.json`, `0.0.0.0:8080`) : lecture, 304 à
+l'ouverture, écriture 204, puis synchro du poste qui reprend la modification.
+
+- **Reconnu au jeton, pas à l'URL** : une URL ni Gitea ni GitHub dont le jeton
+  s'écrit `utilisateur:mot-de-passe` → `IsWebDav`, authentification Basic.
+  Pas de champ « utilisateur » de plus dans l'écran : le jeton en tient lieu
+  (sans `:`, c'est toujours l'ancien endpoint PHP, en Bearer).
+- **Le fichier tel quel**, le même que publie le poste : GET / PUT sans
+  enveloppe base64. **L'ETag HTTP fait le sha** : `If-None-Match` à la lecture
+  (304 = rien à faire), `If-Match` à l'écriture, **412 → `ssConflict`**, donc la
+  même reprise relire-fusionner-republier que le 409/422 de Gitea. Sans ETag
+  connu, pas de condition : le dernier écrit gagne, comme le poste.
+- **Une URL qui finit en `.json` n'est plus réécrite** par `normalizeRepoUrl`
+  (elle en faisait une URL d'API Gitea) — sauf les formes longues d'un dépôt,
+  `/src/branch/…` et `/blob/…`.
+- **Clair autorisé vers `192.168.1.28` seulement** (IP fixe du poste), dans
+  `network_security_config.xml` : le mot de passe WebDAV passe en clair sur le
+  Wi-Fi, le coffre reste chiffré. À retirer quand le serveur parlera HTTPS.
+  Android ne sait pas autoriser « le réseau local » : chaque adresse se nomme.
+- **Côté poste** : pare-feu Windows (règle `WebDAV 8080`, `LocalSubnet`) **et**
+  Portmaster (entrant autorisé pour Python) — sans le second, le port restait
+  fermé malgré la règle.
+
 ## Saisie : ce qui a résisté
 
 - **`user-select: none` du `body`** était hérité par les champs : le curseur ne