feat: the last three passwords travel, and the phone can show them

The desktop keeps twenty previous versions per entry and never sent any. It
now sends three.

Three, not twenty, because the trade is not symmetrical. On the desktop they
sit encrypted column by column and never move. In the snapshot everything
travels in the clear inside the container, and comes down into a phone cache
sealed only by the device key - not by the master password. An old password
stays sensitive: it is often still valid somewhere else. The real use of the
list is short - "I changed it recently, what was it?" - and three cover it.
The other seventeen would be copies with no need facing them.

The phone reads them ON DEMAND from the raw snapshot, never into TVault:
loading them with the vault would put every entry's old passwords in the clear
in memory from the moment it opens, for something one looks at now and then.

Copying goes by RANK, not by value. The page displays the text but never sends
it back - that is the bridge's rule everywhere else, and an old password has
no reason to be the exception just because it happens to be on screen.

They leave with the plaintext at lock, on both sides.

android-client/TESTS.md

@@ -154,12 +154,29 @@ prouve rien.
    **pas** la traiter comme une icône choisie — c'est le rôle du drapeau de
    provenance, mis à zéro par une recherche automatique.
 
-### H. Pièces jointes
+### H. Anciens mots de passe
+
+**Le poste doit synchroniser d'abord** : il ne les envoie que depuis ce soir,
+et un instantané publié avant ne porte aucun historique.
+
+1. Sur le poste, changer le mot de passe d'une entrée, puis synchroniser.
+2. Téléphone : *Sync*, ouvrir l'entrée, trois points → **Previous passwords**.
+   L'ancienne version doit être là, avec sa date.
+3. Copier l'une d'elles → le presse-papiers doit la porter, et le message dire
+   *« Previous password copied »*.
+4. Touche **retour** → le voile se referme sans toucher au coffre.
+5. Une entrée jamais modifiée → *« No previous password recorded »*, et non un
+   écran vide. Un instantané d'avant ce soir donne le même message : c'est
+   volontaire, et le libellé le dit plutôt que de laisser chercher une panne.
+6. Contre-épreuve : verrouiller, rouvrir, **Previous passwords** → la liste
+   doit être reconstruite, jamais celle d'avant restée à l'écran.
+
+### I. Pièces jointes
 
 1. Ligne *Attachment* → flèche de téléchargement → le fichier apparaît dans
    *Téléchargements* sous son nom, accents et arabe compris.
 
-### I. Code de déverrouillage
+### J. Code de déverrouillage
 
 1. Poser un code, ouvrir le coffre, fermer, rouvrir → il est demandé.
 2. Code faux → *« Wrong unlock code »*, et **Open vault reste offert** (le
@@ -169,7 +186,7 @@ prouve rien.
 4. Contre-épreuve : taper n'importe quoi dans le champ du code puis *Sync* →
    le code **ne doit pas changer**.
 
-### J. Empaquetage
+### K. Empaquetage
 
 1. `build-apk.ps1 -Release -Keystore ... -Alias ...` → la sortie doit afficher
    `Signer #1 certificate DN: CN=R Zakarya`. Si elle affiche `CN=Android