From a19c5c838191a3c684a9f7ee9dc529793bad2c1e Mon Sep 17 00:00:00 2001
From: Esteban <esteban@MacBook-Air-de-Esteban.local>
Date: Fri, 3 Jul 2026 02:02:13 +0200
Subject: [PATCH] Fix lag

---
 .gitignore                  |  9 ++++++
 captcha.php                 |  2 +-
 database/scriptDatabase.sql | 63 ++++++++++++++++++++++++++++++++++++-
 elements/footer.php         |  3 +-
 elements/header.php         | 27 +++++++++++++++-
 functions/listLogos.php     |  2 +-
 functions/listProject.php   | 29 ++++++++++++-----
 functions/listSchool.php    | 26 ++++++++++++---
 functions/listSkills.php    |  2 +-
 functions/listStats.php     | 27 ++++++++++++++++
 functions/listUser.php      |  2 +-
 functions/listXP.php        | 32 +++++++++++++------
 functions/security.php      | 48 ++++++++++++++++++++++++++++
 index.php                   |  2 +-
 pages/admin.php             | 10 +++++-
 pages/details.php           | 21 ++++++++-----
 pages/home.php              | 27 ++++++++++++++++
 scripts/addLogo.php         |  5 ++-
 scripts/addProject.php      | 22 ++++++++++---
 scripts/addSchool.php       | 22 ++++++++++---
 scripts/addSkill.php        |  5 ++-
 scripts/addUser.php         |  5 ++-
 scripts/addXP.php           | 22 ++++++++++---
 scripts/checkLogin.php      |  7 ++++-
 scripts/disconnect.php      |  5 +--
 scripts/exportData.php      | 30 ++++++++++++------
 scripts/importData.php      | 31 +++++++++++-------
 scripts/removeLogo.php      |  5 ++-
 scripts/removeProject.php   |  5 ++-
 scripts/removeSchool.php    |  5 ++-
 scripts/removeSkill.php     |  5 ++-
 scripts/removeUser.php      |  5 ++-
 scripts/removeXP.php        |  5 ++-
 scripts/sendMessage.php     |  2 +-
 scripts/updateLogo.php      |  5 ++-
 scripts/updateProject.php   | 42 +++++++++++++++++--------
 scripts/updateSchool.php    | 42 +++++++++++++++++--------
 scripts/updateSettings.php  |  5 ++-
 scripts/updateSkill.php     |  5 ++-
 scripts/updateXP.php        | 42 +++++++++++++++++--------
 scripts/viewPdf.php         | 10 +++---
 styles/primary_css.css      | 38 ++++++++++++++++++++++
 42 files changed, 578 insertions(+), 129 deletions(-)
 create mode 100644 .gitignore
 create mode 100644 functions/listStats.php
 create mode 100644 functions/security.php

diff --git a/.gitignore b/.gitignore
new file mode 100644
index 0000000..30efe56
--- /dev/null
+++ b/.gitignore
@@ -0,0 +1,9 @@
+# Config Claude Code (local, pas utile au dépôt)
+.claude/
+
+# macOS
+.DS_Store
+
+# Éditeurs
+.vscode/
+.idea/
diff --git a/captcha.php b/captcha.php
index db19866..4bc8f56 100644
--- a/captcha.php
+++ b/captcha.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/functions/security.php');
 
 // Ajout des logs Discord (chemin via __DIR__ car captcha.php est à la racine du site)
 require_once(__DIR__ . '/functions/sendLogs.php');
diff --git a/database/scriptDatabase.sql b/database/scriptDatabase.sql
index e718bea..dc12e84 100644
--- a/database/scriptDatabase.sql
+++ b/database/scriptDatabase.sql
@@ -179,4 +179,65 @@ ADD COLUMN pdf_filename VARCHAR(255) NULL;
 -- (validé côté PHP), pour les outils absents de Devicon (Proxmox, GLPI, FOG...)
 ALTER TABLE logo_banners
 ADD COLUMN icon VARCHAR(100) NULL AFTER name,
-MODIFY COLUMN logo_url VARCHAR(255) NULL;
\ No newline at end of file
+MODIFY COLUMN logo_url VARCHAR(255) NULL;
+
+-- ============================================================
+-- Juillet 2026 (6) : sortie des PDF des tables projects/experiences/schools
+-- vers des tables associées dédiées, pour que les pages qui LISTENT ces
+-- éléments (admin.php, xp.php, projects.php...) n'aient plus à charger les
+-- PDF (jusqu'à 15 Mo chacun) en mémoire à chaque affichage. C'était la
+-- cause du ralentissement d'admin.php et de xp.php : ces pages faisaient
+-- un SELECT * qui remontait aussi tout le contenu binaire des PDF alors
+-- que seul le nom de fichier est utilisé dans les listes.
+--
+-- ÉTAPE 1/2 (non destructive) : crée les nouvelles tables et copie les PDF
+-- existants dedans. Les colonnes pdf_data / pdf_filename des tables
+-- d'origine ne sont PAS touchées à cette étape : aucune perte de donnée
+-- possible, elles restent en place comme copie de sécurité.
+-- ============================================================
+
+CREATE TABLE IF NOT EXISTS project_pdfs (
+    project_id   INT UNSIGNED NOT NULL,
+    pdf_filename VARCHAR(255) NOT NULL,
+    pdf_data     LONGBLOB     NOT NULL,
+    PRIMARY KEY (project_id),
+    CONSTRAINT fk_project_pdfs_project FOREIGN KEY (project_id) REFERENCES projects(id) ON DELETE CASCADE
+);
+
+CREATE TABLE IF NOT EXISTS experience_pdfs (
+    experience_id INT UNSIGNED NOT NULL,
+    pdf_filename  VARCHAR(255) NOT NULL,
+    pdf_data      LONGBLOB     NOT NULL,
+    PRIMARY KEY (experience_id),
+    CONSTRAINT fk_experience_pdfs_experience FOREIGN KEY (experience_id) REFERENCES experiences(id) ON DELETE CASCADE
+);
+
+CREATE TABLE IF NOT EXISTS school_pdfs (
+    school_id    INT UNSIGNED NOT NULL,
+    pdf_filename VARCHAR(255) NOT NULL,
+    pdf_data     LONGBLOB     NOT NULL,
+    PRIMARY KEY (school_id),
+    CONSTRAINT fk_school_pdfs_school FOREIGN KEY (school_id) REFERENCES schools(id) ON DELETE CASCADE
+);
+
+-- Copie des PDF déjà en base vers les nouvelles tables (ne copie que les lignes qui ont
+-- effectivement un PDF ; ré-exécutable sans doublon grâce à la clé primaire = id du parent)
+INSERT IGNORE INTO project_pdfs (project_id, pdf_filename, pdf_data)
+SELECT id, pdf_filename, pdf_data FROM projects WHERE pdf_data IS NOT NULL;
+
+INSERT IGNORE INTO experience_pdfs (experience_id, pdf_filename, pdf_data)
+SELECT id, pdf_filename, pdf_data FROM experiences WHERE pdf_data IS NOT NULL;
+
+INSERT IGNORE INTO school_pdfs (school_id, pdf_filename, pdf_data)
+SELECT id, pdf_filename, pdf_data FROM schools WHERE pdf_data IS NOT NULL;
+
+-- ============================================================
+-- ÉTAPE 2/2 (destructive, À NE PAS EXÉCUTER MAINTENANT) : à lancer plus
+-- tard, une fois que le site a été vérifié (listes, modification, suppression,
+-- lecteur PDF) et qu'on est sûr à 100% que tout fonctionne avec les
+-- nouvelles tables. Supprime les anciennes colonnes devenues inutiles.
+-- ============================================================
+
+-- ALTER TABLE projects DROP COLUMN pdf_data, DROP COLUMN pdf_filename;
+-- ALTER TABLE experiences DROP COLUMN pdf_data, DROP COLUMN pdf_filename;
+-- ALTER TABLE schools DROP COLUMN pdf_data, DROP COLUMN pdf_filename;
\ No newline at end of file
diff --git a/elements/footer.php b/elements/footer.php
index 9c1e99d..0713a3f 100644
--- a/elements/footer.php
+++ b/elements/footer.php
@@ -52,7 +52,8 @@ if (isset($_GET['success']) && $_GET['success'] === '1') {
     var cibles = document.querySelectorAll(
         '.project-card, .quick-link-card, .skill-category, .contact-card, ' +
         '.login-card, .project-form-card, .cgu-card, .logo-admin-item, ' +
-        '.page-header, .quick-links-header, .skills-header, .projects-title, .logo-banner-header'
+        '.page-header, .quick-links-header, .skills-header, .projects-title, .logo-banner-header, ' +
+        '.stat-item'
     );
 
     var observer = new IntersectionObserver(function (entries) {
diff --git a/elements/header.php b/elements/header.php
index 113350d..ae1b609 100644
--- a/elements/header.php
+++ b/elements/header.php
@@ -6,7 +6,7 @@
 
 
 // Ajout ici d'un démarrage de session : header étant dans toutes les pages
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 
 // Ajout ici la vérification du captcha
 require_once('../scripts/requireCaptcha.php');
@@ -20,6 +20,15 @@ sendPageLog();
 // Titre de la page : chaque page peut définir $pageTitle avant d'inclure le header
 $pageTitle = isset($pageTitle) ? $pageTitle . ' — Esteban MOUSSU' : 'Esteban MOUSSU — Portfolio';
 
+// Description : chaque page peut définir $pageDescription avant d'inclure le header
+// (sinon description générique, utilisée pour le SEO et les aperçus de partage)
+$pageDescription = isset($pageDescription)
+    ? $pageDescription
+    : 'Portfolio d\'Esteban MOUSSU, étudiant en informatique passionné par les systèmes, les réseaux et le développement web. Projets, expériences et compétences.';
+
+// URL absolue de la page courante (pour og:url et le lien canonique)
+$pageUrl = 'https://estebanadmin.fr' . strtok($_SERVER['REQUEST_URI'], '?');
+
 // Page courante pour souligner le lien actif dans la navigation
 $currentPage = basename($_SERVER['PHP_SELF']);
 ?>
@@ -31,6 +40,22 @@ $currentPage = basename($_SERVER['PHP_SELF']);
     <meta name="viewport" content="width=device-width, initial-scale=1.0">
     <title><?php echo htmlspecialchars($pageTitle); ?></title>
 
+    <!-- SEO : description + lien canonique -->
+    <meta name="description" content="<?php echo htmlspecialchars($pageDescription); ?>">
+    <link rel="canonical" href="<?php echo htmlspecialchars($pageUrl); ?>">
+
+    <!-- Aperçu de partage (réseaux sociaux, Discord, etc.) -->
+    <meta property="og:type" content="website">
+    <meta property="og:title" content="<?php echo htmlspecialchars($pageTitle); ?>">
+    <meta property="og:description" content="<?php echo htmlspecialchars($pageDescription); ?>">
+    <meta property="og:url" content="<?php echo htmlspecialchars($pageUrl); ?>">
+    <meta property="og:image" content="https://estebanadmin.fr/memoji.png">
+    <meta property="og:locale" content="fr_FR">
+    <meta name="twitter:card" content="summary">
+    <meta name="twitter:title" content="<?php echo htmlspecialchars($pageTitle); ?>">
+    <meta name="twitter:description" content="<?php echo htmlspecialchars($pageDescription); ?>">
+    <meta name="twitter:image" content="https://estebanadmin.fr/memoji.png">
+
     <!-- Favicon du site -->
     <link rel="icon" type="image/png" href="../memoji.png">
 
diff --git a/functions/listLogos.php b/functions/listLogos.php
index 8f335ae..73f5cef 100644
--- a/functions/listLogos.php
+++ b/functions/listLogos.php
@@ -118,7 +118,7 @@ function afficherLogosAdmin() {
         echo '</div>';
         echo '<div class="admin-actions">';
         echo '<a class="btn-submit btn-edit" href="./admin.php?edit_logo=' . $id . '#admin-logos">Modifier</a>';
-        echo '<a class="btn-submit btn-delete" href="../scripts/removeLogo.php?id=' . $id . '" onclick="return confirm(\'Voulez-vous vraiment supprimer ce logo ?\');">Supprimer</a>';
+        echo '<a class="btn-submit btn-delete" href="../scripts/removeLogo.php?id=' . $id . '&csrf_token=' . urlencode(csrfToken()) . '" onclick="return confirm(\'Voulez-vous vraiment supprimer ce logo ?\');">Supprimer</a>';
         echo '</div>';
         echo '</div>';
     }
diff --git a/functions/listProject.php b/functions/listProject.php
index da36552..ecdc508 100644
--- a/functions/listProject.php
+++ b/functions/listProject.php
@@ -10,15 +10,22 @@ function listeProjets() {
 
     // Essayer
     try {
-        // Requête SQL qui récupère titre, tags, description, image_url
-        // SELECT * : les colonnes markdown / link_url sont optionnelles (la page fonctionne
-        // même si la migration SQL n'a pas encore été exécutée)
-        $stmt = $dbh->prepare('SELECT * FROM projects ORDER BY id DESC');
+        // On liste les colonnes explicitement (pas de SELECT *) : le PDF (pdf_data) est
+        // stocké à part dans project_pdfs (voir migration Juillet 2026 (6)), on ne récupère
+        // ici que son nom de fichier via LEFT JOIN, sans jamais charger son contenu binaire
+        // (jusqu'à 15 Mo par PDF) en mémoire pour une simple liste de projets
+        $stmt = $dbh->prepare('
+            SELECT p.id, p.title, p.status, p.tags, p.description, p.image_url, p.markdown, p.link_url, p.created_at,
+                   pp.pdf_filename
+            FROM projects p
+            LEFT JOIN project_pdfs pp ON pp.project_id = p.id
+            ORDER BY p.id DESC
+        ');
         // Execution de la requête SQL
         $stmt->execute();
         // Retourne toutes les données collectés dans un ARRAY
         return $stmt->fetchAll(PDO::FETCH_ASSOC);
-    } catch (PDOException $e) { // En cas d'erreur 
+    } catch (PDOException $e) { // En cas d'erreur
         die("Erreur de connexion à la base de donnée portfolio :".$e->getMessage());
         return [];
     }
@@ -29,7 +36,15 @@ function recupererProjetParId($id) {
     global $dbh;
 
     try {
-        $stmt = $dbh->prepare('SELECT * FROM projects WHERE id = :id');
+        // Même principe que listeProjets() : le PDF est joint pour son nom de fichier
+        // uniquement, jamais son contenu binaire
+        $stmt = $dbh->prepare('
+            SELECT p.id, p.title, p.status, p.tags, p.description, p.image_url, p.markdown, p.link_url, p.created_at,
+                   pp.pdf_filename
+            FROM projects p
+            LEFT JOIN project_pdfs pp ON pp.project_id = p.id
+            WHERE p.id = :id
+        ');
         $stmt->bindValue(':id', $id, PDO::PARAM_INT);
         $stmt->execute();
         return $stmt->fetch(PDO::FETCH_ASSOC);
@@ -164,7 +179,7 @@ function afficherProjetsAdmin() {
         // Boutons qui vont permettrent la modification / Suppresion
         echo '<div class="admin-actions">';
         echo '<a class="btn-submit btn-edit" href="./admin.php?edit_project=' . $id . '#admin-projets">Modifier</a>';
-        echo '<a class="btn-submit btn-delete" href="../scripts/removeProject.php?id=' . $id . '" onclick="return confirm(\'Voulez-vous vraiment supprimer ce projet ?\');">Supprimer</a>';
+        echo '<a class="btn-submit btn-delete" href="../scripts/removeProject.php?id=' . $id . '&csrf_token=' . urlencode(csrfToken()) . '" onclick="return confirm(\'Voulez-vous vraiment supprimer ce projet ?\');">Supprimer</a>';
         echo '</div>';
 
         echo '</div>';
diff --git a/functions/listSchool.php b/functions/listSchool.php
index facfd56..b871ec6 100644
--- a/functions/listSchool.php
+++ b/functions/listSchool.php
@@ -10,9 +10,17 @@ function listeEcoles() {
     global $dbh;
 
     try {
-        // SELECT * : les colonnes markdown / link_url sont optionnelles (la page fonctionne
-        // même si la migration SQL n'a pas encore été exécutée)
-        $stmt = $dbh->prepare('SELECT * FROM schools ORDER BY id DESC');
+        // On liste les colonnes explicitement (pas de SELECT *) : le PDF (pdf_data) est
+        // stocké à part dans school_pdfs (voir migration Juillet 2026 (6)), on ne récupère
+        // ici que son nom de fichier via LEFT JOIN, sans jamais charger son contenu binaire
+        // (jusqu'à 15 Mo par PDF) en mémoire pour une simple liste d'écoles
+        $stmt = $dbh->prepare('
+            SELECT s.id, s.title, s.status, s.tags, s.description, s.duration, s.image_url, s.markdown, s.link_url, s.created_at,
+                   sp.pdf_filename
+            FROM schools s
+            LEFT JOIN school_pdfs sp ON sp.school_id = s.id
+            ORDER BY s.id DESC
+        ');
         $stmt->execute();
         return $stmt->fetchAll(PDO::FETCH_ASSOC);
     } catch (PDOException $e) {
@@ -25,7 +33,15 @@ function recupererEcoleParId($id) {
     global $dbh;
 
     try {
-        $stmt = $dbh->prepare('SELECT * FROM schools WHERE id = :id');
+        // Même principe que listeEcoles() : le PDF est joint pour son nom de fichier
+        // uniquement, jamais son contenu binaire
+        $stmt = $dbh->prepare('
+            SELECT s.id, s.title, s.status, s.tags, s.description, s.duration, s.image_url, s.markdown, s.link_url, s.created_at,
+                   sp.pdf_filename
+            FROM schools s
+            LEFT JOIN school_pdfs sp ON sp.school_id = s.id
+            WHERE s.id = :id
+        ');
         $stmt->bindValue(':id', $id, PDO::PARAM_INT);
         $stmt->execute();
         return $stmt->fetch(PDO::FETCH_ASSOC);
@@ -98,7 +114,7 @@ function afficherEcoleCard($ecole, $admin = false) {
     if ($admin) {
         echo '<div class="admin-actions">';
         echo '<a class="btn-submit btn-edit" href="./admin.php?edit_school=' . $id . '#admin-ecoles">Modifier</a>';
-        echo '<a class="btn-submit btn-delete" href="../scripts/removeSchool.php?id=' . $id . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette école ?\');">Supprimer</a>';
+        echo '<a class="btn-submit btn-delete" href="../scripts/removeSchool.php?id=' . $id . '&csrf_token=' . urlencode(csrfToken()) . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette école ?\');">Supprimer</a>';
         echo '</div>';
     }
 
diff --git a/functions/listSkills.php b/functions/listSkills.php
index 7b0562b..6972ceb 100644
--- a/functions/listSkills.php
+++ b/functions/listSkills.php
@@ -99,7 +99,7 @@ function afficherSkillCard($skill, $admin = false) {
     if ($admin) {
         echo '<div class="admin-actions">';
         echo '<a class="btn-submit btn-edit" href="./admin.php?edit_skill=' . $id . '#admin-competences">Modifier</a>';
-        echo '<a class="btn-submit btn-delete" href="../scripts/removeSkill.php?id=' . $id . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette catégorie de compétences ?\');">Supprimer</a>';
+        echo '<a class="btn-submit btn-delete" href="../scripts/removeSkill.php?id=' . $id . '&csrf_token=' . urlencode(csrfToken()) . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette catégorie de compétences ?\');">Supprimer</a>';
         echo '</div>';
     }
 
diff --git a/functions/listStats.php b/functions/listStats.php
new file mode 100644
index 0000000..1015090
--- /dev/null
+++ b/functions/listStats.php
@@ -0,0 +1,27 @@
+<?php
+
+// Ajout de connexion a la bdd
+require_once('../functions/databaseConnection.php');
+
+// Fonction qui récupère les chiffres clés affichés sur la home (bandeau de stats)
+// Chaque compteur retombe sur 0 en cas d'erreur (table pas encore créée...) plutôt
+// que de bloquer la page d'accueil
+function recupererStatsHome() {
+    global $dbh;
+
+    $stats = ['projets' => 0, 'experiences' => 0];
+
+    try {
+        $stats['projets'] = (int) $dbh->query('SELECT COUNT(*) FROM projects')->fetchColumn();
+    } catch (PDOException $e) {
+        // Table pas encore créée : on laisse le compteur à 0
+    }
+
+    try {
+        $stats['experiences'] = (int) $dbh->query('SELECT COUNT(*) FROM experiences')->fetchColumn();
+    } catch (PDOException $e) {
+        // Table pas encore créée : on laisse le compteur à 0
+    }
+
+    return $stats;
+}
diff --git a/functions/listUser.php b/functions/listUser.php
index 1c3c69c..f7c0470 100644
--- a/functions/listUser.php
+++ b/functions/listUser.php
@@ -19,7 +19,7 @@ function afficherUsersAdmin()
             echo '<p><strong>Créé le :</strong> ' . htmlspecialchars($user["created_at"]) . '</p>';
 
             echo '<div class="admin-actions">';
-            echo '<a href="../scripts/removeUser.php?id=' . $user["id"] . '" class="btn-submit btn-delete" onclick="return confirm(\'Supprimer cet utilisateur ?\')">Supprimer</a>';
+            echo '<a href="../scripts/removeUser.php?id=' . $user["id"] . '&csrf_token=' . urlencode(csrfToken()) . '" class="btn-submit btn-delete" onclick="return confirm(\'Supprimer cet utilisateur ?\')">Supprimer</a>';
             echo '</div>';
 
             echo '</div>';
diff --git a/functions/listXP.php b/functions/listXP.php
index 6cf7551..dc24e65 100644
--- a/functions/listXP.php
+++ b/functions/listXP.php
@@ -13,15 +13,22 @@ function listeXP() {
 
     // Essayer
     try {
-        // Requête SQL qui récupère titre, type, tags, description, durée, image_url
-        // SELECT * : les colonnes markdown / link_url sont optionnelles (la page fonctionne
-        // même si la migration SQL n'a pas encore été exécutée)
-        $stmt = $dbh->prepare('SELECT * FROM experiences ORDER BY id DESC');
+        // On liste les colonnes explicitement (pas de SELECT *) : le PDF (pdf_data) est
+        // stocké à part dans experience_pdfs (voir migration Juillet 2026 (6)), on ne
+        // récupère ici que son nom de fichier via LEFT JOIN, sans jamais charger son contenu
+        // binaire (jusqu'à 15 Mo par PDF) en mémoire pour une simple liste d'expériences
+        $stmt = $dbh->prepare('
+            SELECT e.id, e.title, e.status, e.xptype, e.tags, e.description, e.duration, e.image_url, e.markdown, e.link_url, e.created_at,
+                   ep.pdf_filename
+            FROM experiences e
+            LEFT JOIN experience_pdfs ep ON ep.experience_id = e.id
+            ORDER BY e.id DESC
+        ');
         // Execution de la requête SQL
         $stmt->execute();
         // Retourne toutes les données collectés dans un ARRAY
         return $stmt->fetchAll(PDO::FETCH_ASSOC);
-    } catch (PDOException $e) { // En cas d'erreur 
+    } catch (PDOException $e) { // En cas d'erreur
         die("Erreur de connexion à la base de donnée portfolio :".$e->getMessage());
         return [];
     }
@@ -32,13 +39,20 @@ function recupererXPParId($id) {
     global $dbh;
 
     try {
-        // Préparation de la requête préparée
-        $stmt = $dbh->prepare('SELECT * FROM experiences WHERE id = :id');
+        // Même principe que listeXP() : le PDF est joint pour son nom de fichier
+        // uniquement, jamais son contenu binaire
+        $stmt = $dbh->prepare('
+            SELECT e.id, e.title, e.status, e.xptype, e.tags, e.description, e.duration, e.image_url, e.markdown, e.link_url, e.created_at,
+                   ep.pdf_filename
+            FROM experiences e
+            LEFT JOIN experience_pdfs ep ON ep.experience_id = e.id
+            WHERE e.id = :id
+        ');
 
         $stmt->bindValue(':id', $id, PDO::PARAM_INT);
         $stmt->execute();
         return $stmt->fetch(PDO::FETCH_ASSOC);
-    // En cas d'erreur => renvoyer un message avec l'erreur 
+    // En cas d'erreur => renvoyer un message avec l'erreur
     } catch (PDOException $e) {
         die("Erreur de connexion à la base de donnée portfolio :" . $e->getMessage());
         // Retourner false en cas d'eerreur
@@ -195,7 +209,7 @@ function afficherXPAdmin() {
         // Boutons qui vont permettrent la modification / Suppresion
         echo '<div class="admin-actions">';
         echo '<a class="btn-submit btn-edit" href="./admin.php?edit_xp=' . $id . '#admin-experiences">Modifier</a>';
-        echo '<a class="btn-submit btn-delete" href="../scripts/removeXP.php?id=' . $id . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette expérience ?\');">Supprimer</a>';
+        echo '<a class="btn-submit btn-delete" href="../scripts/removeXP.php?id=' . $id . '&csrf_token=' . urlencode(csrfToken()) . '" onclick="return confirm(\'Voulez-vous vraiment supprimer cette expérience ?\');">Supprimer</a>';
         echo '</div>';
 
         echo '</div>';
diff --git a/functions/security.php b/functions/security.php
new file mode 100644
index 0000000..dbea165
--- /dev/null
+++ b/functions/security.php
@@ -0,0 +1,48 @@
+<?php
+// Sécurité transverse : cookie de session durci, en-têtes anti-clickjacking et
+// protection CSRF. A inclure à la place d'un simple session_start() sur toute
+// page ou script qui utilise une session (remplace l'appel direct partout).
+
+// Règle les paramètres du cookie de session AVANT de démarrer la session (ils
+// n'ont aucun effet une fois la session déjà démarrée) :
+// - httponly : empêche le JavaScript de lire le cookie (limite le vol de session via une XSS)
+// - samesite=Lax : bloque une partie des requêtes intersites (CSRF)
+// - secure : n'est activé que si la connexion est déjà en HTTPS (sinon le cookie ne partirait jamais en HTTP)
+function configureSecureSessionCookies() {
+    session_set_cookie_params([
+        'lifetime' => 0,
+        'path' => '/',
+        'httponly' => true,
+        'samesite' => 'Lax',
+        'secure' => !empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off',
+    ]);
+}
+
+// Anti-clickjacking : interdit d'afficher le site dans une <iframe> d'un autre site
+header('X-Frame-Options: SAMEORIGIN');
+header('X-Content-Type-Options: nosniff');
+
+if (session_status() === PHP_SESSION_NONE) {
+    configureSecureSessionCookies();
+    session_start();
+}
+
+// Génère (si besoin) et retourne le jeton CSRF de la session en cours, à
+// placer dans un champ caché de chaque formulaire admin ou dans les liens
+// GET qui déclenchent une action (suppression, export...)
+function csrfToken() {
+    if (empty($_SESSION['csrf_token'])) {
+        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
+    }
+    return $_SESSION['csrf_token'];
+}
+
+// Vérifie le jeton CSRF reçu (POST ou GET) ; arrête le script si invalide.
+// A appeler juste après la vérification du rôle admin dans chaque script d'action.
+function requireCsrfToken() {
+    $recu = $_POST['csrf_token'] ?? $_GET['csrf_token'] ?? '';
+    if (empty($_SESSION['csrf_token']) || !hash_equals($_SESSION['csrf_token'], $recu)) {
+        http_response_code(403);
+        die("Requête refusée : jeton de sécurité invalide ou expiré. Recharge la page et réessaie.");
+    }
+}
diff --git a/index.php b/index.php
index cbca6ae..457c57c 100644
--- a/index.php
+++ b/index.php
@@ -8,7 +8,7 @@
 
 
 // Le header n'y étant pas je rajoute ici un démarrage de session
-session_start();
+require_once(__DIR__ . '/functions/security.php');
 
 // Redirection de l'utilisateur vers une page Home lorsqu'il arrive sur index.php
 header('location: ./pages/home.php');
diff --git a/pages/admin.php b/pages/admin.php
index c19a5ac..1e46c36 100644
--- a/pages/admin.php
+++ b/pages/admin.php
@@ -87,6 +87,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
                 <!-- enctype multipart/form-data : nécessaire pour l'upload du PDF -->
                 <!-- en envoie les données à addProject.php -->
                 <form method="POST" enctype="multipart/form-data" action="<?php echo $projetAModifier ? '../scripts/updateProject.php' : '../scripts/addProject.php'; ?>">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                 <?php if ($projetAModifier): ?>
                     <input type="hidden" name="id" value="<?php echo (int) $projetAModifier['id']; ?>">
@@ -151,6 +152,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- en envoie les données à addXP.php -->
                 <form method="POST" enctype="multipart/form-data" action="<?php echo $xpAModifier ? '../scripts/updateXP.php' : '../scripts/addXP.php'; ?>">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                 <?php if ($xpAModifier): ?>
                     <input type="hidden" name="id" value="<?php echo (int) $xpAModifier['id']; ?>">
@@ -221,6 +223,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- on envoie les données à addSchool.php -->
                 <form method="POST" enctype="multipart/form-data" action="<?php echo $ecoleAModifier ? '../scripts/updateSchool.php' : '../scripts/addSchool.php'; ?>">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                 <?php if ($ecoleAModifier): ?>
                     <input type="hidden" name="id" value="<?php echo (int) $ecoleAModifier['id']; ?>">
@@ -288,6 +291,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- on envoie les données à addSkill.php -->
                 <form method="POST" action="<?php echo $skillAModifier ? '../scripts/updateSkill.php' : '../scripts/addSkill.php'; ?>">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                 <?php if ($skillAModifier): ?>
                     <input type="hidden" name="id" value="<?php echo (int) $skillAModifier['id']; ?>">
@@ -332,6 +336,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- on envoie les données à addLogo.php -->
                 <form method="POST" action="<?php echo $logoAModifier ? '../scripts/updateLogo.php' : '../scripts/addLogo.php'; ?>">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                 <?php if ($logoAModifier): ?>
                     <input type="hidden" name="id" value="<?php echo (int) $logoAModifier['id']; ?>">
@@ -376,6 +381,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- on envoie les données à updateSettings.php -->
                 <form method="POST" action="../scripts/updateSettings.php">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
 
                     <label>Titre (affiché en gras)</label>
                     <input type="text" name="notice_title" value="<?php echo htmlspecialchars($noticeTitle); ?>">
@@ -406,6 +412,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
             <div class="project-form-card">
                 <!-- en envoie les données addUser.php -->
                 <form method="POST" action="../scripts/addUser.php">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
                     <label>Nom du compte</label>
                     <input type="text" name="user" required>
 
@@ -440,7 +447,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
                     Télécharge une sauvegarde JSON de toutes les données du site
                     (projets, expériences, écoles, compétences, notification, utilisateurs).
                 </p>
-                <a class="btn-submit admin-export-btn" href="../scripts/exportData.php">
+                <a class="btn-submit admin-export-btn" href="../scripts/exportData.php?csrf_token=<?php echo urlencode(csrfToken()); ?>">
                     <i class="fa-solid fa-download"></i> Exporter les données (JSON)
                 </a>
 
@@ -454,6 +461,7 @@ $noticeEnabled = recupererSetting('site_notice_enabled') ?? '1';
                 </p>
                 <form method="POST" action="../scripts/importData.php" enctype="multipart/form-data"
                     onsubmit="return confirm('ATTENTION : les données actuelles du site vont être écrasées par celles du fichier. Continuer ?');">
+                    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars(csrfToken()); ?>">
                     <input type="file" name="jsonfile" accept=".json,application/json" required>
                     <input type="submit" value="Importer les données" class="btn-submit btn-delete">
                 </form>
diff --git a/pages/details.php b/pages/details.php
index 848e15a..1954777 100644
--- a/pages/details.php
+++ b/pages/details.php
@@ -8,10 +8,12 @@
 require_once('../functions/databaseConnection.php');
 
 // Types autorisés : liste blanche pour empêcher toute injection de nom de table
+// (le PDF est stocké dans une table associée depuis la migration Juillet 2026 (6) : on la
+// joint juste pour le nom de fichier, jamais pour son contenu binaire)
 $types = [
-    'projet' => ['table' => 'projects', 'retour' => './projects.php', 'label' => 'Projet'],
-    'experience' => ['table' => 'experiences', 'retour' => './xp.php', 'label' => 'Expérience'],
-    'ecole' => ['table' => 'schools', 'retour' => './xp.php', 'label' => 'École'],
+    'projet' => ['table' => 'projects', 'pdf' => 'project_pdfs', 'pdf_colonne' => 'project_id', 'retour' => './projects.php', 'label' => 'Projet'],
+    'experience' => ['table' => 'experiences', 'pdf' => 'experience_pdfs', 'pdf_colonne' => 'experience_id', 'retour' => './xp.php', 'label' => 'Expérience'],
+    'ecole' => ['table' => 'schools', 'pdf' => 'school_pdfs', 'pdf_colonne' => 'school_id', 'retour' => './xp.php', 'label' => 'École'],
 ];
 
 $type = $_GET['type'] ?? '';
@@ -28,15 +30,20 @@ $infos = $types[$type];
 // Récupération de l'élément demandé
 // (pdf_data n'est volontairement pas sélectionné : le PDF est servi à part par viewPdf.php
 // dans une <iframe>, inutile de charger son contenu binaire en mémoire ici)
-$colonnesCommunes = 'id, title, status, tags, description, image_url, markdown, link_url, pdf_filename';
+$colonnesCommunes = 'e.id, e.title, e.status, e.tags, e.description, e.image_url, e.markdown, e.link_url, p.pdf_filename';
 $colonnesParType = [
     'projet' => $colonnesCommunes,
-    'experience' => $colonnesCommunes . ', xptype, duration',
-    'ecole' => $colonnesCommunes . ', duration',
+    'experience' => $colonnesCommunes . ', e.xptype, e.duration',
+    'ecole' => $colonnesCommunes . ', e.duration',
 ];
 
 try {
-    $stmt = $dbh->prepare('SELECT ' . $colonnesParType[$type] . ' FROM `' . $infos['table'] . '` WHERE id = :id');
+    $stmt = $dbh->prepare(
+        'SELECT ' . $colonnesParType[$type] . '
+         FROM `' . $infos['table'] . '` e
+         LEFT JOIN `' . $infos['pdf'] . '` p ON p.`' . $infos['pdf_colonne'] . '` = e.id
+         WHERE e.id = :id'
+    );
     $stmt->bindValue(':id', (int) $id, PDO::PARAM_INT);
     $stmt->execute();
     $element = $stmt->fetch(PDO::FETCH_ASSOC);
diff --git a/pages/home.php b/pages/home.php
index 94ef06e..8fe8887 100644
--- a/pages/home.php
+++ b/pages/home.php
@@ -19,6 +19,12 @@ require_once('../functions/listLogos.php');
 // Compétences, pas de saisie séparée (voir listeIconesCompetences)
 require_once('../functions/listSkills.php');
 
+// Chiffres clés (bandeau de stats sous le hero) : nombre réel de projets/expériences
+// en BDD, et nombre de technologies reconnaissables (réutilise listeIconesCompetences)
+require_once('../functions/listStats.php');
+$statsHome = recupererStatsHome();
+$statsHome['technologies'] = count(listeIconesCompetences());
+
 // Affichage de la notification (si elle est activée dans le panel Admin)
 afficherNotice();
 ?>
@@ -42,6 +48,27 @@ afficherNotice();
     </a>
 </section>
 
+<?php
+// Chiffres clés : n'affiche que les compteurs non nuls (pas de "0 projets" décevant
+// si le site vient d'être initialisé)
+$statsAffichables = array_filter([
+    'projets' => ['valeur' => $statsHome['projets'], 'label' => 'Projet' . ($statsHome['projets'] > 1 ? 's' : '') . ' réalisés'],
+    'experiences' => ['valeur' => $statsHome['experiences'], 'label' => 'Expérience' . ($statsHome['experiences'] > 1 ? 's' : '') . ' pro'],
+    'technologies' => ['valeur' => $statsHome['technologies'], 'label' => 'Technologies maîtrisées'],
+], function ($stat) { return $stat['valeur'] > 0; });
+?>
+<?php if (!empty($statsAffichables)): ?>
+<!-- Bandeau de chiffres clés : compteurs réels, calculés depuis la BDD -->
+<section class="stats-strip">
+    <?php foreach ($statsAffichables as $stat): ?>
+    <div class="stat-item">
+        <span class="stat-number"><?php echo (int) $stat['valeur']; ?></span>
+        <span class="stat-label"><?php echo htmlspecialchars($stat['label']); ?></span>
+    </div>
+    <?php endforeach; ?>
+</section>
+<?php endif; ?>
+
 <?php if (!empty(listeIconesCompetences())): ?>
 <!-- Bandeau défilant des outils, dérivé de la page Compétences -->
 <section class="logo-banner-section">
diff --git a/scripts/addLogo.php b/scripts/addLogo.php
index b14cc3f..3da5a93 100644
--- a/scripts/addLogo.php
+++ b/scripts/addLogo.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once '../functions/databaseConnection.php';
 require_once('../functions/sendLogs.php');
 
@@ -9,6 +9,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // La requête doit être un POST sinon on l'a refuse
 if ($_SERVER['REQUEST_METHOD'] === 'POST') {
 
diff --git a/scripts/addProject.php b/scripts/addProject.php
index 11e2500..3f9fca7 100644
--- a/scripts/addProject.php
+++ b/scripts/addProject.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once '../functions/databaseConnection.php';
 require_once('../functions/sendLogs.php');
 require_once('../functions/pdfUpload.php');
@@ -10,6 +10,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite pour éviter un échec silencieux
 if (postDepasseLimite()) {
@@ -42,7 +45,10 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
     if (!empty($title) && !empty($description) && !empty($image_url)) {
         try {
             // On prépare la requête SQL pour insérer le nouveau projet
-            $stmt = $dbh->prepare('INSERT INTO projects (title, status, tags, description, image_url, markdown, link_url, pdf_data, pdf_filename) VALUES (:title, :status, :tags, :description, :image_url, :markdown, :link_url, :pdf_data, :pdf_filename)');
+            // Le PDF (pdf_data) n'est plus stocké ici : il vit dans project_pdfs (table
+            // associée, voir migration Juillet 2026 (6)), pour que les listes de projets
+            // n'aient jamais à charger son contenu binaire en mémoire
+            $stmt = $dbh->prepare('INSERT INTO projects (title, status, tags, description, image_url, markdown, link_url) VALUES (:title, :status, :tags, :description, :image_url, :markdown, :link_url)');
 
             // On execute la requete préparée
             $stmt->bindValue(':title', $title, PDO::PARAM_STR);
@@ -52,10 +58,18 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
             $stmt->bindValue(':image_url', $image_url, PDO::PARAM_STR);
             $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
             $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-            $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-            $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
             $stmt->execute();
 
+            // Si un PDF a été envoyé, on l'enregistre à part dans project_pdfs
+            if ($pdfData !== null) {
+                $nouvelId = (int) $dbh->lastInsertId();
+                $stmtPdf = $dbh->prepare('INSERT INTO project_pdfs (project_id, pdf_filename, pdf_data) VALUES (:project_id, :pdf_filename, :pdf_data)');
+                $stmtPdf->bindValue(':project_id', $nouvelId, PDO::PARAM_INT);
+                $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+                $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+                $stmtPdf->execute();
+            }
+
             // Log Discord
             sendLog("Ajout du projet : " . $title);
 
diff --git a/scripts/addSchool.php b/scripts/addSchool.php
index ced2922..38e34c8 100644
--- a/scripts/addSchool.php
+++ b/scripts/addSchool.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once '../functions/databaseConnection.php';
 require_once('../functions/sendLogs.php');
 require_once('../functions/pdfUpload.php');
@@ -10,6 +10,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite pour éviter un échec silencieux
 if (postDepasseLimite()) {
@@ -42,7 +45,10 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
     if (!empty($title) && !empty($description) && !empty($duration) && !empty($image_url)) {
         try {
             // On prépare la requête SQL pour insérer la nouvelle école
-            $stmt = $dbh->prepare('INSERT INTO schools (title, status, tags, description, duration, image_url, markdown, link_url, pdf_data, pdf_filename) VALUES (:title, :status, :tags, :description, :duration, :image_url, :markdown, :link_url, :pdf_data, :pdf_filename)');
+            // Le PDF (pdf_data) n'est plus stocké ici : il vit dans school_pdfs (table
+            // associée, voir migration Juillet 2026 (6)), pour que les listes d'écoles
+            // n'aient jamais à charger son contenu binaire en mémoire
+            $stmt = $dbh->prepare('INSERT INTO schools (title, status, tags, description, duration, image_url, markdown, link_url) VALUES (:title, :status, :tags, :description, :duration, :image_url, :markdown, :link_url)');
 
             // On execute la requete préparée
             $stmt->bindValue(':title', $title, PDO::PARAM_STR);
@@ -53,10 +59,18 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
             $stmt->bindValue(':image_url', $image_url, PDO::PARAM_STR);
             $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
             $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-            $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-            $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
             $stmt->execute();
 
+            // Si un PDF a été envoyé, on l'enregistre à part dans school_pdfs
+            if ($pdfData !== null) {
+                $nouvelId = (int) $dbh->lastInsertId();
+                $stmtPdf = $dbh->prepare('INSERT INTO school_pdfs (school_id, pdf_filename, pdf_data) VALUES (:school_id, :pdf_filename, :pdf_data)');
+                $stmtPdf->bindValue(':school_id', $nouvelId, PDO::PARAM_INT);
+                $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+                $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+                $stmtPdf->execute();
+            }
+
             // Log Discord
             sendLog("Ajout de l'école : " . $title);
 
diff --git a/scripts/addSkill.php b/scripts/addSkill.php
index 944992e..01779e5 100644
--- a/scripts/addSkill.php
+++ b/scripts/addSkill.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once '../functions/databaseConnection.php';
 require_once('../functions/sendLogs.php');
 
@@ -9,6 +9,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // La requête doit être un POST sinon on l'a refuse
 if ($_SERVER['REQUEST_METHOD'] === 'POST') {
 
diff --git a/scripts/addUser.php b/scripts/addUser.php
index f7e3943..2aaf889 100644
--- a/scripts/addUser.php
+++ b/scripts/addUser.php
@@ -1,6 +1,6 @@
 <?php
 // Démarrage de la session pour vérifier les droits de l'utilisateur
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // Ajout de connexion à la BDD
 require_once("../functions/databaseConnection.php");
 // Ajout des logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION["role"]) || $_SESSION["role"] != "admin") {
     exit();
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Si le formulaire a été soumis
 if ($_SERVER["REQUEST_METHOD"] == "POST") {
     // Récupération des données du formulaire
diff --git a/scripts/addXP.php b/scripts/addXP.php
index 6bb7fd3..3d35f3c 100644
--- a/scripts/addXP.php
+++ b/scripts/addXP.php
@@ -1,5 +1,5 @@
 <?php
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once '../functions/databaseConnection.php';
 require_once('../functions/sendLogs.php');
 require_once('../functions/pdfUpload.php');
@@ -10,6 +10,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite pour éviter un échec silencieux
 if (postDepasseLimite()) {
@@ -43,7 +46,10 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
     if (!empty($title) && !empty($description) && !empty($image_url)) {
         try {
             // On prépare la requête SQL pour insérer la nouvelle experience
-            $stmt = $dbh->prepare('INSERT INTO experiences (title, status, xptype, tags, description, duration, image_url, markdown, link_url, pdf_data, pdf_filename) VALUES (:title, :status, :xptype, :tags, :description, :duration, :image_url, :markdown, :link_url, :pdf_data, :pdf_filename)');
+            // Le PDF (pdf_data) n'est plus stocké ici : il vit dans experience_pdfs (table
+            // associée, voir migration Juillet 2026 (6)), pour que les listes d'expériences
+            // n'aient jamais à charger son contenu binaire en mémoire
+            $stmt = $dbh->prepare('INSERT INTO experiences (title, status, xptype, tags, description, duration, image_url, markdown, link_url) VALUES (:title, :status, :xptype, :tags, :description, :duration, :image_url, :markdown, :link_url)');
 
             // On execute la requete préparée
             $stmt->bindValue(':title', $title, PDO::PARAM_STR);
@@ -55,10 +61,18 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
             $stmt->bindValue(':image_url', $image_url, PDO::PARAM_STR);
             $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
             $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-            $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-            $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
             $stmt->execute();
 
+            // Si un PDF a été envoyé, on l'enregistre à part dans experience_pdfs
+            if ($pdfData !== null) {
+                $nouvelId = (int) $dbh->lastInsertId();
+                $stmtPdf = $dbh->prepare('INSERT INTO experience_pdfs (experience_id, pdf_filename, pdf_data) VALUES (:experience_id, :pdf_filename, :pdf_data)');
+                $stmtPdf->bindValue(':experience_id', $nouvelId, PDO::PARAM_INT);
+                $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+                $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+                $stmtPdf->execute();
+            }
+
             // Log Discord
             sendLog("Ajout de l'expérience : " . $title);
 
diff --git a/scripts/checkLogin.php b/scripts/checkLogin.php
index 95c225b..8aaa0d7 100644
--- a/scripts/checkLogin.php
+++ b/scripts/checkLogin.php
@@ -3,7 +3,7 @@
 // Verification de l'utilisateur voir si ces ids sont bon ou pas
 
 // On démarre une session au cas où le script soit exécuté directement par URL
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 
 // Ajout de connexion a la bdd
 require_once('../functions/databaseConnection.php');
@@ -38,6 +38,11 @@ if (!$user || !password_verify($password, $user['password'])) {
     exit;
 }
 
+// Régénère l'ID de session à la connexion : empêche la fixation de session
+// (un attaquant qui aurait imposé un ID de session à la victime avant sa
+// connexion ne peut plus récupérer une session authentifiée avec cet ID)
+session_regenerate_id(true);
+
 // Si la connexion est ok, on entregistre l'utilisateur dans $_SESSION
 $_SESSION['user_id'] = $user['id'];
 $_SESSION['username'] = $user['username'];
diff --git a/scripts/disconnect.php b/scripts/disconnect.php
index c9d1633..94a0b40 100644
--- a/scripts/disconnect.php
+++ b/scripts/disconnect.php
@@ -2,8 +2,8 @@
 
 // Lorsque l'utilisateur est renvoyé à cette page/fonction, il est déconnecté
 
-// Démarrage de session
-session_start();
+// Démarrage de session (cookie durci)
+require_once(__DIR__ . '/../functions/security.php');
 
 // Ajout des logs Discord
 require_once('../functions/sendLogs.php');
@@ -21,6 +21,7 @@ session_destroy();
 // Si le captcha avait déjà été validé, on recrée une session propre
 // pour conserver uniquement cette information
 if ($captchaAlreadyValid) {
+    configureSecureSessionCookies();
     session_start();
     $_SESSION['captcha_valid'] = true;
 }
diff --git a/scripts/exportData.php b/scripts/exportData.php
index b229515..64073e5 100644
--- a/scripts/exportData.php
+++ b/scripts/exportData.php
@@ -3,7 +3,7 @@
 // Le fichier téléchargé peut ensuite être ré-importé via importData.php
 
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -15,22 +15,32 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Liste blanche des tables et colonnes exportées (empêche toute injection via noms de colonnes)
+// Depuis la migration Juillet 2026 (6), les PDF vivent dans des tables associées
+// (project_pdfs, experience_pdfs, school_pdfs) plutôt que dans projects/experiences/schools :
+// elles sont placées juste après leur table parente (l'ordre compte pour l'import, à cause
+// des clés étrangères ON DELETE CASCADE)
 $tables = [
-    'settings'    => ['name', 'value'],
-    'skills'      => ['id', 'title', 'icon', 'items', 'position', 'created_at'],
-    'projects'    => ['id', 'title', 'status', 'tags', 'description', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'experiences' => ['id', 'title', 'status', 'xptype', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'schools'     => ['id', 'title', 'status', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'users'       => ['id', 'username', 'password', 'role', 'created_at', 'last_login'],
+    'settings'         => ['name', 'value'],
+    'skills'           => ['id', 'title', 'icon', 'items', 'position', 'created_at'],
+    'projects'         => ['id', 'title', 'status', 'tags', 'description', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'project_pdfs'     => ['project_id', 'pdf_filename', 'pdf_data'],
+    'experiences'      => ['id', 'title', 'status', 'xptype', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'experience_pdfs'  => ['experience_id', 'pdf_filename', 'pdf_data'],
+    'schools'          => ['id', 'title', 'status', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'school_pdfs'      => ['school_id', 'pdf_filename', 'pdf_data'],
+    'users'            => ['id', 'username', 'password', 'role', 'created_at', 'last_login'],
 ];
 
 // Colonnes binaires : le JSON ne peut pas contenir de binaire brut, on les encode en base64
 // (+33% de taille mais nécessaire pour que le PDF survive à un export/import complet)
 $colonnesBinaires = [
-    'projects'    => ['pdf_data'],
-    'experiences' => ['pdf_data'],
-    'schools'     => ['pdf_data'],
+    'project_pdfs'    => ['pdf_data'],
+    'experience_pdfs' => ['pdf_data'],
+    'school_pdfs'     => ['pdf_data'],
 ];
 
 // Métadonnées de l'export (pratique pour s'y retrouver dans les sauvegardes)
diff --git a/scripts/importData.php b/scripts/importData.php
index dd2882d..2e39651 100644
--- a/scripts/importData.php
+++ b/scripts/importData.php
@@ -3,7 +3,7 @@
 // ATTENTION : les données actuelles des tables présentes dans le fichier sont ÉCRASÉES
 
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -15,6 +15,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // La requête doit être un POST avec un fichier sinon on refuse
 if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_FILES['jsonfile']) || $_FILES['jsonfile']['error'] !== UPLOAD_ERR_OK) {
     header('Location: ../pages/admin.php');
@@ -29,21 +32,27 @@ if (!is_array($donnees)) {
     die("Erreur : le fichier n'est pas un JSON valide.");
 }
 
-// Même liste blanche que l'export : seules ces tables / colonnes peuvent être importées
+// Même liste blanche que l'export : seules ces tables / colonnes peuvent être importées.
+// L'ORDRE COMPTE : chaque table de PDF associée (project_pdfs...) doit être importée
+// juste après sa table parente (projects...), car sa clé étrangère exige que la ligne
+// parente existe déjà (voir migration Juillet 2026 (6))
 $tables = [
-    'settings'    => ['name', 'value'],
-    'skills'      => ['id', 'title', 'icon', 'items', 'position', 'created_at'],
-    'projects'    => ['id', 'title', 'status', 'tags', 'description', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'experiences' => ['id', 'title', 'status', 'xptype', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'schools'     => ['id', 'title', 'status', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'pdf_data', 'pdf_filename', 'created_at'],
-    'users'       => ['id', 'username', 'password', 'role', 'created_at', 'last_login'],
+    'settings'         => ['name', 'value'],
+    'skills'           => ['id', 'title', 'icon', 'items', 'position', 'created_at'],
+    'projects'         => ['id', 'title', 'status', 'tags', 'description', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'project_pdfs'     => ['project_id', 'pdf_filename', 'pdf_data'],
+    'experiences'      => ['id', 'title', 'status', 'xptype', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'experience_pdfs'  => ['experience_id', 'pdf_filename', 'pdf_data'],
+    'schools'          => ['id', 'title', 'status', 'tags', 'description', 'duration', 'image_url', 'markdown', 'link_url', 'created_at'],
+    'school_pdfs'      => ['school_id', 'pdf_filename', 'pdf_data'],
+    'users'            => ['id', 'username', 'password', 'role', 'created_at', 'last_login'],
 ];
 
 // Colonnes binaires : encodées en base64 par exportData.php, à redécoder ici
 $colonnesBinaires = [
-    'projects'    => ['pdf_data'],
-    'experiences' => ['pdf_data'],
-    'schools'     => ['pdf_data'],
+    'project_pdfs'    => ['pdf_data'],
+    'experience_pdfs' => ['pdf_data'],
+    'school_pdfs'     => ['pdf_data'],
 ];
 
 try {
diff --git a/scripts/removeLogo.php b/scripts/removeLogo.php
index 8dbad20..5ede7dd 100644
--- a/scripts/removeLogo.php
+++ b/scripts/removeLogo.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 //L'id doit être collecté sinon l'utilisateur ne peux pas executer le reste du script
 if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
     header('Location: ../pages/admin.php');
diff --git a/scripts/removeProject.php b/scripts/removeProject.php
index 526ff76..1dbfd5e 100644
--- a/scripts/removeProject.php
+++ b/scripts/removeProject.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 //L'id doit être collecté sinon l'utilisateur ne peux pas executer le reste du script
 if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
     header('Location: ../pages/admin.php');
diff --git a/scripts/removeSchool.php b/scripts/removeSchool.php
index 29ebe19..91b3e41 100644
--- a/scripts/removeSchool.php
+++ b/scripts/removeSchool.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 //L'id doit être collecté sinon l'utilisateur ne peux pas executer le reste du script
 if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
     header('Location: ../pages/admin.php');
diff --git a/scripts/removeSkill.php b/scripts/removeSkill.php
index 38b9254..2790aea 100644
--- a/scripts/removeSkill.php
+++ b/scripts/removeSkill.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 //L'id doit être collecté sinon l'utilisateur ne peux pas executer le reste du script
 if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
     header('Location: ../pages/admin.php');
diff --git a/scripts/removeUser.php b/scripts/removeUser.php
index 6faeb6c..6f689a0 100644
--- a/scripts/removeUser.php
+++ b/scripts/removeUser.php
@@ -1,6 +1,6 @@
 <?php
 // Démarrage de la session pour vérifier les droits de l'utilisateur
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // Ajout de connexion à la BDD
 require_once("../functions/databaseConnection.php");
 // Ajout des logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION["role"]) || $_SESSION["role"] != "admin") {
     exit();
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Récupération de l'ID passé en paramètre GET
 $id = $_GET["id"];
 
diff --git a/scripts/removeXP.php b/scripts/removeXP.php
index affd58f..3311dd4 100644
--- a/scripts/removeXP.php
+++ b/scripts/removeXP.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 //L'id doit être collecté sinon l'utilisateur ne peux pas executer le reste du script
 if (!isset($_GET['id']) || !is_numeric($_GET['id'])) {
     header('Location: ../pages/admin.php');
diff --git a/scripts/sendMessage.php b/scripts/sendMessage.php
index cd12237..800b3dc 100644
--- a/scripts/sendMessage.php
+++ b/scripts/sendMessage.php
@@ -3,7 +3,7 @@
 require_once('../../idDiscord.php');
 
 // Ajout des logs Discord
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 require_once('../functions/sendLogs.php');
 
 // Envoi de formulaire de contact via WebHook discord
diff --git a/scripts/updateLogo.php b/scripts/updateLogo.php
index 43a8d6a..9caf48a 100644
--- a/scripts/updateLogo.php
+++ b/scripts/updateLogo.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 if ( // Si les champs sont vides on renvoie vers admin.php
     !isset($_POST['id']) || !is_numeric($_POST['id']) ||
     empty($_POST['name']) ||
diff --git a/scripts/updateProject.php b/scripts/updateProject.php
index 1aae2c8..d743c94 100644
--- a/scripts/updateProject.php
+++ b/scripts/updateProject.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -13,6 +13,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite (sinon le script redirige silencieusement vers admin.php sans explication)
 if (postDepasseLimite()) {
@@ -61,15 +64,13 @@ if (is_array($pdfResultat)) {
 }
 
 try { // On essaie d'executer une requête qui est préparée
-    $sql = '
+    // Le PDF (pdf_data) n'est plus stocké dans projects : il vit dans project_pdfs (table
+    // associée, voir migration Juillet 2026 (6)), géré à part juste après
+    $stmt = $dbh->prepare('
         UPDATE projects
-        SET title = :title, status = :status, tags = :tags, description = :description, image_url = :image_url, markdown = :markdown, link_url = :link_url';
-    if ($updatePdf) {
-        $sql .= ', pdf_data = :pdf_data, pdf_filename = :pdf_filename';
-    }
-    $sql .= ' WHERE id = :id';
-
-    $stmt = $dbh->prepare($sql);
+        SET title = :title, status = :status, tags = :tags, description = :description, image_url = :image_url, markdown = :markdown, link_url = :link_url
+        WHERE id = :id
+    ');
     $stmt->bindValue(':title', $title, PDO::PARAM_STR);
     $stmt->bindValue(':status', $status, PDO::PARAM_STR);
     $stmt->bindValue(':tags', $tags, PDO::PARAM_STR);
@@ -77,12 +78,27 @@ try { // On essaie d'executer une requête qui est préparée
     $stmt->bindValue(':image_url', $imageurl, PDO::PARAM_STR);
     $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
     $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-    if ($updatePdf) {
-        $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-        $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
-    }
     $stmt->bindValue(':id', $id, PDO::PARAM_INT);
     $stmt->execute(); // Sinon on renvoie l'erreur
+
+    if ($updatePdf) {
+        if ($pdfData !== null) {
+            // Nouveau PDF envoyé : on remplace l'éventuel PDF existant (clé primaire = project_id)
+            $stmtPdf = $dbh->prepare('
+                INSERT INTO project_pdfs (project_id, pdf_filename, pdf_data) VALUES (:id, :pdf_filename, :pdf_data)
+                ON DUPLICATE KEY UPDATE pdf_filename = VALUES(pdf_filename), pdf_data = VALUES(pdf_data)
+            ');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+            $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+            $stmtPdf->execute();
+        } else {
+            // Case "Supprimer ce PDF" cochée, sans nouveau fichier envoyé
+            $stmtPdf = $dbh->prepare('DELETE FROM project_pdfs WHERE project_id = :id');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->execute();
+        }
+    }
 } catch (PDOException $e) {
     die("Erreur lors de la modification du projet :" . $e->getMessage());
 }
diff --git a/scripts/updateSchool.php b/scripts/updateSchool.php
index 487802e..8090da2 100644
--- a/scripts/updateSchool.php
+++ b/scripts/updateSchool.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -13,6 +13,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite (sinon le script redirige silencieusement vers admin.php sans explication)
 if (postDepasseLimite()) {
@@ -62,15 +65,13 @@ if (is_array($pdfResultat)) {
 }
 
 try { // On essaie d'executer une requête qui est préparée
-    $sql = '
+    // Le PDF (pdf_data) n'est plus stocké dans schools : il vit dans school_pdfs (table
+    // associée, voir migration Juillet 2026 (6)), géré à part juste après
+    $stmt = $dbh->prepare('
         UPDATE schools
-        SET title = :title, status = :status, tags = :tags, description = :description, duration = :duration, image_url = :image_url, markdown = :markdown, link_url = :link_url';
-    if ($updatePdf) {
-        $sql .= ', pdf_data = :pdf_data, pdf_filename = :pdf_filename';
-    }
-    $sql .= ' WHERE id = :id';
-
-    $stmt = $dbh->prepare($sql);
+        SET title = :title, status = :status, tags = :tags, description = :description, duration = :duration, image_url = :image_url, markdown = :markdown, link_url = :link_url
+        WHERE id = :id
+    ');
     $stmt->bindValue(':title', $title, PDO::PARAM_STR);
     $stmt->bindValue(':status', $status, PDO::PARAM_STR);
     $stmt->bindValue(':tags', $tags, PDO::PARAM_STR);
@@ -79,12 +80,27 @@ try { // On essaie d'executer une requête qui est préparée
     $stmt->bindValue(':image_url', $imageurl, PDO::PARAM_STR);
     $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
     $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-    if ($updatePdf) {
-        $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-        $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
-    }
     $stmt->bindValue(':id', $id, PDO::PARAM_INT);
     $stmt->execute(); // Sinon on renvoie l'erreur
+
+    if ($updatePdf) {
+        if ($pdfData !== null) {
+            // Nouveau PDF envoyé : on remplace l'éventuel PDF existant (clé primaire = school_id)
+            $stmtPdf = $dbh->prepare('
+                INSERT INTO school_pdfs (school_id, pdf_filename, pdf_data) VALUES (:id, :pdf_filename, :pdf_data)
+                ON DUPLICATE KEY UPDATE pdf_filename = VALUES(pdf_filename), pdf_data = VALUES(pdf_data)
+            ');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+            $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+            $stmtPdf->execute();
+        } else {
+            // Case "Supprimer ce PDF" cochée, sans nouveau fichier envoyé
+            $stmtPdf = $dbh->prepare('DELETE FROM school_pdfs WHERE school_id = :id');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->execute();
+        }
+    }
 } catch (PDOException $e) {
     die("Erreur lors de la modification de l'école :" . $e->getMessage());
 }
diff --git a/scripts/updateSettings.php b/scripts/updateSettings.php
index 7d44302..5f0c8ba 100644
--- a/scripts/updateSettings.php
+++ b/scripts/updateSettings.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // La requête doit être un POST sinon on l'a refuse
 if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
     header('Location: ../pages/admin.php');
diff --git a/scripts/updateSkill.php b/scripts/updateSkill.php
index c016c04..ece82be 100644
--- a/scripts/updateSkill.php
+++ b/scripts/updateSkill.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -12,6 +12,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 if ( // Si les champs sont vides on renvoie vers admin.php
     !isset($_POST['id']) || !is_numeric($_POST['id']) ||
     empty($_POST['title']) ||
diff --git a/scripts/updateXP.php b/scripts/updateXP.php
index 5b7967a..5c2049d 100644
--- a/scripts/updateXP.php
+++ b/scripts/updateXP.php
@@ -1,6 +1,6 @@
 <?php
 // On démarre la session
-session_start();
+require_once(__DIR__ . '/../functions/security.php');
 // On ajoute la DB
 require_once('../functions/databaseConnection.php');
 // On ajoute les logs Discord
@@ -13,6 +13,9 @@ if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
     exit;
 }
 
+// Vérification du jeton CSRF : bloque les requêtes forgées depuis un autre site
+requireCsrfToken();
+
 // Le fichier envoyé dépasse post_max_size : $_POST/$_FILES sont vides, on le détecte
 // tout de suite (sinon le script redirige silencieusement vers admin.php sans explication)
 if (postDepasseLimite()) {
@@ -65,15 +68,13 @@ if (is_array($pdfResultat)) {
 }
 
 try { // On essaie d'executer une requête qui est préparée
-    $sql = '
+    // Le PDF (pdf_data) n'est plus stocké dans experiences : il vit dans experience_pdfs
+    // (table associée, voir migration Juillet 2026 (6)), géré à part juste après
+    $stmt = $dbh->prepare('
         UPDATE experiences
-        SET title = :title, status = :status, xptype = :xptype, tags = :tags, description = :description, duration = :duration, image_url = :image_url, markdown = :markdown, link_url = :link_url';
-    if ($updatePdf) {
-        $sql .= ', pdf_data = :pdf_data, pdf_filename = :pdf_filename';
-    }
-    $sql .= ' WHERE id = :id';
-
-    $stmt = $dbh->prepare($sql);
+        SET title = :title, status = :status, xptype = :xptype, tags = :tags, description = :description, duration = :duration, image_url = :image_url, markdown = :markdown, link_url = :link_url
+        WHERE id = :id
+    ');
     $stmt->bindValue(':title', $title, PDO::PARAM_STR);
     $stmt->bindValue(':status', $status, PDO::PARAM_STR);
     $stmt->bindValue(':xptype', $xptype, PDO::PARAM_STR);
@@ -83,12 +84,27 @@ try { // On essaie d'executer une requête qui est préparée
     $stmt->bindValue(':image_url', $imageurl, PDO::PARAM_STR);
     $stmt->bindValue(':markdown', $markdown, PDO::PARAM_STR);
     $stmt->bindValue(':link_url', $link_url, PDO::PARAM_STR);
-    if ($updatePdf) {
-        $stmt->bindValue(':pdf_data', $pdfData, $pdfData === null ? PDO::PARAM_NULL : PDO::PARAM_LOB);
-        $stmt->bindValue(':pdf_filename', $pdfFilename, $pdfFilename === null ? PDO::PARAM_NULL : PDO::PARAM_STR);
-    }
     $stmt->bindValue(':id', $id, PDO::PARAM_INT);
     $stmt->execute(); // Sinon on renvoie l'erreur
+
+    if ($updatePdf) {
+        if ($pdfData !== null) {
+            // Nouveau PDF envoyé : on remplace l'éventuel PDF existant (clé primaire = experience_id)
+            $stmtPdf = $dbh->prepare('
+                INSERT INTO experience_pdfs (experience_id, pdf_filename, pdf_data) VALUES (:id, :pdf_filename, :pdf_data)
+                ON DUPLICATE KEY UPDATE pdf_filename = VALUES(pdf_filename), pdf_data = VALUES(pdf_data)
+            ');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->bindValue(':pdf_filename', $pdfFilename, PDO::PARAM_STR);
+            $stmtPdf->bindValue(':pdf_data', $pdfData, PDO::PARAM_LOB);
+            $stmtPdf->execute();
+        } else {
+            // Case "Supprimer ce PDF" cochée, sans nouveau fichier envoyé
+            $stmtPdf = $dbh->prepare('DELETE FROM experience_pdfs WHERE experience_id = :id');
+            $stmtPdf->bindValue(':id', $id, PDO::PARAM_INT);
+            $stmtPdf->execute();
+        }
+    }
 } catch (PDOException $e) {
     die("Erreur lors de la modification de l experience :" . $e->getMessage());
 }
diff --git a/scripts/viewPdf.php b/scripts/viewPdf.php
index 1f48ba7..2946b67 100644
--- a/scripts/viewPdf.php
+++ b/scripts/viewPdf.php
@@ -6,10 +6,12 @@
 require_once('../functions/databaseConnection.php');
 
 // Liste blanche des types autorisés : empêche toute injection de nom de table
+// (le PDF est stocké dans une table associée depuis la migration Juillet 2026 (6),
+// pour ne plus jamais charger son contenu binaire lors des listes de projets/xp/écoles)
 $tables = [
-    'projet' => 'projects',
-    'experience' => 'experiences',
-    'ecole' => 'schools',
+    'projet' => ['pdf' => 'project_pdfs', 'colonne' => 'project_id'],
+    'experience' => ['pdf' => 'experience_pdfs', 'colonne' => 'experience_id'],
+    'ecole' => ['pdf' => 'school_pdfs', 'colonne' => 'school_id'],
 ];
 
 $type = $_GET['type'] ?? '';
@@ -21,7 +23,7 @@ if (!isset($tables[$type]) || !is_numeric($id)) {
 }
 
 try {
-    $stmt = $dbh->prepare('SELECT pdf_data, pdf_filename FROM `' . $tables[$type] . '` WHERE id = :id');
+    $stmt = $dbh->prepare('SELECT pdf_data, pdf_filename FROM `' . $tables[$type]['pdf'] . '` WHERE `' . $tables[$type]['colonne'] . '` = :id');
     $stmt->bindValue(':id', (int) $id, PDO::PARAM_INT);
     $stmt->execute();
     $row = $stmt->fetch(PDO::FETCH_ASSOC);
diff --git a/styles/primary_css.css b/styles/primary_css.css
index 264e18b..e22eab7 100644
--- a/styles/primary_css.css
+++ b/styles/primary_css.css
@@ -517,6 +517,44 @@ img {
     flex-wrap: wrap;
 }
 
+/* ---- Bandeau de chiffres clés (page d'accueil) ---- */
+.stats-strip {
+    max-width: 900px;
+    margin: 0 auto;
+    padding: 0 20px 70px;
+    display: flex;
+    justify-content: center;
+    align-items: center;
+    flex-wrap: wrap;
+    gap: 20px;
+    text-align: center;
+}
+
+.stat-item {
+    display: flex;
+    flex-direction: column;
+    align-items: center;
+    gap: 4px;
+    padding: 18px 34px;
+    min-width: 140px;
+    border-radius: var(--radius);
+    background: var(--surface);
+    border: 1px solid var(--border);
+}
+
+.stat-number {
+    font-size: clamp(28px, 4vw, 38px);
+    font-weight: 800;
+    letter-spacing: -0.02em;
+    color: var(--accent);
+}
+
+.stat-label {
+    font-size: 13.5px;
+    color: var(--text-muted);
+    font-weight: 600;
+}
+
 .btn {
     display: inline-flex;
     align-items: center;