feat(i18n): traduire les messages flash et de validation

198 appels flash dans les sept modules de routes, plus les 23 messages de
validation de app/validators.py. Le catalogue compte desormais 631 chaines,
aucune non traduite.

validators.py utilise lazy_gettext : les champs de schema sont construits a
l'import, donc avant qu'une requete existe. Un gettext ordinaire s'y
resoudrait une seule fois, dans la langue active au demarrage.

Un bug introduit par la conversion, puis corrige
  Le convertisseur automatique ne voyait que le premier litteral d'un appel
  flash, ce qui a casse deux chaines concatenees sur plusieurs lignes dans
  users.py -- le resultat n'etait meme pas du Python valide. Ma premiere
  verification ne l'a pas vu : elle enchainait py_compile sur head, or head
  reussit toujours, donc le "OK" s'affichait quoi qu'il arrive. Les deux
  appels sont reecrits et la verification refaite correctement.

Un bug plus interessant, revele par le test de fumee
  La langue choisie ne survivait pas a la connexion. login() et logout()
  appellent tous deux session.clear() -- l'un contre la fixation de session,
  l'autre pour terminer la session -- et le choix de langue partait avec le
  reste. Concretement : quelqu'un qui lisait la page de connexion en anglais
  se retrouvait en francais des qu'il se connectait.

  La langue est une preference d'affichage, pas un etat appartenant au
  compte. Les deux endroits la reportent maintenant explicitement, a cote du
  jeton CSRF. Quatre tests couvrent le cas, dont un qui verifie que corriger
  une cle preservee n'a pas fait tomber l'autre.

Detail de nommage : le convertisseur avait genere %(value)s pour une
expression conditionnelle, ce qui n'aide pas un traducteur. Renomme en
%(player)s.

Les 14 traductions ecrites avec une apostrophe droite sont normalisees en
apostrophe typographique. Sans consequence en HTML, ou ' s'affiche
correctement -- mais les blocs <script> ne decodent pas les entites, et
autant que le catalogue soit homogene.

200 tests.

Co-Authored-By: Claude Opus 5 <[email protected]>

docs/translations.md

@@ -146,21 +146,18 @@ That second check is what keeps the migration honest: adding
 
 ## 5. State of the migration
 
-**Templates are done.** 483 strings, all translated, in both catalogues.
-The suite fails if that stops being true.
+**Done.** 631 strings, all translated, in both catalogues. The suite fails
+if that stops being true.
 
-Covered: navigation and shared layout, login, the five error pages, and
-every page template.
+Covered: navigation and shared layout, login, the five error pages, every
+page template, every flash message, and every validation message.
+
+**Flash messages are done too** — 198 calls across every route module —
+along with the validation messages of `app/validators.py`, which use
+`lazy_gettext` because schema fields are built at import time.
 
 ### What is not covered yet
 
-**Flash messages outside `routes/auth.py`.** `users.py`, `tryouts.py`,
-`teams.py`, `matches.py`, `team_matches.py` and `evaluations.py` still
-build them in English. They are the largest remaining block.
-
-**Validation messages in `app/validators.py`.** Shown to users, not marked.
-They need `lazy_gettext`, since schema fields are built at import time.
-
 **Model constants** — `ESPORT_GAMES`, `GAME_POSITIONS` — are data, not
 interface. Game names stay as they are; positions such as "Support" or
 "Duelist" are the terms players use in English and are deliberately left
@@ -181,3 +178,10 @@ would land in the JavaScript string as `'`. The French wording uses
 typographic apostrophes (’), which are untouched, so the current strings
 are safe. Anything added there should be passed through a `data-`
 attribute or a `<script type="application/json">` block instead.
+
+**The language choice must survive `session.clear()`.** Both login and
+logout wipe the session — login to prevent session fixation, logout to end
+it. The locale is a display preference, not state belonging to the account,
+and was being discarded with the rest: someone who read the login page in
+English was dropped straight back into French on signing in. Both call
+sites now carry `locale` across explicitly, alongside `csrf_token`.