feat(i18n): traduire les messages flash et de validation

198 appels flash dans les sept modules de routes, plus les 23 messages de
validation de app/validators.py. Le catalogue compte desormais 631 chaines,
aucune non traduite.

validators.py utilise lazy_gettext : les champs de schema sont construits a
l'import, donc avant qu'une requete existe. Un gettext ordinaire s'y
resoudrait une seule fois, dans la langue active au demarrage.

Un bug introduit par la conversion, puis corrige
  Le convertisseur automatique ne voyait que le premier litteral d'un appel
  flash, ce qui a casse deux chaines concatenees sur plusieurs lignes dans
  users.py -- le resultat n'etait meme pas du Python valide. Ma premiere
  verification ne l'a pas vu : elle enchainait py_compile sur head, or head
  reussit toujours, donc le "OK" s'affichait quoi qu'il arrive. Les deux
  appels sont reecrits et la verification refaite correctement.

Un bug plus interessant, revele par le test de fumee
  La langue choisie ne survivait pas a la connexion. login() et logout()
  appellent tous deux session.clear() -- l'un contre la fixation de session,
  l'autre pour terminer la session -- et le choix de langue partait avec le
  reste. Concretement : quelqu'un qui lisait la page de connexion en anglais
  se retrouvait en francais des qu'il se connectait.

  La langue est une preference d'affichage, pas un etat appartenant au
  compte. Les deux endroits la reportent maintenant explicitement, a cote du
  jeton CSRF. Quatre tests couvrent le cas, dont un qui verifie que corriger
  une cle preservee n'a pas fait tomber l'autre.

Detail de nommage : le convertisseur avait genere %(value)s pour une
expression conditionnelle, ce qui n'aide pas un traducteur. Renomme en
%(player)s.

Les 14 traductions ecrites avec une apostrophe droite sont normalisees en
apostrophe typographique. Sans consequence en HTML, ou ' s'affiche
correctement -- mais les blocs <script> ne decodent pas les entites, et
autant que le catalogue soit homogene.

200 tests.

Co-Authored-By: Claude Opus 5 <[email protected]>

tests/test_i18n.py

@@ -200,3 +200,93 @@ class TestSelectorUnit:
     def test_select_locale_returns_a_supported_code(self, app):
         with app.test_request_context('/'):
             assert select_locale() in SUPPORTED_LOCALES
+
+
+class TestLocaleSurvivesSessionRotation:
+    """Login and logout both call session.clear() — the language choice is a
+    display preference, not state belonging to the account, and used to be
+    discarded along with everything else.
+
+    Concretely: someone who read the login page in English and signed in was
+    dropped straight back into French.
+    """
+
+    def test_the_choice_survives_logging_in(self, client, as_role):
+        client.get('/lang/en')
+        as_role('player')
+
+        body = client.get('/users/profile').get_data(as_text=True)
+        assert 'lang="en"' in body
+        assert 'Dashboard' in body
+
+    def test_the_choice_survives_logging_out(self, client, as_role):
+        client.get('/lang/en')
+        as_role('player')
+        client.get('/auth/logout')
+
+        body = client.get('/auth/login').get_data(as_text=True)
+        assert 'lang="en"' in body
+        assert 'Sign In' in body
+
+    def test_french_also_survives_logging_in(self, client, as_role):
+        """The English browser case: an explicit French choice must hold."""
+        client.get('/lang/fr')
+        as_role('player')
+
+        body = client.get('/users/profile',
+                          headers={'Accept-Language': 'en-CA,en;q=0.9'}
+                          ).get_data(as_text=True)
+        assert 'lang="fr"' in body
+
+    def test_the_csrf_token_is_still_preserved(self, app, client, make_user, login):
+        """Guard against fixing one preserved key by dropping the other.
+
+        Seeded by hand rather than relying on Flask-WTF: the test fixture
+        runs with CSRF disabled, so no token would exist to preserve.
+        """
+        from app.extensions import db
+        from app.models import User
+
+        user_id = make_user('player')
+        with app.app_context():
+            username = db.session.get(User, user_id).username
+
+        with client.session_transaction() as sess:
+            sess['csrf_token'] = 'sentinel-token'
+            sess['locale'] = 'en'
+
+        login(username)
+
+        with client.session_transaction() as sess:
+            assert sess.get('csrf_token') == 'sentinel-token'
+            assert sess.get('locale') == 'en'
+
+
+class TestFlashMessagesAreTranslated:
+    def test_an_access_refusal_is_translated(self, client, as_role):
+        as_role('player')
+        body = client.get('/users', follow_redirects=True).get_data(as_text=True)
+        assert 'Seul le président peut gérer les utilisateurs.' in body
+
+    def test_a_validation_message_is_translated(self, client, as_role):
+        """From validators.py, which needs lazy_gettext: schema fields are
+        built at import time, before any request exists."""
+        as_role('admin')
+
+        body = client.post('/users/create', data={
+            'username': 'x', 'email': 'not-an-email',
+            'password': 'a', 'full_name': 'X', 'role': 'coach',
+        }, follow_redirects=True).get_data(as_text=True)
+
+        assert 'Le nom d' in body and 'utilisateur doit compter' in body
+
+    def test_a_message_with_a_value_keeps_it(self, client, as_role):
+        as_role('admin')
+
+        body = client.post('/users/create', data={
+            'username': 'recrue', 'email': '[email protected]',
+            'password': 'Password123', 'full_name': 'Nouvelle Recrue', 'role': 'coach',
+        }, follow_redirects=True).get_data(as_text=True)
+
+        assert 'Nouvelle Recrue' in body
+        assert 'créé avec le rôle coach' in body