ci: audit dependencies on every PR + bump happy-dom past RCE CVE

.github/workflows/ci.yml

@@ -29,6 +29,15 @@ jobs:
       - name: Test
         run: npm test
 
+      # Sécurité supply chain : fail si une vulnérabilité de niveau `high`
+      # ou `critical` est connue dans le graphe de dépendances. La base
+      # CVE GitHub Advisory est consultée à chaque run, on n'a rien à
+      # maintenir côté repo. --omit=dev pourrait filtrer les vulnérabilités
+      # qui ne touchent que le tooling de tests, mais ici l'arbre est
+      # 100% devDependencies — on audit tout.
+      - name: Audit dependencies
+        run: npm audit --audit-level=high
+
       # Bonus: validate manifest.json is parseable and the extension can
       # be packaged (catches mistakes that would only show up at install time).
       - name: Validate manifest

package.json

@@ -16,7 +16,7 @@
     "@vitest/coverage-v8": "^2.1.8",
     "eslint": "^9.17.0",
     "globals": "^15.14.0",
-    "happy-dom": "^15.11.7",
+    "happy-dom": "^20.9.0",
     "vitest": "^2.1.8"
   },
   "engines": {