-- Migration 026 : cookie "se souvenir de moi" securise (audit test.html, 28/07/2026).
-- Avant : setcookie('user', id.'_'.user_agent, ...) - valeur entierement reconstructible
-- (id sequentiel + user-agent, ni aleatoire ni signee). On stocke desormais un token aleatoire
-- hache (jamais le token en clair, meme principe que password_hash) avec expiration.

ALTER TABLE users
  ADD COLUMN remember_token varchar(255) NULL DEFAULT NULL,
  ADD COLUMN remember_token_expire datetime NULL DEFAULT NULL;
