Exposer les routes « J'y suis » et « Passer cette étape » du parcours en cours #503

Contexte

Epic : #14
Maquette : E-07 · validée le 2026-09-25
API › Favoris et programmation · Ecrans › E-07 · E-07 · D-029 · D-033 · D-095
Reste d'E-07 après #42 (PR #502, section « Ce qui n'est pas livré » ; Inbox). « J'y suis » n'atteint pas l'API (l'arrivée reste sur le téléphone, MMKV) et « Passer cette étape » n'a pas de route : les colonnes planned_steps.arrived_at et skipped_at existent depuis #129, le contrat des routes manque.

Contrat écrit le 2026-10-16 par D-095 (décision d'Ilan sur #418) dans API › Favoris et programmation. L'ordre de GET /me/planned (segment) est porté à part par #533.

Comportement attendu

• POST /me/planned/:id/steps/:stepId/arrived (« J'y suis ») : pose planned_steps.arrived_at une fois ; un second appel garde la première heure.
• POST /me/planned/:id/steps/:stepId/skip (« Passer cette étape ») : pose skipped_at, l'étape ne compte pas comme faite ; 409 conflict sur une étape déjà faite.
• DELETE /me/planned/:id/steps/:stepId/skip (« Annuler » du toast) : retire skipped_at, l'étape retrouve son état d'avant (en route, ou sur place si arrived_at est posé).
• Ces routes, comme done : réponse 200 PlannedRoute à jour ; 409 conflict hors d'un Go in_progress ; 404 not_found pour une étape inconnue ou la programmation d'un autre compte ; heure posée par l'API à la réception ; Cache-Control: no-store.
• GET /me/planned et GET /me/planned/:id portent, dans steps, { stepId, arrivedAt, doneAt, skippedAt } de chaque étape : un autre téléphone du même compte voit « Vous y êtes » ou « Passée ».
• Schémas dans packages/shared, sans seconde définition.

Critères d'acceptation

• « J'y suis » écrit arrived_at une seule fois ; l'heure reste la première (test API)
• « Passer » écrit skipped_at, son annulation le retire et rend l'état d'avant ; « Passer » une étape déjà faite répond 409 (tests API)
• 409 hors d'un Go in_progress, 404 pour une étape inconnue ou la programmation d'un autre compte (tests API)
• La lecture d'une programmation porte arrived_at et skipped_at de chaque étape, typés dans packages/shared
• La page API du wiki et le code disent la même chose (routes, codes d'erreur)

Notes techniques

• Nouvel endpoint authentifié : niveau 2 attendu (revue OWASP ciblée : contrôle de propriété de la programmation).
• nextStepMapsUrl (apps/api/src/planned/go.ts) saute déjà les étapes passées.
• L'app consomme ces routes dans le ticket mobile qui suit (bloqué par celui-ci).