diff --git a/CHANGELOG.md b/CHANGELOG.md
index 46f226c55..5b0147a2e 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,5 +1,78 @@
 # Changelog - Veza
 
+## [v1.0.7] - 2026-04-23
+
+Release final v1.0.7. Promotion de `v1.0.7-rc1` après cleanup session
+tier 1/2/3 + BFG history rewrite + réconciliation top-15 priorités.
+
+### Cleanup & hygiène repo
+
+- **BFG history rewrite** : `.git` passé de 2.3 GB à 66 MB (−97%).
+  Stripped : binaires Go (veza-api, migrate, modern-server, server),
+  kubectl vendoré (60 MB), audio uploads (44×.mp3), PNG racine (48),
+  `.playwright-mcp/` (36 YML), `.env*` committed, TLS certs, builds
+  Incus, reports E2E/lint, screenshots. Force-push stages 1 + 2 OK.
+- **Branch `chore/v1.0.7-cleanup` merge** : 10 commits cleanup +
+  1 commit audit-reconciliation (`778c8550`) mergés en fast-forward.
+- **`.gitignore`** : bloc J3 ajouté (post-BFG paths) complémentant
+  les blocs J1 (2026-04-14) et J2 (2026-04-20).
+
+### Hardening backend
+
+- **`b5281bec`** : `core/marketplace/service.go` wrap
+  `UpdateProductImages` et `SetProductLicenses` dans une transaction
+  GORM (évite l'état `DELETE` puis `CREATE` partiellement réussi).
+- **`ebf3276d`** : `middleware.UserRateLimiter` wiré dans
+  `AuthMiddleware.RequireAuth()` (BE-SVC-002). Auparavant configuré
+  mais jamais appelé — rate limit per-user effectif après chaque
+  RequireAuth sur toute route. Env vars :
+  `USER_RATE_LIMIT_PER_MINUTE` (1000 défaut), `USER_RATE_LIMIT_BURST`
+  (100 défaut).
+
+### Orphelins supprimés
+
+- `veza-backend-api/internal/api/handlers/{chat,rbac,rbac_test}.go`
+  (−1142 LOC — handlers dépréciés marqués DEPRECATED).
+- `veza-backend-api/internal/repository/user_repository.go`
+  (mock in-mem orphelin).
+- `proto/chat/chat.proto` + `veza-common/src/types/{chat,websocket}.rs`
+  (orphelins depuis suppression chat Rust 2026-02-22).
+- 19 workflows `.disabled` archivés dans `docs/archive/workflows/`.
+
+### Fixes CI/hooks
+
+- **`4310dbb7`** : pinning MinIO + mc aux tags datés
+  `RELEASE.2025-09-07*` dans 4 compose files (supply-chain).
+- **`12f873bd`** : fix double-bug `.husky/pre-commit` :
+  - récursion `cd apps/web && ...` causait typecheck/lint/tests
+    silencieusement no-op.
+  - grep lint `"error"` matchait `"(0 errors, K warnings)"` →
+    regex strict `\([1-9][0-9]* error`.
+
+### Documentation
+
+- **`7d03ee66`** : réécriture complète de `docs/ENV_VARIABLES.md`
+  (172 → ~600 lignes) couvrant ~180 env vars survey directement
+  du code. 30 sections, 8 règles de validation prod, 14 vars
+  dépréciées listées, 11 drift findings.
+- `.env.template` : ajout `HLS_STREAMING=false` + `HLS_STORAGE_DIR`
+  avec documentation du fallback `/tracks/:id/stream` Range
+  (FUNCTIONAL_AUDIT §4 item 5).
+- Audits (`AUDIT_REPORT.md` + `FUNCTIONAL_AUDIT.md`) mis à jour pour
+  refléter le cleanup session : 10/15 items done, 3 false-positives
+  classés (#4 context, #5 CSP, #10 RespondWithAppError), 2 deferrals
+  v1.0.8 (#8 OpenAPI typegen, #14 E2E CI).
+
+### Deferrals v1.0.8
+
+- OpenAPI typegen finish (5j, plan séparé requis).
+- E2E Playwright CI trigger (3j).
+- MinIO/S3 dans path upload (2-3j, FUNCTIONAL §4 item 2).
+- STUN/TURN WebRTC si calls public (1-2j).
+- Item G subscription `pending_payment` (v107-plan §G).
+
+---
+
 ## [v1.0.7-rc1] - 2026-04-19
 
 Release-candidate tag for v1.0.7. Items A through F of the
diff --git a/VERSION b/VERSION
index ca8f40a39..238d6e882 100644
--- a/VERSION
+++ b/VERSION
@@ -1 +1 @@
-1.0.7-rc1
+1.0.7