@fastermessage/sdk 0.1.0 → 0.1.2

package/README.md

@@ -32,7 +32,7 @@ const message = await fm.sms.send({
 console.log(message.id, message.status); // queued
 ```
 
-Sur le domaine d'API de votre marque : `new FasterMessage({ ..., baseUrl: 'https://api.votre-marque.com' })`.
+Sur le domaine d'API de votre marque : `new FasterMessage({ ..., baseUrl: 'https://api.votre-marque.com' })`. L'adresse doit être en `https` : `http` n'est accepté que vers la machine locale.
 
 ## Ce que fait le SDK
 
@@ -61,7 +61,7 @@ WhatsApp et la voix ne sont pas encore servis par l'API v2.
 
 ## Rejeux sans double envoi
 
-Chaque écriture porte une clé `Idempotency-Key` générée. Le SDK rejoue seul, avec la même clé et deux fois au plus, une coupure réseau, un `5xx` (sauf `501`) et un `429` qui annonce `Retry-After`.
+Chaque écriture porte une clé `Idempotency-Key` générée. Le SDK rejoue seul, avec la même clé et deux fois au plus, une coupure réseau, un `5xx` (sauf `501`) et un `429` qui annonce `Retry-After` (60 secondes au plus : au-delà, il lève `RateLimitError` avec `retryAfter`).
 
 Passez votre propre clé pour survivre à un redémarrage de votre programme :
 

package/dist/cjs/client.js

@@ -4,6 +4,22 @@ exports.FasterMessage = exports.DEFAULT_BASE_URL = void 0;
 const http_js_1 = require("./http.js");
 const resources_js_1 = require("./resources.js");
 exports.DEFAULT_BASE_URL = 'https://api.fastermessage.com';
+const LOCAL_HOSTS = new Set(['localhost', '127.0.0.1', '[::1]']);
+/** Les identifiants ne partent qu'en https, sauf vers la machine locale. */
+function checkedBaseUrl(value) {
+    const message = 'baseUrl doit être une adresse https, sans identifiants (http seulement vers la machine locale).';
+    let url;
+    try {
+        url = new URL(value);
+    }
+    catch {
+        throw new TypeError(message);
+    }
+    const allowed = url.protocol === 'https:' || (url.protocol === 'http:' && LOCAL_HOSTS.has(url.hostname));
+    if (!allowed || !url.hostname || url.username || url.password || url.search || url.hash)
+        throw new TypeError(message);
+    return `${url.origin}${url.pathname}`.replace(/\/+$/, '');
+}
 /** Point d'entrée du SDK. Côté serveur seulement : il porte vos identifiants. */
 class FasterMessage {
     sms;
@@ -22,11 +38,15 @@ class FasterMessage {
         if ('window' in globalThis && 'document' in globalThis) {
             throw new Error('Le SDK FasterMessage ne s’utilise pas dans un navigateur : vos identifiants y seraient publics.');
         }
+        if (!/^[\x21-\x7e]+$/.test(apiKey)) {
+            // Le message ne cite jamais la valeur : il finirait dans vos journaux.
+            throw new TypeError('La clé d’API contient des caractères invalides : vérifiez son copier-coller.');
+        }
         this.#testMode = apiKey.includes('_test_');
         const http = new http_js_1.Requester({
             authorization: `Basic ${Buffer.from(`${username}:${password}`).toString('base64')}`,
             apiKey,
-            baseUrl: (options.baseUrl ?? exports.DEFAULT_BASE_URL).replace(/\/+$/, ''),
+            baseUrl: checkedBaseUrl(options.baseUrl ?? exports.DEFAULT_BASE_URL),
             timeout: options.timeout ?? 30_000,
             maxRetries: Math.max(0, options.maxRetries ?? 2),
             ...(options.fetch ? { fetch: options.fetch } : {}),

package/dist/cjs/http.d.ts

@@ -1,4 +1,4 @@
-export declare const VERSION = "0.1.0";
+export declare const VERSION = "0.1.2";
 export interface RequestOptions {
     /** Votre clé, pour survivre à un redémarrage de votre programme. */
     idempotencyKey?: string;

package/dist/cjs/http.js

@@ -3,7 +3,9 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.Requester = exports.VERSION = void 0;
 const node_crypto_1 = require("node:crypto");
 const errors_js_1 = require("./errors.js");
-exports.VERSION = '0.1.0';
+exports.VERSION = '0.1.2';
+/** Au-delà, le SDK ne bloque pas votre programme : il rend la main avec RateLimitError. */
+const MAX_RETRY_AFTER_SECONDS = 60;
 /** Un même appel rejoué garde sa clé : c'est ce qui rend une reprise sans risque. */
 const MUTATING = new Set(['POST', 'PATCH', 'PUT', 'DELETE']);
 /** Le chemin unique de tous les appels : en-têtes, idempotence, reprises, erreurs. */
@@ -13,6 +15,8 @@ class Requester {
         this.#config = config;
     }
     async request(method, path, { query, body, options = {} } = {}) {
+        checkHeader('idempotencyKey', options.idempotencyKey);
+        checkHeader('requestId', options.requestId);
         const url = this.#config.baseUrl + path + queryString(query);
         const headers = {
             Authorization: this.#config.authorization,
@@ -41,6 +45,8 @@ class Requester {
                     method,
                     headers,
                     ...(payload === undefined ? {} : { body: payload }),
+                    // Une redirection recopierait la clé d'API vers l'adresse de destination.
+                    redirect: 'manual',
                     signal: options.signal ? AbortSignal.any([options.signal, timeout]) : timeout,
                 });
                 text = await response.text();
@@ -56,7 +62,7 @@ class Requester {
                 await sleep(backoff(attempt));
                 continue;
             }
-            if (response.status < 400)
+            if (response.status < 300)
                 return decode(response, text);
             const failure = toError(response, text);
             const wait = retryDelay(failure, attempt);
@@ -67,6 +73,11 @@ class Requester {
     }
 }
 exports.Requester = Requester;
+function checkHeader(name, value) {
+    if (value !== undefined && !/^[\x20-\x7e]*$/.test(value)) {
+        throw new TypeError(`${name} contient des caractères invalides.`);
+    }
+}
 function queryString(query) {
     if (!query)
         return '';
@@ -84,8 +95,11 @@ function queryString(query) {
  * ne servirait à rien. Le 501 dit une fonction non servie, jamais une panne.
  */
 function retryDelay(failure, attempt) {
-    if (failure.status === 429)
-        return failure.retryAfter === null ? null : failure.retryAfter * 1000;
+    if (failure.status === 429) {
+        if (failure.retryAfter === null || failure.retryAfter > MAX_RETRY_AFTER_SECONDS)
+            return null;
+        return failure.retryAfter * 1000;
+    }
     if (failure.code === 'idempotency_key_in_flight')
         return backoff(attempt);
     if (failure.status >= 500 && failure.status !== 501)

package/dist/cjs/resources.js

@@ -1,7 +1,12 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.Account = exports.ContactGroups = exports.Contacts = exports.OtpResource = exports.Messages = exports.Email = exports.Sms = void 0;
-const segment = encodeURIComponent;
+function segment(id) {
+    // `..` changerait la route visée, et un identifiant vide viserait la collection.
+    if (id === '' || id === '.' || id === '..')
+        throw new TypeError('Identifiant de ressource invalide.');
+    return encodeURIComponent(id);
+}
 /** Parcourt toutes les pages, en demandant la suivante seulement quand il le faut. */
 async function* paginate(http, path, query) {
     let cursor = query.cursor;

package/dist/esm/client.js

@@ -1,6 +1,22 @@
 import { Requester } from './http.js';
 import { Account, ContactGroups, Contacts, Email, Messages, OtpResource, Sms } from './resources.js';
 export const DEFAULT_BASE_URL = 'https://api.fastermessage.com';
+const LOCAL_HOSTS = new Set(['localhost', '127.0.0.1', '[::1]']);
+/** Les identifiants ne partent qu'en https, sauf vers la machine locale. */
+function checkedBaseUrl(value) {
+    const message = 'baseUrl doit être une adresse https, sans identifiants (http seulement vers la machine locale).';
+    let url;
+    try {
+        url = new URL(value);
+    }
+    catch {
+        throw new TypeError(message);
+    }
+    const allowed = url.protocol === 'https:' || (url.protocol === 'http:' && LOCAL_HOSTS.has(url.hostname));
+    if (!allowed || !url.hostname || url.username || url.password || url.search || url.hash)
+        throw new TypeError(message);
+    return `${url.origin}${url.pathname}`.replace(/\/+$/, '');
+}
 /** Point d'entrée du SDK. Côté serveur seulement : il porte vos identifiants. */
 export class FasterMessage {
     sms;
@@ -19,11 +35,15 @@ export class FasterMessage {
         if ('window' in globalThis && 'document' in globalThis) {
             throw new Error('Le SDK FasterMessage ne s’utilise pas dans un navigateur : vos identifiants y seraient publics.');
         }
+        if (!/^[\x21-\x7e]+$/.test(apiKey)) {
+            // Le message ne cite jamais la valeur : il finirait dans vos journaux.
+            throw new TypeError('La clé d’API contient des caractères invalides : vérifiez son copier-coller.');
+        }
         this.#testMode = apiKey.includes('_test_');
         const http = new Requester({
             authorization: `Basic ${Buffer.from(`${username}:${password}`).toString('base64')}`,
             apiKey,
-            baseUrl: (options.baseUrl ?? DEFAULT_BASE_URL).replace(/\/+$/, ''),
+            baseUrl: checkedBaseUrl(options.baseUrl ?? DEFAULT_BASE_URL),
             timeout: options.timeout ?? 30_000,
             maxRetries: Math.max(0, options.maxRetries ?? 2),
             ...(options.fetch ? { fetch: options.fetch } : {}),

package/dist/esm/http.d.ts

@@ -1,4 +1,4 @@
-export declare const VERSION = "0.1.0";
+export declare const VERSION = "0.1.2";
 export interface RequestOptions {
     /** Votre clé, pour survivre à un redémarrage de votre programme. */
     idempotencyKey?: string;

package/dist/esm/http.js

@@ -1,6 +1,8 @@
 import { randomBytes } from 'node:crypto';
 import { ApiError, AuthenticationError, ConflictError, ConnectionError, InsufficientBalanceError, InvalidRequestError, NotFoundError, NotImplementedError, PermissionError, RateLimitError, ServerError, } from './errors.js';
-export const VERSION = '0.1.0';
+export const VERSION = '0.1.2';
+/** Au-delà, le SDK ne bloque pas votre programme : il rend la main avec RateLimitError. */
+const MAX_RETRY_AFTER_SECONDS = 60;
 /** Un même appel rejoué garde sa clé : c'est ce qui rend une reprise sans risque. */
 const MUTATING = new Set(['POST', 'PATCH', 'PUT', 'DELETE']);
 /** Le chemin unique de tous les appels : en-têtes, idempotence, reprises, erreurs. */
@@ -10,6 +12,8 @@ export class Requester {
         this.#config = config;
     }
     async request(method, path, { query, body, options = {} } = {}) {
+        checkHeader('idempotencyKey', options.idempotencyKey);
+        checkHeader('requestId', options.requestId);
         const url = this.#config.baseUrl + path + queryString(query);
         const headers = {
             Authorization: this.#config.authorization,
@@ -38,6 +42,8 @@ export class Requester {
                     method,
                     headers,
                     ...(payload === undefined ? {} : { body: payload }),
+                    // Une redirection recopierait la clé d'API vers l'adresse de destination.
+                    redirect: 'manual',
                     signal: options.signal ? AbortSignal.any([options.signal, timeout]) : timeout,
                 });
                 text = await response.text();
@@ -53,7 +59,7 @@ export class Requester {
                 await sleep(backoff(attempt));
                 continue;
             }
-            if (response.status < 400)
+            if (response.status < 300)
                 return decode(response, text);
             const failure = toError(response, text);
             const wait = retryDelay(failure, attempt);
@@ -63,6 +69,11 @@ export class Requester {
         }
     }
 }
+function checkHeader(name, value) {
+    if (value !== undefined && !/^[\x20-\x7e]*$/.test(value)) {
+        throw new TypeError(`${name} contient des caractères invalides.`);
+    }
+}
 function queryString(query) {
     if (!query)
         return '';
@@ -80,8 +91,11 @@ function queryString(query) {
  * ne servirait à rien. Le 501 dit une fonction non servie, jamais une panne.
  */
 function retryDelay(failure, attempt) {
-    if (failure.status === 429)
-        return failure.retryAfter === null ? null : failure.retryAfter * 1000;
+    if (failure.status === 429) {
+        if (failure.retryAfter === null || failure.retryAfter > MAX_RETRY_AFTER_SECONDS)
+            return null;
+        return failure.retryAfter * 1000;
+    }
     if (failure.code === 'idempotency_key_in_flight')
         return backoff(attempt);
     if (failure.status >= 500 && failure.status !== 501)

package/dist/esm/resources.js

@@ -1,4 +1,9 @@
-const segment = encodeURIComponent;
+function segment(id) {
+    // `..` changerait la route visée, et un identifiant vide viserait la collection.
+    if (id === '' || id === '.' || id === '..')
+        throw new TypeError('Identifiant de ressource invalide.');
+    return encodeURIComponent(id);
+}
 /** Parcourt toutes les pages, en demandant la suivante seulement quand il le faut. */
 async function* paginate(http, path, query) {
     let cursor = query.cursor;

package/package.json

@@ -1,23 +1,45 @@
 {
   "name": "@fastermessage/sdk",
-  "version": "0.1.0",
+  "version": "0.1.2",
   "description": "SDK Node.js officiel de l'API FasterMessage v2 : SMS, e-mail, OTP, contacts et webhooks.",
   "license": "MIT",
-  "keywords": ["fastermessage", "sms", "email", "otp", "api", "sdk"],
+  "keywords": [
+    "fastermessage",
+    "sms",
+    "email",
+    "otp",
+    "api",
+    "sdk"
+  ],
   "homepage": "https://www.fastermessage.com/docs",
-  "repository": { "type": "git", "url": "git+https://github.com/urbantech229/fastermessage-node.git" },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/urbantech229/fastermessage-node.git"
+  },
   "type": "module",
-  "engines": { "node": ">=20.3" },
+  "engines": {
+    "node": ">=20.3"
+  },
   "main": "./dist/cjs/index.js",
   "module": "./dist/esm/index.js",
   "types": "./dist/esm/index.d.ts",
   "exports": {
     ".": {
-      "import": { "types": "./dist/esm/index.d.ts", "default": "./dist/esm/index.js" },
-      "require": { "types": "./dist/cjs/index.d.ts", "default": "./dist/cjs/index.js" }
+      "import": {
+        "types": "./dist/esm/index.d.ts",
+        "default": "./dist/esm/index.js"
+      },
+      "require": {
+        "types": "./dist/cjs/index.d.ts",
+        "default": "./dist/cjs/index.js"
+      }
     }
   },
-  "files": ["dist", "LICENSE", "README.md"],
+  "files": [
+    "dist",
+    "LICENSE",
+    "README.md"
+  ],
   "sideEffects": false,
   "scripts": {
     "build": "node scripts/clean.mjs && tsc -p tsconfig.json && tsc -p tsconfig.cjs.json && node scripts/cjs-package.mjs",