@fraza/core 0.3.8 → 0.3.10

package/CHANGELOG.md

@@ -4,6 +4,22 @@ Historique des versions publiées de `@fraza/core`.
 
 Ce fichier est généré par `fraza-module changelog` à partir des messages de commit. Ne pas le modifier à la main.
 
+## 0.3.10 (2026-10-25)
+
+### Autres
+
+- Update dependencies, fix vulnerabilities (23dbec5)
+
+## 0.3.9 (2026-10-25)
+
+### Refontes
+
+- **docs/06-modules** : reorganize module documentation into numbered files (9c93a28)
+
+### Documentation
+
+- reorder and update installation instructions (254c39d)
+
 ## 0.3.8 (2026-10-25)
 
 ### Documentation

package/THIRD-PARTY-NOTICES.md

@@ -19,7 +19,7 @@ Il est généré par `fraza-module notices` à partir de l'arbre réellement ins
 
 | Paquet | Version | Licence |
 |---|---|---|
-| `@fraza/icons` | 0.3.10 | MIT |
+| `@fraza/icons` | 0.3.16 | MIT |
 | `node-cron` | 4.2.1 | ISC |
 | `pg` | 8.20.0 | MIT |
 | `pg-cloudflare` | 1.3.0 | MIT |
@@ -146,7 +146,7 @@ OTHER DEALINGS IN THE FONT SOFTWARE.
 
 ## Textes de licence
 
-### @fraza/icons@0.3.10
+### @fraza/icons@0.3.16
 
 Licence : MIT
 

package/changelog.json

@@ -1,6 +1,49 @@
 {
   "name": "@fraza/core",
   "versions": [
+    {
+      "version": "0.3.10",
+      "date": "2026-10-25",
+      "breaking": [],
+      "envAdded": [],
+      "envRemoved": [],
+      "templateChanged": [],
+      "action": [],
+      "entries": [
+        {
+          "type": "Chore",
+          "scope": null,
+          "subject": "Update dependencies, fix vulnerabilities",
+          "hash": "23dbec5",
+          "breaking": false
+        }
+      ]
+    },
+    {
+      "version": "0.3.9",
+      "date": "2026-10-25",
+      "breaking": [],
+      "envAdded": [],
+      "envRemoved": [],
+      "templateChanged": [],
+      "action": [],
+      "entries": [
+        {
+          "type": "docs",
+          "scope": null,
+          "subject": "reorder and update installation instructions",
+          "hash": "254c39d",
+          "breaking": false
+        },
+        {
+          "type": "refactor",
+          "scope": "docs/06-modules",
+          "subject": "reorganize module documentation into numbered files",
+          "hash": "9c93a28",
+          "breaking": false
+        }
+      ]
+    },
     {
       "version": "0.3.8",
       "date": "2026-10-25",

package/dist/docs/00-decouverte/01-qu-est-ce-que-fraza.md

@@ -69,7 +69,7 @@ Le core et les modules gratuits, publiés sous `@fraza/`, relèvent de la licenc
 
 ## L'accès
 
-Le core, `@fraza/start` et les modules gratuits, sous le scope `@fraza`, sont publiés sur npmjs et s'installent sans compte ni configuration. Chaque version est aussi publiée sur le registre `https://registry.fraza.ca/`, en copie de secours. Les modules Pro vivent sous le scope `@fraza-pro`, sur ce registre seulement, qui ne les sert qu'avec les identifiants délivrés avec la licence. L'accès est décrit dans [Installation](../01-demarrage/01-installation.md).
+Le core, `@fraza/start` et les modules gratuits, sous le scope `@fraza`, sont publiés sur npmjs et s'installent sans compte ni configuration. Les modules Pro vivent sous le scope `@fraza-pro`, sur le registre `https://registry.fraza.ca/`, qui ne les sert qu'avec les identifiants délivrés avec la licence. L'accès est décrit dans [Installation](../01-demarrage/01-installation.md).
 
 ## Étape suivante
 

package/dist/docs/01-demarrage/01-installation.md

@@ -1,6 +1,6 @@
 ---
 title: Installation
-description: Configurer le registre Fraza, générer un projet avec npx @fraza/start et initialiser la base.
+description: Générer un projet avec npx @fraza/start, configurer l'environnement et initialiser la base.
 related:
   title: Étapes suivantes
   links:
@@ -8,7 +8,7 @@ related:
     - 01-demarrage/03-configuration
 ---
 
-Un projet Fraza se génère par une seule commande. Cette page couvre l'accès au registre, la génération et le premier démarrage.
+Un projet Fraza se génère par une seule commande. Le core, `@fraza/start` et les modules gratuits viennent de npmjs, le registre par défaut de npm : il n'y a rien à configurer ni de compte à créer. Cette page couvre la génération et le premier démarrage.
 
 ## Prérequis
 
@@ -17,13 +17,7 @@ Un projet Fraza se génère par une seule commande. Cette page couvre l'accès a
 - Un compte sur le registre `https://registry.fraza.ca/`, seulement pour les modules Pro.
 - Un terminal bash, zsh ou PowerShell. Sous Windows, les commandes de cette documentation sont écrites pour PowerShell, pas pour l'invite `cmd.exe`.
 
-## 1. Le registre
-
-Rien à configurer. Le core, `@fraza/start` et les modules gratuits sont publiés sur npmjs, le registre par défaut de npm : aucune ligne de configuration ni connexion n'est demandée. Seuls les modules Pro passent par le registre Fraza, avec un compte : voir [Modules Pro](#modules-pro).
-
-Chaque version gratuite est aussi publiée sur `https://registry.fraza.ca/`, en copie de secours. Si npmjs devient indisponible, voir [Basculer sur le registre de secours](../02-guides/basculer-sur-le-registre-de-secours.md).
-
-## 2. Générer le projet
+## 1. Générer le projet
 
 ```bash
 npx @fraza/start
@@ -37,11 +31,11 @@ La commande enchaîne :
 2. L'écriture d'un `README.md` au nom du projet et l'ajout des scripts `dev`, `build`, `postinstall` et `audit`. Les trois premiers sont préfixés par `fraza-modules sync`.
 3. La copie des fichiers de gabarit : `app/`, `components/`, `styles/`, `instrumentation.js`, `theme.js`, `jsconfig.json`. Le `next.config.mjs` de `create-next-app` est conservé, car c'est lui qui branche Tailwind : seul `devIndicators: false` y est ajouté.
 4. Le `.gitignore` : les règles `.env*` de `create-next-app` restent actives, `!.env.example` rend le modèle à git, et `app/.fraza/` s'ajoute. Le `.npmrc` n'est pas ignoré.
-5. L'écriture du `.npmrc` du projet : les scopes `@fraza` et `@fraza-pro` vers le registre, sans token. Le token ne sert qu'aux modules Pro, et `npx fraza-key` l'ajoute le jour où le projet en installe un.
+5. L'écriture du `.npmrc` du projet : la ligne de scope `@fraza-pro`, sans token. Elle ne sert qu'aux modules Pro, et `npx fraza-key` y ajoute le token le jour où le projet en installe un.
 6. L'installation de `@fraza/core`.
 7. La création de `.env.example`, copie du modèle du package sans aucune valeur secrète, et de `.env.local`, la même copie avec `FRAZA_ENCRYPTION_KEY` générée et `NEXT_PUBLIC_URL` locale. Un fichier qui existe déjà n'est pas remplacé.
 
-## 3. Configurer l'environnement
+## 2. Configurer l'environnement
 
 Les valeurs de la machine vont dans `.env.local`, que git ignore. Le CLI l'a créé à partir de `node_modules/@fraza/core/.env.example`, avec la clé de chiffrement déjà générée. Il reste à le remplir avant de démarrer.
 
@@ -55,7 +49,7 @@ FRAZA_DATABASE_URL=postgres://user:password@localhost:5432/mon_projet
 
 `.env.example`, lui, est suivi par git et ne porte que des noms de variables et des valeurs sans secret. Il ne se charge pas : il sert de modèle à une nouvelle machine, qui le copie en `.env.local`. Le détail de chaque variable est dans [Configuration](./03-configuration.md), et la règle complète dans [Secrets et git](#secrets-et-git).
 
-## 4. Initialiser la base
+## 3. Initialiser la base
 
 ```bash
 npx fraza-db test   # vérifier la connexion
@@ -69,7 +63,7 @@ npx fraza-db init   # créer les tables
 
 La commande est idempotente : la relancer après chaque ajout de module ne casse rien.
 
-## 5. Démarrer
+## 4. Démarrer
 
 ```bash
 npm run dev
@@ -92,7 +86,7 @@ npm config set "@fraza-pro:registry" https://registry.fraza.ca/
 npm login --registry=https://registry.fraza.ca/
 ```
 
-Le token est déposé dans `~/.npmrc`, le `.npmrc` du dossier personnel : `%USERPROFILE%\.npmrc` sous Windows. Il est lié à l'hôte du registre, pas au scope : la même ligne sert à `@fraza-pro`, et à `@fraza` pour un projet passé sur le registre de secours. Il n'expire pas dans le temps : il cesse de fonctionner seulement si le secret du serveur change, si le mot de passe est modifié, ou si le compte est révoqué.
+Le token est déposé dans `~/.npmrc`, le `.npmrc` du dossier personnel : `%USERPROFILE%\.npmrc` sous Windows. Il n'expire pas dans le temps : il cesse de fonctionner seulement si le secret du serveur change, si le mot de passe est modifié, ou si le compte est révoqué.
 
 Écrire ensuite le token dans le `.npmrc` du projet. La commande se relance après chaque nouveau `npm login` :
 
@@ -126,7 +120,7 @@ Le `.npmrc`, lui, reste suivi par git. Il pointe le scope `@fraza-pro` vers `htt
 
 | Symptôme | Cause probable |
 |---|---|
-| `404 Not Found - @fraza/core` à l'installation | Une ligne `@fraza:registry` du `.npmrc` du projet ou de `~/.npmrc` pointe vers un registre qui n'a pas le paquet. La retirer pour revenir à npmjs, ou la pointer vers `https://registry.fraza.ca/`. |
+| `404 Not Found - @fraza/core` à l'installation | Une ligne `@fraza:registry` du `.npmrc` du projet ou de `~/.npmrc` pointe vers un registre qui n'a pas le paquet. La retirer pour revenir à npmjs. |
 | npmjs injoignable, ou `@fraza/core` retiré de npmjs | Voir [Basculer sur le registre de secours](../02-guides/basculer-sur-le-registre-de-secours.md). |
 | `401` ou `404` sur un `@fraza-pro/module-*` | Ligne `@fraza-pro:registry` ou token absent du `.npmrc`. Voir [Modules Pro](#modules-pro) : `npm login` puis `npx fraza-key`. |
 | `FRAZA_DATABASE_URL is not defined` | `.env.local` non rempli, ou variable absente de la plateforme en production. |

package/dist/docs/01-demarrage/02-tour-du-proprietaire.md

@@ -78,7 +78,7 @@ npm run dev
 
 Une section **Pages** apparaît dans la barre latérale. Ouvrir `/admin/pages`, créer une page, lui donner un titre et un slug, ajouter quelques blocs, la passer en visible, enregistrer. L'URL publique complète est affichée sous le champ slug, et le bouton de lien de la liste l'ouvre dans un nouvel onglet.
 
-La page est en ligne. Le détail de l'écran est dans [Administration du module Pages](../06-modules/pages/admin.md), et les variantes d'installation dans [Installation](../06-modules/pages/installation.md).
+La page est en ligne. Le détail de l'écran est dans [Administration du module Pages](../06-modules/pages/03-admin.md), et les variantes d'installation dans [Installation](../06-modules/pages/01-installation.md).
 
 ## Ce qui vient de se passer
 

package/dist/docs/01-demarrage/03-configuration.md

@@ -168,7 +168,7 @@ node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
 STRIPE_WEBHOOK_SECRET=whsec_…
 ```
 
-Le core sert l'endpoint de webhook Stripe et vérifie la signature de chaque événement, sans le SDK Stripe. `STRIPE_WEBHOOK_SECRET` suffit à l'activer : sans lui, la route répond 404. Les appels sortants vers Stripe (sessions de paiement, remboursements) appartiennent au module qui encaisse, avec son propre SDK. Le module de [facturation](../06-modules/facturation/configuration.md) demande aussi `STRIPE_SECRET_KEY`.
+Le core sert l'endpoint de webhook Stripe et vérifie la signature de chaque événement, sans le SDK Stripe. `STRIPE_WEBHOOK_SECRET` suffit à l'activer : sans lui, la route répond 404. Les appels sortants vers Stripe (sessions de paiement, remboursements) appartiennent au module qui encaisse, avec son propre SDK. Le module de [facturation](../06-modules/facturation/02-configuration.md) demande aussi `STRIPE_SECRET_KEY`.
 
 ### Récupérer la clé secrète
 

package/dist/docs/02-guides/accepter-des-paiements.md

@@ -8,7 +8,7 @@ related:
     - 03-reference/01-cores/api
 ---
 
-Le core sert l'endpoint de webhook Stripe et vérifie la signature de chaque événement. Les appels vers Stripe, eux, passent par le SDK officiel, que le projet installe. Ce guide couvre le parcours complet d'un paiement unique par Checkout, le plus court chemin vers un encaissement fiable. Le module de [facturation](../06-modules/facturation/paiements.md) fait déjà tout cela pour les factures.
+Le core sert l'endpoint de webhook Stripe et vérifie la signature de chaque événement. Les appels vers Stripe, eux, passent par le SDK officiel, que le projet installe. Ce guide couvre le parcours complet d'un paiement unique par Checkout, le plus court chemin vers un encaissement fiable. Le module de [facturation](../06-modules/facturation/05-paiements.md) fait déjà tout cela pour les factures.
 
 ## Configuration
 

package/dist/docs/02-guides/basculer-sur-le-registre-de-secours.md

@@ -1,6 +1,6 @@
 ---
 title: Basculer sur le registre de secours
-description: Installer @fraza/* depuis registry.fraza.ca quand npmjs est indisponible, puis revenir à npmjs.
+description: Installer @fraza/* depuis registry.fraza.ca quand npmjs est indisponible ou par choix, puis revenir à npmjs.
 related:
   title: Étapes suivantes
   links:
@@ -8,11 +8,11 @@ related:
     - 02-guides/mettre-a-jour-un-projet
 ---
 
-Ce guide s'adresse à qui doit installer ou déployer un projet Fraza pendant que npmjs ne sert plus les paquets `@fraza/*` : panne de npmjs, ou paquet retiré de npmjs.
+Un projet installe `@fraza/*` depuis npmjs par défaut. Ce guide s'adresse à qui veut l'installer depuis le registre Fraza à la place : en urgence, pendant que npmjs ne sert plus les paquets (panne de npmjs, paquet retiré de npmjs), ou par choix.
 
 ## Pourquoi c'est possible
 
-Le core, `@fraza/start` et les modules gratuits sont publiés sur npmjs, d'où un projet les installe par défaut. Chaque version publiée sur npmjs l'est aussi sur `https://registry.fraza.ca/`, en copie de secours, en lecture libre. Ce registre porte en plus des versions intermédiaires, publiées pour tester un changement, qui ne vont pas sur npmjs.
+Chaque version de `@fraza/*` publiée sur npmjs l'est aussi sur `https://registry.fraza.ca/`, en copie de secours, en lecture libre. Ce registre porte en plus des versions intermédiaires, publiées pour tester un changement, qui ne vont pas sur npmjs.
 
 Les deux registres reçoivent le même fichier, octet pour octet : la commande de publication construit un seul tarball et l'envoie aux deux. Le `package-lock.json` vérifie l'empreinte (`integrity`) de chaque paquet installé. Comme l'empreinte est la même sur les deux registres, le lockfile reste valable après la bascule.
 

package/dist/docs/02-guides/blocs-personnalises.md

@@ -73,7 +73,7 @@ Champs disponibles : `TextField`, `TextareaField`, `NumberField`, `SelectField`,
 
 `IconField` propose tout le jeu `@fraza/icons` et stocke le nom choisi. Le rendu du bloc l'affiche avec `<Icon name={item.icon} />` de `@fraza/core/shared/components/Icon`, qui ne charge que cette icône. Aucune liste à tenir dans le projet. Voir [Sélecteur d'icône d'un bloc](../03-reference/04-partage/icones.md#sélecteur-dicône-dun-bloc).
 
-`ImageField` passe par le sélecteur de [`@fraza/module-medias`](../06-modules/medias/index.md) et se masque quand le module est absent. Voir [Intégrer les médias](../06-modules/medias/integration.md).
+`ImageField` passe par le sélecteur de [`@fraza/module-medias`](../06-modules/medias/index.md) et se masque quand le module est absent. Voir [Intégrer les médias](../06-modules/medias/05-integration.md).
 
 ### `render.js`
 

package/dist/docs/02-guides/gerer-les-medias.md

@@ -24,7 +24,7 @@ npm install @fraza/module-medias
 FRAZA_MODULE_MEDIAS=true
 ```
 
-Le détail de l'installation, dont la route de fichier à monter dans le projet, est dans [Installer le module Médias](../06-modules/medias/installation.md).
+Le détail de l'installation, dont la route de fichier à monter dans le projet, est dans [Installer le module Médias](../06-modules/medias/01-installation.md).
 
 ```bash
 npx fraza-db init

package/dist/docs/02-guides/index.md

@@ -56,6 +56,6 @@ Pour savoir lesquels vont ensemble, et dans quel ordre, [Que peut-on construire]
 
 | Guide | Besoin |
 |---|---|
-| [Basculer sur le registre de secours](./basculer-sur-le-registre-de-secours.md) | Installer `@fraza/*` depuis le registre Fraza quand npmjs est indisponible. |
+| [Basculer sur le registre de secours](./basculer-sur-le-registre-de-secours.md) | Installer `@fraza/*` depuis le registre Fraza quand npmjs est indisponible, ou par choix. |
 
 Pour le détail d'une signature ou d'une option, voir la [Référence](../03-reference/index.md).

package/dist/docs/02-guides/seo-et-metadonnees.md

@@ -129,7 +129,7 @@ Un contenu dont la zone SEO est vide n'a pas de raison de sortir sans descriptio
 
 Passez ces deux valeurs aux quatre endroits de ce guide, pas seulement au rendu : `SeoFields` les affiche en filigrane, `SeoScoreBadge` et `computeSeoScore` les comptent dans le score. Sans cela l'éditeur signale une description manquante alors que la page publique en émet une.
 
-`@fraza/module-posts` en donne un exemple complet : il dérive la description d'un champ `text` ou `editor` et l'image d'un champ `thumbnail` ou `image`, avec un drapeau de configuration pour désigner explicitement la source. Voir [Repli SEO automatique](../06-modules/posts/types-et-champs.md#repli-seo-automatique).
+`@fraza/module-posts` en donne un exemple complet : il dérive la description d'un champ `text` ou `editor` et l'image d'un champ `thumbnail` ou `image`, avec un drapeau de configuration pour désigner explicitement la source. Voir [Repli SEO automatique](../06-modules/posts/03-types-et-champs.md#repli-seo-automatique).
 
 ## Tokens
 

package/dist/docs/03-reference/01-cores/templates.md

@@ -22,7 +22,7 @@ Registre **purement serveur**. Voir les notes pour la raison : ce n'est pas un o
 
 ## Qui alimente le registre
 
-1. Le projet hôte dépose un fichier dans `components/fraza/templates/<id>.js` exportant `meta` et un composant par défaut. Le CLI `fraza-modules sync` génère le manifeste `app/.fraza/templates.server.js` qui appelle `registerTemplate` au boot. C'est de là que vient le template `default` de [`@fraza/module-pages`](../../06-modules/pages/templates.md), qui n'en enregistre aucun lui-même. [`@fraza/module-posts`](../../06-modules/posts/templates.md) en enregistre un par type déclaré, que le projet remplace en reprenant le même identifiant : le manifeste enregistre les templates du projet avec `override: true`.
+1. Le projet hôte dépose un fichier dans `components/fraza/templates/<id>.js` exportant `meta` et un composant par défaut. Le CLI `fraza-modules sync` génère le manifeste `app/.fraza/templates.server.js` qui appelle `registerTemplate` au boot. C'est de là que vient le template `default` de [`@fraza/module-pages`](../../06-modules/pages/05-templates.md), qui n'en enregistre aucun lui-même. [`@fraza/module-posts`](../../06-modules/posts/07-templates.md) en enregistre un par type déclaré, que le projet remplace en reprenant le même identifiant : le manifeste enregistre les templates du projet avec `override: true`.
 2. Un module peut enregistrer un template à l'exécution via l'API impérative, quand l'identifiant dépend d'une condition inconnue au build.
 
 ## API
@@ -63,8 +63,8 @@ Le registre est agnostique : ce sont les modules qui décident des props passée
 
 | `kind` | Props |
 |---|---|
-| `'page'` | `{ page, blocks, url, breadcrumb }`. Voir [Templates de page](../../06-modules/pages/templates.md). |
-| `'post'` | `{ post, blocks, url, breadcrumb }`. Voir [Templates de post](../../06-modules/posts/templates.md). |
+| `'page'` | `{ page, blocks, url, breadcrumb }`. Voir [Templates de page](../../06-modules/pages/05-templates.md). |
+| `'post'` | `{ post, blocks, url, breadcrumb }`. Voir [Templates de post](../../06-modules/posts/07-templates.md). |
 
 Le template est **responsable du rendu des blocs**. Il importe son propre `<Content>` depuis `components/fraza/templates/content.js` et l'utilise avec `<Content blocks={blocks} />`. Aucun `children` n'est injecté implicitement : le template a la main complète sur sa JSX.
 

package/dist/docs/03-reference/03-registres/media-registry.md

@@ -10,7 +10,7 @@ related:
 
 Le gestionnaire de médias est distribué comme un module externe, [`@fraza/module-medias`](../../06-modules/medias/index.md). Le core ne dépend pas de ce package : il fournit un **registre** que le module remplit au runtime.
 
-Un module tiers peut donc téléverser un fichier et attacher des médias à son contenu sans déclarer `@fraza/module-medias` en dépendance, et sans conditionner ses appels. Le mode d'emploi côté consommateur est dans [Intégrer les médias](../../06-modules/medias/integration.md).
+Un module tiers peut donc téléverser un fichier et attacher des médias à son contenu sans déclarer `@fraza/module-medias` en dépendance, et sans conditionner ses appels. Le mode d'emploi côté consommateur est dans [Intégrer les médias](../../06-modules/medias/05-integration.md).
 
 Quand le module est absent ou désactivé (`FRAZA_MODULE_MEDIAS` différent de `true`), les façades restent appelables et se comportent de façon **neutre** : les lectures retournent vide, les écritures retournent un échec explicite, `getMediaPicker()` retourne `null`. Le code consommateur reste naïf.
 
@@ -72,7 +72,7 @@ Chaque façade transmet ses arguments au module tels quels. `client` y désigne
 
 La taille enregistrée d'un fichier est celle des octets stockés, après optimisation : un ancien paramètre `size` d'`uploadMedia` ou de `replaceMedia` est ignoré.
 
-Le détail du comportement de chaque écriture, avec le module actif, est dans [Téléversement](../../06-modules/medias/televersement.md) et [API](../../06-modules/medias/api.md).
+Le détail du comportement de chaque écriture, avec le module actif, est dans [Téléversement](../../06-modules/medias/03-televersement.md) et [API](../../06-modules/medias/07-api.md).
 
 ```js
 import { attachMedia, detachAllForSource } from '@fraza/core/media-registry';
@@ -119,7 +119,7 @@ const url = buildMediaUrl(result.media);
 
 `uploadedBy` est optionnel. Omis, la colonne `uploaded_by` reste nulle et la médiathèque n'affiche aucun auteur, ce qui est exact pour un dépôt machine. La colonne porte une clé étrangère vers la table des utilisateurs : seul un identifiant réel, ou rien, est accepté. Un identifiant inventé fait échouer l'enregistrement.
 
-Les formats, les tailles et les validations sont les mêmes que pour un téléversement depuis l'interface : la règle vit dans la fonction, pas dans la route. Voir [Téléversement](../../06-modules/medias/televersement.md).
+Les formats, les tailles et les validations sont les mêmes que pour un téléversement depuis l'interface : la règle vit dans la fonction, pas dans la route. Voir [Téléversement](../../06-modules/medias/03-televersement.md).
 
 `deleteMedia` refuse un média encore référencé. Interroger `countReferences` avant, ou lire le champ `referenceCount` de l'échec.
 
@@ -167,7 +167,7 @@ Vérifier `isMediaPickerAvailable()` **avant** de rendre : `getMediaPicker()` re
 | `initialSelected` | Tableau de médias déjà retenus, affichés cochés à l'ouverture. Mode multiple. |
 | `title` | Titre de la fenêtre. |
 
-En mode multiple, la sélection retient les objets média et survit donc à la pagination et aux filtres, `onSelect` rend le tableau dans l'ordre où la sélection a été constituée, et le téléversement accepte plusieurs fichiers. Voir [Intégrer les médias](../../06-modules/medias/integration.md).
+En mode multiple, la sélection retient les objets média et survit donc à la pagination et aux filtres, `onSelect` rend le tableau dans l'ordre où la sélection a été constituée, et le téléversement accepte plusieurs fichiers. Voir [Intégrer les médias](../../06-modules/medias/05-integration.md).
 
 ## Route fichier
 

package/dist/docs/03-reference/05-cli/fraza-key.md

@@ -74,7 +74,7 @@ Le registre Fraza tourne sous Verdaccio, qui ne sert pas la route de `npm access
 
 ## Basculer sur le registre de secours
 
-`secours` et `npmjs` changent le registre d'où le projet installe `@fraza/*`, pour une panne de npmjs ou un paquet retiré de npmjs. Ils écrivent le `.npmrc` et réécrivent l'hôte des adresses `@fraza/*` du `package-lock.json` : sans cette réécriture, `npm ci` retournerait chercher les paquets sur l'hôte d'origine. Lancer ensuite `npm install`, puis committer les deux fichiers. Voir [Basculer sur le registre de secours](../../02-guides/basculer-sur-le-registre-de-secours.md).
+`secours` et `npmjs` changent le registre d'où le projet installe `@fraza/*`, pour une panne de npmjs, un paquet retiré de npmjs, ou par choix. Ils écrivent le `.npmrc` et réécrivent l'hôte des adresses `@fraza/*` du `package-lock.json` : sans cette réécriture, `npm ci` retournerait chercher les paquets sur l'hôte d'origine. Lancer ensuite `npm install`, puis committer les deux fichiers. Voir [Basculer sur le registre de secours](../../02-guides/basculer-sur-le-registre-de-secours.md).
 
 ## Quand la lancer
 

package/dist/docs/03-reference/06-configuration/paquets-supportes.md

@@ -32,7 +32,7 @@ Trois informations distinctes qu'un simple champ `peerDependencies` ne porte pas
     "node": { "floor": "20.12.0", "range": ">=20.12.0", "tested": "22.0.0" }
   },
   "packages": {
-    "next":  { "floor": "16.0.0", "range": ">=16.0.0 <17.0.0", "tested": "16.3.8" },
+    "next":  { "floor": "16.0.0", "range": ">=16.0.0 <17.0.0", "tested": "16.4.3" },
     "sharp": { "floor": "0.35.0", "range": ">=0.35.0 <1.0.0", "tested": "0.35.5",
                "requiredBy": ["@fraza/module-medias"] }
   }

package/dist/docs/03-reference/06-configuration/variables-d-environnement.md

@@ -142,7 +142,7 @@ Les variables `FRAZA_EMAIL_FROM_*` et `FRAZA_EMAIL_LOGO*` servent les deux fourn
 |---|---|---|---|
 | `STRIPE_WEBHOOK_SECRET` | — | `core/payments` | Secret de signature de l'endpoint de webhook (`whsec_…`). Sans lui, la route répond 404. |
 
-Le core ne garde de Stripe que l'endpoint de webhook, et il vérifie la signature sans le SDK. `STRIPE_SECRET_KEY` appartient au module qui appelle Stripe, la [facturation](../../06-modules/facturation/configuration.md) par exemple, et se déclare dans son manifeste.
+Le core ne garde de Stripe que l'endpoint de webhook, et il vérifie la signature sans le SDK. `STRIPE_SECRET_KEY` appartient au module qui appelle Stripe, la [facturation](../../06-modules/facturation/02-configuration.md) par exemple, et se déclare dans son manifeste.
 
 ## Authentification
 
@@ -208,7 +208,7 @@ La tuile `update` du tableau de bord lit la même variable, mais elle n'a aucune
 
 ## Variables d'un module
 
-Chaque module, `@fraza/module-*` ou `@fraza-pro/module-*`, déclare ses propres variables dans `manifest.envVars`. Leur effet est documenté module par module : [Pages](../../06-modules/pages/configuration.md), [Posts](../../06-modules/posts/configuration.md), [Médias](../../06-modules/medias/configuration.md), [Formulaires](../../06-modules/forms/configuration.md), [Facturation](../../06-modules/facturation/configuration.md), [Fichiers](../../06-modules/drive/configuration.md), [Rendez-vous](../../06-modules/booking/configuration.md). Une variable `required: true` absente produit un avertissement au boot, sans faire tomber le serveur : le module gère son propre repli. `fraza-doctor`, lui, la signale comme bloquante ; il reste muet sur les optionnelles absentes, dont la valeur par défaut suffit.
+Chaque module, `@fraza/module-*` ou `@fraza-pro/module-*`, déclare ses propres variables dans `manifest.envVars`. Leur effet est documenté module par module : [Pages](../../06-modules/pages/02-configuration.md), [Posts](../../06-modules/posts/02-configuration.md), [Médias](../../06-modules/medias/02-configuration.md), [Formulaires](../../06-modules/forms/02-configuration.md), [Facturation](../../06-modules/facturation/02-configuration.md), [Fichiers](../../06-modules/drive/02-configuration.md), [Rendez-vous](../../06-modules/booking/02-configuration.md). Une variable `required: true` absente produit un avertissement au boot, sans faire tomber le serveur : le module gère son propre repli. `fraza-doctor`, lui, la signale comme bloquante ; il reste muet sur les optionnelles absentes, dont la valeur par défaut suffit.
 
 Un module porte en plus une variable d'activation de la forme `FRAZA_MODULE_<NOM>`, où `<NOM>` est le nom du paquet sans son préfixe : `@fraza-pro/module-billing` s'active par `FRAZA_MODULE_BILLING`. Installé mais non activé, il n'enregistre rien.
 

package/dist/docs/04-architecture/02-frontieres-serveur-client.md

@@ -88,7 +88,7 @@ Deux raisons.
 
 **Échec silencieux en production.** S'appeler via l'URL publique ressort sur le reverse proxy ou le WAF, qui bloque ou réécrit ces requêtes serveur à serveur. La réponse n'est pas le JSON attendu, le code fait `if (!res.ok) return []`, et la section disparaît sans erreur, alors qu'elle s'affichait en développement.
 
-**À la place, lire la donnée directement côté serveur** via les helpers `./public` que chaque module de contenu expose : [`getPublicPosts`, `getPublicPostBySlug`, `getPublicTaxonomyTerms`](../06-modules/posts/api.md) pour `@fraza/module-posts`, [`listPublicChildPages`, `getPublishedPageBySegments`](../06-modules/pages/api.md) pour `@fraza/module-pages`.
+**À la place, lire la donnée directement côté serveur** via les helpers `./public` que chaque module de contenu expose : [`getPublicPosts`, `getPublicPostBySlug`, `getPublicTaxonomyTerms`](../06-modules/posts/08-api.md) pour `@fraza/module-posts`, [`listPublicChildPages`, `getPublishedPageBySegments`](../06-modules/pages/06-api.md) pour `@fraza/module-pages`.
 
 Les routes HTTP restent réservées aux clients navigateur et à l'admin.
 

package/dist/docs/04-architecture/05-securite.md

@@ -156,7 +156,7 @@ Deux limites à connaître avant d'en ajouter une :
 
 L'ordre compte : la deuxième ligne couvre la grande majorité des alertes d'un site Fraza. Next tire `postcss`, `nanoid`, `sharp` et tout le reste de leur arbre, si bien qu'un `npm update next` règle d'un coup la plupart des alertes remontées par `npm audit`. La cible de cette montée est le champ `tested` de [`supported.json`](../03-reference/06-configuration/paquets-supportes.md) : c'est lui que `fraza-doctor` affiche dans son remède.
 
-**Un `package-lock.json` figé est le risque, pas l'exception.** Next lui-même est régulièrement l'objet d'avis de sécurité : la ligne `16.0.0` à `16.3.2` portait deux exécutions de code à distance non authentifiées, et le `sharp` embarqué traînait une faille `libheif` sous `0.35.4`, puis une faille `librsvg` sous `0.35.5`. Un site qui n'a pas rafraîchi son verrou depuis sa création reste exposé même si son `package.json` autorise déjà la version corrigée.
+**Un `package-lock.json` figé est le risque, pas l'exception.** Next lui-même est régulièrement l'objet d'avis de sécurité : la ligne `16.0.0` à `16.3.2` portait deux exécutions de code à distance non authentifiées, la ligne `16.0.0` à `16.4.0` deux autres, corrigées en `16.4.1`, et le `sharp` embarqué traînait une faille `libheif` sous `0.35.4`, puis une faille `librsvg` sous `0.35.5`. Un site qui n'a pas rafraîchi son verrou depuis sa création reste exposé même si son `package.json` autorise déjà la version corrigée.
 
 ## Signaler une faille
 

package/dist/docs/04-architecture/07-licence-et-propriete.md

@@ -77,7 +77,7 @@ L'inverse est permis : un module Pro dépend du core et peut s'appuyer sur les m
 
 ## Distribution par le registre
 
-Les paquets sont distribués sous deux scopes. Les paquets Fraza Libre, sous `@fraza`, sont publiés sur npmjs, d'où ils s'installent sans connexion, et sur `registry.fraza.ca` en copie de secours. Les paquets Pro, sous `@fraza-pro`, ne sont publiés que sur `registry.fraza.ca`, et demandent des identifiants nominatifs délivrés par HYKO. Pour eux, le registre est la vraie barrière : sans ces identifiants, le paquet n'est pas installable. L'administration des comptes et des droits est décrite dans [Registre Verdaccio](../05-contribution/06-registre-verdaccio.md).
+Les paquets sont distribués sous deux scopes. Les paquets Fraza Libre, sous `@fraza`, sont publiés sur npmjs, d'où ils s'installent sans connexion. Les paquets Pro, sous `@fraza-pro`, ne sont publiés que sur `registry.fraza.ca`, et demandent des identifiants nominatifs délivrés par HYKO. Pour eux, le registre est la vraie barrière : sans ces identifiants, le paquet n'est pas installable. L'administration des comptes et des droits est décrite dans [Registre Verdaccio](../05-contribution/06-registre-verdaccio.md).
 
 Un contrat n'empêche rien techniquement. Il ouvre un recours après la violation, à condition de pouvoir la prouver. Le contrat Pro donne ce recours, le registre empêche l'installation sans droit.
 

package/dist/docs/05-contribution/03-redaction.md

@@ -130,6 +130,16 @@ Uniforme sur toute la section `03-reference/` :
 4. `## Variables d'environnement`, le cas échéant.
 5. `## Notes` : pièges et frontières, à la fin.
 
+### Structure d'une section de module
+
+Uniforme sur toute la section `06-modules/`, pour que la commande d'installation se trouve au même endroit d'un module à l'autre :
+
+1. `index.md` : une phrase de présentation, le bloc `npm i <paquet>`, puis le tableau Paquet, Licence, Registre et Activation, suivi d'un renvoi à Installation. Viennent ensuite la capture, `## Pages de cette section` et `## Ce que le module apporte`.
+2. Les pages portent un préfixe numérique dans l'ordre du tableau « Pages de cette section », `01-installation.md` en tête. Le site de documentation retire le préfixe de l'URL et s'en sert pour ordonner la barre latérale.
+3. `01-installation.md` : une phrase, `## Prérequis`, puis `## Installer`, qui enchaîne le paquet, la variable d'activation, `fraza-modules sync` et `fraza-db init`. Viennent ensuite les étapes propres au module, puis `## Vérifier`, `## Mettre à jour` et `## Notes`.
+
+Une variable d'environnement montrée dans une page de module va dans un bloc `dotenv`, jamais dans un bloc `bash`.
+
 ### Blocs de commandes
 
 Une commande documentée se copie et s'exécute telle quelle dans **bash, zsh et PowerShell**, y compris PowerShell 5.1, celui que Windows livre par défaut. L'invite `cmd.exe` n'est pas une cible : elle ne connaît pas les commentaires `#`, que les blocs utilisent.

package/dist/docs/05-contribution/05-publication.md

@@ -165,7 +165,6 @@ Un `@fraza/module-*` suit la même procédure et les mêmes registres. Un module
 - Le champ `files` ne publie que `dist`, `LICENSE`, `THIRD-PARTY-NOTICES.md`, `CHANGELOG.md` et `changelog.json`. `README.md` est ajouté par npm quel que soit le champ, et le core y ajoute `.env.example`. `fraza-module release-check` refuse un paquet dont les notes de version manquent ou ne sont pas déclarées dans `files` : sans elles, `fraza-update` ne peut rien annoncer. Chaque module porte son propre exemplaire des deux fichiers légaux : voir [Licence et propriété](../04-architecture/07-licence-et-propriete.md).
 - Avant publication, vérifier que `dist/` ne contient aucune syntaxe JSX brute. Voir [Créer un module](../02-guides/creer-un-module.md#build-avant-publication).
 - La documentation d'usage du module vit dans [`docs/06-modules/`](../06-modules/index.md) du core, pas dans le dépôt du module. La mettre à jour **et la publier avant** de publier le module : sinon un projet installe un module dont la documentation décrit la version précédente.
-- Mettre à jour la version indiquée en tête de `docs/06-modules/<module>/index.md`.
 
 ## Administration du registre
 

package/dist/docs/06-modules/booking/{installation.md → 01-installation.md}

@@ -4,20 +4,18 @@ description: Installer @fraza-pro/module-booking, créer les tables, poser l'hor
 related:
   title: Étapes suivantes
   links:
-    - 06-modules/booking/configuration
-    - 06-modules/booking/reservation-en-ligne
+    - 06-modules/booking/02-configuration
+    - 06-modules/booking/04-reservation-en-ligne
 ---
 
-Cette page couvre l'installation de `@fraza-pro/module-booking` dans un projet déjà structuré par `@fraza/start`. Le module n'est jamais déclaré à la main : il est découvert au boot par scan des dépendances, comme décrit dans [Cycle de vie d'un module](../../02-guides/cycle-de-vie-d-un-module.md).
-
-Ce module est distribué sous la licence Fraza Pro : son utilisation en production demande une licence par projet, renouvelée chaque année, qui comprend les mises à jour, la conformité et le support. Voir [Licence et propriété](../../04-architecture/07-licence-et-propriete.md).
+Cette page installe `@fraza-pro/module-booking` dans un projet créé par `npx @fraza/start`. Le module n'est jamais déclaré à la main : il est découvert au boot par scan des dépendances, comme décrit dans [Cycle de vie d'un module](../../02-guides/cycle-de-vie-d-un-module.md). Son utilisation en production demande une licence Fraza Pro : voir [Licence et propriété](../../04-architecture/07-licence-et-propriete.md).
 
 ## Prérequis
 
-- Un projet généré par `npx @fraza/start`, avec `@fraza/core` installé.
+- Un projet créé par `npx @fraza/start`, avec `@fraza/core` à jour.
+- Le token du registre Fraza dans le `.npmrc` du projet, sans lequel `npm i` échoue : `npm login --registry=https://registry.fraza.ca/`, puis `npx fraza-key`. Voir [Modules Pro](../../01-demarrage/01-installation.md#modules-pro).
 - `NEXT_PUBLIC_URL` renseignée, sinon toute réservation en ligne est rejetée par la vérification d'origine du core.
 - La configuration courriel du core, Resend ou SMTP, pour les confirmations et les rappels.
-- La ligne `@fraza-pro:registry=https://registry.fraza.ca/` et le token du registre dans le `.npmrc` du projet, sans lesquels `npm i` échoue. `npx @fraza/start` écrit déjà la ligne de portée. Le token s'obtient avec `npm login --registry=https://registry.fraza.ca/`, puis `npx fraza-key` le reprend dans le projet. Voir [`fraza-key`](../../03-reference/05-cli/fraza-key.md).
 
 ## Installer
 
@@ -27,29 +25,25 @@ npm i @fraza-pro/module-booking
 
 Ajouter la variable d'activation à `.env.local`, et aux variables de la plateforme en production :
 
-```bash
+```dotenv
 #------ MODULE - BOOKING ------#
 FRAZA_MODULE_BOOKING=true
 ```
 
 Sans ce drapeau, le module est ignoré : aucune table, aucune route, aucune entrée d'admin.
 
-Régénérer les manifestes puis créer les tables :
+Régénérer les manifestes, puis créer les tables :
 
 ```bash
 npx fraza-modules sync    # déclenché automatiquement au postinstall
 npx fraza-db init         # crée les dix tables fraza_booking_*
 ```
 
-Sur une base existante, `npx fraza-db migrate` suffit.
+`fraza-db init` est idempotent : sur une base qui a déjà les tables, il applique les migrations en attente sans toucher aux données. Il enregistre aussi les permissions du module, et les attribue au rôle `admin`. Voir [Modèle de données](./06-modele-de-donnees.md).
 
 ## Version du core
 
-Le module fonctionne avec la dernière version de `@fraza/core` : tous les paquets Fraza à leur dernière version fonctionnent ensemble. Installer la dernière version de tous les paquets Fraza du site, toutes à la fois :
-
-```bash
-npx fraza-update
-```
+Le module suit la dernière version de `@fraza/core` : tous les paquets Fraza à leur dernière version fonctionnent ensemble, et `npx fraza-update` les met à jour ensemble.
 
 Un core en retard échoue sans bruit. Il ne dériverait pas `FRAZA_MODULE_BOOKING` du nom du paquet, et le module resterait désactivé, sans erreur. Il lui manquerait aussi trois briques :
 
@@ -57,7 +51,7 @@ Un core en retard échoue sans bruit. Il ne dériverait pas `FRAZA_MODULE_BOOKIN
 - [`registerAdminIcons`](../../03-reference/04-partage/icones.md#registeradminicons), qui enregistre les icônes de la section et de ses items, et sans lequel le point d'entrée client du module échoue au chargement ;
 - les fonctions de fuseau horaire de [`shared/dates`](../../03-reference/04-partage/dates.md#fuseaux-horaires), sans lesquelles les créneaux glissent d'une heure deux fois par an.
 
-Aucune de ces absences ne lève d'erreur claire à l'usage, d'où le plancher explicite.
+Aucune de ces absences ne lève d'erreur claire à l'usage : garder le core à jour avec le module.
 
 ## Premier réglage, dans l'ordre
 
@@ -70,9 +64,9 @@ Les trois premières étapes se font dans la page Options, un onglet chacune. L'
 
 ## Ouvrir la prise de rendez-vous en ligne
 
-Elle est fermée par défaut. Deux gestes :
+Elle est fermée par défaut. Deux gestes : la variable, dans `.env.local` et dans les variables de la plateforme en production,
 
-```bash
+```dotenv
 FRAZA_MODULE_BOOKING_ONLINE=true
 ```
 
@@ -82,8 +76,29 @@ Tant que la variable est à false, un lien parfaitement configuré répond 404,
 
 ## Vérifier
 
+1. La connexion à la base répond :
+   ```bash
+   npx fraza-db test
+   ```
+2. `Rendez-vous` apparaît dans la barre latérale de l'admin.
+3. Le projet est cohérent :
+   ```bash
+   npx fraza-doctor
+   ```
+
+Le doctor connaît toutes les variables du module par son manifeste : une variable `FRAZA_MODULE_BOOKING_*` que le manifeste ne déclare pas est dénoncée.
+
+## Mettre à jour
+
 ```bash
-npx fraza-doctor
+npx fraza-update
 ```
 
-Le doctor connaît toutes les variables du module par son manifeste : une variable `FRAZA_MODULE_BOOKING_*` que le manifeste ne déclare pas est dénoncée, et le plancher de version est vérifié.
+La commande installe la dernière version de tous les paquets Fraza du site, toutes à la fois, puis enchaîne `fraza-modules sync`, `fraza-db migrate` et `fraza-doctor`. Tous les paquets Fraza à leur dernière version fonctionnent ensemble : mettre à jour `@fraza-pro/module-booking` seul, par `npm i`, laisserait le core et les autres modules en arrière.
+
+Les notes de version sont livrées avec le paquet, dans `node_modules/@fraza-pro/module-booking/CHANGELOG.md`.
+
+## Notes
+
+- Le module dépend de `@fraza/core` en `peerDependency`. Il n'embarque pas sa propre copie du core.
+- Désinstaller le module ne supprime pas les tables. `dropTables` est exporté depuis `@fraza-pro/module-booking` pour le faire explicitement.

package/dist/docs/06-modules/booking/{configuration.md → 02-configuration.md}

@@ -4,15 +4,15 @@ description: Variables d'environnement de @fraza-pro/module-booking, permissions
 related:
   title: Étapes suivantes
   links:
-    - 06-modules/booking/admin
-    - 06-modules/booking/courriels
+    - 06-modules/booking/03-admin
+    - 06-modules/booking/05-courriels
 ---
 
 Toutes les variables du module portent le préfixe `FRAZA_MODULE_BOOKING`. Elles se lisent une fois par processus et sont gelées : modifier une valeur demande un redémarrage.
 
 ## Ce qui n'est pas ici
 
-Les types de rendez-vous, les intervenants, les horaires et les liens de réservation sont des **données**, pas de la configuration. Ils se créent dans la page Options de l'admin, sous la permission `booking.options`, et changent sans redéploiement. Voir [Administration](./admin.md).
+Les types de rendez-vous, les intervenants, les horaires et les liens de réservation sont des **données**, pas de la configuration. Ils se créent dans la page Options de l'admin, sous la permission `booking.options`, et changent sans redéploiement. Voir [Administration](./03-admin.md).
 
 L'environnement ne porte que ce qui vaut pour tout le site : l'ouverture de la prise en ligne, la forme d'un nouveau type de rendez-vous, les fenêtres de réservation et d'annulation, les rappels et la marque de la page publique.
 
@@ -78,7 +78,7 @@ Le plafond par adresse courriel est compté en base, dans la transaction de rés
 | `FRAZA_MODULE_BOOKING_ADMIN_EMAIL` | - | Adresse recevant les avis de l'administration. |
 | `FRAZA_MODULE_BOOKING_CONTACT_EMAIL` | l'adresse ci-dessus | Adresse de réponse des courriels du client. |
 
-Voir [Courriels](./courriels.md).
+Voir [Courriels](./05-courriels.md).
 
 ## Intégration
 
@@ -86,7 +86,7 @@ Voir [Courriels](./courriels.md).
 |---|---|---|
 | `FRAZA_MODULE_BOOKING_FRAME_ANCESTORS` | vide (tous les sites) | Sites autorisés à afficher l'assistant dans un cadre : origines, `self` ou `none`. La page de gestion n'est jamais affichée dans un cadre. |
 
-Voir [Intégration sur un site externe](./reservation-en-ligne.md#intégration-sur-un-site-externe).
+Voir [Intégration sur un site externe](./04-reservation-en-ligne.md#intégration-sur-un-site-externe).
 
 ## Marque de la page publique