@hgdc/auth 0.5.0 → 0.6.1

package/README.md

@@ -1,13 +1,13 @@
 # @hgdc/auth
 
-Connexion d'un produit HGDC à HGDC Account (OIDC) : bouton « Se connecter avec HGDC », configuration du client better-auth, proxy `/api/auth` pour TanStack Start et gardes Convex.
+Connexion d'un produit de la famille à Account (OIDC) : bouton « Se connecter avec H family », configuration du client better-auth, proxy `/api/auth` pour TanStack Start et gardes Convex.
 
 | Import              | Contenu                                                                                                                                                                                                                                                                                                                                                           |
 | ------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
 | `@hgdc/auth`        | `HGDC_ISSUER`, `HGDC_PROVIDER_ID`, `HGDC_SCOPES`, entrée commune (`HGDC_ENTRY_PATH`, `safeNextPath`, `hgdcEntryUrl`), rôles (`highestRole`, `hasRole`), `parseHgdcProfile`, `verifiedOrganizationsFromIdToken`, `verifyHgdcIdToken`, `planOrganizationSync`, fraîcheur (`membershipIsFresh`, `SESSION_TTL_SECONDS`, `MEMBERSHIP_TTL_MS`, `KEY_MEMBERSHIP_TTL_MS`) |
 | `@hgdc/auth/server` | `hgdcProvider` (plugin `genericOAuth`), `createAuthProxy`, `restoreFetchMode`, `createHgdcEntry`                                                                                                                                                                                                                                                                  |
 | `@hgdc/auth/convex` | `requireIdentity`, `requireOrgMember`, `isAuthError`, `authErrorReason`, `AUTH_ERROR_MESSAGES`                                                                                                                                                                                                                                                                    |
-| `@hgdc/auth/react`  | `HgdcSignInButton`, `startHgdcSignIn`, `HgdcMark`                                                                                                                                                                                                                                                                                                                 |
+| `@hgdc/auth/react`  | `HgdcSignInButton`, `startHgdcSignIn`, `HgdcMark` (le H tricolore de la famille, `HGDC_MARK_SVG`)                                                                                                                                                                                                                                                                 |
 
 Pairs : better-auth 1.6, convex 1.46+, React 19 (chacun facultatif selon l'import).
 
@@ -55,6 +55,31 @@ authComponent.registerRoutes(http, (ctx) => {
 })
 ```
 
+## Clés JWKS statiques côté Convex
+
+Chaque appel HTTP à Convex avec un jeton (le rendu serveur de TanStack Start, `fetchAuthQuery`) fait vérifier ce jeton par le backend Convex, qui ne le met jamais en cache. Avec `getAuthConfigProvider()` seul, il va chercher les clés à `<site>/api/auth/convex/jwks` **à chaque appel** : sous charge, cette adresse répond 429 et la page tombe en erreur. Les clés se donnent donc en dur, par la variable `JWKS` du déploiement Convex :
+
+```ts
+// convex/auth.config.ts
+export default { providers: [getAuthConfigProvider({ jwks: process.env.JWKS })] } satisfies AuthConfig
+
+// convex/auth.ts, dans les plugins
+convex({ authConfig, jwks: process.env.JWKS })
+
+// convex/authKeys.ts
+export const latestJwks = internalAction({
+  args: {},
+  handler: async (ctx) => await createAuth(ctx).api.getLatestJwks(),
+})
+```
+
+```sh
+npx convex run authKeys:latestJwks --prod | npx convex env set JWKS --prod
+npx convex deploy
+```
+
+Sans `JWKS`, la configuration retombe sur l'adresse : un déploiement de développement marche sans rien poser. La variable contient la clé privée chiffrée : elle ne sort jamais du déploiement (ni affichée, ni copiée ailleurs). Après une rotation des clés, relancer les deux commandes.
+
 ## Entrée commune `/auth/hgdc`
 
 Le menu « Produits » (`@hgdc/ui/account-menu`) envoie vers `https://<mot>.hgdc.ch/auth/hgdc`, pas vers la page d'accueil publique. Chaque produit monte cette route serveur, au même chemin :

package/dist/react.d.ts

@@ -35,12 +35,20 @@ export declare function startHgdcSignIn(authClient: HgdcAuthClient, { callbackUR
     ok: false;
     error: unknown;
 }>;
-/** Monogramme HGDC, en `currentColor`. */
-export declare function HgdcMark(props: {
+/**
+ * Le H tricolore de la famille, copie exacte de `@hgdc/ui/family/hfamily-icon.svg` (un test le
+ * vérifie) : `@hgdc/auth` ne dépend pas de `@hgdc/ui`.
+ */
+export declare const HGDC_MARK_SVG: string;
+/**
+ * Le H tricolore de la famille, en image : ses dégradés gardent leurs identifiants pour eux, deux
+ * marques dans une page ne se marchent pas dessus. Couleurs pleines, jamais recolorées.
+ */
+export declare function HgdcMark({ className }: {
     className?: string;
 }): ReactElement;
 /**
- * Bouton « Se connecter avec HGDC ». Sans style propre : le produit le met en forme par
+ * Bouton « Se connecter avec H family ». Sans style propre : le produit le met en forme par
  * `className`, l'état d'attente est exposé par `aria-busy` et `data-pending`.
  */
 export declare function HgdcSignInButton({ authClient, callbackURL, errorCallbackURL, onError, label, disabled, ...rest }: HgdcSignInButtonProps): ReactElement;

package/dist/react.js

@@ -18,15 +18,23 @@ export async function startHgdcSignIn(authClient, { callbackURL = "/", errorCall
         return { ok: false, error };
     }
 }
-/** Monogramme HGDC, en `currentColor`. */
-export function HgdcMark(props) {
-    return (_jsxs("svg", { viewBox: "0 0 24 24", width: "16", height: "16", fill: "currentColor", "aria-hidden": "true", ...props, children: [_jsx("rect", { x: "2.5", y: "8.5", width: "13", height: "7", rx: "2", transform: "rotate(45 9 12)" }), _jsx("rect", { x: "8.5", y: "8.5", width: "13", height: "7", rx: "2", transform: "rotate(45 15 12)", opacity: "0.6" })] }));
+/**
+ * Le H tricolore de la famille, copie exacte de `@hgdc/ui/family/hfamily-icon.svg` (un test le
+ * vérifie) : `@hgdc/auth` ne dépend pas de `@hgdc/ui`.
+ */
+export const HGDC_MARK_SVG = '<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 256 256"><defs><linearGradient id="l" x1="0" y1="24" x2="0" y2="232" gradientUnits="userSpaceOnUse"><stop offset="0" stop-color="#2c78fd"/><stop offset="1" stop-color="#7343fe"/></linearGradient><linearGradient id="r" x1="0" y1="24" x2="0" y2="232" gradientUnits="userSpaceOnUse"><stop offset="0" stop-color="#fe5292"/><stop offset="1" stop-color="#ff9a46"/></linearGradient><linearGradient id="b" x1="64" y1="0" x2="192" y2="0" gradientUnits="userSpaceOnUse"><stop offset="0" stop-color="#8145ff"/><stop offset="1" stop-color="#fe5292"/></linearGradient></defs><rect x="43" y="24" width="57" height="208" rx="18" fill="url(#l)"/><rect x="156" y="24" width="57" height="208" rx="18" fill="url(#r)"/><rect x="67" y="107" width="122" height="43" rx="14" fill="url(#b)"/></svg>';
+/**
+ * Le H tricolore de la famille, en image : ses dégradés gardent leurs identifiants pour eux, deux
+ * marques dans une page ne se marchent pas dessus. Couleurs pleines, jamais recolorées.
+ */
+export function HgdcMark({ className }) {
+    return (_jsx("img", { src: `data:image/svg+xml,${encodeURIComponent(HGDC_MARK_SVG)}`, alt: "", "aria-hidden": "true", width: 16, height: 16, draggable: false, className: className }));
 }
 /**
- * Bouton « Se connecter avec HGDC ». Sans style propre : le produit le met en forme par
+ * Bouton « Se connecter avec H family ». Sans style propre : le produit le met en forme par
  * `className`, l'état d'attente est exposé par `aria-busy` et `data-pending`.
  */
-export function HgdcSignInButton({ authClient, callbackURL = "/", errorCallbackURL, onError, label = "Se connecter avec HGDC", disabled, ...rest }) {
+export function HgdcSignInButton({ authClient, callbackURL = "/", errorCallbackURL, onError, label = "Se connecter avec H family", disabled, ...rest }) {
     const [pending, setPending] = useState(false);
     async function signIn() {
         setPending(true);
@@ -40,5 +48,5 @@ export function HgdcSignInButton({ authClient, callbackURL = "/", errorCallbackU
             onError?.(result.error);
         }
     }
-    return (_jsxs("button", { ...rest, type: "button", disabled: disabled === true || pending, "aria-busy": pending, "data-pending": pending ? "" : undefined, onClick: () => void signIn(), children: [_jsx(HgdcMark, {}), _jsx("span", { children: pending ? "Redirection vers HGDC…" : label })] }));
+    return (_jsxs("button", { ...rest, type: "button", disabled: disabled === true || pending, "aria-busy": pending, "data-pending": pending ? "" : undefined, onClick: () => void signIn(), children: [_jsx(HgdcMark, {}), _jsx("span", { children: pending ? "Redirection vers Account…" : label })] }));
 }

package/dist/server.d.ts

@@ -33,7 +33,7 @@ export type HgdcEntryOptions = {
 /**
  * Entrée commune `GET /auth/hgdc?next=<chemin>` (`HGDC_ENTRY_PATH`), à monter comme route
  * serveur du produit. Le menu « Produits » de `@hgdc/ui` y envoie : on entre dans le produit
- * sans passer par sa page d'accueil ni recliquer « Se connecter avec HGDC ».
+ * sans passer par sa page d'accueil ni recliquer « Se connecter avec H family ».
  *
  * - Session du produit ouverte : redirection vers `next`.
  * - Sinon : la connexion HGDC part aussitôt (même appel que `HgdcSignInButton`, fait par le

package/dist/server.js

@@ -109,7 +109,7 @@ function authorizationUrl(body) {
 /**
  * Entrée commune `GET /auth/hgdc?next=<chemin>` (`HGDC_ENTRY_PATH`), à monter comme route
  * serveur du produit. Le menu « Produits » de `@hgdc/ui` y envoie : on entre dans le produit
- * sans passer par sa page d'accueil ni recliquer « Se connecter avec HGDC ».
+ * sans passer par sa page d'accueil ni recliquer « Se connecter avec H family ».
  *
  * - Session du produit ouverte : redirection vers `next`.
  * - Sinon : la connexion HGDC part aussitôt (même appel que `HgdcSignInButton`, fait par le

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@hgdc/auth",
-  "version": "0.5.0",
+  "version": "0.6.1",
   "description": "Connexion HGDC : bouton « Se connecter avec HGDC », config better-auth et gardes Convex.",
   "license": "UNLICENSED",
   "homepage": "https://github.com/hugogebel-boop/hgdc-kit/tree/main/packages/auth#readme",