@mostajs/pdf-sign-ui 0.1.0 → 0.3.0

package/CHANGELOG.md

@@ -4,6 +4,39 @@
 
 Le format suit [Keep a Changelog](https://keepachangelog.com/fr/) ; versionnage [SemVer](https://semver.org/lang/fr/).
 
+## [0.3.0] — 2026-09-26
+
+### Ajouté
+- `buildSignRequest` transmet **`timestampUrl`** (horodatage RFC 3161, `@mostajs/pdf-sign` 0.3.0).
+  L'option s'y perdait **en silence** : le document sortait sans horodatage alors que l'appelant
+  croyait la date attestée par un tiers — donc opposable. Découvert en production.
+- **Avertissement sur les clés perdues.** C'est la DEUXIÈME option évanouie de la même façon après
+  `openPassword` en 0.2.0, et le commentaire du code mettait pourtant en garde contre ce piège
+  exact. Un jeu de clés fermé est défendable ; le fermer **en silence** ne l'est pas.
+  `buildSignRequest` nomme désormais les options qu'il ignore.
+
+  On avertit sans lever : lever casserait un appelant passant une clé supplémentaire inoffensive,
+  alors que le but est seulement que la perte cesse d'être invisible.
+
+### Modifié
+- `peerDependencies["@mostajs/pdf-sign"]` : `^0.2.0` → `^0.3.0`.
+
+
+## 0.2.0 — 2026-09-21
+
+### Ajouté
+- `buildSignRequest` transmet **`openPassword`** (mot de passe à l'ouverture, `@mostajs/pdf-sign`
+  0.2.0). Le jeu de clés recopié est **fermé** : l'option y disparaissait sans erreur, et le
+  document sortait déverrouillé alors que l'appelant le croyait fermé.
+- `validateSignForm` refuse `openPassword` quand le moteur ne peut pas chiffrer, avec un message
+  **qui le nomme** — renvoyer celui des permissions envoyait chercher la panne du côté des cases
+  à cocher, qui n'y sont pour rien.
+- `buildEngineViewModel` expose `canLock`.
+
+### Modifié (RUPTURE d'installation)
+- `peerDependencies["@mostajs/pdf-sign"]` : `^0.1.0` → `^0.2.0`. La 0.1.0 refusait le moteur 0.2.0
+  et faisait **échouer `npm install`** (ERESOLVE) chez tout consommateur des deux modules.
+
 ## [0.1.0] — 2026-07-01
 
 ### Ajouté

package/llms.txt

@@ -1,7 +1,7 @@
 # @mostajs/pdf-sign-ui — fiche LLM
-> Couche de PRÉSENTATION de @mostajs/pdf-sign : logique HEADLESS (validation du formulaire de signature, préréglages de documents officiels/SIH, view-models moteur & vérification, contrôleur orchestrant un `service` injecté). Framework-agnostique, zéro dépendance, testable sans navigateur. IMPLÉMENTÉ 0.1.0.
+> Couche de PRÉSENTATION de @mostajs/pdf-sign : logique HEADLESS (validation du formulaire de signature, préréglages de documents officiels/SIH, view-models moteur & vérification, contrôleur orchestrant un `service` injecté). Framework-agnostique, zéro dépendance, testable sans navigateur. IMPLÉMENTÉ 0.2.0.
 
-- Version: 0.1.0 · Licence: AGPL-3.0-or-later · Auteur: Dr Hamid MADANI <drmdh@msn.com>
+- Version: 0.2.0 · Licence: AGPL-3.0-or-later · Auteur: Dr Hamid MADANI <drmdh@msn.com>
 - Chemin: mostajs/mosta-pdf-sign-stack/mosta-pdf-sign-ui · Moteur: ../mosta-pdf-sign
 
 ## RÔLE
@@ -41,3 +41,11 @@ Composants en React.createElement (pas de JSX à transpiler ; bundler pour les .
 - box = [x1,y1,x2,y2] nombres finis ; sinon rejet. t (i18n) optionnel → identité.
 - Composants React sans build JSX (React.createElement) : Node natif ne charge pas .jsx → test via loader (test:react) ; en prod un bundler résout .jsx.
 - field.stampImage propagé par buildSignRequest (cachet image, moteur pyhanko).
+
+## 0.2.0 — MOT DE PASSE D'OUVERTURE
+- buildSignRequest transmet `openPassword` (jeu de clés FERMÉ : avant 0.2.0 il le PERDAIT en
+  silence — document réputé verrouillé, et ouvrable).
+- validateSignForm refuse `openPassword` sans pyhanko / avec engine node, avec un message QUI LE
+  NOMME (et non celui des permissions).
+- buildEngineViewModel expose `canLock`.
+- peerDependency @mostajs/pdf-sign passe à ^0.2.0 (l'option n'existe pas avant).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mostajs/pdf-sign-ui",
-  "version": "0.1.0",
+  "version": "0.3.0",
   "description": "Couche de présentation de @mostajs/pdf-sign — logique headless (validation du formulaire de signature, préréglages de documents officiels/SIH, view-models de vérification, contrôleur). Framework-agnostique, zéro dépendance.",
   "license": "AGPL-3.0-or-later",
   "author": "Dr Hamid MADANI <drmdh@msn.com>",
@@ -10,19 +10,44 @@
     ".": "./src/index.js",
     "./react": "./src/react/index.js"
   },
-  "files": ["src", "README.md", "llms.txt", "CHANGELOG.md"],
+  "files": [
+    "src",
+    "README.md",
+    "llms.txt",
+    "CHANGELOG.md"
+  ],
   "scripts": {
     "test": "node test-scripts/headless.test.mjs",
     "test:react": "node --experimental-loader ./test-scripts/jsx-loader.mjs test-scripts/react.test.mjs",
     "example": "node examples/verify-viewmodel.mjs"
   },
   "peerDependencies": {
-    "@mostajs/pdf-sign": "^0.1.0",
+    "@mostajs/pdf-sign": "^0.3.0",
     "react": ">=18"
   },
   "peerDependenciesMeta": {
-    "@mostajs/pdf-sign": { "optional": true },
-    "react": { "optional": true }
+    "@mostajs/pdf-sign": {
+      "optional": true
+    },
+    "react": {
+      "optional": true
+    }
   },
-  "keywords": ["mostajs", "pdf", "signature", "ui", "headless", "sih", "pades"]
+  "keywords": [
+    "mostajs",
+    "pdf",
+    "signature",
+    "ui",
+    "headless",
+    "sih",
+    "pades"
+  ],
+  "mostajs": {
+    "niveau": "N2",
+    "nature": "compose",
+    "reutilisabilite": "multi-domaine",
+    "depend_de": [
+      "@mostajs/pdf-sign"
+    ]
+  }
 }

package/src/headless.js

@@ -12,7 +12,7 @@ const IDENTITY = (s) => s;
 
 /**
  * Valide le formulaire de signature.
- * @param {object} data  { input, p12, passphrase, passphraseFile, engine, box, page, permissions, preset }
+ * @param {object} data  { input, p12, passphrase, passphraseFile, engine, box, page, permissions, openPassword, preset }
  * @param {object} [opts] { engines?: {node,pyhanko}, t?: (k)=>string }
  * @returns {{ valid: boolean, errors: Record<string,string> }}
  */
@@ -37,6 +37,13 @@ export function validateSignForm(data = {}, opts = {}) {
     if (engine === "node") errors.permissions = t("Le cœur Node ne gère pas les permissions — choisir pyhanko.");
     else if (!engines.pyhanko) errors.permissions = t("Permissions restrictives indisponibles : moteur pyhanko requis.");
   }
+
+  // Le mot de passe d'ouverture est un CHIFFREMENT, et il a son propre message : renvoyer celui
+  // des permissions à qui n'a saisi qu'une clé l'enverrait chercher du côté des cases à cocher.
+  if (data.openPassword) {
+    if (engine === "node") errors.openPassword = t("Le cœur Node ne chiffre pas — choisir pyhanko pour un mot de passe d'ouverture.");
+    else if (!engines.pyhanko) errors.openPassword = t("Mot de passe d'ouverture indisponible : moteur pyhanko requis.");
+  }
   if (engine === "pyhanko" && !engines.pyhanko) {
     errors.engine = t("Moteur pyhanko indisponible sur ce serveur.");
   }
@@ -61,6 +68,33 @@ function isBox(b) {
  * @param {object} data
  * @returns {import("@mostajs/pdf-sign").SignOptions}
  */
+/**
+ * Les clés que `buildSignRequest` sait recopier. Tout le reste est PERDU.
+ *
+ * ⚠️ Deux options s'y sont déjà évanouies sans bruit : `openPassword` — le document sortait
+ * déverrouillé alors que l'appelant le croyait fermé — puis `timestampUrl` — le document sortait
+ * sans horodatage alors que l'appelant croyait la date attestée. Deux fois, le même mécanisme, et
+ * deux fois découvert en production.
+ *
+ * Fermer le jeu est un choix défendable ; le fermer EN SILENCE ne l'est pas. On avertit donc, sans
+ * lever : lever casserait un appelant qui passe une clé supplémentaire inoffensive, alors que le
+ * but est seulement que la perte cesse d'être invisible.
+ */
+const CLES_CONNUES = new Set([
+  'input', 'output', 'p12', 'passphrase', 'passphraseFile', 'engine',
+  'reason', 'name', 'location', 'contact', 'preset',
+  'page', 'box', 'stampImage', 'permissions', 'restrict',
+  'openPassword', 'timestampUrl',
+]);
+
+function signalerClesPerdues(data) {
+  const perdues = Object.keys(data || {}).filter((k) => !CLES_CONNUES.has(k) && data[k] !== undefined);
+  if (perdues.length) {
+    console.warn('[pdf-sign-ui] option(s) ignorée(s) par buildSignRequest, donc PERDUE(S) : '
+      + perdues.join(', ') + '. Ajoutez-les au jeu de clés ou retirez-les de l’appel.');
+  }
+}
+
 export function buildSignRequest(data = {}) {
   const preset = data.preset ? getPreset(data.preset) : undefined;
   const reason = data.reason || preset?.reason;
@@ -88,7 +122,16 @@ export function buildSignRequest(data = {}) {
     }),
     field: prune({ page: numOrUndef(data.page), box: isBox(data.box) ? data.box : undefined, stampImage: data.stampImage }),
     permissions,
+    // ⚠️ Ce jeu de clés est FERMÉ : une option que `buildSignRequest` ignore disparaît en silence,
+    // et le document sort sans elle — sans erreur. `openPassword` a été perdu ainsi jusqu'en
+    // 0.2.0 : le document s'ouvrait alors que l'appelant le croyait verrouillé.
+    openPassword: data.openPassword || undefined,
+    // Horodatage RFC 3161 (`@mostajs/pdf-sign` 0.3.0) : fait passer la signature de PAdES-B à
+    // PAdES-T. Perdu ici en silence lors de sa première intégration — exactement comme
+    // `openPassword` avant lui. D'où l'avertissement ci-dessous.
+    timestampUrl: data.timestampUrl || undefined,
   };
+  signalerClesPerdues(data);
   return prune(req);
 }
 
@@ -114,6 +157,7 @@ export function buildEngineViewModel(availability = { node: true, pyhanko: false
     pyhanko,
     canRestrict: pyhanko,
     canPades: pyhanko,
+    canLock: pyhanko,        // mot de passe à l'ouverture (chiffrement) — même moteur
     label: pyhanko ? t("PAdES + permissions (pyhanko)") : t("PKCS#7 (Node)"),
     hint: pyhanko
       ? t("Signature avancée et permissions restrictives disponibles.")