@mostajs/pdf-sign-ui 0.2.0 → 0.3.1

package/CHANGELOG.md

@@ -4,6 +4,53 @@
 
 Le format suit [Keep a Changelog](https://keepachangelog.com/fr/) ; versionnage [SemVer](https://semver.org/lang/fr/).
 
+## [0.3.1] — 2026-09-29
+
+### Corrigé — « valide » exige intact ET valid ÉTABLIS
+- `buildVerifyViewModel` tenait une signature pour valide dès que `intact` et `valid` n'étaient
+  **pas false**. `undefined` passait donc — or c'est ce que rend la détection du moteur Node :
+  une signature **présente**, rien de **vérifié**. Un document non vérifié s'affichait
+  « Signature(s) valide(s) ». Il faut désormais `intact === true` **et** `valid === true`.
+- `statusLabel` affichait « Valide et de confiance » dès que `trusted` était vrai, **avant** de
+  regarder l'intégrité. La confiance ne se lit plus qu'après elle.
+- Aucun libellé nouveau : les quatre existants suffisent, rien à traduire.
+
+Relevé le 29/09/2026 en vérifiant `@mostajs/pdf-sign` 0.4.1, qui cesse de son côté de retomber
+en silence sur la détection Node. Les deux corrections se complètent : l'une ne produit plus le
+cas, l'autre ne le prend plus pour un succès s'il arrive.
+
+### Essais
+- V-UI-1 à 5 : détection Node, document altéré (`valid:true, intact:false`), confiance sans
+  intégrité, valide sans confiance, une signature non vérifiée parmi deux valides. Contre-épreuve :
+  l'ancienne règle fait échouer V-UI-1, 3 et 5.
+
+### Modifié
+- `peerDependencies["@mostajs/pdf-sign"]` : `^0.3.0` → `^0.3.0 || ^0.4.0` (en 0.x, `^0.3.0`
+  refusait la 0.4).
+
+## [0.3.0] — 2026-09-26
+
+### Ajouté
+- `buildSignRequest` transmet **`timestampUrl`** (horodatage RFC 3161, `@mostajs/pdf-sign` 0.3.0).
+  L'option s'y perdait **en silence** : le document sortait sans horodatage alors que l'appelant
+  croyait la date attestée par un tiers — donc opposable. Découvert en production.
+- **Avertissement sur les clés perdues.** C'est la DEUXIÈME option évanouie de la même façon après
+  `openPassword` en 0.2.0, et le commentaire du code mettait pourtant en garde contre ce piège
+  exact. Un jeu de clés fermé est défendable ; le fermer **en silence** ne l'est pas.
+  `buildSignRequest` nomme désormais les options qu'il ignore.
+
+  On avertit sans lever : lever casserait un appelant passant une clé supplémentaire inoffensive,
+  alors que le but est seulement que la perte cesse d'être invisible.
+
+### Essais
+- Quatre essais tiennent désormais ce que les commentaires ne retenaient pas : `timestampUrl`
+  transmis, vide écarté, clé inconnue **nommée** dans l'avertissement, et silence sur un
+  formulaire normal — un avertissement qui se déclenche toujours ne se lit plus.
+
+### Modifié
+- `peerDependencies["@mostajs/pdf-sign"]` : `^0.2.0` → `^0.3.0`.
+
+
 ## 0.2.0 — 2026-09-21
 
 ### Ajouté

package/llms.txt

@@ -1,7 +1,7 @@
 # @mostajs/pdf-sign-ui — fiche LLM
 > Couche de PRÉSENTATION de @mostajs/pdf-sign : logique HEADLESS (validation du formulaire de signature, préréglages de documents officiels/SIH, view-models moteur & vérification, contrôleur orchestrant un `service` injecté). Framework-agnostique, zéro dépendance, testable sans navigateur. IMPLÉMENTÉ 0.2.0.
 
-- Version: 0.2.0 · Licence: AGPL-3.0-or-later · Auteur: Dr Hamid MADANI <drmdh@msn.com>
+- Version: 0.3.1 · Licence: AGPL-3.0-or-later · Auteur: Dr Hamid MADANI <drmdh@msn.com>
 - Chemin: mostajs/mosta-pdf-sign-stack/mosta-pdf-sign-ui · Moteur: ../mosta-pdf-sign
 
 ## RÔLE
@@ -49,3 +49,5 @@ Composants en React.createElement (pas de JSX à transpiler ; bundler pour les .
   NOMME (et non celui des permissions).
 - buildEngineViewModel expose `canLock`.
 - peerDependency @mostajs/pdf-sign passe à ^0.2.0 (l'option n'existe pas avant).
+- buildVerifyViewModel (0.3.1) : « valide » EXIGE intact===true ET valid===true. undefined (détection
+  Node : présente, non vérifiée) ⇒ « Présente (non validée) ». valid:true + intact:false = ALTÉRÉ ⇒ « Invalide ».

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mostajs/pdf-sign-ui",
-  "version": "0.2.0",
+  "version": "0.3.1",
   "description": "Couche de présentation de @mostajs/pdf-sign — logique headless (validation du formulaire de signature, préréglages de documents officiels/SIH, view-models de vérification, contrôleur). Framework-agnostique, zéro dépendance.",
   "license": "AGPL-3.0-or-later",
   "author": "Dr Hamid MADANI <drmdh@msn.com>",
@@ -22,7 +22,7 @@
     "example": "node examples/verify-viewmodel.mjs"
   },
   "peerDependencies": {
-    "@mostajs/pdf-sign": "^0.2.0",
+    "@mostajs/pdf-sign": "^0.3.0 || ^0.4.0",
     "react": ">=18"
   },
   "peerDependenciesMeta": {

package/src/headless.js

@@ -68,6 +68,33 @@ function isBox(b) {
  * @param {object} data
  * @returns {import("@mostajs/pdf-sign").SignOptions}
  */
+/**
+ * Les clés que `buildSignRequest` sait recopier. Tout le reste est PERDU.
+ *
+ * ⚠️ Deux options s'y sont déjà évanouies sans bruit : `openPassword` — le document sortait
+ * déverrouillé alors que l'appelant le croyait fermé — puis `timestampUrl` — le document sortait
+ * sans horodatage alors que l'appelant croyait la date attestée. Deux fois, le même mécanisme, et
+ * deux fois découvert en production.
+ *
+ * Fermer le jeu est un choix défendable ; le fermer EN SILENCE ne l'est pas. On avertit donc, sans
+ * lever : lever casserait un appelant qui passe une clé supplémentaire inoffensive, alors que le
+ * but est seulement que la perte cesse d'être invisible.
+ */
+const CLES_CONNUES = new Set([
+  'input', 'output', 'p12', 'passphrase', 'passphraseFile', 'engine',
+  'reason', 'name', 'location', 'contact', 'preset',
+  'page', 'box', 'stampImage', 'permissions', 'restrict',
+  'openPassword', 'timestampUrl',
+]);
+
+function signalerClesPerdues(data) {
+  const perdues = Object.keys(data || {}).filter((k) => !CLES_CONNUES.has(k) && data[k] !== undefined);
+  if (perdues.length) {
+    console.warn('[pdf-sign-ui] option(s) ignorée(s) par buildSignRequest, donc PERDUE(S) : '
+      + perdues.join(', ') + '. Ajoutez-les au jeu de clés ou retirez-les de l’appel.');
+  }
+}
+
 export function buildSignRequest(data = {}) {
   const preset = data.preset ? getPreset(data.preset) : undefined;
   const reason = data.reason || preset?.reason;
@@ -99,7 +126,12 @@ export function buildSignRequest(data = {}) {
     // et le document sort sans elle — sans erreur. `openPassword` a été perdu ainsi jusqu'en
     // 0.2.0 : le document s'ouvrait alors que l'appelant le croyait verrouillé.
     openPassword: data.openPassword || undefined,
+    // Horodatage RFC 3161 (`@mostajs/pdf-sign` 0.3.0) : fait passer la signature de PAdES-B à
+    // PAdES-T. Perdu ici en silence lors de sa première intégration — exactement comme
+    // `openPassword` avant lui. D'où l'avertissement ci-dessous.
+    timestampUrl: data.timestampUrl || undefined,
   };
+  signalerClesPerdues(data);
   return prune(req);
 }
 
@@ -151,7 +183,14 @@ export function buildVerifyViewModel(result, opts = {}) {
     signer: s.signer,
     status: statusLabel(s, t),
   }));
-  const allValid = rows.length > 0 && rows.every((r) => r.valid !== false && r.intact !== false);
+  // ⚠️ « Valide » exige que les DEUX soient établis — `intact === true` ET `valid === true`.
+  //
+  // Jusqu'en 0.3.0, on lisait « pas false » : `undefined` passait pour valide. Or c'est exactement
+  // ce que rend la détection du moteur Node (`intact` et `valid` indéfinis : une signature est
+  // PRÉSENTE, rien n'a été VÉRIFIÉ) — et un document non vérifié s'affichait « Signature(s)
+  // valide(s) ». `valid` seul ne suffit pas non plus : sur un document ALTÉRÉ, pyhanko rend
+  // `valid: true` et `intact: false`.
+  const allValid = rows.length > 0 && rows.every((r) => r.valid === true && r.intact === true);
   return {
     signed: true,
     engine: result.engine,
@@ -162,8 +201,11 @@ export function buildVerifyViewModel(result, opts = {}) {
 
 function statusLabel(s, t) {
   if (s.valid === false || s.intact === false) return t("Invalide");
-  if (s.trusted) return t("Valide et de confiance");
-  if (s.valid || s.intact) return t("Valide (confiance non établie)");
+  // La confiance ne se lit qu'APRÈS l'intégrité : un certificat reconnu sur un document dont on
+  // ne sait pas s'il a changé ne rend pas ce document « valide et de confiance ».
+  if (s.valid === true && s.intact === true) {
+    return s.trusted ? t("Valide et de confiance") : t("Valide (confiance non établie)");
+  }
   return t("Présente (non validée)");
 }