@mostajs/wagon-engine 0.8.0 → 0.9.0

package/CHANGELOG.md

@@ -3,6 +3,31 @@
 **Auteur** : Dr Hamid MADANI <drmdh@msn.com>
 Format : Keep a Changelog ; versions : SemVer.
 
+## [0.9.0] — 2026-10-29
+
+### Modifié — les clés du `.env` sans préfixe `WAGON_` (demande du fondateur)
+Le préfixe `WAGON_` ne disait ni la fonction de la clé ni son sens métier, et se mêlait mal au profil `MOSTA_ENV`
+(`PROD_SGBD_URI` n'était pas lu : la base des comptes retombait sur `data/wagon.db`). Les clés portent désormais le
+nom de leur fonction ; le seul préfixe est celui du profil. **Les anciens noms ne sont plus lus** (pas de secours) :
+le démarrage avertit pour chacun qui reste (`signalerClesRetirees`).
+
+| retiré | remplacé par |
+|---|---|
+| `WAGON_SGBD`, `WAGON_DB_DIALECT` | `SGBD_URI`, `DB_DIALECT` |
+| `WAGON_BASE_URL` | `BASE_URL` |
+| `WAGON_ADMINS` | `ADMIN_EMAILS` |
+| `WAGON_EMAIL_SERVER_HOST`/`_PORT`/`_USER`/`_PASSWORD`, `WAGON_EMAIL_FROM` | `EMAIL_SERVER_HOST`/`_PORT`/`_USER`/`_PASSWORD`, `EMAIL_FROM` |
+| `WAGON_COURRIEL_FICHIER` | `EMAIL_FICHIER` |
+| `WAGON_STRIPE_RESTRICTED_KEY`, `WAGON_STRIPE_SECRET_KEY`, `WAGON_STRIPE_WEBHOOK_SECRET` | `STRIPE_RESTRICTED_KEY`, `STRIPE_SECRET_KEY`, `STRIPE_WEBHOOK_SECRET` |
+| `WAGON_GREFFE` (suite de conformité) | `GREFFE` |
+
+Toutes ces clés sont lues par `getEnv` de `@mostajs/config` (la suite de conformité aussi, qui lisait `process.env`).
+Ajouté : `adminsDeclares(config)` (la liste des administrateurs déclarés, pour les scripts d'administration des
+greffes), `signalerClesRetirees(journal)`, `CLES_RETIREES`.
+
+Essai T-ENG-17 (cascade `MOSTA_ENV=PROD` → `PROD_SGBD_URI` ; `WAGON_SGBD` ignoré et signalé) ; 53/53 ; sabotage vérifié
+(relire `WAGON_SGBD` → T-ENG-17 tombe).
+
 ## [0.8.0] — 2026-10-29
 
 ### Ajouté — les membres d'un compte (demandé par CaisseTrax : écart E-08 de SPEC-ECRANS-CAISSETRAX)

package/README.md

@@ -34,17 +34,17 @@ await demarrer({ config, charge });
 | `.env` | rôle |
 |---|---|
 | `PORT`, `HOST` | écoute (4800, 127.0.0.1) |
-| `WAGON_BASE_URL` | l'adresse publique (liens des courriels, retours de paiement) |
-| `WAGON_DB_DIALECT`, `WAGON_SGBD` | la base : `sqlite` et un chemin, ou `postgres` et `postgresql://…` |
-| `WAGON_EMAIL_SERVER_HOST`, `…_PORT`, `…_USER`, `…_PASSWORD`, `WAGON_EMAIL_FROM` | le courriel (SMTP) |
-| `WAGON_STRIPE_SECRET_KEY`, `WAGON_STRIPE_WEBHOOK_SECRET` | Stripe |
+| `BASE_URL` | l'adresse publique (liens des courriels, retours de paiement) |
+| `DB_DIALECT`, `SGBD_URI` | la base : `sqlite` et un chemin, ou `postgres` et `postgresql://…` |
+| `EMAIL_SERVER_HOST`, `…_PORT`, `…_USER`, `…_PASSWORD`, `EMAIL_FROM` | le courriel (SMTP) |
+| `STRIPE_SECRET_KEY` (ou `STRIPE_RESTRICTED_KEY`), `STRIPE_WEBHOOK_SECRET` | Stripe |
 | `CHARGILY_SECRET_KEY` · `SATIM_MERCHANT_ID`, `SATIM_PASSWORD`, `SATIM_TERMINAL_ID` · `PAYPAL_…` | les banques prépayées proposées par `config.paiement.prepaye` |
 | `PAIEMENT_STRIPE=off`, `PAIEMENT_CHARGILY=off`, `PAIEMENT_SATIM=off`, `PAIEMENT_PAYPAL=off` | **coupe un moyen** sans toucher à ses clés |
-| `WAGON_ADMINS` | les courriels administrateurs (confirmés par un code reçu) |
+| `ADMIN_EMAILS` | les courriels administrateurs (confirmés par un code reçu) |
 | `PAIEMENT_VENDEUR_DZD`, `PAIEMENT_VENDEUR_EUR`… | 0.6 — **le vendeur de chaque devise** (dénomination, forme, adresse, immatriculations) ; dès qu'une est déclarée, une devise sans vendeur n'est pas vendue, et `{{VENDEUR}}` des CGV les nomme |
 | `PAIEMENT_STRIPE_DEVISES` | 0.6 — la devise de Stripe (défaut `EUR`) |
 
-**Le `.env` d'abord.** Toutes les clés passent par `getEnv` de `@mostajs/config` : cascade `MOSTA_ENV` (`PROD_CLÉ` l'emporte sur `CLÉ`), valeur vide = absente, et `loadEnv` n'écrase jamais une variable déjà posée par l'orchestrateur. Si `wagon.config.mjs` lit des variables, il appelle `loadEnv` lui-même, en tête.
+**Le `.env` d'abord.** Toutes les clés passent par `getEnv` de `@mostajs/config` : cascade `MOSTA_ENV` (`PROD_CLÉ` l'emporte sur `CLÉ`), valeur vide = absente, et `loadEnv` n'écrase jamais une variable déjà posée par l'orchestrateur. Une clé porte le nom de sa fonction ; le seul préfixe est celui du profil (`PROD_SGBD_URI`, `DEV_BASE_URL`). Depuis la 0.9, les anciens noms `WAGON_…` ne sont plus lus : le démarrage signale ceux qui restent. Si `wagon.config.mjs` lit des variables, il appelle `loadEnv` lui-même, en tête.
 
 **Un vendeur par devise (0.6).** Un SaaS qui vend en dinars par un auto-entrepreneur et en euros par une société pose `PAIEMENT_VENDEUR_DZD=…` et `PAIEMENT_VENDEUR_EUR=…`. Une devise déclarée vide (`PAIEMENT_VENDEUR_EUR=`, la société n'est pas encore immatriculée) n'est pas vendue : Stripe est écarté même avec sa clé. Sans aucune `PAIEMENT_VENDEUR_*`, rien ne change.
 
@@ -54,7 +54,7 @@ await demarrer({ config, charge });
 
 ## Juger une greffe
 
-La suite de conformité est publiée avec le moteur. Elle juge la greffe du dossier courant, ou celle que désigne `WAGON_GREFFE` :
+La suite de conformité est publiée avec le moteur. Elle juge la greffe du dossier courant, ou celle que désigne `GREFFE` :
 
 ```bash
 npx mjs-unit node_modules/@mostajs/wagon-engine/src/conformite/conformite.test.mjs

package/examples/verifier.mjs

@@ -13,7 +13,7 @@ import { demarrer } from '../src/index.js';
 const racine = mkdtempSync(join(tmpdir(), 'greffe-'));
 mkdirSync(join(racine, 'legal'));
 writeFileSync(join(racine, 'legal', 'cgu.fr.md'), '# Conditions\n\n{{SERVICE}} est édité par Exemple SARL.\n');
-writeFileSync(join(racine, '.env'), `PORT=0\nWAGON_SGBD=${join(racine, 'wagon.db')}\nWAGON_BASE_URL=http://127.0.0.1\nCHARGILY_SECRET_KEY=test_sk_exemple\nPAIEMENT_STRIPE=off\n`);
+writeFileSync(join(racine, '.env'), `PORT=0\nSGBD_URI=${join(racine, 'wagon.db')}\nBASE_URL=http://127.0.0.1\nCHARGILY_SECRET_KEY=test_sk_exemple\nPAIEMENT_STRIPE=off\n`);
 
 const config = {
   marque: { nom: 'Échos', symbole: 'É', auteur: 'Exemple SARL' }, langues: ['fr', 'en', 'ar'], connexion: 'motdepasse',

package/llms.txt

@@ -17,7 +17,7 @@ Une greffe se configure par SON `.env` (dossier courant de `demarrer`, ou `racin
    conteneur) prime sur le fichier.
 3. **Cascade** (première valeur NON VIDE) : `${MOSTA_ENV}_${CLÉ}` → `${CLÉ}` → défaut. Un seul .env, des profils
    `TEST_`/`DEV_`/`PROD_`. Toutes les clés ci-dessous, et celles de `@mostajs/payment`, passent par `getEnv`.
-4. **Vide = absent** : `WAGON_STRIPE_SECRET_KEY=` ne configure rien. Exception voulue : `PAIEMENT_VENDEUR_<DEVISE>=`
+4. **Vide = absent** : `STRIPE_SECRET_KEY=` ne configure rien. Exception voulue : `PAIEMENT_VENDEUR_<DEVISE>=`
    vide DÉCLARE la devise sans la nommer (elle n'est pas vendue).
 5. Les secrets et les informations de l'entreprise sont posés par l'exploitant sur le serveur, jamais commités ;
    `.env.example` de la greffe liste chaque clé, sans valeur.
@@ -27,13 +27,13 @@ Une greffe se configure par SON `.env` (dossier courant de `demarrer`, ou `racin
 - creerWagon({ config, charge, sgbd: string|{dialect,uri}, baseUrl, stripe?, webhookSecret?, transport?, journal?,
   paiement?: { banques: { chargily:'DZD', … }, port?, deviseStripe? }, racine? }) → { moyens, handler, catalogue(), catalogueStripe(), fermer(), … }
 - schemasWagon() (sauvegarde) · sauvegarder({ cibles, driver, seau, recipients, garder }) · suivrePalette(…)
-- '@mostajs/wagon-engine/conformite' = src/conformite/conformite.test.mjs (suite mjs-unit, juge WAGON_GREFFE ou cwd)
+- '@mostajs/wagon-engine/conformite' = src/conformite/conformite.test.mjs (suite mjs-unit, juge GREFFE ou cwd)
 
 ## .env lu par demarrer
-PORT, HOST · WAGON_BASE_URL · WAGON_DB_DIALECT (sqlite|postgres…), WAGON_SGBD · WAGON_EMAIL_SERVER_HOST/PORT/USER/PASSWORD,
-WAGON_EMAIL_FROM (ou WAGON_COURRIEL_FICHIER pour les essais) · WAGON_STRIPE_SECRET_KEY|RESTRICTED_KEY, WAGON_STRIPE_WEBHOOK_SECRET ·
+PORT, HOST · BASE_URL · DB_DIALECT (sqlite|postgres…), SGBD_URI · EMAIL_SERVER_HOST/PORT/USER/PASSWORD,
+EMAIL_FROM (ou EMAIL_FICHIER pour les essais) · STRIPE_SECRET_KEY|STRIPE_RESTRICTED_KEY, STRIPE_WEBHOOK_SECRET ·
 CHARGILY_SECRET_KEY|API_KEY · SATIM_MERCHANT_ID, SATIM_PASSWORD, SATIM_TERMINAL_ID · PAYPAL_CLIENT_ID, PAYPAL_SECRET,
-PAYPAL_WEBHOOK_ID · PAIEMENT_<STRIPE|CHARGILY|SATIM|PAYPAL>=off (coupe le moyen) · WAGON_ADMINS · WAGON_INDEXER.
+PAYPAL_WEBHOOK_ID · PAIEMENT_<STRIPE|CHARGILY|SATIM|PAYPAL>=off (coupe le moyen) · ADMIN_EMAILS. Cascade MOSTA_ENV (PROD_SGBD_URI…). 0.9 : plus aucun nom WAGON_… n'est lu (signalé au démarrage).
 0.6 (@mostajs/payment ≥ 2.7) : PAIEMENT_VENDEUR_<DEVISE> (le vendeur de cette devise : dénomination, forme, adresse,
 immatriculations) · PAIEMENT_STRIPE_DEVISES (la devise de Stripe, défaut EUR).
 Moyen ACTIF = clés présentes ET commutateur ≠ off (ET, pour une banque prépayée, proposée par config.paiement.prepaye)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mostajs/wagon-engine",
-  "version": "0.8.0",
+  "version": "0.9.0",
   "description": "Le wagon d'un SaaS, une fois pour toutes : comptes, connexion, paliers, quotas, paiement (Stripe, Chargily, SATIM), espace client, administration, pages légales, fr/en/ar. Une greffe n'apporte que wagon.config.mjs, charge/, legal/ et son .env ; la suite de conformité publiée juge la greffe.",
   "keywords": [
     "mostajs",

package/src/conformite/conformite.test.mjs

@@ -1,5 +1,5 @@
 // @mostajs/wagon-engine — LA SUITE DE CONFORMITÉ : elle dit si une greffe tient.
-// La greffe jugée est celle de WAGON_GREFFE, sinon le dossier courant : sa configuration (wagon.config.mjs), sa
+// La greffe jugée est celle de GREFFE, sinon le dossier courant : sa configuration (wagon.config.mjs), sa
 // charge (charge/index.mjs) et ses textes légaux (legal/). Lancer depuis la greffe :
 //   mjs-unit node_modules/@mostajs/wagon-engine/src/conformite/conformite.test.mjs
 // Author: Dr Hamid MADANI <drmdh@msn.com> · AGPL-3.0-or-later
@@ -20,10 +20,11 @@ import { join, resolve } from 'node:path';
 import { pathToFileURL } from 'node:url';
 import Stripe from 'stripe';
 import { creerWagon } from '../wagon.mjs';
+import { getEnv } from '@mostajs/config';
 
-const GREFFE = resolve(process.env.WAGON_GREFFE || process.cwd());
+const GREFFE = resolve(getEnv('GREFFE', process.cwd()));
 if (!existsSync(join(GREFFE, 'wagon.config.mjs')) || !existsSync(join(GREFFE, 'charge', 'index.mjs'))) {
-  throw new Error(`conformité : greffe introuvable dans ${GREFFE} (wagon.config.mjs et charge/index.mjs attendus ; WAGON_GREFFE la désigne)`);
+  throw new Error(`conformité : greffe introuvable dans ${GREFFE} (wagon.config.mjs et charge/index.mjs attendus ; GREFFE la désigne)`);
 }
 const config = (await import(pathToFileURL(join(GREFFE, 'wagon.config.mjs')).href)).default;
 const charge = (await import(pathToFileURL(join(GREFFE, 'charge', 'index.mjs')).href)).default;
@@ -374,7 +375,7 @@ test('T-WAG-27 — `config.css` : la feuille de l’application est posée sur l
 });
 
 // 0.5 (audit du 09/10/2026) — la base du wagon n'est plus figée en sqlite : `sgbd: { dialect, uri }` (le .env :
-// WAGON_DB_DIALECT, WAGON_SGBD), comme la base de la charge. La chaîne seule reste un chemin sqlite.
+// DB_DIALECT, SGBD_URI), comme la base de la charge. La chaîne seule reste un chemin sqlite.
 test('T-WAG-19 — la base du wagon se choisit par { dialect, uri } ; la chaîne reste un chemin sqlite', async () => {
   const W2 = await creerWagon({ config: { ...config, dossierLegal: LEGAL_COMPLET }, charge, sgbd: { dialect: 'sqlite', uri: join(atelier, `objet${Math.random()}.db`) }, baseUrl: 'http://127.0.0.1', racine: GREFFE });
   await W2.catalogue();

package/src/demarrer.mjs

@@ -13,18 +13,19 @@ import { join } from 'node:path';
 import { loadEnv, getEnv } from '@mostajs/config';
 import { devisesDuMoyen } from '@mostajs/payment/server';
 import { creerWagon } from './wagon.mjs';
+import { signalerClesRetirees } from './env.mjs';
 
 const coupe = (moyen) => getEnv(`PAIEMENT_${moyen.toUpperCase()}`, '') === 'off';
 
 /** Les courriels : SMTP (avec DKIM si la clé est publiée), ou un fichier pour les essais. */
 async function transport() {
-  const fichier = getEnv('WAGON_COURRIEL_FICHIER', '');
+  const fichier = getEnv('EMAIL_FICHIER', '');
   if (fichier) return { envoyer: async (m) => appendFileSync(fichier, `${JSON.stringify(m)}\n`, { mode: 0o600 }) };
-  const host = getEnv('WAGON_EMAIL_SERVER_HOST', '');
+  const host = getEnv('EMAIL_SERVER_HOST', '');
   if (!host) return null;
   const { createSmtpLiteDriver } = await import('@mostajs/mailer');
-  const pilote = createSmtpLiteDriver({ host, port: Number(getEnv('WAGON_EMAIL_SERVER_PORT', '587')), user: getEnv('WAGON_EMAIL_SERVER_USER', ''), pass: getEnv('WAGON_EMAIL_SERVER_PASSWORD', '') });
-  const de = getEnv('WAGON_EMAIL_FROM', getEnv('WAGON_EMAIL_SERVER_USER', ''));
+  const pilote = createSmtpLiteDriver({ host, port: Number(getEnv('EMAIL_SERVER_PORT', '587')), user: getEnv('EMAIL_SERVER_USER', ''), pass: getEnv('EMAIL_SERVER_PASSWORD', '') });
+  const de = getEnv('EMAIL_FROM', getEnv('EMAIL_SERVER_USER', ''));
   return { envoyer: (m) => pilote.send({ from: de, ...m }) };
 }
 
@@ -45,14 +46,15 @@ const PRETES = {
  */
 export async function demarrer({ config, charge, racine = process.cwd(), journal = console }) {
   loadEnv({ path: join(racine, '.env') });
-  const cle = coupe('stripe') ? '' : (getEnv('WAGON_STRIPE_RESTRICTED_KEY', '') || getEnv('WAGON_STRIPE_SECRET_KEY', ''));
+  signalerClesRetirees(journal);
+  const cle = coupe('stripe') ? '' : (getEnv('STRIPE_RESTRICTED_KEY', '') || getEnv('STRIPE_SECRET_KEY', ''));
   const banques = Object.fromEntries(Object.entries(config.paiement?.prepaye ?? {}).filter(([b]) => PRETES[b]?.() && !coupe(b)));
   const wagon = await creerWagon({
     config, charge, racine, journal,
-    sgbd: { dialect: getEnv('WAGON_DB_DIALECT', 'sqlite'), uri: getEnv('WAGON_SGBD', join(racine, 'data', 'wagon.db')) },
-    baseUrl: getEnv('WAGON_BASE_URL', 'http://localhost:4800'),
+    sgbd: { dialect: getEnv('DB_DIALECT', 'sqlite'), uri: getEnv('SGBD_URI', join(racine, 'data', 'wagon.db')) },
+    baseUrl: getEnv('BASE_URL', 'http://localhost:4800'),
     stripe: cle ? new (await import('stripe')).default(cle) : null,
-    webhookSecret: getEnv('WAGON_STRIPE_WEBHOOK_SECRET', ''),
+    webhookSecret: getEnv('STRIPE_WEBHOOK_SECRET', ''),
     transport: await transport(),
     // 0.6 — la devise de Stripe (PAIEMENT_STRIPE_DEVISES, défaut EUR) : creerWagon écarte une devise sans vendeur.
     paiement: { banques, deviseStripe: devisesDuMoyen('stripe', ['EUR'])[0] },

package/src/env.mjs

@@ -0,0 +1,39 @@
+/**
+ * @mostajs/wagon-engine — les clés du .env, toujours lues par getEnv de @mostajs/config (cascade MOSTA_ENV :
+ * `PROD_CLÉ` l'emporte sur `CLÉ`, valeur vide = absente).
+ * @author Dr Hamid MADANI <drmdh@msn.com> · AGPL-3.0-or-later
+ *
+ * 0.9 — les clés portent le nom de leur fonction (SGBD_URI, BASE_URL, ADMIN_EMAILS…) ; le seul préfixe est celui du
+ * profil MOSTA_ENV. Les anciens noms `WAGON_…` ne sont PLUS lus : s'il en reste dans le .env, le démarrage le dit.
+ */
+import { getEnv } from '@mostajs/config';
+
+/** Les noms retirés en 0.9, et leur remplaçant. */
+export const CLES_RETIREES = {
+  WAGON_SGBD: 'SGBD_URI',
+  WAGON_DB_DIALECT: 'DB_DIALECT',
+  WAGON_BASE_URL: 'BASE_URL',
+  WAGON_ADMINS: 'ADMIN_EMAILS',
+  WAGON_EMAIL_SERVER_HOST: 'EMAIL_SERVER_HOST',
+  WAGON_EMAIL_SERVER_PORT: 'EMAIL_SERVER_PORT',
+  WAGON_EMAIL_SERVER_USER: 'EMAIL_SERVER_USER',
+  WAGON_EMAIL_SERVER_PASSWORD: 'EMAIL_SERVER_PASSWORD',
+  WAGON_EMAIL_FROM: 'EMAIL_FROM',
+  WAGON_COURRIEL_FICHIER: 'EMAIL_FICHIER',
+  WAGON_STRIPE_RESTRICTED_KEY: 'STRIPE_RESTRICTED_KEY',
+  WAGON_STRIPE_SECRET_KEY: 'STRIPE_SECRET_KEY',
+  WAGON_STRIPE_WEBHOOK_SECRET: 'STRIPE_WEBHOOK_SECRET',
+};
+
+/** Signale les anciens noms encore posés : ils sont ignorés. Rend la liste. */
+export function signalerClesRetirees(journal = console) {
+  const restes = Object.keys(CLES_RETIREES).filter((k) => getEnv(k, undefined) !== undefined);
+  for (const k of restes) journal.warn(`wagon : ${k} n'est plus lue — renommez-la ${CLES_RETIREES[k]} dans le .env (même préfixe MOSTA_ENV)`);
+  return restes;
+}
+
+/** Les courriels administrateurs déclarés (config.admins + ADMIN_EMAILS), en minuscules. */
+export function adminsDeclares(config = {}) {
+  return [...new Set([...(config.admins ?? []), ...String(getEnv('ADMIN_EMAILS', '') ?? '').split(',')]
+    .map((x) => x.trim().toLowerCase()).filter(Boolean))];
+}

package/src/index.js

@@ -5,3 +5,4 @@ export { creerWagon, schemasWagon } from './wagon.mjs';
 export { demarrer } from './demarrer.mjs';
 export { sauvegarder } from './sauvegarde.mjs';
 export { suivrePalette } from './palette.mjs';
+export { adminsDeclares, signalerClesRetirees, CLES_RETIREES } from './env.mjs';

package/src/wagon.mjs

@@ -22,6 +22,7 @@ import { readFileSync, existsSync } from 'node:fs';
 import { createHash } from 'node:crypto';
 import { join } from 'node:path';
 import { openIsolatedDialect } from '@mostajs/data-plug';
+import { adminsDeclares } from './env.mjs';
 import { creerWagonUi, esc } from '@mostajs/wagon-ui';
 import { creerComptes, schemasComptes } from '@mostajs/comptes';
 import { createBilling, createStripeSale, createPrepaidSale, billingSchemas, checkLimits, assertMonotonicPlans } from '@mostajs/subscriptions-plan/server';
@@ -34,7 +35,6 @@ import { emailCodeEmailHtml, emailCodeEmailText, emailCodeForm, emailLinkConfirm
 import { magasinSessions } from '@mostajs/auth-plug';
 import { requeteLegitime, enTetesSecurite, cookieStrict } from '@mostajs/garde-http';
 import { mdToHtml } from '@mostajs/markdown-html';
-import { getEnv } from '@mostajs/config';
 import { suivrePalette } from './palette.mjs';
 
 const COURRIEL = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
@@ -134,7 +134,7 @@ const CredentialSchema = {
   relations: {}, indexes: [{ fields: { user: 'asc' }, unique: true }],
 };
 /**
- * 0.4 (audit du 09/10/2026) — les administrateurs CONFIRMÉS. Un courriel déclaré (config.admins, WAGON_ADMINS) ne
+ * 0.4 (audit du 09/10/2026) — les administrateurs CONFIRMÉS. Un courriel déclaré (config.admins, ADMIN_EMAILS) ne
  * donne l'administration qu'une fois sa détention prouvée : connexion par code ou par lien reçu à ce courriel, ou
  * confirmation faite sur le serveur (scripts/admin.mjs). Sans cela, quiconque inscrivait ce courriel AVANT son
  * titulaire prenait l'administration.
@@ -195,7 +195,7 @@ export async function creerWagon({ config, charge, sgbd, baseUrl, stripe = null,
   const https = /^https:/.test(origine);
   const S = Object.fromEntries(schemasWagon().map((s) => [s.name, s]));
   // 0.5 (audit du 09/10/2026) — `sgbd` : un chemin sqlite (comme avant), ou { dialect, uri } d'après le .env
-  // (WAGON_DB_DIALECT, WAGON_SGBD) : la base des comptes n'est plus figée en sqlite.
+  // (DB_DIALECT, SGBD_URI) : la base des comptes n'est plus figée en sqlite.
   const base = typeof sgbd === 'string' ? { dialect: 'sqlite', uri: sgbd } : { dialect: sgbd?.dialect ?? 'sqlite', uri: sgbd?.uri };
   const d = await openIsolatedDialect({ ...base, schemaStrategy: 'update' }, schemasWagon());
   // 0.4 — la charge ouvre SA base au démarrage, pas au premier client (DEVRULES-SAAS-APP §5.2).
@@ -325,7 +325,7 @@ export async function creerWagon({ config, charge, sgbd, baseUrl, stripe = null,
     } catch (e) { journal.warn(`wagon : paiementRegle de la charge : ${e?.message ?? e}`); return { status: 500, paye: false, meta }; }
     return { status: 200, paye: r.status === 'paid', meta };
   }
-  const admins = new Set([...(config.admins ?? []), ...String(getEnv('WAGON_ADMINS', '') ?? '').split(',')].map((x) => x.trim().toLowerCase()).filter(Boolean));
+  const admins = new Set(adminsDeclares(config));
   /** Un courriel est administrateur s'il est DÉCLARÉ et CONFIRMÉ. */
   const estAdministrateur = async (courriel) => {
     const c = String(courriel ?? '').toLowerCase();
@@ -749,7 +749,7 @@ export async function creerWagon({ config, charge, sgbd, baseUrl, stripe = null,
       if (v.allowed) anonymes.set(k, (anonymes.get(k) ?? 0) + 1);
       return v;
     };
-    // 0.3.1 — `admin` : la session est celle d'un administrateur (config.admins + WAGON_ADMINS) — pour qu'une
+    // 0.3.1 — `admin` : la session est celle d'un administrateur (config.admins + ADMIN_EMAILS) — pour qu'une
     // charge réserve ses outils (ex. l'outil de l'agence de travel) sans recalculer la liste.
     /** 0.2 (wagon-engine) — un courriel de la charge, par le transport du wagon (SMTP du .env). Rend true s'il est parti,
      *  false s'il n'y a pas de transport ou s'il a échoué (journalisé) : jamais une exception dans la route. */