@nodefony/devkit 10.0.0-beta.6 → 10.0.0-beta.7

package/skills/nodefony-browser/scripts/lib/actions.mjs

@@ -1,5 +1,31 @@
 import { USER, signInElsewhere } from "./browser.mjs";
 
+/**
+ * Attend que le défilement se pose : la position de la fenêtre ne bouge plus
+ * pendant trois images (une molette peut défiler en douceur). Borné à une
+ * seconde environ — jamais une attente aveugle.
+ *
+ * @param {import("playwright").Page} page - la page pilotée.
+ */
+async function settleScroll(page) {
+  await page.evaluate(
+    () =>
+      new Promise((resolve) => {
+        let last = window.scrollY;
+        let still = 0;
+        let frames = 0;
+        const tick = () => {
+          frames += 1;
+          still = window.scrollY === last ? still + 1 : 0;
+          last = window.scrollY;
+          if (still >= 3 || frames >= 60) resolve(undefined);
+          else requestAnimationFrame(tick);
+        };
+        requestAnimationFrame(tick);
+      }),
+  );
+}
+
 /**
  * Joue une séquence d'interactions (`NF_BROWSER_ACTIONS`, analysée par
  * `parseActions`) sur une page — la seule implémentation, partagée par
@@ -28,14 +54,23 @@ export async function playActions(page, actions) {
       await signInElsewhere(page.context());
       continue;
     }
-    if (verb === "defiler") {
+    if (verb === "defiler" || verb === "molette") {
       const pixels = Number.parseInt(target, 10);
       if (!Number.isFinite(pixels)) {
         return {
           code: 64, // EX_USAGE
-          message: `defiler attend un nombre de pixels, reçu « ${target} »`,
+          message: `${verb} attend un nombre de pixels, reçu « ${target} »`,
         };
       }
+      if (verb === "molette") {
+        // Une VRAIE molette, là où est le pointeur (`survol:` avant) : c'est
+        // le navigateur qui choisit quoi faire défiler, et qui passe à la page
+        // quand le conteneur est en bout — ce que `defiler`, qui appelle
+        // `scrollBy` sur un élément choisi, ne peut pas montrer.
+        await page.mouse.wheel(0, pixels);
+        await settleScroll(page);
+        continue;
+      }
       // Le conteneur qui défile RÉELLEMENT, pas la fenêtre : sur une console à
       // barre latérale fixe, `window.scrollBy` ne bouge rien du tout.
       await page.evaluate((dy) => {
@@ -47,6 +82,12 @@ export async function playActions(page, actions) {
       }, pixels);
       continue;
     }
+    // Une touche sans cible part à l'élément qui a le focus (onglets,
+    // listes, menus : c'est lui que le clavier pilote).
+    if (verb === "touche" && target === "") {
+      await page.keyboard.press(value || "Enter");
+      continue;
+    }
     // Le premier candidat VISIBLE, pas le premier du DOM : un libellé apparaît
     // souvent d'abord dans un menu replié ou un gabarit caché, et agir là ne fait
     // rien tout en passant pour un succès.
@@ -83,7 +124,13 @@ export async function playActions(page, actions) {
         : candidates.first();
     }
     try {
-      await locator.waitFor({ timeout: 15000 });
+      // Un champ de fichier est presque toujours CACHÉ derrière un bouton
+      // (trombone, zone de dépôt) : l'attendre visible échouerait sur un champ
+      // pourtant présent. Il suffit qu'il soit attaché au document.
+      await locator.waitFor({
+        state: verb === "deposer" ? "attached" : "visible",
+        timeout: 15000,
+      });
       if (verb === "clic") await locator.click();
       else if (verb === "double") await locator.dblclick();
       else if (verb === "droit") await locator.click({ button: "right" });
@@ -97,6 +144,10 @@ export async function playActions(page, actions) {
         if (chosen.length === 0) throw new Error(`option « ${value} » absente`);
       } else if (verb === "touche") await locator.press(value || "Enter");
       else if (verb === "voir") await locator.scrollIntoViewIfNeeded();
+      // `deposer` : le fichier passe par le champ lui-même, comme un choix dans
+      // la boîte du système — la page reçoit le même `change` qu'à la main. Un
+      // chemin relatif part du répertoire courant.
+      else if (verb === "deposer") await locator.setInputFiles(value);
       // `attendre` : le `waitFor` ci-dessus EST l'action.
     } catch {
       return {

package/skills/nodefony-browser/scripts/lib/browser.mjs

@@ -15,6 +15,7 @@
  * `@env` NF_BROWSER_WHOAMI chemin qui répond 2xx à une session authentifiée, et 401/403 ou un 2xx portant `{ user: null }` sinon — prouve une session reprise (défaut `/nodefony/security/api/auth/me` ; vide = aucune reprise)
  * `@env` NF_BROWSER_ENGINE navigateur imposé (chromium, chrome, msedge, firefox, webkit) ; sans lui, le premier qui répond
  * `@env` NF_BROWSER_COLOR_SCHEME schéma de couleurs émulé (light, dark, no-preference) ; sans lui, celui du navigateur
+ * `@env` NF_BROWSER_REDUCED_MOTION préférence de mouvement émulée (reduce, no-preference) — `reduce` mesure une page à fondus au repos
  * `@env` NF_BROWSER_STORAGE entrées de stockage local posées AVANT chargement (`clé=valeur`, séparées par des virgules)
  */
 import { existsSync, mkdirSync, rmSync } from "node:fs";
@@ -26,6 +27,7 @@ import {
   browserOrder,
   sessionVerdict,
   parseColorScheme,
+  parseReducedMotion,
   parseStorage,
   parseViewport,
 } from "./probes.mjs";
@@ -193,6 +195,16 @@ if (invalidScheme) {
   );
   process.exit(64); // EX_USAGE
 }
+const { motion: REDUCED_MOTION, invalid: invalidMotion } = parseReducedMotion(
+  process.env.NF_BROWSER_REDUCED_MOTION,
+);
+if (invalidMotion) {
+  console.error(
+    `NF_BROWSER_REDUCED_MOTION inconnu : « ${invalidMotion} ».\n` +
+      "Valeurs acceptées (celles de la média query standard) : reduce, no-preference.",
+  );
+  process.exit(64); // EX_USAGE
+}
 const { entries: STORAGE, rejected: storageRejected } = parseStorage(
   process.env.NF_BROWSER_STORAGE,
 );
@@ -209,10 +221,13 @@ if (storageRejected.length > 0) {
  *
  * @param options.anonymous - ne reprendre AUCUN état d'authentification : la
  *   séquence se connecte elle-même en route (`connecter:`).
+ * @param options.permissions - permissions accordées d'avance à toutes les
+ *   origines (`notifications`…) : une page qui les DEMANDE les reçoit sans
+ *   boîte de dialogue — un navigateur piloté n'en montre aucune.
  * @returns `{ browser, ctx, page, reuse }` — `reuse` dit si un état
  *   d'authentification a été repris, ce qui décide s'il faut se connecter.
  */
-export async function open({ anonymous = false } = {}) {
+export async function open({ anonymous = false, permissions = [] } = {}) {
   // On CONSTATE quel navigateur répond, au lieu de supposer lequel est là.
   //
   // `channel` demande un navigateur COMPLET plutôt que le
@@ -261,6 +276,8 @@ export async function open({ anonymous = false } = {}) {
       ? { isMobile: true, hasTouch: true, deviceScaleFactor: 2 }
       : {}),
     ...(COLOR_SCHEME ? { colorScheme: COLOR_SCHEME } : {}),
+    ...(REDUCED_MOTION ? { reducedMotion: REDUCED_MOTION } : {}),
+    ...(permissions.length > 0 ? { permissions } : {}),
   };
   let reuse = !anonymous && Boolean(USER) && existsSync(STATE);
   let ctx = null;

package/skills/nodefony-browser/scripts/lib/probes.mjs

@@ -27,6 +27,8 @@ export const FAMILIES = Object.freeze({
   stockage: "cookies (attributs, jamais les valeurs) et Web Storage",
   responsive: "débordement horizontal à plusieurs largeurs d'écran",
   pli: "proportions — l'action principale visible sans défiler, la place du bloc principal dans l'écran",
+  notifications:
+    "notifications du navigateur — permission accordée, chaque `new Notification()` relevée (titre, corps, étiquette)",
 });
 
 /**
@@ -145,7 +147,7 @@ export function parseProbes(raw) {
 }
 
 /** Verbes qui prennent une VALEUR après la cible. Les autres n'en ont aucune. */
-const VERBS_WITH_VALUE = new Set(["saisir", "choisir"]);
+const VERBS_WITH_VALUE = new Set(["saisir", "choisir", "touche", "deposer"]);
 
 /** Verbes reconnus d'une action, le premier étant celui par défaut. */
 export const ACTION_VERBS = [
@@ -155,9 +157,11 @@ export const ACTION_VERBS = [
   "survol",
   "saisir",
   "choisir",
+  "deposer",
   "touche",
   "voir",
   "defiler",
+  "molette",
   "attendre",
   "connecter",
 ];
@@ -190,8 +194,9 @@ export function signsInMidway(actions) {
  * s'arrêtait en annonçant un élément introuvable, ce qui envoyait chercher un
  * défaut dans la page. D'où deux règles :
  *
- * 1. seuls les verbes qui PRENNENT une valeur (`saisir`, `choisir`) découpent
- *    sur `=` ;
+ * 1. seuls les verbes qui PRENNENT une valeur (`saisir`, `choisir`, `touche`,
+ *    `deposer`)
+ *    découpent sur `=` ;
  *    pour tous les autres, la cible est le reste entier ;
  * 2. même pour ceux-là, la coupure ignore les `=` situés à l'intérieur de
  *    crochets — `saisir:input[name=q]=bonjour` saisit bien « bonjour » dans
@@ -223,6 +228,11 @@ export function parseActions(raw) {
         else if (c === "]") depth = Math.max(0, depth - 1);
         else if (c === "=" && depth === 0) cut = i;
       }
+      // `touche:Enter` SANS `=` : le reste est la TOUCHE, frappée sur
+      // l'élément focalisé — pas un texte à chercher dans la page.
+      if (cut === -1 && verb === "touche") {
+        return { verb, target: "", value: rest.trim() };
+      }
       return cut === -1
         ? { verb, target: rest.trim(), value: "" }
         : {
@@ -256,6 +266,28 @@ export function parseColorScheme(raw) {
   return { schema: null, invalid: v };
 }
 
+/**
+ * Lit la préférence de mouvement à émuler (`NF_BROWSER_REDUCED_MOTION`) — les
+ * valeurs de la média query standard `prefers-reduced-motion`.
+ *
+ * Pourquoi : une page qui fait apparaître ses sections au défilement (fondu lié
+ * à `animation-timeline: view()`) laisse hors de la vue des textes à demi
+ * transparents. `axe` mesure alors un contraste que personne ne lira jamais à
+ * l'écran — des rouges qui envoient chercher un défaut de palette. `reduce`
+ * coupe ces animations quand la page respecte la préférence, et la mesure
+ * porte alors sur le texte au repos.
+ *
+ * @param {string|undefined} raw - la valeur brute de la variable.
+ * @returns {{ motion: "reduce"|"no-preference"|null, invalid: string|null }}
+ */
+export function parseReducedMotion(raw) {
+  const v = (raw ?? "").trim().toLowerCase();
+  if (!v) return { motion: null, invalid: null };
+  if (v === "reduce" || v === "no-preference")
+    return { motion: v, invalid: null };
+  return { motion: null, invalid: v };
+}
+
 /**
  * Rend une expression JS fournie par l'utilisateur ÉVALUABLE dans la page —
  * une forme fonction (`() => x`, `function`, `async`) y est APPELÉE.
@@ -765,3 +797,20 @@ export function browserEngine(name) {
     return { engine: v, channel: undefined };
   return { engine: "chromium", channel: name.trim() };
 }
+
+/**
+ * Le nom d'un fichier produit par une sonde : préfixe, instant à la seconde,
+ * puis le numéro du processus — deux sondes lancées dans la même seconde
+ * (mesures en parallèle) écrivaient le MÊME fichier, et la seconde capture
+ * effaçait la première sans un mot.
+ *
+ * @param {string} prefix - ce que montre le fichier (`demo-chat`, `lighthouse-…`)
+ * @param {Date} at - l'instant de la mesure
+ * @param {number} pid - le processus qui écrit
+ * @param {string} ext - l'extension, sans point
+ * @returns {string}
+ */
+export function stampedName(prefix, at, pid, ext) {
+  const stamp = at.toISOString().replace(/[:.]/gu, "-").slice(0, 19);
+  return `${prefix}-${stamp}-${pid}.${ext}`;
+}

package/skills/nodefony-dev/SKILL.md

@@ -20,8 +20,8 @@ metadata:
 # nodefony-dev — développer dans cette application sans rien inventer
 
 > **Maintenance** : vérité courante, jamais un journal. Éditer en place ; l'historique vit dans
-> `git log`. Ce fichier n'a **pas** de `references/` — et c'est une décision mesurée, pas un
-> oubli : sur 1020 transcripts d'agents lâchés dans une application générée, une page de
+> `git log`. Ce fichier n'a qu'UNE page en `references/` (`rapport-de-build.md`, un rapport qu'on
+> lit quand le build le désigne) — et c'est une décision mesurée : sur 1020 transcripts d'agents lâchés dans une application générée, une page de
 > `references/` a été ouverte **0 fois**, quand un script cité comme commande l'a été dans 80 %
 > des cas. Ce qui doit atteindre un agent s'EXÉCUTE ou vit dans ce corps ; ce qu'on déporterait
 > « pour alléger » n'atteindrait plus personne.
@@ -41,18 +41,22 @@ yeux. Ils ont simplement continué sans elle.
 Ces skills sont installés avec le framework et se chargent par leur nom. Chacun porte les pièges
 de son geste, et ceux-là ne se devinent pas — ils se paient.
 
-| Ce que tu t'apprêtes à faire                                         | Le skill                        |
-| -------------------------------------------------------------------- | ------------------------------- |
-| Une ressource : table, validation, service, REST et WebSocket        | `nodefony-add-crud`             |
-| Une logique métier réutilisable, hors de tout controller             | `nodefony-add-service`          |
-| Un flux temps réel (WebSocket ou SSE), un canal, un abonnement       | `nodefony-add-realtime-channel` |
-| Se connecter : /login, second facteur, retour après connexion, jeton | `nodefony-authentication`       |
-| Réserver une route ou une page à des rôles, ouvrir à un partenaire   | `nodefony-protect-route`        |
-| Changer une entité déjà en base, ou déployer un schéma changé        | `nodefony-migrate-schema`       |
-| Conclure quoi que ce soit d'un ÉCRAN — affichage, contraste, console | `nodefony-browser`              |
-| Quelque chose qui marchait ne marche plus : démarrage, 404, journal  | `nodefony-troubleshoot`         |
-| Relire la sécurité de ton diff AVANT de commiter                     | `nodefony-security-review`      |
-| Monter Nodefony de version, ou une montée qui a laissé des rouges    | `nodefony-upgrade`              |
+| Ce que tu t'apprêtes à faire                                              | Le skill                         |
+| ------------------------------------------------------------------------- | -------------------------------- |
+| Une ressource : table, validation, service, REST et WebSocket             | `nodefony-add-crud`              |
+| Une logique métier réutilisable, hors de tout controller                  | `nodefony-add-service`           |
+| Du temps réel : chat, canal, notification, jeu, sondes, tableau de bord   | `nodefony-add-realtime-channel`  |
+| Afficher qui est en ligne, combien de présents, « en train d'écrire »     | `nodefony-add-realtime-presence` |
+| Des octets en temps réel : image, audio, mesures binaires, CBOR           | `nodefony-add-realtime-binary`   |
+| Exposer ou appeler un service gRPC                                        | `nodefony-add-grpc-service`      |
+| Se connecter : /login, second facteur, retour après connexion, jeton      | `nodefony-authentication`        |
+| Réserver une route ou une page à des rôles, ouvrir à un partenaire        | `nodefony-protect-route`         |
+| Changer une entité déjà en base, ou déployer un schéma changé             | `nodefony-migrate-schema`        |
+| Mettre en production : image, conteneur, variables, santé, plusieurs pods | `nodefony-devops`                |
+| Conclure quoi que ce soit d'un ÉCRAN — affichage, contraste, console      | `nodefony-browser`               |
+| Quelque chose qui marchait ne marche plus : démarrage, 404, journal       | `nodefony-troubleshoot`          |
+| Relire la sécurité de ton diff AVANT de commiter                          | `nodefony-security-review`       |
+| Monter Nodefony de version, ou une montée qui a laissé des rouges         | `nodefony-upgrade`               |
 
 Aucune ligne ne correspond ? Alors seulement, continue ici. Et si ta tâche est EXACTEMENT celle
 d'un spécialiste, va droit à lui : il n'y a pas à passer par cette page d'abord.
@@ -344,7 +348,8 @@ ont leur skill, qui part du symptôme : **`nodefony-troubleshoot`**.
   par requête = `overlayConfig()` (clés de la liste blanche du module), lue par `useConfig()`.
 - **Tu lis une liste sans la BORNER.** Un `find` sans limite matérialise la table entière —
   indolore sur les quelques lignes du poste de développement, fatal sur les dizaines de milliers
-  de la production. Le service d'une entité hérite `findPage({ limit: 25 })`.
+  de la production. Le service d'une entité hérite `findPage({ limit })` — `limit` est OBLIGATOIRE,
+  aucun défaut ne le pose pour toi : écris-le (`findPage({ limit: 25 })`).
 
 ### Ce qui tue le processus, pas la requête
 

package/skills/nodefony-devops/references/dimensionnement.md

@@ -22,7 +22,7 @@ file, et la latence monte.
 Mesurées sur Nodefony **10.0.0**, en **production**, Node 26.10, **un** process, route de banc
 **triviale**, charge de 1 Ko. Chaque débit est ramené à ELU 1 (débit observé ÷ ELU), donc c'est un
 **plafond**. Source et calculateur :
-[peut-on partir en production ?](https://nodefony.github.io/nodefony-core/performance/latest/).
+[peut-on partir en production ?](https://nodefony.net/performance/latest/).
 
 | Constante                                         | Valeur                        | Ce qu'elle dit                                                                        |
 | ------------------------------------------------- | ----------------------------- | ------------------------------------------------------------------------------------- |

package/skills/nodefony-devops/references/frontal.md

@@ -207,9 +207,12 @@ Avec `--reencrypt`, h2c est ignoré : le port TLS négocie déjà HTTP/2. **C'es
 contre un frontal réel** (HAProxy 3.0, configuration générée) : requête servie en h2c, sonde lue
 sur le port HTTP, WebSocket ouverte sur le port HTTP.
 
-### nginx — reste en HTTP/1.1 vers l'application
+### nginx — HTTP/1.1 vers l'application, gRPC vers h2c
 
-nginx ne parle pas HTTP/2 à ses amonts (hors gRPC) : `proxy:generate nginx` ignore h2c.
+nginx ne parle HTTP/2 à ses amonts que par `grpc_pass`. Avec `servers.h2c` actif,
+`proxy:generate nginx` écoute en HTTP/2 et envoie les seuls appels gRPC (`content-type:
+application/grpc…`) au port h2c ; le reste, gRPC-Web compris, garde le port HTTP en HTTP/1.1.
+Re-chiffrement demandé : pas de lien h2c, la configuration le dit en commentaire.
 
 ### Envoy
 

package/skills/nodefony-devops/references/image.md

@@ -7,12 +7,13 @@ du frontal ne sort que si tu le demandes explicitement.
 
 ## 1. La carte
 
-| Étage       | Base                | Ce qu'il fait                                                         | Descend dans l'image finale ? |
-| ----------- | ------------------- | --------------------------------------------------------------------- | ----------------------------- |
-| `build`     | `node:24-alpine`    | Installe, compile, élague les dépendances de développement            | seulement son `/app`          |
-| `proxyconf` | hérite de `build`   | **Dérive** la configuration nginx et rassemble les fichiers statiques | non — étage intermédiaire     |
-| `edge`      | `nginx:1.30-alpine` | Le frontal, avec la configuration dérivée ci-dessus                   | non — cible séparée           |
-| _(final)_   | `node:24-alpine`    | L'application en production                                           | **oui**                       |
+| Étage       | Base                                  | Ce qu'il fait                                                           | Descend dans l'image finale ? |
+| ----------- | ------------------------------------- | ----------------------------------------------------------------------- | ----------------------------- |
+| `build`     | `node:24-slim`                        | Installe, compile, élague les dépendances de développement              | seulement son `/app`          |
+| `proxyconf` | hérite de `build`                     | **Dérive** la configuration nginx et rassemble les fichiers statiques   | non — étage intermédiaire     |
+| `edge`      | `nginx:1.30-alpine`                   | Le frontal, avec la configuration dérivée ci-dessus                     | non — cible séparée           |
+| `nf-dirs`   | `node:24-slim`                        | Crée `tmp/` et `var/` vides — distroless n'a pas de shell pour le faire | seulement ces deux dossiers   |
+| _(final)_   | `gcr.io/distroless/nodejs24-debian13` | L'application en production — ni shell, ni npm, `node` hors du `PATH`   | **oui**                       |
 
 ```bash
 docker build -t <app> .                      # l'application
@@ -27,7 +28,7 @@ docker build -t <app>-edge --target edge .   # le frontal, seulement si tu le ve
 | `USER`        | **`1000:1000`** — numérique, donc reportable tel quel dans un `runAsUser`      |
 | `ENV`         | `NODE_ENV=production`                                                          |
 | `EXPOSE`      | `5151`                                                                         |
-| `CMD`         | `["node_modules/.bin/nodefony", "production"]`                                 |
+| `CMD`         | `["node_modules/nodefony/bin/nodefony", "production"]`                         |
 | `HEALTHCHECK` | `/readyz`, intervalle 10 s, délai 2 s, **période de démarrage 20 s**, 3 essais |
 
 **`node` est le process n° 1.** Il n'y a pas d'`ENTRYPOINT` d'init : le signal `SIGTERM` arrive
@@ -71,14 +72,21 @@ Sans eux l'image se construit quand même — avec des étiquettes vides. Une im
 
 ## 3. Changer la base — c'est prévu, et c'est écrit dans le fichier
 
-Le gabarit porte deux alternatives en commentaire, avec leur mode d'emploi. La règle commune :
-**remplacer les DEUX `FROM`, jamais un seul** — un étage de compilation `alpine` et une exécution
-`slim` produisent des binaires natifs qui ne se chargeront pas.
-
-| Tu veux…                                              | Bascule                                                          | Ce qu'il faut aussi changer                                     |
-| ----------------------------------------------------- | ---------------------------------------------------------------- | --------------------------------------------------------------- |
-| Un paquet natif qui ne publie **pas** de binaire musl | `node:24-slim` (glibc) sur les deux `FROM`                       | rien                                                            |
-| La surface d'attaque minimale                         | `gcr.io/distroless/nodejs24-debian12` en finale, `slim` en build | **`CMD` et `HEALTHCHECK` en `/nodejs/bin/node`** — pas de shell |
+L'image finale est distroless `debian13` : aucune vulnérabilité critique ni haute, Node à jour. Le
+gabarit porte en commentaire comment passer à une base À SHELL, avec son mode d'emploi. La règle
+commune : **l'étage de construction et l'étage final partagent la même libc** — une compilation
+`alpine` (musl) et une exécution glibc produisent des binaires natifs qui ne se chargeront pas.
+
+| Tu veux…                           | Bascule                              | Ce qu'il faut aussi changer                                                    |
+| ---------------------------------- | ------------------------------------ | ------------------------------------------------------------------------------ |
+| Un `apk add` dans l'image finale   | `node:24-alpine` sur les deux `FROM` | retirer l'étage `nf-dirs`, remettre le `RUN mkdir … && chown`, sonde en `node` |
+| Un shell glibc (`bash`, `apt-get`) | `node:24-slim` sur les deux `FROM`   | idem                                                                           |
+
+Sous distroless, rien ne lit un shebang : `node` n'est pas sur le `PATH` et il n'y a pas de
+`/usr/bin/env`. L'`ENTRYPOINT` de l'image est `/nodejs/bin/node`, donc une commande se change par ses
+**arguments** — `docker run <image> node_modules/nodefony/bin/nodefony …`, `args:` en Kubernetes (jamais
+`command:`, qui remplacerait l'`ENTRYPOINT`), `command:` dans compose. Un diagnostic :
+`docker exec <conteneur> /nodejs/bin/node …`.
 
 Le symptôme d'un mélange musl/glibc est franc : un `.node` introuvable, ou `Error relocating`, **au
 démarrage** — jamais à la construction. L'image se construit parfaitement et ne démarre pas.

package/skills/nodefony-migrate-schema/references/verdicts.md

@@ -130,6 +130,7 @@ n'a jamais les deux — c'est le discriminant à tester.
 | `NF_GENERATE_MISSING_ENTITY`     | une entité est enregistrée sans fichier qui la fournisse                                                | `nodefony inspect entities --json` pour la situer                                                               |
 | `NF_GENERATE_UNREADABLE_ENTITY`  | rien d'écrit, et un fichier d'entités ne s'importe pas : sa table n'est vue par personne                | corriger la cause nommée (souvent un paquet absent des dépendances), ou sortir le fichier de `nodefony/entity/` |
 | `NF_GENERATE_FRAMEWORK_TABLE`    | une entité de l'application usurpe une table du framework                                               | la renommer, ou écrire une migration libre (`--custom`)                                                         |
+| `NF_GENERATE_DEV_MODULE_TABLE`   | un module `policy: "dev"` lie ses tables au connecteur généré : elles iraient en base de production     | lui donner un connecteur à lui, sans migration ; ou retirer sa politique `dev`                                  |
 | `NF_GENERATE_DESTRUCTIVE`        | la migration ÉCRITE supprime des données                                                                | relire le fichier, puis annuler (`git checkout`) ou appliquer — la mise en service a sa propre garde            |
 | `NF_GENERATE_DATABASE_BEHIND`    | rien à écrire, RIEN n'attend, et pourtant la base ne porte pas le schéma                                | `repair --forget <source>/<tag>` : l'historique affirme une migration jamais exécutée                           |
 | `NF_GENERATE_TOOL_MISSING`       | l'outil de génération n'est pas installé                                                                | l'installer en dépendance de développement                                                                      |

package/skills/nodefony-protect-route/SKILL.md

@@ -245,10 +245,10 @@ Un service partenaire, un script, un agent ne stockent aucun cookie. Le
 `nodefony/config/security.ts` généré (preset `complete`) pose **deux zones, une par sorte de
 preuve** — choisis selon ce que l'appelant détient, n'en ajoute pas une troisième :
 
-| L'appelant présente                            | Zone      | Préfixe        | Obtenir la preuve                       |
-| ---------------------------------------------- | --------- | -------------- | --------------------------------------- |
-| une **clé d'API** opaque (`nf_…`)              | `machine` | `/api/machine` | `POST /nodefony/security/api/keys`      |
-| un **jeton d'accès** (de l'app ou de Keycloak) | `partner` | `/api/partner` | `npx nodefony app:partner:call` le fait |
+| L'appelant présente                  | Zone      | Préfixe        | Obtenir la preuve                  |
+| ------------------------------------ | --------- | -------------- | ---------------------------------- |
+| une **clé d'API** opaque (`nf_…`)    | `machine` | `/api/machine` | `POST /nodefony/security/api/keys` |
+| un **jeton d'accès** signé par l'app | `service` | `/api/service` | émis par l'app (voir la démo)      |
 
 ### Clé d'API : la zone `machine`
 
@@ -275,27 +275,30 @@ qui ne stocke pas de cookie ne doit rien recevoir qu'il faille stocker.**
 
 Les clés s'émettent par `POST /nodefony/security/api/keys`.
 
-### Jeton d'accès : la zone `partner`, et la commande qui l'éprouve
+### Jeton d'accès : la zone `service`
 
-La zone accepte un jeton signé par l'application (`jwt`) **et** un jeton de Keycloak
-(`external-jwt`) ; les deux s'aiguillent sur l'émetteur, leur ordre ne décide de rien. Une route
-qui tombe sous `/api/partner` est protégée sans rien ajouter. L'exemple qui marche est déjà dans
-l'application — **lis-le avant d'écrire un appelant** :
-
-```bash
-npx nodefony app:partner:call                     # jeton signé par l'app pour `admin` (--as <compte>)
-npx nodefony app:partner:call --issuer keycloak   # client <app>-machine, flux client_credentials
+```ts
+service: {
+  pattern: "^/api/service",
+  authenticators: ["jwt"], // jeton signé par CETTE application
+  stateless: true,
+}
 ```
 
-Source : `nodefony/command/PartnerCallCommand.ts` (la commande) et
-`nodefony/controllers/PartnerController.ts` (`GET /api/partner/whoami`, qui rend l'identité ET
-l'émetteur). Un jeton Keycloak s'obtient par `requestClientCredentialsToken` de
-`@nodefony/security` — découverte du point de jeton comprise —, jamais par un `fetch` recopié.
+Une route qui tombe sous `/api/service` est protégée sans rien ajouter. L'application générée
+n'y met AUCUN controller : l'exemple complet — émission du jeton, appel, et la variante Keycloak
+(`client_credentials`) — vit dans la démo, qu'on copie dans l'application pour la lire.
+
+**Accepter aussi les jetons d'un fournisseur** (Keycloak) : ajouter `"external-jwt"` à la zone ;
+`jwt` et `external-jwt` s'aiguillent sur l'émetteur du jeton, leur ordre ne décide de rien. Un jeton
+Keycloak s'obtient par `requestClientCredentialsToken` de `@nodefony/security` — découverte du point
+de jeton comprise —, jamais par un `fetch` recopié.
 
 🔴 **L'audience vit en UN endroit.** Un jeton n'ouvre que la zone dont il porte la ressource
-(RFC 8707). `partnerResource(ctx.env)` est lue par la zone (`resource`), par `jwt.audiences` et par
-la commande. Une ressource recopiée à la main finit par différer, et le seul symptôme est un refus
-sans explication. Ouvrir une AUTRE ressource à des jetons, c'est trois gestes, pas un :
+(RFC 8707). Écris-la UNE fois (une fonction de `nodefony/config/security.ts`, sur le modèle de
+`publicBaseUrl`), lue par la zone (`resource`) et par `jwt.audiences`. Une ressource recopiée à la
+main finit par différer, et le seul symptôme est un refus sans explication. Ouvrir une ressource
+à des jetons, c'est trois gestes, pas un :
 
 | Oublié                                    | Symptôme                                                      |
 | ----------------------------------------- | ------------------------------------------------------------- |
@@ -303,19 +306,11 @@ sans explication. Ouvrir une AUTRE ressource à des jetons, c'est trois gestes,
 | `security:keycloak:realm --write` relancé | **401** du jeton Keycloak : le realm n'inscrit pas l'audience |
 | la `resource` sur la zone                 | l'application **refuse de démarrer** en nommant la zone       |
 
-🔴 **`subjectPolicy: "ephemeral"` s'écrit SUR LA ZONE, jamais dans `resourceServer`.** Le client
+🔴 **`subjectPolicy: "ephemeral"` s'écrit SUR LA ZONE, jamais dans `resourceServer`.** Un client
 machine de Keycloak n'a pas de compte ici : `ephemeral` l'accepte le temps de la requête, avec les
-seuls `ephemeralRoles` de la zone (`ROLE_PARTNER`). Posé dans `resourceServer.subjectPolicy`
-(global), il ferait accepter un appelant sans compte par **toutes** les zones `external-jwt`. Et
-un rôle fort dans `ephemeralRoles` est accordé à **quiconque** détient un jeton valide du realm.
-
-`whoami` n'exige pas `ROLE_PARTNER` — un compte de l'app ne l'a pas. Pour réserver une action aux
-partenaires : `@IsGranted("ROLE_PARTNER")`.
-
-**Prouver** : `--issuer nodefony` rend 200 sans Keycloak ; `--issuer keycloak` rend 200 avec le
-profil `keycloak` du compose allumé ; et le MÊME jeton machine est refusé (401) sur une zone qui
-garde `subjectPolicy` par défaut (`require`). Chaque échec de la commande sort en code 1 avec le
-geste qui répare — lis-le avant de chercher ailleurs.
+seuls `ephemeralRoles` de la zone. Posé dans `resourceServer.subjectPolicy` (global), il ferait
+accepter un appelant sans compte par **toutes** les zones `external-jwt`. Et un rôle fort dans
+`ephemeralRoles` est accordé à **quiconque** détient un jeton valide du realm.
 
 ## Les gestes qui affaiblissent en silence