@syldel/hl-shared-types 0.0.27 → 0.0.29

package/README.md

@@ -85,37 +85,48 @@ Pour utiliser ce package dans tes autres projets (`bot`, `gateway` ou `mobile`)
 
 ## 📦 Publication
 
-Le projet utilise des **Granular Access Tokens** pour la publication afin de contourner la double authentification (2FA) manuelle tout en maintenant une sécurité maximale.
+La publication passe par **GitHub Actions, sans aucun jeton npm** : le workflow
+[`publish.yml`](.github/workflows/publish.yml) s'authentifie auprès de npm par OIDC
+(« trusted publishing ») et **dépose** la version sans la rendre publique
+(`npm stage publish`). Elle ne devient installable qu'après **approbation avec la 2FA**
+du mainteneur. Un workflow, une action ou une dépendance compromis ne peut donc, au
+pire, que déposer une version qu'on refusera. Le paquet porte en plus une attestation
+de provenance qui le relie au commit et au workflow qui l'ont construit.
+
+Jusqu'au 2026-11-03, la publication se faisait depuis le poste avec un jeton « Bypass
+2FA » rangé dans un `.npmrc` : n'importe quel paquet malveillant installé sur la
+machine pouvait le lire et publier à notre place. npm retire d'ailleurs la publication
+directe par jeton en janvier 2027.
 
-### Configuration du Token
-1. Générer un token sur NPM avec les permissions `Read and Write`.
-2. Restreindre l'accès au package `@syldel/hl-shared-types` uniquement.
-3. Utiliser l'option `Bypass 2FA` pour permettre l'automatisation.
+### Publier une nouvelle version
 
-### Commande de publication rapide
-Si tu n'utilises pas de fichier `.npmrc`, tu peux publier en passant le token directement :
 ```bash
-npm publish --access public --//registry.npmjs.org/:_authToken=TON_TOKEN_ICI
+npm version patch   # ou minor, major : met à jour package.json et crée le tag v<version>
+git push origin main --follow-tags
 ```
 
-### Configuration de la publication
-Créez un fichier .npmrc à la racine (ignoré par Git) pour l'authentification :
+Le tag `v*` déclenche le workflow : il vérifie que le tag correspond à `package.json`,
+relance lint, tests, build et le contrôle du contenu du paquet, puis dépose la version.
+Il reste à l'approuver :
 
-```
-//registry.npmjs.org/:_authToken=npm_votre_token_ici
-```
+- sur [npmjs.com](https://www.npmjs.com), onglet **Staged Packages**, bouton **Approve** ;
+- ou en ligne de commande : `npm stage list @syldel/hl-shared-types`, puis
+  `npm stage approve <stage-id>` (demande la 2FA).
 
-### Publier une nouvelle version
-La commande suivante automatise le build, l'incrémentation de version et l'envoi vers NPM :
+Une version déposée par erreur se refuse avec `npm stage reject <stage-id>`.
 
-```bash
-npm run release
-```
+### Réglages côté npm (une fois)
 
-### Pousse le commit ET le tag sur GitHub
-```bash
-git push origin main --follow-tags
-```
+Dans les réglages du paquet sur npmjs.com :
+
+- **Trusted Publisher** : GitHub Actions, utilisateur `Syldel`, dépôt `hl-shared-types`, workflow
+  `publish.yml`, actions autorisées **`npm stage publish` seulement**. ⚠️ Une
+  déclaration neuve expire si aucune publication ne la valide sous **2 jours**.
+- **Publishing access** : « Require two-factor authentication and disallow tokens ».
+
+⚠️ Renommer `publish.yml` ou le dépôt casse la publication (ENEEDAUTH) : la déclaration
+sur npmjs.com les nomme exactement. Le champ `repository.url` de `package.json` doit
+aussi correspondre au dépôt GitHub.
 
 ---
 

package/dist/interfaces/infos/collateral-balance.interfaces.d.ts

@@ -103,9 +103,12 @@ export type CollateralBalance =
  * compilation, et non une divergence découverte en réel. Un code qui n'a besoin
  * que du résultat garde `CollateralBalance`, dont celui-ci est un sous-type.
  *
- * ⚠️ `asset` est la valeur brute de `?asset=` : tant que le gateway ne refuse pas
- * une requête sans ce paramètre, il manque de la réponse dans ce cas (la clé est
- * omise par JSON) et ce type est alors faux. Les clients le fournissent toujours.
+ * `asset` est la valeur de `?asset=`, et le gateway refuse en 400 une requête où
+ * il manque, est vide ou est répété : toute réponse 200 le porte donc, en chaîne
+ * non vide. Ce refus date du 2026-10-19 ; avant lui, une requête sans `?asset=`
+ * recevait une réponse sans cette clé (omise par JSON), et ce type était faux
+ * pour elle. Éprouvé par les tests du contrôleur, pas contre un gateway qui
+ * tourne.
  */
 export type CollateralBalanceResponse = {
     asset: string;

package/dist/market/market-name.d.ts

@@ -2,17 +2,39 @@
  * ============================================================================
  * LE NOM D'UN MARCHÉ DIT DE QUEL CATALOGUE IL RELÈVE
  *
- * Source : doc Hyperliquid « Asset IDs », relevée le 2026-09-30.
+ * Source : doc Hyperliquid « Asset IDs », relevée le 2026-09-30 et relue le
+ * 2026-10-19 (avec les pages « Info endpoint », « Spot » et HIP-4, relues le
+ * même jour) :
  *
  * - un perp déployé par un builder porte **toujours** un nom `{dex}:{coin}` —
  *   la doc écrit « always », ce n'est pas une heuristique ;
  * - une paire spot se désigne par `10000 + spotInfo.index`, d'où la forme
  *   protocolaire `@<index>` ; seules les canoniques portent `BASE/QUOTE`.
  *   L'exemple HYPE de la doc (token 150, spot 107) recoupe le relevé du
- *   2026-09-30 : le solde porte `token: 150`, la paire s'appelle `@107` ;
+ *   2026-09-30 : le solde porte `token: 150`, la paire s'appelle `@107`. La
+ *   page « Info endpoint » le dit : pour le spot, `coin` vaut `PURR/USDC` pour
+ *   PURR et `@{index}` pour toutes les autres paires ;
+ * - un **outcome** (HIP-4) porte un coin `#<encodage>` et un jeton
+ *   `+<encodage>`, avec `encodage = 10 × outcome + côté` (côté 0 ou 1) et un
+ *   identifiant d'actif `100 000 000 + encodage` — « Outcomes share most
+ *   implementation details with spot trading », mais leur représentation par
+ *   l'API diffère du spot comme des perps. Exemple de la doc : outcome 1, côté
+ *   0 → `#10`, `+10`, `100000010`. La page HIP-4, elle, ne décrit aucun format
+ *   de nom : c'est « Asset IDs » qui le fait ;
  * - tout le reste est un perp du dex principal, que l'API désigne par un `dex`
  *   vide.
  *
+ * ⚠️ « Tout le reste est un perp » était **faux** pour les outcomes jusqu'au
+ * 2026-10-19 : `#10` et `+10` rendaient `perp`. Ils existent sur le mainnet
+ * (`outcomeMeta` en rend 329 ce jour-là, dont des contests sportifs et des
+ * binaires sur prix), alors que la page HIP-4 ne décrit qu'un premier marché
+ * quotidien : la doc est en retard sur le réseau. Un outcome est donc un genre
+ * à part, que les consommateurs refusent ou traitent — jamais un perp par défaut.
+ *
+ * Mesuré le 2026-10-19 (`allPerpMetas` : 544 perps ; `spotMeta` : 334 paires,
+ * 508 jetons) : aucun nom ne porte de caractère hors `A-Za-z0-9`, `:`, `/`, `@` ;
+ * les noms de paires spot sont 1 `PURR/USDC` et 333 `@N`, aucun autre.
+ *
  * Ce module vit ici, et non dans le bot ou le mobile, pour la même raison que
  * `tick-and-lot` : qu'il n'en existe **qu'une seule implémentation**. Les deux
  * doivent décider à l'identique de quel univers relève un marché — sans quoi
@@ -38,7 +60,14 @@ export type HLMarketKind =
 /** Perp déployé par un builder (HIP-3) : `vntl:ROBOT`, `xyz:AAPL`. */
  | 'builderPerp'
 /** Paire spot : `PURR/USDC` (canonique) ou `@107` (forme protocolaire). */
- | 'spot';
+ | 'spot'
+/**
+ * Marché outcome (HIP-4) : coin `#10` ou jeton `+10`, soit `#<encodage>` /
+ * `+<encodage>` avec `encodage = 10 × outcome + côté`. Ni un perp, ni une paire
+ * spot : son asset id est `100 000 000 + encodage`, et l'API le représente
+ * autrement que les deux.
+ */
+ | 'outcome';
 /**
  * Le genre de marché que ce nom désigne, ou `null` quand le nom n'en désigne
  * aucun.

package/dist/market/market-name.js

@@ -3,17 +3,39 @@
  * ============================================================================
  * LE NOM D'UN MARCHÉ DIT DE QUEL CATALOGUE IL RELÈVE
  *
- * Source : doc Hyperliquid « Asset IDs », relevée le 2026-09-30.
+ * Source : doc Hyperliquid « Asset IDs », relevée le 2026-09-30 et relue le
+ * 2026-10-19 (avec les pages « Info endpoint », « Spot » et HIP-4, relues le
+ * même jour) :
  *
  * - un perp déployé par un builder porte **toujours** un nom `{dex}:{coin}` —
  *   la doc écrit « always », ce n'est pas une heuristique ;
  * - une paire spot se désigne par `10000 + spotInfo.index`, d'où la forme
  *   protocolaire `@<index>` ; seules les canoniques portent `BASE/QUOTE`.
  *   L'exemple HYPE de la doc (token 150, spot 107) recoupe le relevé du
- *   2026-09-30 : le solde porte `token: 150`, la paire s'appelle `@107` ;
+ *   2026-09-30 : le solde porte `token: 150`, la paire s'appelle `@107`. La
+ *   page « Info endpoint » le dit : pour le spot, `coin` vaut `PURR/USDC` pour
+ *   PURR et `@{index}` pour toutes les autres paires ;
+ * - un **outcome** (HIP-4) porte un coin `#<encodage>` et un jeton
+ *   `+<encodage>`, avec `encodage = 10 × outcome + côté` (côté 0 ou 1) et un
+ *   identifiant d'actif `100 000 000 + encodage` — « Outcomes share most
+ *   implementation details with spot trading », mais leur représentation par
+ *   l'API diffère du spot comme des perps. Exemple de la doc : outcome 1, côté
+ *   0 → `#10`, `+10`, `100000010`. La page HIP-4, elle, ne décrit aucun format
+ *   de nom : c'est « Asset IDs » qui le fait ;
  * - tout le reste est un perp du dex principal, que l'API désigne par un `dex`
  *   vide.
  *
+ * ⚠️ « Tout le reste est un perp » était **faux** pour les outcomes jusqu'au
+ * 2026-10-19 : `#10` et `+10` rendaient `perp`. Ils existent sur le mainnet
+ * (`outcomeMeta` en rend 329 ce jour-là, dont des contests sportifs et des
+ * binaires sur prix), alors que la page HIP-4 ne décrit qu'un premier marché
+ * quotidien : la doc est en retard sur le réseau. Un outcome est donc un genre
+ * à part, que les consommateurs refusent ou traitent — jamais un perp par défaut.
+ *
+ * Mesuré le 2026-10-19 (`allPerpMetas` : 544 perps ; `spotMeta` : 334 paires,
+ * 508 jetons) : aucun nom ne porte de caractère hors `A-Za-z0-9`, `:`, `/`, `@` ;
+ * les noms de paires spot sont 1 `PURR/USDC` et 333 `@N`, aucun autre.
+ *
  * Ce module vit ici, et non dans le bot ou le mobile, pour la même raison que
  * `tick-and-lot` : qu'il n'en existe **qu'une seule implémentation**. Les deux
  * doivent décider à l'identique de quel univers relève un marché — sans quoi
@@ -35,6 +57,10 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.hlMarketKind = hlMarketKind;
 exports.hlPerpDexOf = hlPerpDexOf;
+/** `#` (coin) ou `+` (jeton) en tête : la marque d'un outcome, jamais celle d'un perp. */
+const OUTCOME_MARK = /^[#+]/;
+/** La forme documentée : `#<encodage>` ou `+<encodage>`, l'encodage étant un entier. */
+const OUTCOME_NAME = /^[#+]\d+$/;
 /**
  * Le genre de marché que ce nom désigne, ou `null` quand le nom n'en désigne
  * aucun.
@@ -46,6 +72,14 @@ function hlMarketKind(name) {
     // (`cash:XYZ/USDT`), et c'est alors la paire qui prime sur le dex.
     if (name.includes('/') || name.startsWith('@'))
         return 'spot';
+    // Un outcome : `#` ou `+`, puis l'encodage — un entier, rien d'autre. Strict à
+    // dessein : `#` seul, `#1a` ou `+-3` ne sont pas la forme documentée, et ne sont
+    // donc **pas** reconnus comme outcome. Ils ne sont pas non plus des perps : ces
+    // deux marques ne désignent jamais un perp, donc un nom qui les porte hors de la
+    // forme documentée est un **doute** (`null`), pas « tout le reste ». Doit précéder
+    // la règle « tout le reste est un perp ».
+    if (OUTCOME_MARK.test(name))
+        return OUTCOME_NAME.test(name) ? 'outcome' : null;
     const separator = name.indexOf(':');
     if (separator === -1)
         return 'perp';

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@syldel/hl-shared-types",
-  "version": "0.0.27",
+  "version": "0.0.29",
   "description": "Shared TypeScript interfaces and types for Hyperliquid integration.",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -21,8 +21,7 @@
     "lint:fix": "eslint . --fix",
     "clean": "rm -rf dist",
     "build": "npm run lint && npm run test && npm run clean && tsc",
-    "prepublishOnly": "npm run build",
-    "release": "npm run build && npm version patch && npm publish"
+    "prepublishOnly": "npm run build"
   },
   "publishConfig": {
     "access": "public"