@syldel/hl-shared-types 0.0.28 → 0.0.30

package/README.md

@@ -85,37 +85,48 @@ Pour utiliser ce package dans tes autres projets (`bot`, `gateway` ou `mobile`)
 
 ## 📦 Publication
 
-Le projet utilise des **Granular Access Tokens** pour la publication afin de contourner la double authentification (2FA) manuelle tout en maintenant une sécurité maximale.
+La publication passe par **GitHub Actions, sans aucun jeton npm** : le workflow
+[`publish.yml`](.github/workflows/publish.yml) s'authentifie auprès de npm par OIDC
+(« trusted publishing ») et **dépose** la version sans la rendre publique
+(`npm stage publish`). Elle ne devient installable qu'après **approbation avec la 2FA**
+du mainteneur. Un workflow, une action ou une dépendance compromis ne peut donc, au
+pire, que déposer une version qu'on refusera. Le paquet porte en plus une attestation
+de provenance qui le relie au commit et au workflow qui l'ont construit.
+
+Jusqu'au 2026-11-03, la publication se faisait depuis le poste avec un jeton « Bypass
+2FA » rangé dans un `.npmrc` : n'importe quel paquet malveillant installé sur la
+machine pouvait le lire et publier à notre place. npm retire d'ailleurs la publication
+directe par jeton en janvier 2027.
 
-### Configuration du Token
-1. Générer un token sur NPM avec les permissions `Read and Write`.
-2. Restreindre l'accès au package `@syldel/hl-shared-types` uniquement.
-3. Utiliser l'option `Bypass 2FA` pour permettre l'automatisation.
+### Publier une nouvelle version
 
-### Commande de publication rapide
-Si tu n'utilises pas de fichier `.npmrc`, tu peux publier en passant le token directement :
 ```bash
-npm publish --access public --//registry.npmjs.org/:_authToken=TON_TOKEN_ICI
+npm version patch   # ou minor, major : met à jour package.json et crée le tag v<version>
+git push origin main --follow-tags
 ```
 
-### Configuration de la publication
-Créez un fichier .npmrc à la racine (ignoré par Git) pour l'authentification :
+Le tag `v*` déclenche le workflow : il vérifie que le tag correspond à `package.json`,
+relance lint, tests, build et le contrôle du contenu du paquet, puis dépose la version.
+Il reste à l'approuver :
 
-```
-//registry.npmjs.org/:_authToken=npm_votre_token_ici
-```
+- sur [npmjs.com](https://www.npmjs.com), onglet **Staged Packages**, bouton **Approve** ;
+- ou en ligne de commande : `npm stage list @syldel/hl-shared-types`, puis
+  `npm stage approve <stage-id>` (demande la 2FA).
 
-### Publier une nouvelle version
-La commande suivante automatise le build, l'incrémentation de version et l'envoi vers NPM :
+Une version déposée par erreur se refuse avec `npm stage reject <stage-id>`.
 
-```bash
-npm run release
-```
+### Réglages côté npm (une fois)
 
-### Pousse le commit ET le tag sur GitHub
-```bash
-git push origin main --follow-tags
-```
+Dans les réglages du paquet sur npmjs.com :
+
+- **Trusted Publisher** : GitHub Actions, utilisateur `Syldel`, dépôt `hl-shared-types`, workflow
+  `publish.yml`, actions autorisées **`npm stage publish` seulement**. ⚠️ Une
+  déclaration neuve expire si aucune publication ne la valide sous **2 jours**.
+- **Publishing access** : « Require two-factor authentication and disallow tokens ».
+
+⚠️ Renommer `publish.yml` ou le dépôt casse la publication (ENEEDAUTH) : la déclaration
+sur npmjs.com les nomme exactement. Le champ `repository.url` de `package.json` doit
+aussi correspondre au dépôt GitHub.
 
 ---
 

package/dist/interfaces/infos/index.d.ts

@@ -5,3 +5,4 @@ export * from './active-asset.interfaces';
 export * from './account-abstraction.type';
 export * from './collateral-balance.interfaces';
 export * from './user-fees.interfaces';
+export * from './user-rate-limit.interfaces';

package/dist/interfaces/infos/index.js

@@ -21,3 +21,4 @@ __exportStar(require("./active-asset.interfaces"), exports);
 __exportStar(require("./account-abstraction.type"), exports);
 __exportStar(require("./collateral-balance.interfaces"), exports);
 __exportStar(require("./user-fees.interfaces"), exports);
+__exportStar(require("./user-rate-limit.interfaces"), exports);

package/dist/interfaces/infos/user-rate-limit.interfaces.d.ts

@@ -0,0 +1,48 @@
+import { DecimalString, HexString } from '../common';
+/**
+ * ============================================================================
+ * LE COMPTEUR DE LA LIMITE PAR ADRESSE
+ *
+ * Réponse de `userRateLimit`, servie telle quelle par
+ * `GET /hyperliquid/info/user-rate-limit` du gateway (poids 20 sur la limite
+ * par IP).
+ *
+ * La limite par adresse est la seule qui puisse empêcher de poser un stop sans
+ * qu'aucun 429 ne prévienne avant : épuisée, elle ne laisse plus passer qu'une
+ * action toutes les 10 s. Elle ne compte que les actions, pas les lectures, et
+ * un lot de n ordres pour n (doc « Rate limits and user limits »).
+ *
+ * Forme recopiée de la documentation (« Query user rate limits », relue en brut
+ * le 2026-11-14) **et** mesurée le même jour sur un compte réel : `cumVlm` est
+ * une chaîne décimale, les trois compteurs des nombres.
+ *
+ * ⚠️ La doc définit `nRequestsUsed` et `nRequestsSurplus` par rapport à un
+ * « reserved » qu'elle ne définit nulle part. La lecture la plus plausible : les
+ * actions **achetées** par `reserveRequestWeight` (« Reserve Additional
+ * Actions », 0,0005 USDC l'une), et non la réserve initiale de 10 000, déjà
+ * comprise dans `nRequestsCap`. Non départagé : le compte mesuré n'en avait
+ * acheté aucune.
+ * ============================================================================
+ */
+export interface HlUserRateLimitRequest {
+    type: 'userRateLimit';
+    user: HexString;
+}
+export interface HlUserRateLimit {
+    /** Le volume échangé depuis la création de l'adresse, en USDC. */
+    cumVlm: DecimalString;
+    /**
+     * « max(0, cumulative_used minus reserved) » d'après la doc. Mesuré le
+     * 2026-11-14 : 2288, aucune action achetée.
+     */
+    nRequestsUsed: number;
+    /**
+     * Le plafond : la réserve initiale de 10 000, **comprise**, plus 1 action par
+     * USDC échangé. Mesuré le 2026-11-14 : 61638 pour un `cumVlm` de 51638.93,
+     * soit exactement 10 000 + le volume arrondi. La marge avant le
+     * ralentissement est donc `nRequestsCap − nRequestsUsed`.
+     */
+    nRequestsCap: number;
+    /** « max(0, reserved minus cumulative_used) » d'après la doc. Mesuré à 0. */
+    nRequestsSurplus: number;
+}

package/dist/interfaces/infos/user-rate-limit.interfaces.js

@@ -0,0 +1,2 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@syldel/hl-shared-types",
-  "version": "0.0.28",
+  "version": "0.0.30",
   "description": "Shared TypeScript interfaces and types for Hyperliquid integration.",
   "main": "dist/index.js",
   "types": "dist/index.d.ts",
@@ -21,8 +21,7 @@
     "lint:fix": "eslint . --fix",
     "clean": "rm -rf dist",
     "build": "npm run lint && npm run test && npm run clean && tsc",
-    "prepublishOnly": "npm run build",
-    "release": "npm run build && npm version patch && npm publish"
+    "prepublishOnly": "npm run build"
   },
   "publishConfig": {
     "access": "public"
@@ -50,5 +49,8 @@
     "ts-jest": "^29.4.13",
     "typescript": "^5.3.3",
     "typescript-eslint": "^8.53.0"
+  },
+  "allowScripts": {
+    "unrs-resolver": false
   }
 }