@zevra/ui 0.29.0 → 0.29.1

package/DECISIONS.md

@@ -1403,3 +1403,27 @@ Le jour où la suite dépasse la douzaine, c'est une autre conversation.
 Ce qui n'a **pas** été repris de la maquette : les angles arrondis des
 tuiles. La suite est passée à l'angle vif le 25/08, partout, et un panneau
 d'applications n'est pas une exception.
+
+## Le drapeau qui se prenait pour un composant (28/08/2026, 0.29.1)
+
+`rail.js` marquait « déjà armé » en posant `data-zv-rail` sur `<html>` —
+le nom même de l'attribut qui DÉSIGNE un rail. Son propre sélecteur,
+`[data-zv-rail]`, ramassait donc `<html>` : **la page entière devenait un
+rail**.
+
+Sur une page qui a un vrai rail, cela ne se voyait pas. Sur une page qui
+n'en a pas — la seule où ça compte — `a[href^="#"]` ramassait tous les
+liens d'ancre, boutons compris, et le premier recevait
+`.zv-rail__item--on`. Or cette classe pose `color: var(--accent-deep)` :
+un appel à l'action indigo sur fond indigo, illisible.
+
+Constaté sur `/bootcamp` : « Candidater pour octobre » était le premier
+lien d'ancre de la page.
+
+Le drapeau s'appelle désormais `data-zv-rail-arme`, et `rails()` écarte
+explicitement `<html>` et `<body>` — ceinture et bretelles, parce qu'un
+consommateur peut écrire ce qu'il veut sur la racine.
+
+Un test garde la classe entière de fautes : dans tout module livré, aucun
+drapeau posé sur `documentElement.dataset` ne peut porter le nom d'un
+attribut que le même module utilise comme sélecteur.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zevra/ui",
-  "version": "0.29.0",
+  "version": "0.29.1",
   "description": "Design system Zevra « Encre & Papier » — tokens, CSS des composants et logos officiels.",
   "license": "UNLICENSED",
   "private": false,

package/src/rail.js

@@ -27,14 +27,26 @@
  */
 (() => {
   if (typeof document === 'undefined') return
-  if (document.documentElement.dataset.zvRail === 'on') return
-  document.documentElement.dataset.zvRail = 'on'
+  /* ⚠️ Le drapeau d'armement ne doit JAMAIS reprendre le nom de l'attribut
+   * qui désigne un rail. Il s'appelait `data-zv-rail`, comme le composant :
+   * posé sur <html>, il faisait de la PAGE ENTIÈRE un rail. Sur une page
+   * sans rail — la seule où ça se voit —, `a[href^="#"]` ramassait alors
+   * tous les liens d'ancre, boutons compris, et le premier d'entre eux
+   * recevait `.zv-rail__item--on` : un appel à l'action en indigo sur fond
+   * indigo, illisible. Constaté sur /bootcamp. */
+  if (document.documentElement.dataset.zvRailArme === 'on') return
+  document.documentElement.dataset.zvRailArme = 'on'
 
   /** Hauteur de la ligne de lecture, en fraction du viewport. 45 % : un peu
    *  au-dessus du milieu, là où l'œil se pose vraiment. */
   const LIGNE = 0.45
 
-  const rails = () => Array.from(document.querySelectorAll('[data-zv-rail]'))
+  /* Ceinture et bretelles : <html> et <body> ne sont jamais des rails, quoi
+   * qu'un consommateur écrive dessus. */
+  const rails = () =>
+    Array.from(document.querySelectorAll('[data-zv-rail]')).filter(
+      (el) => el !== document.documentElement && el !== document.body,
+    )
 
   const suivre = (rail) => {
     const entrees = Array.from(rail.querySelectorAll('a[href^="#"]'))