discovery-media-player 0.1.113 → 0.1.115

package/context/standalone.js

@@ -685,6 +685,13 @@ function createStandaloneContext(env = process.env) {
       // Une fois les bundles déployés des deux côtés ET `presence.sansJeton` retombé à zéro : un
       // battement sans jeton de présence valide cesse d'être enregistré. Off par défaut (transition).
       presenceStrict: String(env.PLAYER_PRESENCE_STRICT || "") === "1",
+      // ⚠️ SEL DU HACHAGE D'IP. Un SHA-256 d'adresse IPv4 n'anonymise rien : l'espace entier se
+      // recalcule en quelques minutes, et la CNIL considère une IP hachée comme une donnée
+      // PSEUDONYMISÉE — toujours personnelle. Avec un sel secret, elle cesse d'être recalculable par
+      // qui obtient la base. Dédié si l'hôte en pose un ; à défaut on réutilise le secret de présence
+      // avec une SÉPARATION DE DOMAINE (préfixe distinct) — il est déjà requis par la fonctionnalité
+      // qui produit ce hachage, ce qui évite une variable obligatoire de plus.
+      ipHashSecret: String(env.PLAYER_IP_HASH_SECRET || env.PLAYER_PRESENCE_SECRET || ""),
     },
   };
 }

package/docs/RETENTION.md

@@ -92,7 +92,7 @@ Une présentation **inactive** (terminée ou abandonnée) est une archive : **pu
 | `doc_presentation_messages.client_key` | clé d'idempotence d'envoi | idem |
 | `doc_presentation_attendees.name` / `doc_presentation_attendees.email` / `doc_presentation_attendees.avatar` | identité du participant | purgées avec la présentation |
 | `doc_presentation_attendees.attendee_key` | identifiant de présence | idem |
-| `doc_presentation_attendees.creator_ip_hash` | **empreinte tronquée** de l'IP qui a créé la ligne (jamais l'IP en clair) — sert au plafond de création anonyme (migration 0015) | purgée avec la présentation |
+| `doc_presentation_attendees.creator_ip_hash` | **empreinte tronquée** de l'IP qui a créé la ligne (jamais l'IP en clair) — sert au plafond de création anonyme (migration 0015). ⚠️ **Donnée PSEUDONYMISÉE, pas anonyme** : une IP hachée reste une donnée personnelle au sens du RGPD, et un SHA-256 non salé se recalcule intégralement sur l'espace IPv4. Depuis 0.1.114 l'empreinte est un HMAC salé par `PLAYER_IP_HASH_SECRET` (à défaut `PLAYER_PRESENCE_SECRET`, avec séparation de domaine) et liée au `slug`, ce qui empêche de corréler une même adresse d'une présentation à l'autre. Sans sel configuré, l'ancienne empreinte non salée subsiste. | purgée avec la présentation |
 | `doc_presentation_attendees.last_token_at` / `doc_presentation_attendees.last_no_token_at` | horodatage du dernier battement avec / sans jeton de présence — sert au compteur de transition (migration 0017), aucune donnée d'identité | purgés avec la présentation |
 | `doc_presentation_attendees.pages` | pages vues par le participant | idem |
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.113",
+  "version": "0.1.115",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -66,7 +66,8 @@
     "typecheck": "node -e \"require('fs').existsSync('tsconfig.json')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && tsc --noEmit",
     "prepublishOnly": "npm run build && npm test",
     "test:e2e": "node -e \"require('fs').existsSync('vitest.e2e.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.e2e.config.mjs",
-    "test:base": "node -e \"require('fs').existsSync('vitest.base.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.base.config.mjs"
+    "test:base": "node -e \"require('fs').existsSync('vitest.base.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.base.config.mjs",
+    "test:charge": "node -e \"require('fs').existsSync('vitest.charge.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.charge.config.mjs"
   },
   "engines": {
     "node": ">=22"

package/server/handler.js

@@ -610,6 +610,20 @@ async function handler(req, res) {
             return typeof signer === "function" && !!signer("carte-sonde", "carte-sonde", 60);
           } catch { return false; }
         })(),
+        // ⚠️ LA PORTE REFUSE-T-ELLE, OU EST-ELLE SEULEMENT CONFIGURÉE POUR REFUSER ? `presenceStrict`
+        // au-dessus dit que la porte refuse les battements sans preuve — vrai, et mesuré (il exige de
+        // pouvoir émettre). Mais le contrôle anti-usurpation des BOOTSTRAPS, lui, peut être désarmé
+        // sans que rien ne le dise : 0018 absente, ou — avant 0.1.111 — un simple hoquet réseau. On
+        // avait fermé cet écart sur `presenceJetons` en mesurant plutôt qu'en déclarant, et laissé le
+        // champ voisin ouvert. (Nommé par le second hôte.)
+        //
+        // ⚠️ TROIS ÉTATS. « inconnu » n'est pas « actif » : un processus qui n'a pas encore servi de
+        // bootstrap n'a rien constaté, et annoncer une garde active sur une absence d'observation est
+        // exactement ce qu'on refuse ailleurs. On ne peut pas sonder la fonction sans l'appeler — elle
+        // écrit — donc on rend ce qui a été CONSTATÉ à l'usage, jamais une déduction.
+        presenceDurcissement: (() => {
+          try { return require("./presentations").etatDurcissementBootstrap(); } catch { return "inconnu"; }
+        })(),
         // ⚠️ LES JETONS DE PRÉSENCE SONT-ILS RÉELLEMENT ÉMIS ? Sans ce booléen, un exploitant qui vient
         // de poser `PLAYER_PRESENCE_SECRET` n'a AUCUN moyen de vérifier que son réglage a pris : la
         // carte affiche `presence: {0,0}` aussi bien quand le secret est actif que quand la variable est

package/server/presentations.js

@@ -6,7 +6,25 @@ const crypto = require("crypto");
 // ⚠️ Le contexte est REÇU, pas construit. Ce module ne doit pas savoir d'où il vient : c'est ce
 // qui lui permettra de partir dans le dépôt du player sans emporter le studio avec lui.
 let PLAYER = null;
-function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; }
+function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; _bumpDurcissementTente = false; }
+
+/**
+ * L'état OBSERVÉ du durcissement des bootstraps — pas sa configuration.
+ *
+ * ⚠️ LA CARTE RAPPORTAIT UNE CONFIGURATION, PAS UN COMPORTEMENT, et c'est le second hôte qui l'a
+ * nommé : `presenceStrict` pouvait dire « la porte refuse » alors que le contrôle anti-usurpation
+ * était désarmé — 0018 absente, ou (avant 0.1.111) un simple hoquet réseau. On a fermé cet écart sur
+ * `presenceJetons` en MESURANT plutôt qu'en déclarant, et on l'avait laissé ouvert sur le champ voisin.
+ *
+ * On ne peut pas sonder la fonction sans l'appeler — elle écrit. Ce qu'on peut rendre, c'est ce que le
+ * processus a CONSTATÉ en s'en servant : « degrade » = la dernière tentative a trouvé la signature
+ * absente ; « actif » = une tentative a abouti ; « inconnu » = on n'a pas encore essayé, et c'est un
+ * état à part entière, pas un feu vert.
+ */
+function etatDurcissementBootstrap() {
+  if (Date.now() < _bumpSansDurcissementJusqua) return "degrade";
+  return _bumpDurcissementTente ? "actif" : "inconnu";
+}
 
 
 const enc = encodeURIComponent;
@@ -811,12 +829,18 @@ function signatureAbsente(erreur) {
 // silence. Un « oui » (la signature existe) n'a pas besoin d'expirer : une fonction ne disparaît pas.
 let _bumpSansDurcissementJusqua = 0;
 const MEMO_SANS_DURCISSEMENT_MS = 60 * 1000;
+// ⚠️ A-T-ON SEULEMENT ESSAYÉ ? « Pas dégradé » n'est pas « vérifié » : un processus qui vient de
+// démarrer n'a rien tenté, et rendre `true` reviendrait à annoncer une garde active sur la foi d'une
+// absence d'observation. Trois états, donc — la même règle que le verdict du schéma, où « rien de
+// manquant » se lisait « tout va bien » tant qu'on ne distinguait pas « rien demandé ».
+let _bumpDurcissementTente = false;
 async function appelerBump(corps, durcissementVoulu) {
   const appel = (b) => PLAYER.db.request("rpc/player_attendance_bump", { method: "POST", body: b });
   if (durcissementVoulu && Date.now() < _bumpSansDurcissementJusqua) {
     const { p_only_if_unclaimed: _retire, ...sansDurcissement } = corps;
     return appel(sansDurcissement);
   }
+  if (durcissementVoulu) _bumpDurcissementTente = true;
   try {
     return await appel(corps);
   } catch (erreur) {
@@ -1183,4 +1207,4 @@ async function listPresentationsForDoc(docId, email, isAdmin, autoriseLarge) {
 module.exports = {
   reacteurDepuisJeton,
   purgerPerimees,
-  messagePublic, CHAMPS_PUBLICS, cheminPieceJointe, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent , STALE_MS};
+  messagePublic, CHAMPS_PUBLICS, etatDurcissementBootstrap, cheminPieceJointe, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent , STALE_MS};

package/server/routes-direct.js

@@ -94,11 +94,6 @@ async function traiter(req, res, body, _slug) {
           // On dérive donc la clé de ce qui est prouvé, et jamais de ce qui est affirmé. Un anonyme,
           // lui, ne peut rien prouver : sa clé reste la sienne, mais enfermée dans un espace de noms
           // dont elle ne peut pas sortir — elle ne pourra jamais ressembler à l'e-mail d'un membre.
-          // ⚠️ L'IP NE PART PAS EN CLAIR VERS LA BASE : le plafond de création anonyme compte par
-          // (slug, empreinte d'IP), et une empreinte tronquée suffit à mesurer la pression d'un même
-          // appelant sans conserver de donnée personnelle. Le plafond lui-même est configurable par
-          // l'hôte, défaut ATTENDEES_PER_EGRESS × 1,3 (325) — la même cible que le quota de battement.
-          const ipHash = require("crypto").createHash("sha256").update("att:" + ip).digest("hex").slice(0, 32);
           const anonCap = (PLAYER.config && Number(PLAYER.config.presenceAnonCap) > 0)
             ? Math.trunc(Number(PLAYER.config.presenceAnonCap))
             : Math.ceil(ATTENDEES_PER_EGRESS * 1.3);
@@ -112,6 +107,26 @@ async function traiter(req, res, body, _slug) {
             ? PLAYER.identity.verifyPresenceToken(String(body.pt || "")) : null;
           const jetonValide = !!(jetonEntrant && jetonEntrant.slug === slug && jetonEntrant.key);
           const cleAnon = jetonValide ? String(jetonEntrant.key) : cleAnonyme(body.key);
+          // ⚠️ L'IP NE PART PAS EN CLAIR VERS LA BASE — mais NE PRÉTENDONS PAS QUE C'EST ANONYME.
+          //
+          // Ce commentaire disait « sans conserver de donnée personnelle », et c'était FAUX : un
+          // SHA-256 d'adresse IPv4 se recalcule intégralement (quatre milliards de valeurs, quelques
+          // minutes), donc l'empreinte se remonte à l'adresse par qui obtient la base. La CNIL est
+          // explicite : une IP hachée reste une donnée PSEUDONYMISÉE, soumise au RGPD. La description
+          // était plus forte que l'implémentation — la classe même qu'on traque ailleurs.
+          //
+          // Avec un SEL SECRET, la table cesse d'être recalculable sans lui. Le `slug` entre dans
+          // l'empreinte pour qu'on ne puisse pas CORRÉLER la présence d'une même adresse d'une
+          // présentation à l'autre — le plafond, lui, compte déjà par (slug, empreinte), donc rien ne
+          // change pour lui. Le préfixe de domaine sépare cet usage de toute autre signature faite
+          // avec le même secret. Sans sel (hôte qui n'en pose aucun), on retombe sur l'ancienne
+          // empreinte : la fonction marche, la protection est moindre, et c'est écrit ici plutôt que
+          // découvert plus tard. Le plafond reste configurable, défaut ATTENDEES_PER_EGRESS × 1,3.
+          const sel = String((PLAYER.config && PLAYER.config.ipHashSecret) || "");
+          const ipHash = sel
+            ? require("crypto").createHmac("sha256", sel).update("attendance-ip\0" + slug + "\0" + ip).digest("hex").slice(0, 32)
+            : require("crypto").createHash("sha256").update("att:" + ip).digest("hex").slice(0, 32);
+
           // ⚠️ ON SIGNE AVANT D'ÉCRIRE, ET C'EST CE QUI FERMAIT UNE BOUCLE. Le jeton était fabriqué
           // APRÈS l'écriture : on déclarait donc un bootstrap « moderne » sans savoir si un jeton
           // pourrait seulement sortir. Sans `PLAYER_PRESENCE_SECRET`, la ligne était marquée réclamée