discovery-media-player 0.1.118 → 0.1.119

package/docs/HOST-CONTRACT.md

@@ -35,6 +35,9 @@ need.
   "frameAncestors": ["'self'", "https://*.vercel.app", "https://app.example.com"],
   "separateIssuer": true,
   "internalStrict": true,
+  "presenceStrict": true,
+  "presenceJetons": true,
+  "presenceDurcissement": "inconnu",
   "retentionSweep": false,
   "hostShare": true,
   "hostMail": true,
@@ -63,6 +66,14 @@ different question when you want a real answer:
 GET /api/doc?contract=1&schema=1
 ```
 
+The three `presence*` fields report what the host has **observed**, not what it is configured to do:
+
+| field | meaning |
+|---|---|
+| `presenceJetons` | measured — the host actually signed a throwaway token, so `PLAYER_PRESENCE_SECRET` works |
+| `presenceStrict` | **effective** — `PLAYER_PRESENCE_STRICT` is set *and* tokens can be issued. A closed door announced over an open one would be the worse failure |
+| `presenceDurcissement` | `actif` (a hardened call came back), `degrade` (migration 0018 is missing), `inconnu` (nothing attempted in this process — **not** a green light, and process-local: another instance may have seen otherwise) |
+
 That parameter **is** the one part of this card that needs the database, and only when you ask for
 it. `verdict` is then one of:
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.118",
+  "version": "0.1.119",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/presentations.js

@@ -6,7 +6,7 @@ const crypto = require("crypto");
 // ⚠️ Le contexte est REÇU, pas construit. Ce module ne doit pas savoir d'où il vient : c'est ce
 // qui lui permettra de partir dans le dépôt du player sans emporter le studio avec lui.
 let PLAYER = null;
-function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; _dernierSuccesDurcissement = 0; _dernierEchecDurcissement = 0; }
+function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPresence = false; _etatDurcissement = "inconnu"; }
 
 /**
  * L'état OBSERVÉ du durcissement des bootstraps — pas sa configuration.
@@ -23,14 +23,17 @@ function init(ctx) { PLAYER = ctx; _bumpSansDurcissementJusqua = 0; _avertRpcPre
  */
 function etatDurcissementBootstrap() {
   if (Date.now() < _bumpSansDurcissementJusqua) return "degrade";
-  // ⚠️ « actif » EXIGE UN SUCCÈS PLUS RÉCENT QUE LE DERNIER ÉCHEC — pas un simple drapeau. Deux
-  // défauts tenaient dans la version précédente (relevés par le second hôte) : (1) le drapeau était
-  // posé AVANT l'appel, donc il enregistrait une TENTATIVE et non un succès ; (2) l'expiration du
-  // mémo ne rétrogradait pas l'état, elle le PROMOUVAIT — un hôte sans 0018 rendait « degrade »
-  // 60 s, puis « actif », sur la foi d'une tentative dont la seule chose prouvée était l'échec.
-  // Comparer les deux instants traite les deux d'un coup : le repli d'une preuve périmée est
-  // l'IGNORANCE, jamais la confiance.
-  return _dernierSuccesDurcissement > _dernierEchecDurcissement ? "actif" : "inconnu";
+  // ⚠️ UN ÉTAT EXPLICITE, PAS UNE COMPARAISON D'INSTANTS. La version précédente comparait le dernier
+  // succès au dernier échec — correct sur le fond, mais deux réponses concurrentes qui se terminent
+  // dans la MÊME milliseconde rendaient les deux instants égaux, et l'égalité tombait du côté
+  // « inconnu » : jamais un faux « actif », mais un faux négatif possible. Le dernier mot observé
+  // s'écrit ; il n'a pas à se déduire d'une horloge dont la résolution n'est pas garantie.
+  // (Simplification proposée par l'audit externe.)
+  //
+  // ⚠️ ET L'EXPIRATION NE PROMEUT TOUJOURS PAS. Une preuve NÉGATIVE périmée retombe sur l'ignorance,
+  // jamais sur la confiance : c'était le défaut de 0.1.115, et le remède ne doit pas le réintroduire
+  // en chemin. Un « oui » n'expire pas — une fonction ne disparaît pas toute seule.
+  return _etatDurcissement === "degrade" ? "inconnu" : _etatDurcissement;
 }
 
 
@@ -836,12 +839,11 @@ function signatureAbsente(erreur) {
 // silence. Un « oui » (la signature existe) n'a pas besoin d'expirer : une fonction ne disparaît pas.
 let _bumpSansDurcissementJusqua = 0;
 const MEMO_SANS_DURCISSEMENT_MS = 60 * 1000;
-// ⚠️ DEUX INSTANTS, PAS UN DRAPEAU — parce que l'ORDRE est ce qui distingue « réparé » de « cassé ».
-// Un booléen « on a essayé » ne peut pas dire si le dernier mot fut un succès ou un échec, et c'est
-// exactement le mot qui décide. Un succès plus récent que le dernier échec ⇒ la signature existe
-// (une fonction ne disparaît pas toute seule) ; un échec plus récent, mémo expiré ⇒ on ne sait plus.
-let _dernierSuccesDurcissement = 0;
-let _dernierEchecDurcissement = 0;
+// ⚠️ LE DERNIER MOT OBSERVÉ, ÉCRIT — pas déduit. Un booléen « on a essayé » ne pouvait pas dire si
+// ce mot fut un succès ou un échec, et c'est lui qui décide. Comparer deux instants le disait, au
+// prix d'une égalité possible à la milliseconde. On écrit donc l'état : « actif » (un appel durci
+// est revenu), « degrade » (la signature manquait), « inconnu » (rien constaté dans ce processus).
+let _etatDurcissement = "inconnu";
 // ⚠️ A-T-ON SEULEMENT ESSAYÉ ? « Pas dégradé » n'est pas « vérifié » : un processus qui vient de
 // démarrer n'a rien tenté, et rendre « actif » reviendrait à annoncer une garde active sur la foi
 // d'une absence d'observation. Trois états, donc — la même règle que le verdict du schéma, où « rien
@@ -857,7 +859,7 @@ async function appelerBump(corps, durcissementVoulu) {
     // ⚠️ ON NE MARQUE LE SUCCÈS QU'ICI — l'appel est REVENU, donc la signature à 12 arguments existe.
     // Un rendu `{ok:false, usurpe:true}` compte : seule 0018 sait répondre ça. Ce qui se mesure est
     // le RETOUR, jamais l'intention de partir.
-    if (durcissementVoulu) _dernierSuccesDurcissement = Date.now();
+    if (durcissementVoulu) _etatDurcissement = "actif";
     return r;
   } catch (erreur) {
     if (!durcissementVoulu) throw erreur;   // rien à retirer : l'échec est réel
@@ -866,8 +868,8 @@ async function appelerBump(corps, durcissementVoulu) {
     if (!signatureAbsente(erreur)) throw erreur;
     // La signature à 12 arguments n'existe pas (0018 non appliquée) : on retire l'argument et on
     // réessaie. Le durcissement n'est alors PAS appliqué — et ça se dit, une fois, plus bas.
-    _dernierEchecDurcissement = Date.now();
-    _bumpSansDurcissementJusqua = _dernierEchecDurcissement + MEMO_SANS_DURCISSEMENT_MS;
+    _etatDurcissement = "degrade";
+    _bumpSansDurcissementJusqua = Date.now() + MEMO_SANS_DURCISSEMENT_MS;
     // ⚠️ CE QUI DISPARAÎT SE DIT. Le durcissement demandé n'est pas appliqué : sous
     // PLAYER_PRESENCE_STRICT, la porte se fermerait sur les battements legacy tout en laissant un
     // bootstrap auto-déclaré s'emparer d'une présence réclamée — c'est-à-dire une fermeture qui
@@ -879,6 +881,25 @@ async function appelerBump(corps, durcissementVoulu) {
         + "de jeton — n'armez pas PLAYER_PRESENCE_STRICT avant de l'avoir appliquée.",
       ), { route: "present-attend" });
     } catch { /* jamais bloquant */ }
+    // ⚠️ SOUS PORTE FERMÉE, ON NE SE REPLIE PAS — ON REFUSE. Le repli retire le contrôle
+    // anti-usurpation et écrit quand même : acceptable pendant la TRANSITION (mieux vaut une
+    // présence enregistrée sans contrôle qu'une présentation cassée), inacceptable une fois
+    // PLAYER_PRESENCE_STRICT posé. À ce moment-là l'exploitant a déclaré que seule une identité
+    // prouvée entre ; laisser un bootstrap auto-déclaré s'emparer d'une ligne réclamée serait une
+    // fermeture qui rassure sans protéger — précisément ce que la porte prétend empêcher.
+    //
+    // On lève, et l'appelant rend 503 : « je n'ai pas pu vérifier », pas « c'est refusé » ni « c'est
+    // écrit ». ⚠️ Seuls les BOOTSTRAPS sont concernés (durcissementVoulu) : un battement prouvé n'a
+    // jamais emprunté ce chemin, donc une présentation en cours ne s'arrête pas. (Audit externe.)
+    if (PLAYER && PLAYER.config && PLAYER.config.presenceStrict) {
+      const refus = new Error(
+        "bootstrap de présence NON durci alors que PLAYER_PRESENCE_STRICT est posé : appliquez "
+        + "supabase/migrations/0018-bootstrap-non-usurpable.sql, ou retirez le mode strict le temps "
+        + "de la migration. Aucune écriture non protégée n'a été faite.",
+      );
+      refus.code = "durcissement-absent";
+      throw refus;
+    }
     const { p_only_if_unclaimed: _retire, ...sansDurcissement } = corps;
     return appel(sansDurcissement);
   }