discovery-media-player 0.1.128 → 0.1.130

package/docs/HOST-CONTRACT.md

@@ -76,12 +76,31 @@ The three `presence*` fields report what the host has **observed**, not what it
 | `presenceDurcissement` | `actif` (a hardened call came back), `degrade` (migration 0018 is missing), `inconnu` (nothing attempted in this process — **not** a green light, and process-local: another instance may have seen otherwise) |
 | `presenceFusion` | `actif` (a heartbeat used the fused contract — one round trip instead of two), `degrade` (migration 0019 is missing: heartbeats cost 3 round trips instead of 2, nothing breaks), `inconnu` (no heartbeat served in this process). Same three states, same trap, same reading rule as the row above |
 
-⚠️ **Before you upgrade, do not read `presenceDurcissement`.** It is a *report of execution*: on an
-instance where nothing is running it says `inconnu`, which means *nobody looked* — not *the migration
-is there*. A pre-flight check built on it silently passes on every idle host, and the missing
-migration is then discovered at the first presentation, i.e. at the worst moment. Ask
-`GET /api/doc?contract=1&schema=1` and read **`schema.durcissementBase`** instead: it asks the
-database, so it answers a global fact.
+⚠️ **Before you upgrade, do not read `presenceDurcissement` or `presenceFusion`.** They are *reports
+of execution*: on an instance where nothing is running they say `inconnu`, which means *nobody
+looked* — not *the migration is there*. A pre-flight check built on one of them silently passes on
+every idle host, and the missing migration is then discovered at the first presentation, i.e. at the
+worst moment. Ask `GET /api/doc?contract=1&schema=1` and read **`schema.durcissementBase`** and
+**`schema.fusionBase`** instead: they ask the database, so they answer a global fact.
+
+⚠️ **And on a serverless host, `inconnu` is not the exception — it is the normal answer, forever.**
+This paragraph used to say *"on an instance where nothing is running"*, which reads as a description
+of an **idle** deployment. Field data from the second host corrected it: a real presentation ran on
+their instance, with a participant, on the very day both fields read `inconnu`. Nothing was idle —
+the presentation had simply ended, and the short-lived process answering `/api/doc` was never the one
+that served a heartbeat. On a platform where each request may be a fresh process, that is the
+**structural** case, not an edge case: a host serving presentations daily can read `inconnu` every
+single time you ask.
+
+So the two fields answer *"did this process, right now, see it work?"* — useful to confirm a fix on a
+long-lived process, worthless as an inventory anywhere else. The durable signals live in `schema`:
+`fusionBase` and `durcissementBase` for the migrations, and `schema.presence.avecJeton` crossed with
+`presentationsActives` for actual traffic — those are read from the database and survive the process
+that answers.
+
+⚠️ **A corollary worth keeping:** *"our instances are idle"* and *"our instances are lightly used"*
+are different claims, and only the second was true here. The distinction matters because a defect
+that needs traffic to appear had real opportunities the whole time it was assumed to have none.
 
 | `durcissementBase` | meaning |
 |---|---|
@@ -96,14 +115,20 @@ when the long one is missing — i.e. exactly on the host that is behind and owe
 
 | `fusionBase` | meaning |
 |---|---|
-| `applique` | `0019` is in the database — a presence heartbeat costs **2** database round trips |
-| `absente` | `0019` is missing: **nothing breaks**, a heartbeat costs **3** round trips instead of 2 (about 30 ops/s instead of 20 for 250 attendees). Applying it needs no redeploy — the player picks it up within a minute |
+| `applique` | `0019` is in the database — a presence heartbeat costs **2**† database round trips (**20**† ops/s for 250 attendees) |
+| `absente` | `0019` is missing: **nothing breaks**, a heartbeat costs **3**† round trips (**30**† ops/s for 250 attendees). Applying it needs no redeploy — the player picks it up within a minute |
 | `indetermine` | the question could not be asked — neither a yes nor a no |
 
 ⚠️ Unlike `0018`, a missing `0019` is a **cost**, not a risk: read it when you are sizing an
 instance, not when you are deciding whether it is safe to run. A host missing it is also logged once
 an hour, with the exact figures, so an idle instance still finds out.
 
+† **Recomputed from the code on every CI run** by `charge/coutParGeste.test.js`, which measures both
+regimes — the fallback still lives in the code, so the *without-`0019`* figure is a measurement, not
+a number remembered from an older release. The build fails when this document and the bench disagree.
+⚠️ **A number without † in this repository's documentation is hand-written: it was true once, and
+nothing has checked it since.**
+
 The probe writes nothing, for **two independent reasons**: `p_page = null` on a slug that does not
 exist leaves through `0019`'s *introuvable* branch before the insert, and `p_anon_cap = 0` already
 left through the previous contract's *capped* branch. Two reasons rather than one, because a

package/docs/README.md

@@ -17,7 +17,8 @@ no document assumes you have read the others.
 |---|---|
 | [`CONFIGURATION.md`](CONFIGURATION.md) | Every environment variable. An instance is described entirely by its environment — there is no configuration file, on purpose. |
 | [`MIGRATIONS.md`](MIGRATIONS.md) | What happens to a database **already in service** when the player expects a newer schema. (French.) |
-| [`RETENTION.md`](RETENTION.md) | The declared perimeter of data retention: every personal-data column has a written policy, and CI enforces that the list is complete. Also an export of the package: `require.resolve("discovery-media-player/retention")`. (French.) |
+| [`VERIFYING-RELEASES.md`](VERIFYING-RELEASES.md) | how to check, yourself, that the package or image you pulled is the one this repository built — the commands, the expected output, and which signing identity to expect. |
+| [`RETENTION.md`](RETENTION.md) | The declared perimeter of data retention: every personal-data column has a written policy, and CI enforces that the list is complete. Also an export of the package: `require.resolve("discovery-media-player/retention")`. |
 
 ## You are contributing, or publishing a version
 
@@ -26,6 +27,9 @@ no document assumes you have read the others.
 | [`../CONTRIBUTING.md`](../CONTRIBUTING.md) | how to run the benches, what review looks for, and the one rule: a behaviour worth keeping is worth a test that fails without it. |
 | [`../AGENTS.md`](../AGENTS.md) | the conventions that are not obvious from the file tree — which ones a guard enforces, and which ones only review does. |
 | [`RELEASING.md`](RELEASING.md) | the release train, freezing the candidate SHA, the read-only preflight to run **before** the tag, and what to do when a tag lands on the wrong commit. |
+| [`DEPENDENCIES.md`](DEPENDENCIES.md) | what the project depends on and why so little of it: the bar a new dependency has to clear, how updates arrive, the two upgrades deliberately held back, and the vulnerability thresholds a change has to clear to merge. |
+| [`SECURITY-PRACTICES.md`](SECURITY-PRACTICES.md) | the two standing policies: how secrets are handled (there are no long-lived ones, on purpose) and what happens when a security tool reports something. |
+| [`../MAINTAINERS.md`](../MAINTAINERS.md) | who can merge, who can publish, who reads a vulnerability report — and what one maintainer means for the answer. |
 
 ## You are evaluating the project
 
@@ -35,6 +39,7 @@ tracked version by version in the [CHANGELOG](../CHANGELOG.md).
 
 | Document | What it is |
 |---|---|
+| [`THREAT-MODEL.md`](THREAT-MODEL.md) | what an attacker would go after, what stands in the way, and — the part most threat models omit — what is deliberately left standing. |
 | [`AUDIT-2026-08-14-RAPPORT.md`](AUDIT-2026-08-14-RAPPORT.md) | First external audit, on `0.1.17`. Historical. (French.) |
 | [`AUDIT-2026-08-14-SUIVI.md`](AUDIT-2026-08-14-SUIVI.md) | The follow-up ledger: done, decided-but-not-done, and rejected-with-reason. Historical. (French.) |
 | [`AUDIT-2026-08-15-SECONDE-PASSE.md`](AUDIT-2026-08-15-SECONDE-PASSE.md) | Second pass, on `0.1.26` — including what the first follow-up had marked too optimistically. Historical. (French.) |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.128",
+  "version": "0.1.130",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -68,8 +68,8 @@
     "build": "node -e \"require('fs').existsSync('build/bundle.mjs')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && node build/bundle.mjs && tsc -p tsconfig.build.json && node -e \"import('./build/bundle.mjs').then(m=>m.marquerDistEsm())\"",
     "test": "node -e \"require('fs').existsSync('server/__tests__')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run",
     "test:watch": "vitest",
-    "lint": "node -e \"require('fs').existsSync('eslint.config.mjs')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && eslint bin context server src build",
-    "lint:fix": "eslint bin context server src build --fix",
+    "lint": "node -e \"require('fs').existsSync('eslint.config.mjs')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && eslint bin context server src build tools charge --max-warnings 0",
+    "lint:fix": "eslint bin context server src build tools charge --fix",
     "typecheck": "node -e \"require('fs').existsSync('tsconfig.json')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && tsc --noEmit",
     "prepublishOnly": "npm run build && npm test",
     "test:e2e": "node -e \"require('fs').existsSync('vitest.e2e.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.e2e.config.mjs",
@@ -83,13 +83,16 @@
   "devDependencies": {
     "@eslint/js": "^10.0.1",
     "axe-core": "^4.13.0",
+    "dockerfile-ast": "0.7.1",
     "esbuild": "^0.28.2",
     "eslint": "^10.8.1",
+    "fast-check": "4.9.0",
     "jsdom": "^30.0.1",
     "playwright-core": "^1.62.1",
     "typescript": "^5.5.4",
     "typescript-eslint": "^8.46.4",
-    "vitest": "^4.1.10"
+    "vitest": "^4.1.10",
+    "yaml": "2.9.0"
   },
   "dependencies": {
     "pdfjs-dist": "6.2.108"

package/server/presentations.js

@@ -828,7 +828,10 @@ function signatureAbsente(erreur) {
   if (!erreur) return false;
   const code = erreur.details && (erreur.details.code || (erreur.details.error && erreur.details.error.code));
   if (code === "PGRST202") return true;
-  const texte = String((erreur && erreur.message) || "");
+  // ⚠️ PAS DE `erreur &&` ICI : la garde de la première ligne l'a déjà tranché. Le garder ne
+  // protégeait de rien et APPRENAIT AU LECTEUR QUE `erreur` PEUT ÊTRE NULLE À CET ENDROIT — ce qui
+  // est faux. Un test qui ne peut pas échouer ne coûte pas un cycle, il coûte une lecture.
+  const texte = String(erreur.message || "");
   return texte.includes("PGRST202") || /Could not find the function/i.test(texte);
 }
 
@@ -1138,12 +1141,17 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
     presentateurEcrit = presentateurEcrit
       || (controlHash != null && relu.control_hash != null && controlHash === relu.control_hash);
   }
-  let cur = null;
+  // ⚠️ ON RELIT À CHAQUE TOUR — ET C'EST DÉJÀ CE QUI SE PASSAIT. La lecture était gardée par un
+  // `if (cur === null)` qui ne pouvait JAMAIS être faux : les deux seuls chemins qui rebouclent
+  // (un 409 à la création, une écriture battue en vol) remettaient `cur` à null juste avant. La
+  // condition décrivait une intention — « ne relis que si tu n'as pas d'état frais » — que le code
+  // ne pouvait pas contredire. Signalée par le scan (#78), et il a raison : une branche morte
+  // laisse croire qu'il existe un cas où l'on repart avec un état déjà lu. Il n'y en a pas, et il
+  // ne DOIT pas y en avoir : rejouer sur un état périmé est précisément ce que la serrure
+  // `last_seen` interdit.
   for (let essai = 0; essai < 4; essai += 1) {
-    if (cur === null) {
-      const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}&select=*&limit=1`);
-      cur = (Array.isArray(rows) && rows[0]) || false;
-    }
+    const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}&select=*&limit=1`);
+    let cur = (Array.isArray(rows) && rows[0]) || false;
     if (!cur) {
       const now = Date.now();
       const row = { slug: String(slug), attendee_key: String(key).slice(0, 200), name: (name || "").slice(0, 120) || null, email: lc(email) || null, avatar: (avatar || "").slice(0, 600) || null, is_member: !!isMember, is_presenter: presentateurEcrit, first_seen: new Date(now).toISOString(), last_seen: new Date(now).toISOString(), total_ms: 0, pages: [pageEcrite] };
@@ -1159,8 +1167,7 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
         // Journalisé comme bénin : deux onglets qui arrivent ensemble sont une information, pas
         // une panne — et la garde des écritures muettes exige que tout rattrapage parle.
         try { PLAYER.errors.capture(new Error("présence déjà ouverte (second onglet) : " + String(slug)), { route: "present-attend", benin: true }); } catch { /* jamais bloquant */ }
-        cur = null;
-        continue;
+        continue;   // le tour suivant relit : la ligne que l'autre onglet vient de créer
       }
     }
     // ⚠️ UN `last_seen` ACCEPTÉ EST STRICTEMENT CROISSANT — sans ça, la serrure est aveugle dans
@@ -1184,7 +1191,7 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
         is_member: !!isMember, is_presenter: presentateurEcrit },
     );
     if (ecrit) return { ok: true };
-    cur = null;   // battu en vol : on relira l'état frais au tour suivant
+    // battu en vol : le tour suivant relit l'état frais — c'est la lecture en tête de boucle
   }
   // Quatre tours perdus : un battement de présence se reperd sans conséquence — le suivant arrive
   // dans quelques secondes. Refuser net plutôt qu'écraser ce que les gagnants viennent d'écrire.

package/server/routes-agent.js

@@ -106,8 +106,35 @@ async function traiter(req, res, body, _slug) {
           if (body.action === "bot-rate") { // satisfaction (1-5 étoiles) posée depuis le bloc central du viewer
             const sess = await docbot.getSession(String(body.sessionId || ""));
             if (!sess || sess.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
-            const note = Math.max(1, Math.min(5, Number(body.rating) || 0));
-            if (!note) return jp(400, { ok: false, error: "rating" });
+            // ⚠️ CE REFUS ÉTAIT INATTEIGNABLE, ET C'EST LA MESURE QUI EN PAYAIT LE PRIX.
+            //
+            //     const note = Math.max(1, Math.min(5, Number(body.rating) || 0));
+            //     if (!note) return jp(400, { ok: false, error: "rating" });
+            //
+            // `Math.max(1, …)` posait un PLANCHER à 1 : `note` valait toujours au moins 1, donc
+            // `!note` n'était jamais vrai et la ligne suivante ne s'exécutait jamais. Une notation
+            // SANS note — champ absent, `null`, `"abc"`, un double envoi du client — n'était pas
+            // refusée : elle enregistrait **1 étoile**, la pire du barème. La satisfaction mesurée
+            // baissait donc d'elle-même à chaque appel malformé, et rien dans le chiffre ne
+            // permettait de le voir.
+            //
+            // C'est la règle que ce dépôt applique déjà au temps de lecture, une couche plus haut :
+            // « une métrique qui dit le contraire est la première que les gens cessent de croire ».
+            // Une note absente n'est pas une mauvaise note, c'est une absence — et elle se refuse.
+            //
+            // ⚠️ TROUVÉ EN CHERCHANT À EXERCER LA BRANCHE, pas en lisant le code. Le refus était
+            // écrit, donc il avait l'air tenu ; il a fallu écrire le test qui l'atteint pour
+            // constater qu'aucune entrée n'y arrivait.
+            //
+            // ⚠️ `Math.round` PARCE QUE LA COLONNE EST `smallint`. `3.7` traversait la garde intact
+            // et partait tel quel vers PostgREST : l'arrondi se décidait en aval, hors de vue. Le
+            // plafond à 5 reste, lui — un clic sur une sixième étoile est un défaut d'interface,
+            // pas une tentative, et le ramener à 5 est ce que l'appelant voulait dire.
+            //
+            // `!(note >= 1)` plutôt que `!note` : la forme rend faux pour `NaN` sans s'en remettre
+            // au `|| 0` qui le précède, donc elle survit à un changement de la ligne d'au-dessus.
+            const note = Math.min(5, Math.round(Number(body.rating) || 0));
+            if (!(note >= 1)) return jp(400, { ok: false, error: "rating" });
             const cmt = String(body.comment || "").trim().slice(0, 500); // mot facultatif (2e temps du bloc)
             await PLAYER.db.request("doc_bot_sessions?id=eq." + encodeURIComponent(String(body.sessionId)), { method: "PATCH", headers: { Prefer: "return=minimal" }, body: cmt ? { rating: note, rating_comment: cmt } : { rating: note } });
             return jp(200, { ok: true });

package/server/shares.js

@@ -139,12 +139,27 @@ async function logView(share, { event, page, maxPage, seconds, sessionId, ua })
  * d'administration) : sans restriction, un commercial verrait à qui d'autre le document a été
  * envoyé — donc les prospects de ses collègues.
  */
+// ⚠️ UNE SEULE DÉFINITION DE LA FENÊTRE D'ANALYTIQUE, PARCE QU'ELLE ÉTAIT DANS UNE FONCTION SUR DEUX.
+// `overview()` bornait sa lecture à 24 mois glissants ; `listSharesForDoc`, quarante lignes plus haut,
+// lisait TOUT l'historique d'un document. Deux lectures des mêmes tables d'événements, deux règles —
+// et la seconde n'était écrite nulle part : elle se déduisait d'une absence.
+//
+// ⚠️ ET LE BORNAGE EST TEMPOREL, PAS EN NOMBRE DE LIGNES — la mesure l'impose. PostgREST plafonne à
+// 1 000 lignes ici (constaté par un incident, cf. le commentaire d'`overview()` plus bas) : un
+// `limit` inférieur mordrait DÉJÀ sur notre pire document (662 lignes), et un `limit` supérieur
+// serait silencieusement ramené à 1 000 — donc un drapeau « tronqué » calculé sur la longueur
+// MENTIRAIT. C'est `selectAll`, qui pagine par `Range`, qui met à l'abri du plafond ; la fenêtre,
+// elle, borne le volume. Le patron « borné-ordonné-parlant » s'applique donc par sa borne TEMPORELLE.
+const FENETRE_ANALYTIQUE_MOIS = 24;
+const depuisFenetre = () =>
+  new Date(Date.now() - FENETRE_ANALYTIQUE_MOIS * 30 * 24 * 60 * 60 * 1000).toISOString();
+
 async function listSharesForDoc(docId, owner) {
   const id = enc(String(docId || ""));
   const filtreOwner = owner ? `&created_by=eq.${enc(low(owner))}` : "";
   const [shares, views] = await Promise.all([
     PLAYER.db.request(`commercial_doc_shares?doc_id=eq.${id}&is_test=not.is.true${filtreOwner}&select=*&order=created_at.desc`),
-    PLAYER.db.selectAll(`commercial_doc_views?doc_id=eq.${id}&select=slug,event,page,max_page,seconds,session_id,at&order=at.asc`),
+    PLAYER.db.selectAll(`commercial_doc_views?doc_id=eq.${id}&select=slug,event,page,max_page,seconds,session_id,at&at=gte.${enc(depuisFenetre())}&order=at.asc`),
   ]);
   const shareList = Array.isArray(shares) ? shares : [];
   const viewList = Array.isArray(views) ? views : [];
@@ -160,7 +175,12 @@ async function listSharesForDoc(docId, owner) {
     if (mp > s.maxPage) s.maxPage = mp;
     s.seconds = Math.max(s.seconds, Number(v.seconds) || 0);
     if (v.session_id) s.sessions.add(v.session_id);
-    s.lastAt = v.at;
+    // ⚠️ UN MAXIMUM, PAS « LA DERNIÈRE LIGNE GAGNE ». `s.lastAt = v.at` n'était juste que TANT QUE la
+    // requête triait par `at.asc` — un couplage caché entre l'agrégation et l'ORDER BY, à trente
+    // lignes de distance. Quiconque aurait inversé le tri (pour garder le récent en cas de coupe)
+    // aurait transformé « dernière activité » en « première activité », sans qu'un seul test ne
+    // bouge. L'agrégation ne dépend plus de l'ordre : elle le calcule.
+    if (!s.lastAt || String(v.at) > String(s.lastAt)) s.lastAt = v.at;
   }
   const enriched = shareList.map((sh) => {
     const a = bySlug.get(sh.slug) || { opens: 0, maxPage: 0, seconds: 0, sessions: new Set(), lastAt: null };
@@ -186,7 +206,11 @@ async function listSharesForDoc(docId, owner) {
     maxPage: enriched.reduce((m, x) => Math.max(m, x.maxPage), 0),
     readers: reached.length, // sessions distinctes ayant tourné au moins une page
   };
-  return { shares: enriched, total, funnel };
+  // ⚠️ « PARLANT » : la réponse DIT ce qu'elle couvre. Une analytique bornée qui ne l'annonce pas
+  // est indiscernable d'une analytique complète — le lecteur y voit des chiffres définitifs. Le champ
+  // est présent même quand la fenêtre ne coupe rien (la purge à 13 mois arrive avant), pour que
+  // l'appelant n'ait jamais à déduire la couverture de l'ABSENCE d'un drapeau.
+  return { shares: enriched, total, funnel, fenetreMois: FENETRE_ANALYTIQUE_MOIS };
 }
 
 // Vue d'ensemble (tous documents) : stats agrégées par doc_id, pour les badges de la grille + le « top ».
@@ -197,7 +221,7 @@ async function overview() {
   // Borne glissante généreuse (24 mois) : ces tables d'événements grossissent sans fin ; sans filtre, le
   // scan intégral se dégrade avec le temps. 24 mois couvre tout l'historique utile pour la vue d'ensemble
   // (opens / lecteurs / dernière activité) sans changer les chiffres actuels. Filtre servi par l'index sur `at`.
-  const since = new Date(Date.now() - 24 * 30 * 24 * 60 * 60 * 1000).toISOString();
+  const since = depuisFenetre();
   const [views, internal] = await Promise.all([
     // PAGINÉ : au-delà de 1 000 lignes, PostgREST tronquait en silence — et comme le tri
     // est ascendant, c'est le RÉCENT qui disparaissait. Les consultations des trois dernières
@@ -237,7 +261,9 @@ async function overview() {
     if (v.event === "open") a.opens++;
     if (v.session_id) a.readers.add(v.session_id);
     a.maxPage = Math.max(a.maxPage, Number(v.page) || 0, Number(v.max_page) || 0);
-    a.lastAt = v.at;
+    // Même couplage caché que dans `listSharesForDoc`, et corrigé de la même façon : « dernière
+    // activité » se calcule, elle ne se déduit pas du tri de la requête.
+    if (!a.lastAt || String(v.at) > String(a.lastAt)) a.lastAt = v.at;
   }
   const intByDoc = new Map();
   for (const s of Array.isArray(internal) ? internal : []) {