discovery-media-player 0.1.129 → 0.1.131

package/bin/serve.js

@@ -119,7 +119,20 @@ const serveur = http.createServer(async (req, res) => {
 
   // Mode dossier : la racine du serveur montre ce qu'il y a à lire.
   if ((url.pathname === "/" || url.pathname === "/preview" || url.pathname === "/preview/") && process.env.PLAYER_LOCAL_ROOT) {
-    res.writeHead(200, { "Content-Type": "text/html; charset=utf-8", "Cache-Control": "no-store" });
+    res.writeHead(200, {
+      "Content-Type": "text/html; charset=utf-8",
+      "Cache-Control": "no-store",
+      // ⚠️ Les MÊMES protections que la visionneuse, écrites pour la page qui n'y passait pas.
+      // C'était la seule page HTML servie sans CSP ni `nosniff`, encadrable par n'importe qui —
+      // relevé par le premier scan ZAP baseline (24/08). Elle n'a ni script, ni image, ni
+      // formulaire : tout est refusé, sauf son unique bloc <style>.
+      "X-Content-Type-Options": "nosniff",
+      "Referrer-Policy": "strict-origin-when-cross-origin",
+      // La définition vit dans le player (une seule copie du fait) — voir son commentaire.
+      "Permissions-Policy": player.POLITIQUE_PERMISSIONS,
+      "Content-Security-Policy":
+        "default-src 'none'; style-src 'unsafe-inline'; base-uri 'none'; form-action 'none'; frame-ancestors 'none'",
+    });
     res.end(await pageAccueil(path.resolve(process.env.PLAYER_LOCAL_ROOT)));
     return;
   }

package/docs/README.md

@@ -17,6 +17,7 @@ no document assumes you have read the others.
 |---|---|
 | [`CONFIGURATION.md`](CONFIGURATION.md) | Every environment variable. An instance is described entirely by its environment — there is no configuration file, on purpose. |
 | [`MIGRATIONS.md`](MIGRATIONS.md) | What happens to a database **already in service** when the player expects a newer schema. (French.) |
+| [`VERIFYING-RELEASES.md`](VERIFYING-RELEASES.md) | how to check, yourself, that the package or image you pulled is the one this repository built — the commands, the expected output, and which signing identity to expect. |
 | [`RETENTION.md`](RETENTION.md) | The declared perimeter of data retention: every personal-data column has a written policy, and CI enforces that the list is complete. Also an export of the package: `require.resolve("discovery-media-player/retention")`. |
 
 ## You are contributing, or publishing a version
@@ -26,6 +27,9 @@ no document assumes you have read the others.
 | [`../CONTRIBUTING.md`](../CONTRIBUTING.md) | how to run the benches, what review looks for, and the one rule: a behaviour worth keeping is worth a test that fails without it. |
 | [`../AGENTS.md`](../AGENTS.md) | the conventions that are not obvious from the file tree — which ones a guard enforces, and which ones only review does. |
 | [`RELEASING.md`](RELEASING.md) | the release train, freezing the candidate SHA, the read-only preflight to run **before** the tag, and what to do when a tag lands on the wrong commit. |
+| [`DEPENDENCIES.md`](DEPENDENCIES.md) | what the project depends on and why so little of it: the bar a new dependency has to clear, how updates arrive, the two upgrades deliberately held back, and the vulnerability thresholds a change has to clear to merge. |
+| [`SECURITY-PRACTICES.md`](SECURITY-PRACTICES.md) | the two standing policies: how secrets are handled (there are no long-lived ones, on purpose) and what happens when a security tool reports something. |
+| [`../MAINTAINERS.md`](../MAINTAINERS.md) | who can merge, who can publish, who reads a vulnerability report — and what one maintainer means for the answer. |
 
 ## You are evaluating the project
 
@@ -35,6 +39,7 @@ tracked version by version in the [CHANGELOG](../CHANGELOG.md).
 
 | Document | What it is |
 |---|---|
+| [`THREAT-MODEL.md`](THREAT-MODEL.md) | what an attacker would go after, what stands in the way, and — the part most threat models omit — what is deliberately left standing. |
 | [`AUDIT-2026-08-14-RAPPORT.md`](AUDIT-2026-08-14-RAPPORT.md) | First external audit, on `0.1.17`. Historical. (French.) |
 | [`AUDIT-2026-08-14-SUIVI.md`](AUDIT-2026-08-14-SUIVI.md) | The follow-up ledger: done, decided-but-not-done, and rejected-with-reason. Historical. (French.) |
 | [`AUDIT-2026-08-15-SECONDE-PASSE.md`](AUDIT-2026-08-15-SECONDE-PASSE.md) | Second pass, on `0.1.26` — including what the first follow-up had marked too optimistically. Historical. (French.) |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.129",
+  "version": "0.1.131",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -186,18 +186,38 @@ const { adresseAppelant } = require("./appelant");
  */
 const PLAFOND_RELAIS = Number(process.env.PLAYER_MAX_RELAY_BYTES || 0) || 60 * 1024 * 1024;
 
+// ⚠️ UN REFUS EN TEXTE POSE SON TYPE, COMME TOUT LE RESTE. Ces réponses partaient avec un code et
+// un corps, sans Content-Type : le seul corps de ce serveur qu'un navigateur avait le droit de
+// deviner, alors que la règle `nosniff` est écrite partout ailleurs. Relevé par le premier scan
+// ZAP baseline (règle 10019, 24/08).
+function refuserEnTexte(res, statut, message) {
+  res.statusCode = statut;
+  res.setHeader("Content-Type", "text/plain; charset=utf-8");
+  res.setHeader("X-Content-Type-Options", "nosniff");
+  res.end(message);
+}
+
+// ⚠️ CE QUE LES PAGES N'UTILISENT PAS EST REFUSÉ PAR ÉCRIT. Sans Permissions-Policy, un script
+// tiers compromis (le risque exact que l'inventaire TIERS épingle) hérite de tout ce que le
+// navigateur sait faire — caméra, micro, position. Aucune page ici ne s'en sert : on le dit.
+// Le plein écran n'est PAS refusé — la présentation s'en sert (page-visionneuse.js). Relevé par
+// le premier passage CI du scan ZAP (règle 10063, 24/08) ; le passage local, scanners par
+// défaut, ne l'avait pas vu. UNE définition, exportée : bin/serve.js pose la même — deux
+// exemplaires d'un fait divergent, c'est la formule du dépôt.
+const POLITIQUE_PERMISSIONS = "camera=(), microphone=(), geolocation=(), payment=()";
+
 async function relayerFichier(res, r, disposition) {
-  if (!r) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
+  if (!r) { refuserEnTexte(res, 404, "Fichier indisponible"); return; }
   // 413 et 416 sont des REFUS ARGUMENTÉS de l'amont local (plafond, borne absurde) : les fondre
   // dans un 502 dirait « panne » là où l'amont a dit « demande irrecevable ».
   if (!r.ok && r.status !== 206) {
-    res.statusCode = r.status === 413 || r.status === 416 ? r.status : 502;
-    res.end(r.status === 413 ? "Fichier trop volumineux" : "Fichier indisponible");
+    refuserEnTexte(res, r.status === 413 || r.status === 416 ? r.status : 502,
+      r.status === 413 ? "Fichier trop volumineux" : "Fichier indisponible");
     return;
   }
 
   const compresse = !!r.headers.get("content-encoding");
-  if (compresse && r.status === 206) { res.statusCode = 502; res.end("Fichier indisponible"); return; }
+  if (compresse && r.status === 206) { refuserEnTexte(res, 502, "Fichier indisponible"); return; }
 
   // ⚠️ DEUX BORNES, ET LA SECONDE EST LA SEULE QUI TIENNE DEVANT UN AMONT QUI MENT.
   //
@@ -213,8 +233,7 @@ async function relayerFichier(res, r, disposition) {
   const annoncee = Number(brute || 0);
   if (annoncee > PLAFOND_RELAIS) {
     try { PLAYER.errors.capture(new Error(`relais refusé : ${annoncee} octets au-dessus du plafond de ${PLAFOND_RELAIS}`), { route: "relais" }); } catch { /* jamais bloquant */ }
-    res.statusCode = 413;
-    res.end("Fichier trop volumineux");
+    refuserEnTexte(res, 413, "Fichier trop volumineux");
     // ⚠️ Renoncer ne suffit pas : un corps jamais tiré laisse la connexion amont OUVERTE, et le
     // pool de sockets s'épuise sur les gros fichiers — exactement la ressource qu'on protège.
     try { if (r.body) r.body.cancel(); } catch { /* déjà refermé */ }
@@ -296,6 +315,7 @@ function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     // ⚠️ `'none'` DOIT ÊTRE SEUL ou la directive est invalide — « 'none' 'self' » a fait rejeter
@@ -339,6 +359,7 @@ function sendSoftWallHtml(res, html, nonce, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     `script-src 'nonce-${nonce}' https://accounts.google.com/gsi/client`,
@@ -427,6 +448,7 @@ function sendPresentHtml(res, html, nonce, supaUrl, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     `script-src 'nonce-${nonce}' 'self' https://cdn.jsdelivr.net https://unpkg.com https://maps.googleapis.com https://maps.gstatic.com`,
@@ -533,7 +555,7 @@ async function handler(req, res) {
       if (!octets) {
         try { octets = global.__actifsPdfjs[fichier] = require("node:fs").readFileSync(require.resolve(fichier)); } catch { /* dépendance absente */ }
       }
-      if (!octets) { res.statusCode = 404; res.end("actif indisponible"); return; }
+      if (!octets) { refuserEnTexte(res, 404, "actif indisponible"); return; }
       res.statusCode = 200;
       res.setHeader("Content-Type", "text/javascript; charset=utf-8");
       res.setHeader("X-Content-Type-Options", "nosniff");
@@ -845,7 +867,7 @@ async function handler(req, res) {
       const pres = await getPresentation(String(q.present));
       if (!pres) return sendRefusal(res, "ended", embed);
       if (String(q.file || "") === "1") {
-        if (!isAllowedStorageUrl(pres.file_url)) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
+        if (!isAllowedStorageUrl(pres.file_url)) { refuserEnTexte(res, 404, "Fichier indisponible"); return; }
         const range = req.headers["range"];
         const r = await PLAYER.storage.fetchFile(pres.file_url, { range });
         await relayerFichier(res, r, null);
@@ -1013,6 +1035,6 @@ async function handler(req, res) {
 // tenir une seconde liste — c'est la seule façon qu'une empreinte périmée finisse par se voir.
 // ⚠️ Exporté pour être ÉPROUVÉ, pas pour être appelé : le plafond du relais ne se vérifie qu en
 // regardant si le corps a été lu, ce qu aucune route ne peut montrer de l extérieur.
-module.exports = { handler, init, TIERS, __relayerFichier: relayerFichier, __jsonPourScript: jsonPourScript };
+module.exports = { handler, init, TIERS, POLITIQUE_PERMISSIONS, __relayerFichier: relayerFichier, __jsonPourScript: jsonPourScript };
 
 // redeploy: forcer le build production (Vercel a sauté la prod du merge #463 — wording re-partage).

package/server/presentations.js

@@ -828,7 +828,10 @@ function signatureAbsente(erreur) {
   if (!erreur) return false;
   const code = erreur.details && (erreur.details.code || (erreur.details.error && erreur.details.error.code));
   if (code === "PGRST202") return true;
-  const texte = String((erreur && erreur.message) || "");
+  // ⚠️ PAS DE `erreur &&` ICI : la garde de la première ligne l'a déjà tranché. Le garder ne
+  // protégeait de rien et APPRENAIT AU LECTEUR QUE `erreur` PEUT ÊTRE NULLE À CET ENDROIT — ce qui
+  // est faux. Un test qui ne peut pas échouer ne coûte pas un cycle, il coûte une lecture.
+  const texte = String(erreur.message || "");
   return texte.includes("PGRST202") || /Could not find the function/i.test(texte);
 }
 
@@ -1138,12 +1141,17 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
     presentateurEcrit = presentateurEcrit
       || (controlHash != null && relu.control_hash != null && controlHash === relu.control_hash);
   }
-  let cur = null;
+  // ⚠️ ON RELIT À CHAQUE TOUR — ET C'EST DÉJÀ CE QUI SE PASSAIT. La lecture était gardée par un
+  // `if (cur === null)` qui ne pouvait JAMAIS être faux : les deux seuls chemins qui rebouclent
+  // (un 409 à la création, une écriture battue en vol) remettaient `cur` à null juste avant. La
+  // condition décrivait une intention — « ne relis que si tu n'as pas d'état frais » — que le code
+  // ne pouvait pas contredire. Signalée par le scan (#78), et il a raison : une branche morte
+  // laisse croire qu'il existe un cas où l'on repart avec un état déjà lu. Il n'y en a pas, et il
+  // ne DOIT pas y en avoir : rejouer sur un état périmé est précisément ce que la serrure
+  // `last_seen` interdit.
   for (let essai = 0; essai < 4; essai += 1) {
-    if (cur === null) {
-      const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}&select=*&limit=1`);
-      cur = (Array.isArray(rows) && rows[0]) || false;
-    }
+    const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}&select=*&limit=1`);
+    let cur = (Array.isArray(rows) && rows[0]) || false;
     if (!cur) {
       const now = Date.now();
       const row = { slug: String(slug), attendee_key: String(key).slice(0, 200), name: (name || "").slice(0, 120) || null, email: lc(email) || null, avatar: (avatar || "").slice(0, 600) || null, is_member: !!isMember, is_presenter: presentateurEcrit, first_seen: new Date(now).toISOString(), last_seen: new Date(now).toISOString(), total_ms: 0, pages: [pageEcrite] };
@@ -1159,8 +1167,7 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
         // Journalisé comme bénin : deux onglets qui arrivent ensemble sont une information, pas
         // une panne — et la garde des écritures muettes exige que tout rattrapage parle.
         try { PLAYER.errors.capture(new Error("présence déjà ouverte (second onglet) : " + String(slug)), { route: "present-attend", benin: true }); } catch { /* jamais bloquant */ }
-        cur = null;
-        continue;
+        continue;   // le tour suivant relit : la ligne que l'autre onglet vient de créer
       }
     }
     // ⚠️ UN `last_seen` ACCEPTÉ EST STRICTEMENT CROISSANT — sans ça, la serrure est aveugle dans
@@ -1184,7 +1191,7 @@ async function recordAttendance(slug, participant, { presentation = null, ipHash
         is_member: !!isMember, is_presenter: presentateurEcrit },
     );
     if (ecrit) return { ok: true };
-    cur = null;   // battu en vol : on relira l'état frais au tour suivant
+    // battu en vol : le tour suivant relit l'état frais — c'est la lecture en tête de boucle
   }
   // Quatre tours perdus : un battement de présence se reperd sans conséquence — le suivant arrive
   // dans quelques secondes. Refuser net plutôt qu'écraser ce que les gagnants viennent d'écrire.

package/server/routes-agent.js

@@ -106,13 +106,59 @@ async function traiter(req, res, body, _slug) {
           if (body.action === "bot-rate") { // satisfaction (1-5 étoiles) posée depuis le bloc central du viewer
             const sess = await docbot.getSession(String(body.sessionId || ""));
             if (!sess || sess.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
-            const note = Math.max(1, Math.min(5, Number(body.rating) || 0));
-            if (!note) return jp(400, { ok: false, error: "rating" });
+            // ⚠️ CE REFUS ÉTAIT INATTEIGNABLE, ET C'EST LA MESURE QUI EN PAYAIT LE PRIX.
+            //
+            //     const note = Math.max(1, Math.min(5, Number(body.rating) || 0));
+            //     if (!note) return jp(400, { ok: false, error: "rating" });
+            //
+            // `Math.max(1, …)` posait un PLANCHER à 1 : `note` valait toujours au moins 1, donc
+            // `!note` n'était jamais vrai et la ligne suivante ne s'exécutait jamais. Une notation
+            // SANS note — champ absent, `null`, `"abc"`, un double envoi du client — n'était pas
+            // refusée : elle enregistrait **1 étoile**, la pire du barème. La satisfaction mesurée
+            // baissait donc d'elle-même à chaque appel malformé, et rien dans le chiffre ne
+            // permettait de le voir.
+            //
+            // C'est la règle que ce dépôt applique déjà au temps de lecture, une couche plus haut :
+            // « une métrique qui dit le contraire est la première que les gens cessent de croire ».
+            // Une note absente n'est pas une mauvaise note, c'est une absence — et elle se refuse.
+            //
+            // ⚠️ TROUVÉ EN CHERCHANT À EXERCER LA BRANCHE, pas en lisant le code. Le refus était
+            // écrit, donc il avait l'air tenu ; il a fallu écrire le test qui l'atteint pour
+            // constater qu'aucune entrée n'y arrivait.
+            //
+            // ⚠️ `Math.round` PARCE QUE LA COLONNE EST `smallint`. `3.7` traversait la garde intact
+            // et partait tel quel vers PostgREST : l'arrondi se décidait en aval, hors de vue. Le
+            // plafond à 5 reste, lui — un clic sur une sixième étoile est un défaut d'interface,
+            // pas une tentative, et le ramener à 5 est ce que l'appelant voulait dire.
+            //
+            // `!(note >= 1)` plutôt que `!note` : la forme rend faux pour `NaN` sans s'en remettre
+            // au `|| 0` qui le précède, donc elle survit à un changement de la ligne d'au-dessus.
+            const note = Math.min(5, Math.round(Number(body.rating) || 0));
+            if (!(note >= 1)) return jp(400, { ok: false, error: "rating" });
             const cmt = String(body.comment || "").trim().slice(0, 500); // mot facultatif (2e temps du bloc)
             await PLAYER.db.request("doc_bot_sessions?id=eq." + encodeURIComponent(String(body.sessionId)), { method: "PATCH", headers: { Prefer: "return=minimal" }, body: cmt ? { rating: note, rating_comment: cmt } : { rating: note } });
             return jp(200, { ok: true });
           }
-          if (body.action === "bot-history") return jp(200, { ok: true, messages: await docbot.listMessages(String(body.sessionId || "")) });
+          if (body.action === "bot-history") {
+            // ⚠️ MÊME LIAISON QUE `bot-rate` ET `bot-script`, ET ELLE MANQUAIT ICI.
+            //
+            // Cette action rendait le transcript de N'IMPORTE QUELLE session à qui en connaissait
+            // l'identifiant — et cet identifiant voyage côté client. Il suffisait d'un slug avec
+            // assistant activé (le refus juste au-dessus) et d'un `sessionId` récupéré ailleurs
+            // pour lire la conversation tenue sur un autre document : des questions de prospect,
+            // c'est-à-dire de la donnée commerciale sur un client, pas un compteur d'usage.
+            //
+            // ⚠️ ON NE PEUT PAS DÉLÉGUER CE FILTRAGE AU GREFFON. `docbot` est `ctx.plugins.bot`,
+            // fourni par l'hôte : supposer qu'il recoupe la session et le document reviendrait à
+            // faire dépendre une propriété de sécurité du player d'un code qu'il ne contient pas.
+            // C'est exactement pourquoi les deux actions voisines le vérifient elles-mêmes.
+            //
+            // Les deux voisines avaient la garde ET leur banc ; celle-ci n'avait ni l'une ni
+            // l'autre, et la relecture qui a ajouté les bancs a couvert deux actions sur trois.
+            const sess = await docbot.getSession(String(body.sessionId || ""));
+            if (!sess || sess.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
+            return jp(200, { ok: true, messages: await docbot.listMessages(String(body.sessionId || "")) });
+          }
           // ⚠️ Même piège : un objet littéral répond à `constructor`. Sans `Object.hasOwn`, une
           // langue « constructor » passait la garde et finissait interpolée dans le prompt du
           // modèle sous la forme « function Object() { [native code] } ».