discovery-media-player 0.1.130 → 0.1.133

package/bin/serve.js

@@ -119,7 +119,20 @@ const serveur = http.createServer(async (req, res) => {
 
   // Mode dossier : la racine du serveur montre ce qu'il y a à lire.
   if ((url.pathname === "/" || url.pathname === "/preview" || url.pathname === "/preview/") && process.env.PLAYER_LOCAL_ROOT) {
-    res.writeHead(200, { "Content-Type": "text/html; charset=utf-8", "Cache-Control": "no-store" });
+    res.writeHead(200, {
+      "Content-Type": "text/html; charset=utf-8",
+      "Cache-Control": "no-store",
+      // ⚠️ Les MÊMES protections que la visionneuse, écrites pour la page qui n'y passait pas.
+      // C'était la seule page HTML servie sans CSP ni `nosniff`, encadrable par n'importe qui —
+      // relevé par le premier scan ZAP baseline (24/08). Elle n'a ni script, ni image, ni
+      // formulaire : tout est refusé, sauf son unique bloc <style>.
+      "X-Content-Type-Options": "nosniff",
+      "Referrer-Policy": "strict-origin-when-cross-origin",
+      // La définition vit dans le player (une seule copie du fait) — voir son commentaire.
+      "Permissions-Policy": player.POLITIQUE_PERMISSIONS,
+      "Content-Security-Policy":
+        "default-src 'none'; style-src 'unsafe-inline'; base-uri 'none'; form-action 'none'; frame-ancestors 'none'",
+    });
     res.end(await pageAccueil(path.resolve(process.env.PLAYER_LOCAL_ROOT)));
     return;
   }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.130",
+  "version": "0.1.133",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -186,18 +186,38 @@ const { adresseAppelant } = require("./appelant");
  */
 const PLAFOND_RELAIS = Number(process.env.PLAYER_MAX_RELAY_BYTES || 0) || 60 * 1024 * 1024;
 
+// ⚠️ UN REFUS EN TEXTE POSE SON TYPE, COMME TOUT LE RESTE. Ces réponses partaient avec un code et
+// un corps, sans Content-Type : le seul corps de ce serveur qu'un navigateur avait le droit de
+// deviner, alors que la règle `nosniff` est écrite partout ailleurs. Relevé par le premier scan
+// ZAP baseline (règle 10019, 24/08).
+function refuserEnTexte(res, statut, message) {
+  res.statusCode = statut;
+  res.setHeader("Content-Type", "text/plain; charset=utf-8");
+  res.setHeader("X-Content-Type-Options", "nosniff");
+  res.end(message);
+}
+
+// ⚠️ CE QUE LES PAGES N'UTILISENT PAS EST REFUSÉ PAR ÉCRIT. Sans Permissions-Policy, un script
+// tiers compromis (le risque exact que l'inventaire TIERS épingle) hérite de tout ce que le
+// navigateur sait faire — caméra, micro, position. Aucune page ici ne s'en sert : on le dit.
+// Le plein écran n'est PAS refusé — la présentation s'en sert (page-visionneuse.js). Relevé par
+// le premier passage CI du scan ZAP (règle 10063, 24/08) ; le passage local, scanners par
+// défaut, ne l'avait pas vu. UNE définition, exportée : bin/serve.js pose la même — deux
+// exemplaires d'un fait divergent, c'est la formule du dépôt.
+const POLITIQUE_PERMISSIONS = "camera=(), microphone=(), geolocation=(), payment=()";
+
 async function relayerFichier(res, r, disposition) {
-  if (!r) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
+  if (!r) { refuserEnTexte(res, 404, "Fichier indisponible"); return; }
   // 413 et 416 sont des REFUS ARGUMENTÉS de l'amont local (plafond, borne absurde) : les fondre
   // dans un 502 dirait « panne » là où l'amont a dit « demande irrecevable ».
   if (!r.ok && r.status !== 206) {
-    res.statusCode = r.status === 413 || r.status === 416 ? r.status : 502;
-    res.end(r.status === 413 ? "Fichier trop volumineux" : "Fichier indisponible");
+    refuserEnTexte(res, r.status === 413 || r.status === 416 ? r.status : 502,
+      r.status === 413 ? "Fichier trop volumineux" : "Fichier indisponible");
     return;
   }
 
   const compresse = !!r.headers.get("content-encoding");
-  if (compresse && r.status === 206) { res.statusCode = 502; res.end("Fichier indisponible"); return; }
+  if (compresse && r.status === 206) { refuserEnTexte(res, 502, "Fichier indisponible"); return; }
 
   // ⚠️ DEUX BORNES, ET LA SECONDE EST LA SEULE QUI TIENNE DEVANT UN AMONT QUI MENT.
   //
@@ -213,8 +233,7 @@ async function relayerFichier(res, r, disposition) {
   const annoncee = Number(brute || 0);
   if (annoncee > PLAFOND_RELAIS) {
     try { PLAYER.errors.capture(new Error(`relais refusé : ${annoncee} octets au-dessus du plafond de ${PLAFOND_RELAIS}`), { route: "relais" }); } catch { /* jamais bloquant */ }
-    res.statusCode = 413;
-    res.end("Fichier trop volumineux");
+    refuserEnTexte(res, 413, "Fichier trop volumineux");
     // ⚠️ Renoncer ne suffit pas : un corps jamais tiré laisse la connexion amont OUVERTE, et le
     // pool de sockets s'épuise sur les gros fichiers — exactement la ressource qu'on protège.
     try { if (r.body) r.body.cancel(); } catch { /* déjà refermé */ }
@@ -296,6 +315,7 @@ function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     // ⚠️ `'none'` DOIT ÊTRE SEUL ou la directive est invalide — « 'none' 'self' » a fait rejeter
@@ -339,6 +359,7 @@ function sendSoftWallHtml(res, html, nonce, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     `script-src 'nonce-${nonce}' https://accounts.google.com/gsi/client`,
@@ -427,6 +448,7 @@ function sendPresentHtml(res, html, nonce, supaUrl, imgExtra, frameAncestors) {
   res.setHeader("Cache-Control", "no-store, max-age=0");
   res.setHeader("X-Content-Type-Options", "nosniff");
   res.setHeader("Referrer-Policy", "strict-origin-when-cross-origin");
+  res.setHeader("Permissions-Policy", POLITIQUE_PERMISSIONS);
   res.setHeader("Content-Security-Policy", [
     "default-src 'none'",
     `script-src 'nonce-${nonce}' 'self' https://cdn.jsdelivr.net https://unpkg.com https://maps.googleapis.com https://maps.gstatic.com`,
@@ -533,7 +555,7 @@ async function handler(req, res) {
       if (!octets) {
         try { octets = global.__actifsPdfjs[fichier] = require("node:fs").readFileSync(require.resolve(fichier)); } catch { /* dépendance absente */ }
       }
-      if (!octets) { res.statusCode = 404; res.end("actif indisponible"); return; }
+      if (!octets) { refuserEnTexte(res, 404, "actif indisponible"); return; }
       res.statusCode = 200;
       res.setHeader("Content-Type", "text/javascript; charset=utf-8");
       res.setHeader("X-Content-Type-Options", "nosniff");
@@ -845,7 +867,7 @@ async function handler(req, res) {
       const pres = await getPresentation(String(q.present));
       if (!pres) return sendRefusal(res, "ended", embed);
       if (String(q.file || "") === "1") {
-        if (!isAllowedStorageUrl(pres.file_url)) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
+        if (!isAllowedStorageUrl(pres.file_url)) { refuserEnTexte(res, 404, "Fichier indisponible"); return; }
         const range = req.headers["range"];
         const r = await PLAYER.storage.fetchFile(pres.file_url, { range });
         await relayerFichier(res, r, null);
@@ -1013,6 +1035,6 @@ async function handler(req, res) {
 // tenir une seconde liste — c'est la seule façon qu'une empreinte périmée finisse par se voir.
 // ⚠️ Exporté pour être ÉPROUVÉ, pas pour être appelé : le plafond du relais ne se vérifie qu en
 // regardant si le corps a été lu, ce qu aucune route ne peut montrer de l extérieur.
-module.exports = { handler, init, TIERS, __relayerFichier: relayerFichier, __jsonPourScript: jsonPourScript };
+module.exports = { handler, init, TIERS, POLITIQUE_PERMISSIONS, __relayerFichier: relayerFichier, __jsonPourScript: jsonPourScript };
 
 // redeploy: forcer le build production (Vercel a sauté la prod du merge #463 — wording re-partage).

package/server/retention.js

@@ -124,6 +124,30 @@ async function retirerFichier(chemin, opts) {
 // au RESTE du plafond (`min(taille, plafond - examinees)`) pour ne jamais le dépasser. Et on
 // compte les lignes RENDUES par le DELETE (`return=representation&select=id`), pas les ids
 // présélectionnés : deux exécutions concurrentes n'annoncent pas deux fois la même suppression.
+/**
+ * « Cette table n'existe pas ici » — et RIEN d'autre.
+ *
+ * ⚠️ UNE CIBLE DE PURGE PEUT LÉGITIMEMENT MANQUER, LE CONTRAT LE DIT. `docs/HOST-CONTRACT.md` :
+ * les migrations de débit « ne sont délibérément pas » dans le périmètre de la carte, parce
+ * qu'« un hôte peut fournir sa propre capacité `limits`, et sur un tel hôte leur absence est
+ * NORMALE, pas un défaut ». Le balayage, lui, purgeait `player_rate_limits` sans condition — donc
+ * sur cet hôte-là il levait à la cinquième cible sur huit, et les liens révoqués comme les
+ * présentations n'étaient JAMAIS atteints. Enveloppé dans un `catch` qui le classe bénin, il
+ * restait armé, silencieux, et partiellement inopérant : le pire des trois états.
+ *
+ * ⚠️ AUSSI ÉTROIT QUE `signatureAbsente`, ET POUR LA MÊME RAISON. On accepte le code PostgREST de la
+ * table introuvable, ou son message — et rien d'autre. Un 404 seul ne suffit pas : il peut venir
+ * d'ailleurs, et avaler une vraie panne ferait de ce correctif une purge qui ne purge plus sans le
+ * dire, c'est-à-dire exactement ce qu'il corrige.
+ */
+function tableAbsente(erreur) {
+  if (!erreur) return false;
+  const code = erreur.details && (erreur.details.code || (erreur.details.error && erreur.details.error.code));
+  if (code === "PGRST205") return true;
+  const texte = String(erreur.message || "");
+  return texte.includes("PGRST205") || /Could not find the table/i.test(texte);
+}
+
 async function purgerParLots(table, filtre, colId, { dryRun = false, taille = LOT, plafond = PLAFOND } = {}, plafondForce) {
   if (plafondForce !== undefined) plafond = plafondForce;
   let examinees = 0, supprimees = 0, tronque = false, curseur = null;
@@ -200,7 +224,15 @@ async function purgerRetention(now, optsBrutes = {}) {
   rapport.commercial_doc_sessions = await purgerParLots("commercial_doc_sessions", `last_at=lt.${enc(bJournaux)}`, "session_id", opts);
   rapport.commercial_doc_internal_sessions = await purgerParLots("commercial_doc_internal_sessions", `last_at=lt.${enc(bJournaux)}`, "session_id", opts);
   rapport.doc_bot_sessions = await purgerParLots("doc_bot_sessions", `last_at=lt.${enc(bJournaux)}`, "id", opts);
-  rapport.player_rate_limits = await purgerParLots("player_rate_limits", `expires_at=lt.${enc(new Date(now).toISOString())}`, "key", opts);
+  // ⚠️ LA SEULE CIBLE QUE LE CONTRAT REND OPTIONNELLE — et le balayage la traitait comme les autres.
+  // Son absence est normale sur un hôte qui fournit sa propre capacité `limits` ; elle ne doit donc
+  // pas interrompre les trois cibles qui suivent. Sautée, ET DITE : un rapport qui omettrait la
+  // ligne se lirait comme « rien à supprimer », ce qui est une autre affirmation.
+  rapport.player_rate_limits = await purgerParLots("player_rate_limits", `expires_at=lt.${enc(new Date(now).toISOString())}`, "key", opts)
+    .catch((e) => {
+      if (!tableAbsente(e)) throw e;
+      return { examinees: 0, supprimees: 0, tronque: false, sautee: "table absente — l'hôte fournit ses propres compteurs de débit" };
+    });
 
   // Liens révoqués : seulement là où la révocation est DATÉE (0013).
   const dateDispo = await require("./schema").attendue("revocationDatee");

package/server/routes-agent.js

@@ -12,6 +12,16 @@ const init = (ctx) => { PLAYER = ctx; docbot = ctx.plugins.bot; };
 // chute au bout rend `false` et le dispatch continue. Aucune liste d'actions n'est dupliquée
 // entre ici et handler (un correctif à deux exemplaires finit par diverger) — et aucun appui
 // sur res.writableEnded, absent des `res` postiches des bancs comme de certains hôtes.
+
+/**
+ * Les actions qui AGISSENT SUR UNE SESSION EXISTANTE — c'est-à-dire toutes celles du bloc assistant
+ * sauf `bot-start`, qui la crée. La liste vit ici plutôt que dans chaque branche pour que le banc
+ * puisse la CONFRONTER à l'aiguillage : une action ajoutée à l'un et pas à l'autre fait rougir.
+ */
+const ACTIONS_LIEES_A_UNE_SESSION = new Set([
+  "bot-say", "bot-history", "bot-nudge", "bot-book", "bot-contact", "bot-rate", "bot-script",
+]);
+
 async function traiter(req, res, body, _slug) {
       if (body.action === "bot-tts") {
         const jp = (status, obj) => { res.statusCode = status; res.setHeader("Content-Type", "application/json"); res.end(JSON.stringify(obj)); };
@@ -101,11 +111,38 @@ async function traiter(req, res, body, _slug) {
           if (!allowed) return jp(429, { ok: false, error: "rate" });
           const share = await getShareBySlug(String(body.slug || ""));
           if (!share || !share.bot_enabled) return jp(404, { ok: false, error: "bot" });
+          // ⚠️ UNE SESSION EST LIÉE À SON DOCUMENT — VÉRIFIÉ ICI, POUR TOUTES LES ACTIONS À LA FOIS.
+          //
+          // Cette vérification vivait DANS chaque action, et trois seulement sur sept la faisaient :
+          // `bot-rate`, `bot-script` et `bot-history` (celle-ci ajoutée après coup, en 0.1.131).
+          // `bot-say`, `bot-nudge`, `bot-book` et `bot-contact` prenaient le même `sessionId` venu du
+          // client sans jamais le rattacher au document demandé.
+          //
+          // ⚠️ CE QUE ÇA OUVRAIT EST PIRE QUE CE QU'ON VENAIT DE FERMER. `bot-history` LISAIT la
+          // conversation d'un autre document ; `bot-say` y ÉCRIT et se fait répondre, `bot-contact`
+          // attache un nom, un e-mail et un téléphone à la session d'un autre client. Une porte en
+          // lecture et quatre en écriture, dans le même bloc.
+          //
+          // ⚠️ ET LA LEÇON N'EST PAS « IL EN MANQUAIT QUATRE ». Écrite sept fois, cette garde serait
+          // oubliée une huitième au prochain ajout — le défaut n'est pas la ligne absente, c'est que
+          // sa présence dépende de la mémoire de celui qui écrit l'action. Elle est donc hissée : une
+          // action qui porte une session la prouve, sans que son auteur ait à y penser.
+          //
+          // Le relevé qui a mené ici vient d'un exploitant : « une vérification que plusieurs actions
+          // font chacune pour son compte — il faut compter les ACTIONS, pas les implémentations ».
+          // La duplication était homogène, donc invisible à un balayage des variantes ; c'est la
+          // COUVERTURE qui divergeait, et rien ne la mesurait. `gardesAgent.test.js` la mesure
+          // désormais, en lisant la liste d'actions dans ce fichier même.
+          //
+          // ⚠️ `bot-start` EST EXCLUE, ET C'EST LA SEULE. Elle CRÉE la session : exiger qu'elle en
+          // prouve une fermerait l'assistant à tout le monde.
+          if (ACTIONS_LIEES_A_UNE_SESSION.has(body.action)) {
+            const liee = await docbot.getSession(String(body.sessionId || ""));
+            if (!liee || liee.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
+          }
           const pages = Math.max(0, Math.min(500, Number(body.pages) || 0));
           const mobile = body.mobile === 1 || body.mobile === true; // téléphone → messages courts + autoplay steps
           if (body.action === "bot-rate") { // satisfaction (1-5 étoiles) posée depuis le bloc central du viewer
-            const sess = await docbot.getSession(String(body.sessionId || ""));
-            if (!sess || sess.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
             // ⚠️ CE REFUS ÉTAIT INATTEIGNABLE, ET C'EST LA MESURE QUI EN PAYAIT LE PRIX.
             //
             //     const note = Math.max(1, Math.min(5, Number(body.rating) || 0));
@@ -139,7 +176,24 @@ async function traiter(req, res, body, _slug) {
             await PLAYER.db.request("doc_bot_sessions?id=eq." + encodeURIComponent(String(body.sessionId)), { method: "PATCH", headers: { Prefer: "return=minimal" }, body: cmt ? { rating: note, rating_comment: cmt } : { rating: note } });
             return jp(200, { ok: true });
           }
-          if (body.action === "bot-history") return jp(200, { ok: true, messages: await docbot.listMessages(String(body.sessionId || "")) });
+          if (body.action === "bot-history") {
+            // ⚠️ MÊME LIAISON QUE `bot-rate` ET `bot-script`, ET ELLE MANQUAIT ICI.
+            //
+            // Cette action rendait le transcript de N'IMPORTE QUELLE session à qui en connaissait
+            // l'identifiant — et cet identifiant voyage côté client. Il suffisait d'un slug avec
+            // assistant activé (le refus juste au-dessus) et d'un `sessionId` récupéré ailleurs
+            // pour lire la conversation tenue sur un autre document : des questions de prospect,
+            // c'est-à-dire de la donnée commerciale sur un client, pas un compteur d'usage.
+            //
+            // ⚠️ ON NE PEUT PAS DÉLÉGUER CE FILTRAGE AU GREFFON. `docbot` est `ctx.plugins.bot`,
+            // fourni par l'hôte : supposer qu'il recoupe la session et le document reviendrait à
+            // faire dépendre une propriété de sécurité du player d'un code qu'il ne contient pas.
+            // C'est exactement pourquoi les deux actions voisines le vérifient elles-mêmes.
+            //
+            // Les deux voisines avaient la garde ET leur banc ; celle-ci n'avait ni l'une ni
+            // l'autre, et la relecture qui a ajouté les bancs a couvert deux actions sur trois.
+            return jp(200, { ok: true, messages: await docbot.listMessages(String(body.sessionId || "")) });
+          }
           // ⚠️ Même piège : un objet littéral répond à `constructor`. Sans `Object.hasOwn`, une
           // langue « constructor » passait la garde et finissait interpolée dans le prompt du
           // modèle sous la forme « function Object() { [native code] } ».
@@ -149,8 +203,6 @@ async function traiter(req, res, body, _slug) {
           // Bascule de langue EN COURS de présentation : renvoie le script (traduit ou FR) — le client
           // remplace sa liste d'étapes et rejoue le message courant dans la nouvelle langue.
           if (body.action === "bot-script") {
-            const sess = await docbot.getSession(String(body.sessionId || ""));
-            if (!sess || sess.share_slug !== share.slug) return jp(400, { ok: false, error: "session" });
             const sp = docbot.applyPron(await docbot.scriptedPayload(share.doc_id, blang, String(body.sessionId)), await docbot.getProfile(share.bot_profile_id));
             if (!sp) return jp(400, { ok: false, error: "script" });
             return jp(200, { ok: true, steps: sp.steps, voiceScript: sp.voice, message: sp.hook, closing: sp.closing, messageSay: sp.hookSay, closingSay: sp.closingSay });