discovery-media-player 0.1.169 → 0.1.170

package/docs/HOST-CONTRACT.md

@@ -41,7 +41,7 @@ need.
   "contract": 1,
   "version": "<the running version>",
   "runtime": { "node": "<what this instance runs on>", "nodeRequired": ">=22.13.0" },
-  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth", "host-share", "host-mail", "retention"],
+  "capabilities": ["docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth", "host-share", "host-mail", "retention", "link-protection", "start-page"],
   "frameAncestors": ["'self'", "https://*.vercel.app", "https://app.example.com"],
   "separateIssuer": true,
   "internalStrict": true,
@@ -583,6 +583,7 @@ POST  →  { "email": "…", "role": "…", "action": "<one of the names below>"
 | `list.all` | list everyone's links **and everyone's reading sessions** |
 | `revoke` | revoke a link |
 | `setauth` | change a link's access wall |
+| `protect` | set, change or remove a link's **expiry date and password** (migration `0028`) |
 | `overview` | read a document's aggregate figures |
 | `sessions` | read individual reading sessions — of one document, or of one recipient across all of them |
 | `test` | create a rehearsal link |
@@ -863,6 +864,38 @@ Four requirements, in order of what they cost when missed:
    decide. **Corollary:** when the reference itself carries a capability, signing is not enough —
    it must be encrypted. *Signed* means nobody can forge it; it has never meant nobody can read it.
 
+## Protected links and the start page (migration `0028`)
+
+**Capabilities `link-protection` and `start-page`.** Test them by presence before offering the feature.
+
+A tracked link can carry an **expiry date** and a **password** (migration `0028-liens-proteges.sql`).
+`docshare.create` accepts `expiresAt` (an ISO date, in the future, at most 730 days ahead) and
+`password` (4 to 200 characters). `docshare.protect { slug, expiresAt?, password? }` changes an existing
+link: an absent field is left unchanged, `null` removes it. Your `canManageShares` table must know the
+action name **`protect`** — a closed table refuses it (see above).
+
+What you get back, in `docshare.list`: `expiresAt` and a boolean `protege`. **Never the password's
+hash** — it never leaves the database. A refusal you can show the user (bad date, password too short,
+migration missing) comes back as `{ ok: false, error: "<sentence>" }` with a 400 or 503 status.
+
+⚠️ **Without the migration, creating a protected link is REFUSED (503), not degraded.** Elsewhere a
+missing column makes a field silently skipped; here, skipping it would create an *open* link that your
+interface calls protected. Unprotected links are unaffected.
+
+⚠️ **The protection holds on every path, not only the page.** The file (`?file=1`), the assistant,
+reading measurement and reshare all resolve the link through the same function. An expired link
+answers `410` everywhere; a password-protected link shows a password page, and `?file=1` answers `401`
+until the browser has entered it (an `HttpOnly` cookie, 8 hours, `SameSite=Lax`). Changing the password
+closes every browser that had entered the old one. A reshare **inherits** both the date and the password.
+
+⚠️ **A password-protected link embedded by a third-party origin does not receive its cookie** (the
+browser does not send a `SameSite=Lax` cookie into a cross-site frame). The password page stays up in
+the frame and posts `embed-denied` with `password-required`: open such links at top level.
+
+**`?page=N`** opens a PDF at page N — on a tracked link and on the internal preview alike. An integer
+above 1, capped at 10 000 by the server and at the document's real page count by the viewer; anything
+else opens page 1.
+
 ## The postMessage bridge
 
 Described once in [`src/bridge.ts`](https://github.com/Juli1artha/discovery-media-player/blob/main/src/bridge.ts) and published as `discovery-media-player/bridge`
@@ -887,6 +920,8 @@ closed.
 | `revoked` | unknown or revoked link | do not open |
 | `auth-required` | restricted document, visitor not signed in | do not open — the wall stays up |
 | `auth-unavailable` | restricted document, access wall missing from this instance | do not open |
+| `expired` | the link's expiry date has passed (migration `0028`) | do not open — the page tells the reader to ask for a new link |
+| `password-required` | the link is password-protected and this browser has not entered it (migration `0028`) | do not open — the password page stays up in the frame |
 | `ended` | presentation over or unknown | do not open |
 | `url-not-allowed` | the file URL is not covered by the guard | **open**, and report the configuration |
 

package/docs/RETENTION.md

@@ -68,6 +68,12 @@ purge stays silent (schema probe); the others still run.
 | `commercial_doc_shares.recipient_name` | recipient's name | same |
 | `commercial_doc_shares.created_by` | email of the salesperson who created it | same |
 | `commercial_doc_shares.file_name` | file name (may carry a person's name) | business data, purged with the row |
+| `commercial_doc_shares.password_hash` | scrypt hash of the link's password (`salt:hash`, migration 0028) — never served, never the password itself | kept while the link lives (it *is* the lock); removed by `docshare.protect` with `password: null`; purged with the row |
+
+⚠️ **An expired link is not a revoked one** (0028). Its expiry date closes it to readers, but does not
+start the 13-month clock: the purge reads `revoked_at`, and only revocation sets it. A host that wants
+expired links purged revokes them — expiry is an access rule, not a retention rule, and folding one into
+the other would make "extend this link" silently lose a year of statistics.
 
 ## Live presentations
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.169",
+  "version": "0.1.170",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -9,7 +9,7 @@ const crypto = require("crypto");
 const { capturerSansBloquer } = require("./capture");
 const { Readable } = require("node:stream");
 const { pipeline } = require("node:stream/promises");
-const { getShareBySlug } = require("./shares");
+const { getShareBySlug, resoudreLien } = require("./shares");
 const { PRESENT_QUOTA_PER_HOUR, PRESENT_CACHE_MS, estSlug } = require("./shared.generated.js");
 const { creerCache, CODE_SATURATION } = require("./cache.js");
 const mesures = require("./mesures.js");
@@ -171,7 +171,7 @@ const originOf = (u) => { try { return new URL(u).origin; } catch { return ""; }
 // Tiers épinglés (SUPAJS, TIERS, balise…) : extraits dans server/tiers.js.
 const { TIERS } = require("./tiers");
 
-const { notFoundHtml, softWallHtml } = require("./page-mur");
+const { notFoundHtml, softWallHtml, motDePasseHtml, lienExpireHtml } = require("./page-mur");
 const { viewerHtml } = require("./page-visionneuse");
 const { presentHtml } = require("./page-audience");
 
@@ -504,6 +504,16 @@ function embedFrameAncestors() {
  *
  * On répond `embed-denied` : la décision reste la nôtre, l'hôte apprend seulement à ne pas replier.
  */
+/**
+ * LA PAGE OÙ LE DOCUMENT S'OUVRE (`?page=N`) — demandée par le premier hôte pour qu'une réponse qui cite
+ * « page 12 » ouvre la page 12. Un entier, au moins 1, borné au plafond de pages déjà tenu ailleurs (10 000) ;
+ * tout le reste vaut 1. La visionneuse la borne ENCORE au nombre réel de pages, qu'elle seule connaît.
+ */
+function pageDeDepart(q) {
+  const n = Math.trunc(Number(q && q.page));
+  return Number.isFinite(n) && n > 1 ? Math.min(n, 10_000) : 1;
+}
+
 function sendRefusal(res, reason, embed) {
   if (!embed) return sendHtml(res, 404, notFoundHtml());
   const nonce = crypto.randomBytes(16).toString("base64");
@@ -733,6 +743,9 @@ async function handlerMesure(req, res) {
         capabilities: [
           "docshare", "presentations", "embed-denied", "host-fetch", "brand-reference", "host-auth",
           "host-share", "host-mail", "retention",
+          // `link-protection` (0028) : un lien tracé peut porter une échéance et un mot de passe
+          // (`docshare.create` / `docshare.protect`). `start-page` : `?page=N` ouvre le document à la page N.
+          "link-protection", "start-page",
         ],
         // ⚠️ POUR QUELLES ORIGINES cette instance accepte d'être encadrée. Un booléen ne
         // suffisait pas : un hôte a besoin de voir que SON domaine manque, pas seulement que
@@ -1102,7 +1115,7 @@ async function handlerMesure(req, res) {
       }
       const supaUrl = (PLAYER.config && PLAYER.config.supabaseUrl) || "";
       const supaKey = (PLAYER.config && PLAYER.config.supabasePublishableKey) || "";
-      const pseudo = { preview: true, embed, slug: "", file_name: String(q.name || "document.pdf"), doc_title: String(q.title || q.name || "Document"), raw_url: url, doc_id: String(q.docId || ""), presenter_name: String(q.by || ""), presenter_avatar: String(q.av || ""), internal_email: String(q.uemail || ""), internal_token: String(q.it || ""), supa_url: supaUrl, supa_key: supaKey, auto_present: String(q.autopresent || "") === "1", resume_slug: String(q.resume || ""), brand_key: String(q.brand || "") || null, stream_url: `/api/doc?preview=1&stream=1&url=${encodeURIComponent(url)}&name=${encodeURIComponent(String(q.name || ""))}` };
+      const pseudo = { preview: true, embed, page_depart: pageDeDepart(q), slug: "", file_name: String(q.name || "document.pdf"), doc_title: String(q.title || q.name || "Document"), raw_url: url, doc_id: String(q.docId || ""), presenter_name: String(q.by || ""), presenter_avatar: String(q.av || ""), internal_email: String(q.uemail || ""), internal_token: String(q.it || ""), supa_url: supaUrl, supa_key: supaKey, auto_present: String(q.autopresent || "") === "1", resume_slug: String(q.resume || ""), brand_key: String(q.brand || "") || null, stream_url: `/api/doc?preview=1&stream=1&url=${encodeURIComponent(url)}&name=${encodeURIComponent(String(q.name || ""))}` };
       // ⚠️ LA MARQUE MANQUAIT ICI, ET SEULEMENT ICI. Toute la machinerie existe — l'hôte répond à
       // `PLAYER_HOST_BRAND_URL`, `branding.forKey` résout, les liens tracés affichent la bonne
       // marque. Ce chemin-ci ne l'appelait simplement pas, et aucun paramètre ne transportait la
@@ -1132,8 +1145,27 @@ async function handlerMesure(req, res) {
         embed ? embedFrameAncestors() : "'self'");
     }
 
-    const share = slug ? await getShareBySlug(slug) : null;
-    if (!share) return sendRefusal(res, "revoked", embed);
+    const share = slug ? await getShareBySlug(slug, req) : null;
+    if (!share) {
+      // ⚠️ UN LIEN PROTÉGÉ (0028) NE SE CONFOND PAS AVEC UN LIEN RÉVOQUÉ. Expiré, il le DIT — la
+      // personne peut en demander un autre ; fermé par un mot de passe, il le DEMANDE. Et dans les
+      // deux cas le FICHIER reste derrière : servir la page du mot de passe en laissant `?file=1`
+      // streamer le PDF serait une porte de décor (la leçon de `murDocument.test.js`).
+      const { refus, ligne } = slug ? await resoudreLien(slug, req) : { refus: "revoked", ligne: null };
+      if (refus === "expired") {
+        if (String(q.file || "") === "1") { repondreJson(res, 410, { ok: false, error: "expired" }); return; }
+        if (!embed) return sendHtml(res, 410, lienExpireHtml(ligne));
+        const xnonce = crypto.randomBytes(16).toString("base64");
+        return sendHtml(res, 410, lienExpireHtml(ligne) + `<script nonce="${xnonce}">try{parent.postMessage({type:"3dd-doc-embed-denied",reason:"expired"},"*")}catch(e){}</script>`, `'nonce-${xnonce}'`, "", embedFrameAncestors());
+      }
+      if (refus === "password") {
+        if (String(q.file || "") === "1") { repondreJson(res, 401, { ok: false, error: "password" }); return; }
+        let plogo = ""; try { plogo = await PLAYER.branding.logo(); } catch { /* sans logo */ }
+        const mnonce = crypto.randomBytes(16).toString("base64");
+        return sendHtml(res, 200, motDePasseHtml(ligne, mnonce, plogo, embed), `'nonce-${mnonce}'`, originesImages(plogo, ligne), embed ? embedFrameAncestors() : "'self'");
+      }
+      return sendRefusal(res, "revoked", embed);
+    }
 
     // Soft wall : un document require_auth n'est servi qu'à un visiteur au jeton valide.
     // Mur d'accès visiteur — greffon. SANS lui, un document « compte requis » ne doit surtout PAS
@@ -1229,6 +1261,7 @@ async function handlerMesure(req, res) {
     const frameAncestors = share.embed
       ? embedFrameAncestors()
       : "'self'";
+    share.page_depart = pageDeDepart(q);
     return sendHtml(res, 200, viewerHtml(share, nonce, logoUrl, pitch), `'nonce-${nonce}'`, originesImages(logoUrl, share), frameAncestors);
   } catch (error) {
     try { await PLAYER.errors.capture(error, { route: "doc", method: req.method }); } catch { /* ignore */ }

package/server/lien-protege.js

@@ -0,0 +1,140 @@
+// SPDX-License-Identifier: AGPL-3.0-or-later
+// Copyright © 2026 3D Discovery
+// LES LIENS PROTÉGÉS — une date d'expiration et un mot de passe sur un lien tracé (migration 0028).
+//
+// Demandé par le premier hôte (« Documents à la Drive », lot 6, 01/10/2026) : sa fenêtre de partage
+// disait « sans expiration », et le mot de passe existait déjà sur ses liens de PROPOSITION. La règle
+// vit ici, une fois, et `shares.js` l'applique au seul endroit où un lien se résout
+// (`getShareBySlug`) : la page, le fichier, l'assistant, la mesure et le re-partage passent tous par
+// lui. Une porte posée sur la page seule aurait laissé le PDF passer à côté (`?file=1`) — le défaut
+// exact que `murDocument.test.js` interdit pour le mur d'accès.
+//
+//   • EXPIRÉ : le lien ne se résout plus, pour personne — même refus qu'un lien révoqué, mais NOMMÉ
+//     (`expired`), parce que la personne qui le reçoit peut demander un nouveau lien et doit le savoir.
+//     ⚠️ Une date illisible vaut EXPIRÉE : une protection qu'on ne sait pas lire ne s'ouvre pas.
+//   • MOT DE PASSE : le lien ne se résout que pour une requête qui porte le cookie de déverrouillage.
+//     ⚠️ SANS REQUÊTE, VERROUILLÉ. Un appelant qui oublie de la passer obtient « introuvable », jamais
+//     « ouvert » — l'oubli ferme au lieu d'ouvrir.
+//
+// ⚠️ LE COOKIE EST SIGNÉ AVEC L'EMPREINTE DU MOT DE PASSE, PAS AVEC UN SECRET DE L'INSTANCE. Un secret
+// d'instance aurait été une variable de plus à poser chez chaque hôte, et un correctif qui dort tant
+// que personne ne l'a configurée n'en est pas un. L'empreinte ne quitte jamais la base (jamais servie,
+// cf. CHAMPS de `listSharesForDoc`) : forger le cookie exige de lire la base, et qui lit la base lit
+// déjà l'adresse du fichier. Elle change avec le mot de passe (sel neuf) : changer le mot de passe
+// referme tous les navigateurs déjà entrés, sans rien tenir à jour.
+//
+// Le format de l'empreinte est celui des liens de proposition de l'hôte d'origine (« sel:hash », scrypt,
+// hex) : un seul mécanisme chez lui, pas deux qui divergeraient.
+const crypto = require("crypto");
+
+const MOT_MIN = 4;
+const MOT_MAX = 200;
+/** Une expiration au-delà de deux ans n'en est plus une : on refuse plutôt que d'en promettre une vide. */
+const DUREE_MAX_JOURS = 730;
+/** Le temps qu'un navigateur reste entré après le mot de passe : une journée de travail. */
+const COOKIE_DUREE_S = 8 * 3600;
+
+/** Le lien est-il expiré à `maintenant` (ms) ? Sans date, jamais ; date illisible, toujours. */
+function expire(share, maintenant) {
+  if (!share || share.expires_at == null || share.expires_at === "") return false;
+  const t = Date.parse(String(share.expires_at));
+  return !Number.isFinite(t) || t <= maintenant;
+}
+
+/** L'empreinte d'un mot de passe : scrypt, sel aléatoire, « sel:hash » en hexadécimal. */
+function empreinte(mot) {
+  const sel = crypto.randomBytes(16).toString("hex");
+  return `${sel}:${crypto.scryptSync(String(mot), sel, 32).toString("hex")}`;
+}
+
+/** Ce mot de passe correspond-il à cette empreinte ? Comparaison à temps constant. */
+function motValide(mot, emp) {
+  const m = String(mot == null ? "" : mot);
+  const [sel, hash] = String(emp || "").split(":");
+  if (!m || !sel || !hash || m.length > MOT_MAX) return false;
+  const a = Buffer.from(hash, "hex");
+  const b = crypto.scryptSync(m, sel, 32);
+  return a.length === b.length && crypto.timingSafeEqual(a, b);
+}
+
+/** Le nom du cookie d'un lien : une empreinte du slug, pour qu'un nom de cookie ne trahisse pas un lien. */
+const nomDuCookie = (slug) => "dmp_lien_" + crypto.createHash("sha256").update(String(slug)).digest("hex").slice(0, 24);
+const jeton = (slug, emp) => crypto.createHmac("sha256", String(emp)).update("lien-deverrouille\0" + String(slug)).digest("base64url");
+
+function lireCookie(req, nom) {
+  const brut = String((req && req.headers && req.headers.cookie) || "");
+  for (const part of brut.split(";")) {
+    const i = part.indexOf("=");
+    if (i > 0 && part.slice(0, i).trim() === nom) return part.slice(i + 1).trim();
+  }
+  return "";
+}
+
+/** Ce lien est-il ouvert pour cette requête ? Sans mot de passe, oui ; avec, seulement au cookie valide. */
+function deverrouille(share, req) {
+  if (!share || !share.password_hash) return true;
+  if (!req) return false;
+  const attendu = Buffer.from(jeton(share.slug, share.password_hash));
+  const recu = Buffer.from(lireCookie(req, nomDuCookie(share.slug)));
+  return recu.length === attendu.length && crypto.timingSafeEqual(recu, attendu);
+}
+
+/**
+ * Le cookie posé après le bon mot de passe. `SameSite=Lax` : le lien arrive par un courriel, une
+ * navigation de premier niveau ; `Strict` le perdrait au premier clic venu d'un webmail.
+ * ⚠️ Un lien protégé INTÉGRÉ chez un tiers (iframe d'une autre origine) ne reçoit pas ce cookie : la
+ * page du mot de passe reste affichée dans le cadre, et le dit à l'hôte (`password-required`).
+ */
+const cookieDeverrouillage = (share) =>
+  `${nomDuCookie(share.slug)}=${jeton(share.slug, share.password_hash)}; Path=/; HttpOnly; Secure; SameSite=Lax; Max-Age=${COOKIE_DUREE_S}`;
+
+/**
+ * LA PROTECTION DEMANDÉE PAR L'HÔTE, lue et BORNÉE — ou le refus qui dit quoi corriger.
+ *
+ *   expiresAt : absent = inchangé ; `null` = sans expiration ; une date ISO à venir, à deux ans au plus.
+ *   password  : absent = inchangé ; `null` ou "" = sans mot de passe ; sinon 4 à 200 caractères.
+ *
+ * Rend `{ champs }` — les colonnes à écrire, VIDE si rien n'est demandé — et `protege` : la demande
+ * pose-t-elle une protection ? (C'est elle qui exige la migration : retirer une protection qu'on n'a
+ * jamais pu poser ne coûte rien.)
+ */
+function protectionDemandee(entree, maintenant) {
+  const e = entree && typeof entree === "object" ? entree : {};
+  const champs = {};
+  let protege = false;
+  if (e.expiresAt !== undefined) {
+    if (e.expiresAt === null || e.expiresAt === "") champs.expires_at = null;
+    else {
+      const t = Date.parse(String(e.expiresAt));
+      if (!Number.isFinite(t)) return { refus: "Date d'expiration illisible." };
+      if (t <= maintenant) return { refus: "La date d'expiration doit être à venir." };
+      if (t > maintenant + DUREE_MAX_JOURS * 86_400_000) return { refus: `Une expiration se fixe à ${DUREE_MAX_JOURS} jours au plus.` };
+      champs.expires_at = new Date(t).toISOString();
+      protege = true;
+    }
+  }
+  if (e.password !== undefined) {
+    if (e.password === null || e.password === "") champs.password_hash = null;
+    else {
+      const m = String(e.password);
+      if (m.length < MOT_MIN) return { refus: `Le mot de passe compte ${MOT_MIN} caractères au moins.` };
+      if (m.length > MOT_MAX) return { refus: `Le mot de passe compte ${MOT_MAX} caractères au plus.` };
+      champs.password_hash = empreinte(m);
+      protege = true;
+    }
+  }
+  return { champs, protege };
+}
+
+/**
+ * Ce qu'un hôte voit de la protection d'un lien — l'échéance et un booléen, JAMAIS l'empreinte.
+ * La clé servie est `expiresAt`, comme `lastAt` dans la même liste : la forme « colonne: valeur » est
+ * celle que `colonneMigreeConditionnelle.test.js` lit comme une ÉCRITURE, et une lecture n'a pas à s'y
+ * confondre (même choix que le `delete` du re-partage dans shares.js).
+ */
+const protectionServie = (sh) => ({ expiresAt: (sh && sh.expires_at) || null, protege: !!(sh && sh.password_hash) });
+
+module.exports = {
+  MOT_MIN, MOT_MAX, DUREE_MAX_JOURS, COOKIE_DUREE_S,
+  expire, empreinte, motValide, nomDuCookie, deverrouille, cookieDeverrouillage, protectionDemandee, protectionServie,
+};

package/server/page-mur.js

@@ -122,4 +122,58 @@ ${gcid ? `<script nonce="${nonce}" src="https://accounts.google.com/gsi/client"
 </body></html>`;
 }
 
-module.exports = { init, notFoundHtml, softWallHtml };
+// ── LIEN PROTÉGÉ (0028) — les deux pages que le visiteur voit à la place du document ──────────────────
+//
+// Elles ne montrent de la ligne que le TITRE et la marque — ce que la page du document montrerait aussi.
+// Jamais l'échéance exacte d'un lien protégé par mot de passe, jamais rien de l'empreinte.
+const STYLE_PORTE = `*{box-sizing:border-box}html,body{margin:0;height:100%}
+  body{font:15px/1.55 -apple-system,system-ui,Segoe UI,Roboto,sans-serif;color:#1c1a17;background:#f3efe8;display:flex;align-items:center;justify-content:center;padding:24px}
+  .card{width:100%;max-width:400px;background:#fff;border-radius:18px;padding:32px 30px 26px;box-shadow:0 18px 50px rgba(30,22,12,.14);text-align:center}
+  .logo{max-height:40px;max-width:180px;margin:0 auto 20px;display:block;object-fit:contain}
+  h1{font-size:19px;font-weight:800;letter-spacing:-.02em;margin:0 0 6px}
+  .sub{font-size:13.5px;color:#7c7266;margin:0 0 20px}.doc{font-weight:700;color:#1c1a17}
+  label{display:block;text-align:left;font-size:12px;font-weight:700;color:#3a352e;margin:0 0 6px}
+  input{width:100%;padding:13px 14px;border:1px solid #ddd4c6;border-radius:12px;font:inherit;background:#fbf9f6;outline:none}
+  input:focus{border-color:#c8996a;box-shadow:0 0 0 3px #c8996a22}
+  .btn{width:100%;margin-top:14px;padding:13px;border:0;border-radius:12px;font:inherit;font-weight:700;color:#fff;background:#1c1a17;cursor:pointer}
+  .btn:disabled{opacity:.5;cursor:default}.err{color:#c0392b;font-size:12.5px;min-height:16px;margin:10px 0 0}`;
+
+/** La page qui demande le mot de passe d'un lien. Le mot part en `fetch` (jamais dans l'URL), le cookie revient, la page se recharge. */
+function motDePasseHtml(ligne, nonce, logoUrl, embed) {
+  const titre = esc((ligne && (ligne.doc_title || ligne.file_name)) || "ce document");
+  const logo = esc((ligne && ligne.brand_logo) || logoUrl || "");
+  return `<!doctype html><html lang=fr><head><meta charset=utf-8>
+<meta name=viewport content="width=device-width,initial-scale=1"><meta name=robots content="noindex,nofollow"><link rel=icon href="data:,">
+<title>Document protégé — ${titre}</title><style>${STYLE_PORTE}</style></head>
+<body><form class=card id=f autocomplete=off>
+  ${logo ? `<img class=logo src="${logo}" alt="">` : ""}
+  <h1>Document protégé</h1>
+  <p class=sub><span class=doc>${titre}</span><br>Saisissez le mot de passe que l'on vous a communiqué.</p>
+  <label for=mdp>Mot de passe</label><input id=mdp type=password autocomplete=current-password autofocus required maxlength=200>
+  <button class=btn id=ok type=submit>Ouvrir le document</button>
+  <p class=err id=err role=alert></p>
+</form>
+<script nonce="${nonce}">(function(){var S=${jsonPourScript(String((ligne && ligne.slug) || ""))};
+${embed ? `try{parent.postMessage({type:"3dd-doc-embed-denied",reason:"password-required"},"*")}catch(e){}` : ""}
+var f=document.getElementById('f'),b=document.getElementById('ok'),e=document.getElementById('err'),m=document.getElementById('mdp');
+f.addEventListener('submit',function(ev){ev.preventDefault();if(!m.value)return;b.disabled=true;e.textContent='';
+fetch('/api/doc',{method:'POST',credentials:'same-origin',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'link-unlock',slug:S,password:m.value})})
+.then(function(r){return r.json().catch(function(){return{ok:false}})}).then(function(j){
+if(j&&j.ok){location.reload();return;}b.disabled=false;m.select();
+e.textContent=j&&j.error==='rate'?'Trop d\u2019essais. Réessayez dans quelques minutes.':j&&j.error==='revoked'?'Ce lien n\u2019est plus disponible.':'Mot de passe incorrect.';
+}).catch(function(){b.disabled=false;e.textContent='Connexion impossible. Réessayez.';});});})();</script>
+</body></html>`;
+}
+
+/** La page d'un lien expiré : la raison, et le geste qui débloque — en demander un nouveau. */
+function lienExpireHtml(ligne) {
+  const titre = esc((ligne && (ligne.doc_title || ligne.file_name)) || "ce document");
+  return `<!doctype html><html lang=fr><head><meta charset=utf-8>
+<meta name=viewport content="width=device-width,initial-scale=1"><meta name=robots content="noindex,nofollow"><link rel=icon href="data:,">
+<title>Lien expiré</title><style>${STYLE_PORTE}</style></head>
+<body><main class=card><h1>Ce lien a expiré</h1>
+<p class=sub><span class=doc>${titre}</span><br>Le lien qui vous a été envoyé n'est plus valable. Demandez-en un nouveau à la personne qui vous l'a transmis.</p>
+</main></body></html>`;
+}
+
+module.exports = { init, notFoundHtml, softWallHtml, motDePasseHtml, lienExpireHtml };

package/server/page-visionneuse.js

@@ -86,7 +86,7 @@ function viewerHtml(share, nonce, logoUrl, pitch) {
   // En aperçu interne, on embarque de quoi démarrer une présentation live (URL Storage brute + métadonnées).
   // `fileName` : c'est LUI qui dit la nature du document côté page. L'URL publique est
   // `/api/doc?slug=…&file=1`, sans extension — sans ce champ, une image partait dans pdf.js.
-  const cfg = jsonPourScript({ brand: PLAYER.branding.name, slug: preview ? "" : share.slug, fileUrl, fileName: share.file_name || "", pdfjs: PDFJS, pdfjsWorker: PDFJS_WORKER, title, preview, embed, embedded, bot: botOn, botGuided: !preview && !!share.bot_enabled && share.bot_guided !== false, botAv: (!preview && share.bot_enabled && share.bot_avatar) || "", botName: (!preview && share.bot_enabled && share.bot_name) || "", botGreet: (!preview && share.bot_enabled && share.bot_greeting) || "", botGreetDoc: (!preview && share.bot_enabled && share.bot_greeting_doc) || "", dl: share.allow_download !== false, autoPresent: !!share.auto_present, botAnim: share.bot_page_anim !== false, botVoice: !preview && !!share.bot_enabled && voixProposable(), vIcOn: ICONS.sound, vIcOff: ICONS.mute, kStyle: (!preview && share.bot_enabled && share.bot_karaoke) || "classic", vLayout: (!preview && share.bot_enabled && share.video_layout) || "", vClips: !preview && !!share.bot_vclips, botVAv: (!preview && share.bot_enabled && share.bot_vphoto) || "", resumeSlug: preview ? (share.resume_slug || "") : "", supaUrl: preview ? (share.supa_url || "") : "", supaKey: preview ? (share.supa_key || "") : "", internal: preview && share.internal_email ? { email: share.internal_email, name: share.presenter_name || "", docId: share.doc_id || "", it: share.internal_token || "" } : null, present: preview ? { url: share.raw_url || "", name: share.file_name || "", title: share.doc_title || "", docId: share.doc_id || "", by: share.presenter_name || "", email: share.internal_email || "", av: share.presenter_avatar || "" } : null });
+  const cfg = jsonPourScript({ page: Math.max(1, Math.trunc(Number(share.page_depart) || 1)), brand: PLAYER.branding.name, slug: preview ? "" : share.slug, fileUrl, fileName: share.file_name || "", pdfjs: PDFJS, pdfjsWorker: PDFJS_WORKER, title, preview, embed, embedded, bot: botOn, botGuided: !preview && !!share.bot_enabled && share.bot_guided !== false, botAv: (!preview && share.bot_enabled && share.bot_avatar) || "", botName: (!preview && share.bot_enabled && share.bot_name) || "", botGreet: (!preview && share.bot_enabled && share.bot_greeting) || "", botGreetDoc: (!preview && share.bot_enabled && share.bot_greeting_doc) || "", dl: share.allow_download !== false, autoPresent: !!share.auto_present, botAnim: share.bot_page_anim !== false, botVoice: !preview && !!share.bot_enabled && voixProposable(), vIcOn: ICONS.sound, vIcOff: ICONS.mute, kStyle: (!preview && share.bot_enabled && share.bot_karaoke) || "classic", vLayout: (!preview && share.bot_enabled && share.video_layout) || "", vClips: !preview && !!share.bot_vclips, botVAv: (!preview && share.bot_enabled && share.bot_vphoto) || "", resumeSlug: preview ? (share.resume_slug || "") : "", supaUrl: preview ? (share.supa_url || "") : "", supaKey: preview ? (share.supa_key || "") : "", internal: preview && share.internal_email ? { email: share.internal_email, name: share.presenter_name || "", docId: share.doc_id || "", it: share.internal_token || "" } : null, present: preview ? { url: share.raw_url || "", name: share.file_name || "", title: share.doc_title || "", docId: share.doc_id || "", by: share.presenter_name || "", email: share.internal_email || "", av: share.presenter_avatar || "" } : null });
   return `<!doctype html><html lang=fr><head><meta charset=utf-8>
 <meta name=viewport content="width=device-width,initial-scale=1,maximum-scale=3,viewport-fit=cover,interactive-widget=resizes-content">
 <meta name=robots content="noindex,nofollow">
@@ -960,8 +960,12 @@ ${LEGAL_CSS}
         // Un document d une seule page : le panneau de vignettes n aurait rien a montrer.
         if(numPages<2){ var vb1=document.getElementById('vignBtn'); if(vb1) vb1.style.display='none'; }
         document.getElementById('pg').textContent='Page 1 / '+pdf.numPages;
-        pdf.getPage(1).then(function(p){ var vp=p.getViewport({scale:1}); firstAspect=vp.height/vp.width; build(); try{if(window.PlayerBot)window.PlayerBot.init(VIEWER);}catch(e){} })
-          .catch(function(){ build(); try{if(window.PlayerBot)window.PlayerBot.init(VIEWER);}catch(e){} });
+        // LA PAGE DE DEPART (?page=N) : appliquee UNE fois, apres la premiere construction, et bornee au
+        // nombre REEL de pages — le serveur ne le connait pas. Par restaurerPage : un geste du lecteur dans
+        // les 30 ms la perime, comme tout autre report (cf. la course decrite plus bas).
+        var allerDepart=function(){ if(CFG.page>1&&numPages>1) restaurerPage(Math.min(CFG.page,numPages)); };
+        pdf.getPage(1).then(function(p){ var vp=p.getViewport({scale:1}); firstAspect=vp.height/vp.width; build(); allerDepart(); try{if(window.PlayerBot)window.PlayerBot.init(VIEWER);}catch(e){} })
+          .catch(function(){ build(); allerDepart(); try{if(window.PlayerBot)window.PlayerBot.init(VIEWER);}catch(e){} });
       }).catch(function(){ loadError("Impossible d'afficher ce document."); });
     }
     // ── FENETRE VIRTUELLE ────────────────────────────────────────────────────────────────────

package/server/routes-agent.js

@@ -175,7 +175,7 @@ async function traiter(req, res, body, _slug) {
         try {
           const apiKey = process.env.ELEVENLABS_API_KEY;
           if (!apiKey) return jp(200, { ok: false, disabled: true });
-          const share = await getShareBySlug(String(body.slug || ""));
+          const share = await getShareBySlug(String(body.slug || ""), req);
           if (!share || !share.bot_enabled) return jp(404, { ok: false, error: "bot" });
           const text = normaliserTexte(body.text);
           if (!text) return jp(400, { ok: false, error: "empty" });
@@ -365,7 +365,7 @@ async function traiter(req, res, body, _slug) {
           const ip = adresseAppelant(req) || "anon";
           const allowed = await PLAYER.limits.allow(`docbot:${ip}`, 120, 3600);
           if (!allowed) return jp(429, { ok: false, error: "rate" });
-          const share = await getShareBySlug(String(body.slug || ""));
+          const share = await getShareBySlug(String(body.slug || ""), req);
           if (!share || !share.bot_enabled) return jp(404, { ok: false, error: "bot" });
           // ⚠️ UNE SESSION EST LIÉE À SON DOCUMENT — VÉRIFIÉ ICI, POUR TOUTES LES ACTIONS À LA FOIS.
           //

package/server/routes-liens.js

@@ -7,7 +7,7 @@ const { adresseAppelant } = require("./appelant");
 const { capturerSansBloquer } = require("./capture");
 const { jsonPour, repondreJson, etiquetteRoute } = require("./reponses.js");
 const { estConflit } = require("./erreurs-base.js");
-const { createShare, createReshare, sendReshareEmail, revokeShare, setShareAuth, listSharesForDoc, listSessionsForDoc, listSessionsForRecipient, internalStatsForDoc, cleIdempotence, getShareBySlug, logView, upsertSession, upsertInternalSession, overview: docOverview } = require("./shares");
+const { createShare, createReshare, sendReshareEmail, revokeShare, setShareAuth, setShareProtection, listSharesForDoc, listSessionsForDoc, listSessionsForRecipient, internalStatsForDoc, cleIdempotence, getShareBySlug, logView, upsertSession, upsertInternalSession, overview: docOverview } = require("./shares");
 const { SESSION_QUOTA_PER_HOUR, VIEW_QUOTA_PER_HOUR } = require("./shared.generated.js");
 
 let PLAYER = null;
@@ -290,9 +290,21 @@ async function traiter(req, res, body, slug) {
           await revokeShare(String(body.slug || ""));
           return jd(200, { ok: true });
         }
-        const { slug } = await createShare({ brandKey: body.brandKey, docId: body.docId, docTitle: body.docTitle, fileUrl: body.fileUrl, fileName: body.fileName, recipientEmail: body.recipientEmail, recipientName: body.recipientName, createdBy: u.email, bot: body.bot, botScript: body.botScript, guided: body.guided, profileId: body.profileId, allowDownload: body.allowDownload, videoLayout: body.videoLayout, logo: body.logo, logoDark: body.logoDark });
+        // LIEN PROTÉGÉ (0028) : poser, changer ou retirer l'échéance et le mot de passe d'un lien
+        // existant. Même portée que `docshare.setauth` — l'hôte tranche par `canManageShares(u, "protect")`.
+        if (body.action === "docshare.protect") {
+          return jd(200, await setShareProtection(String(body.slug || ""), { expiresAt: body.expiresAt, password: body.password }));
+        }
+        const { slug } = await createShare({ brandKey: body.brandKey, docId: body.docId, docTitle: body.docTitle, fileUrl: body.fileUrl, fileName: body.fileName, recipientEmail: body.recipientEmail, recipientName: body.recipientName, createdBy: u.email, bot: body.bot, botScript: body.botScript, guided: body.guided, profileId: body.profileId, allowDownload: body.allowDownload, videoLayout: body.videoLayout, logo: body.logo, logoDark: body.logoDark, expiresAt: body.expiresAt, password: body.password });
         return jd(200, { ok: true, slug });
-        } catch (e) { try { capturerSansBloquer(PLAYER.errors, e, { route: etiquetteRoute(body.action) }); } catch { /* jamais bloquant */ } return jd(500, { ok: false }); }
+        } catch (e) {
+          // ⚠️ UN REFUS ARGUMENTÉ N'EST PAS UNE PANNE (0028). « Le mot de passe compte 4 caractères au
+          // moins », « appliquez la migration 0028 » : l'hôte doit pouvoir le MONTRER, au lieu d'un 500
+          // muet qui ressemble à une instance cassée. Seules les erreurs marquées `publique` sortent ;
+          // les autres restent capturées et tues, comme avant.
+          if (e && e.publique && e.statusCode) return jd(e.statusCode, { ok: false, error: e.message });
+          try { capturerSansBloquer(PLAYER.errors, e, { route: etiquetteRoute(body.action) }); } catch { /* jamais bloquant */ } return jd(500, { ok: false });
+        }
       }
 
       // Re-partage (forward depuis la visionneuse) : crée un lien enfant tracé, et envoie l'email via 3D
@@ -311,7 +323,7 @@ async function traiter(req, res, body, slug) {
         const allowed = await PLAYER.limits.allow(`reshare:${ip}`, 8, 3600);
         if (!allowed) return j(429, { ok: false, error: "rate", message: "Trop de partages, réessayez plus tard." });
         let out = null;
-        try { out = await createReshare(body.slug || slug, { email: mail, name: body.name, clientKey: body.clientKey }); } catch { /* parent introuvable */ }
+        try { out = await createReshare(body.slug || slug, { email: mail, name: body.name, clientKey: body.clientKey, req }); } catch { /* parent introuvable */ }
         if (!out) return j(404, { ok: false });
         let sent = false;
         let refusEnvoi = null, motifHote = null;
@@ -321,7 +333,7 @@ async function traiter(req, res, body, slug) {
         // l'idempotence, qui rougissait sur un lien pourtant correctement dédoublonné.
         if (body.send && !out.idempotent) {
           try {
-            const parent = await getShareBySlug(body.slug || slug);
+            const parent = await getShareBySlug(body.slug || slug, req);
             // ⚠️ ON N'ENVOIE DE COURRIER QUE POUR UN LIEN QUI A UN DESTINATAIRE.
             //
             // Le lecteur d'un lien ANONYME est un visiteur quelconque : lui laisser demander un
@@ -551,7 +563,7 @@ async function traiter(req, res, body, slug) {
         repondreJson(res, 200, { ok: true });
         return;
       }
-      const share = await getShareBySlug(body.slug || slug);
+      const share = await getShareBySlug(body.slug || slug, req);
       if (share && !share.is_test) { // répétition générale : la lecture de test ne compte pas dans les stats
         try {
           // 'session' = résumé riche (temps par page, appareil) → upsert ; open/page/heartbeat → journal léger (funnel/overview).

package/server/routes-visiteur.js

@@ -7,7 +7,8 @@ const { adresseAppelant } = require("./appelant");
 const { capturerSansBloquer } = require("./capture");
 const { repondreJson } = require("./reponses.js");
 
-const { getShareBySlug } = require("./shares");
+const { getShareBySlug, resoudreLien } = require("./shares");
+const protection = require("./lien-protege.js");
 let PLAYER = null;
 
 // ⚠️ LA VÉRIFICATION N'AVAIT AUCUN PLAFOND — seule la DEMANDE de code en avait un (20/h par adresse).
@@ -27,6 +28,11 @@ let PLAYER = null;
 // pas de secret de serveur, donc une empreinte, pas un HMAC » — retiré (cinquième passe de l'audit,
 // 13/09) : trop absolu, et surtout la clé n'a pas besoin d'un secret du cœur, elle vient de l'hôte.
 const VERIF_PAR_ADRESSE = 100, VERIF_PAR_IDENTITE = 10, VERIF_FENETRE_IDENTITE_S = 900;
+// ⚠️ LE MOT DE PASSE D'UN LIEN SE FORCE COMME UN CODE (0028). Deux dimensions, pour la même raison :
+// par ADRESSE (un poste ne recommence pas à zéro en changeant de lien) et par LIEN (cent adresses ne
+// forcent pas un même lien). Pris À L'ADMISSION : réussite et échec consomment pareil. Le lien de
+// proposition de l'hôte d'origine n'avait AUCUN plafond — ce n'est pas le mécanisme qu'on reprend ici.
+const MDP_PAR_ADRESSE = 20, MDP_FENETRE_ADRESSE_S = 900, MDP_PAR_LIEN = 60, MDP_FENETRE_LIEN_S = 3600;
 const GOOGLE_PAR_ADRESSE = 100, DEMANDE_PAR_IDENTITE = 5;
 // ⚠️ UN SHA-256 D'EMAIL N'EST PAS UNE ANONYMISATION : il se renverse par dictionnaire — qui lit la
 // table des compteurs, une sauvegarde ou un outil d'administration précalcule les empreintes des
@@ -66,6 +72,21 @@ const init = (ctx) => { PLAYER = ctx; repliDit = false; };
 // entre ici et handler (un correctif à deux exemplaires finit par diverger) — et aucun appui
 // sur res.writableEnded, absent des `res` postiches des bancs comme de certains hôtes.
 async function traiter(req, res, body, _slug) {
+      // ── LIEN PROTÉGÉ PAR MOT DE PASSE (0028) : le bon mot pose le cookie, et la page se recharge. ──
+      // La règle (empreinte, cookie, comparaison à temps constant) vit dans lien-protege.js.
+      if (body.action === "link-unlock") {
+        const jl = (statut, obj, cookie) => repondreJson(res, statut, obj, cookie ? { "Set-Cookie": cookie } : null);
+        const ip = adresseAppelant(req) || "ip";
+        const slug = String(body.slug || "").slice(0, 64);
+        if (!(await PLAYER.limits.allow(`lienmdp:${ip}`, MDP_PAR_ADRESSE, MDP_FENETRE_ADRESSE_S))) return jl(429, { ok: false, error: "rate" });
+        if (!(await PLAYER.limits.allow(`lienmdp:lien:${slug}`, MDP_PAR_LIEN, MDP_FENETRE_LIEN_S))) return jl(429, { ok: false, error: "rate" });
+        // `resoudreLien` SANS requête : on veut la ligne d'un lien VIVANT (ni révoqué, ni expiré) que le
+        // mot de passe ferme — c'est exactement le refus `password`. Tout autre refus : rien à déverrouiller.
+        const { refus, ligne } = await resoudreLien(slug, null);
+        if (refus !== "password" || !ligne) return jl(404, { ok: false, error: refus === "expired" ? "expired" : "revoked" });
+        if (!protection.motValide(body.password, ligne.password_hash)) return jl(400, { ok: false, error: "password" });
+        return jl(200, { ok: true }, protection.cookieDeverrouillage(ligne));
+      }
       // ── Connexion VISITEUR (soft wall) : demande d'un code par email, puis vérification. ──
       // Émet un jeton signé posé en cookie qui débloque les contenus gatés (require_auth).
       if (body.action === "visitor-request" || body.action === "visitor-verify" || body.action === "visitor-google") {
@@ -77,7 +98,7 @@ async function traiter(req, res, body, _slug) {
           if (!(await PLAYER.limits.allow(`vcode:${ip}`, 20, 3600))) return jv(429, { ok: false, error: "rate" });
           // Une boîte ne se fait pas inonder depuis cent adresses : cinq codes par heure et par email.
           if (!(await PLAYER.limits.allow(`vcode:id:${await cleIdentite(V, body.email)}`, DEMANDE_PAR_IDENTITE, 3600))) return jv(429, { ok: false, error: "rate" });
-          const sh = await getShareBySlug(String(body.slug || ""));
+          const sh = await getShareBySlug(String(body.slug || ""), req);
           return jv(200, await V.requestCode(body.email, { title: sh && sh.doc_title }));
         }
         const recordUnlock = async (visitor, method) => {

package/server/schema.js

@@ -82,6 +82,15 @@ const ATTENDUES = {
     migration: "0011-liens-uniques.sql",
     fonction: "empêcher deux demandes simultanées de créer deux liens système pour le même usage",
   },
+  // Lien protégé (0028). `password_hash` voyage avec `expires_at` dans la même migration : une sonde
+  // suffit. ⚠️ CETTE ATTENTE NE DÉGRADE PAS EN SILENCE comme les autres : sans elle, la CRÉATION d'un
+  // lien protégé est REFUSÉE (shares.js, `migrationManquante`) — un lien ouvert qui se dirait protégé
+  // serait pire que pas de lien.
+  lienProtege: {
+    table: "commercial_doc_shares", colonne: "expires_at",
+    migration: "0028-liens-proteges.sql",
+    fonction: "faire expirer un lien tracé et le protéger par un mot de passe",
+  },
   revocationDatee: {
     table: "commercial_doc_shares", colonne: "revoked_at",
     migration: "0013-revocation-datee.sql",

package/server/shares.js

@@ -5,6 +5,7 @@
 const crypto = require("crypto");
 const { capturerSansBloquer } = require("./capture");
 const { signatureAbsente } = require("./erreurs-base.js");
+const protection = require("./lien-protege.js");
 // Tout ce qui vient de l'hôte passe par le contexte injecté — base, email, marque. C'est ce qui
 // permettra à ce fichier de partir dans le dépôt du player sans emporter le studio avec lui.
 // ⚠️ Le contexte est REÇU, pas construit. Ce module ne doit pas savoir d'où il vient : c'est ce
@@ -30,8 +31,14 @@ function newSlug() { return crypto.randomBytes(9).toString("base64url"); } // ~1
 
 // Crée un lien de partage (un par destinataire). Dénormalise titre/URL/nom pour résilience (le doc vit dans
 // un snapshot). Renvoie le slug.
-async function createShare({ docId, docTitle, fileUrl, fileName, recipientEmail, recipientName, attestedRecipientEmail, createdBy, bot, botScript, guided, profileId, allowDownload, isTest, videoLayout, logo, logoDark, brandKey, idemKey}) {
+async function createShare({ docId, docTitle, fileUrl, fileName, recipientEmail, recipientName, attestedRecipientEmail, createdBy, bot, botScript, guided, profileId, allowDownload, isTest, videoLayout, logo, logoDark, brandKey, idemKey, expiresAt, password}) {
   if (!docId || !fileUrl) throw Object.assign(new Error("doc invalide"), { statusCode: 400 });
+  // LA PROTECTION (0028) : lue et bornée AVANT tout, et refusée plutôt que perdue quand la colonne
+  // manque (cf. `migrationManquante`). Sans protection demandée, rien ne change pour personne.
+  const demande = protection.protectionDemandee({ expiresAt, password }, Date.now());
+  if (demande.refus) throw Object.assign(new Error(demande.refus), { statusCode: 400, publique: true });
+  if (demande.protege && !(await require("./schema").attendue("lienProtege"))) throw migrationManquante();
+  const champsProtection = demande.protege ? Object.fromEntries(Object.entries(demande.champs).filter(([, v]) => v != null)) : {};
   const slug = newSlug();
   // ⚠️ LA CLÉ N'EST ÉCRITE QUE LÀ OÙ LA COLONNE EXISTE — PostgREST rejette le POST ENTIER sur une
   // colonne inconnue : chez un hôte non migré, ce n'est pas l'unicité qu'on perdrait, c'est la
@@ -61,6 +68,7 @@ async function createShare({ docId, docTitle, fileUrl, fileName, recipientEmail,
     brand_key: (brandKey || "").trim() || null,
     brand_logo: (logo || "").trim() ? String(logo).trim().slice(0, 500) : null,
     brand_dark: !!logoDark, // fond sombre du loader (logo clair/blanc)
+    ...champsProtection,
   };
   await PLAYER.db.request("commercial_doc_shares", { method: "POST", headers: { Prefer: "return=minimal" }, body: [row] });
   return { slug };
@@ -68,8 +76,11 @@ async function createShare({ docId, docTitle, fileUrl, fileName, recipientEmail,
 
 // Re-partage depuis la visionneuse publique (forward) : crée un lien ENFANT tracé pour un nouveau
 // destinataire, rattaché au lien parent (parent_slug) → chaîne de diffusion. created_by = celui qui forwarde.
-async function createReshare(parentSlug, { email, name, clientKey }) {
-  const parent = await getShareBySlug(parentSlug);
+// ⚠️ `req` : le parent se relit AVEC la requête du visiteur. Un parent protégé par un mot de passe ne se
+// re-partage que par qui l'a franchi — et l'enfant HÉRITE de la protection (expiration et empreinte,
+// comme tout le reste : voir l'inversion ci-dessous). Le transférer ne lève donc rien.
+async function createReshare(parentSlug, { email, name, clientKey, req }) {
+  const parent = await getShareBySlug(parentSlug, req);
   if (!parent) throw Object.assign(new Error("lien introuvable"), { statusCode: 404 });
   const slug = newSlug();
 
@@ -173,11 +184,60 @@ async function reshareParCle(cle) {
   } catch { return null; }
 }
 
-async function getShareBySlug(slug) {
+/**
+ * LE SEUL ENDROIT OÙ UN LIEN SE RÉSOUT — et donc où il se ferme. Révoqué, expiré, ou protégé par un mot
+ * de passe que cette requête n'a pas franchi : `null`, pour la page, le fichier, l'assistant, la mesure
+ * et le re-partage à la fois (règle et pièges : lien-protege.js).
+ *
+ * ⚠️ `req` EST LA REQUÊTE PUBLIQUE, et son absence VERROUILLE. Un appel interne qui l'oublie sur un lien
+ * protégé obtient « introuvable » — c'est le sens voulu : l'oubli ferme au lieu d'ouvrir.
+ */
+async function getShareBySlug(slug, req) {
+  return (await resoudreLien(slug, req)).share;
+}
+
+/**
+ * POURQUOI UN LIEN NE S'OUVRE PAS — pour le DIRE à qui le reçoit. Révoqué ou inconnu (`revoked`), expiré
+ * (`expired`, il peut en demander un autre), ou fermé par un mot de passe (`password` : on lui montre la
+ * page qui le demande, avec le titre et la marque du lien — rien d'autre de la ligne ne sort).
+ */
+async function resoudreLien(slug, req) {
   const rows = await PLAYER.db.request(`commercial_doc_shares?slug=eq.${enc(String(slug || ""))}&revoked=eq.false&select=*&limit=1`);
-  return Array.isArray(rows) && rows[0] ? rows[0] : null;
+  const row = Array.isArray(rows) && rows[0] ? rows[0] : null;
+  if (!row) return { share: null, refus: "revoked", ligne: null };
+  if (protection.expire(row, Date.now())) return { share: null, refus: "expired", ligne: row };
+  if (!protection.deverrouille(row, req)) return { share: null, refus: "password", ligne: row };
+  return { share: row, refus: null, ligne: row };
 }
 
+/**
+ * POSER, CHANGER OU RETIRER LA PROTECTION D'UN LIEN EXISTANT. Champ absent = inchangé, `null` = retiré.
+ * ⚠️ Un lien révoqué ne se protège pas : il est déjà fermé, et le « rouvrir » en le modifiant serait un
+ * geste que personne n'a demandé — le `revoked=eq.false` du filtre le laisse hors d'atteinte.
+ */
+async function setShareProtection(slug, entree) {
+  const d = protection.protectionDemandee(entree, Date.now());
+  if (d.refus) throw Object.assign(new Error(d.refus), { statusCode: 400, publique: true });
+  if (!Object.keys(d.champs).length) return { ok: true, ...protection.protectionServie({}) };
+  if (!(await require("./schema").attendue("lienProtege"))) throw migrationManquante();
+  const rows = await PLAYER.db.request(`commercial_doc_shares?slug=eq.${enc(String(slug || ""))}&revoked=eq.false`, { method: "PATCH", headers: { Prefer: "return=representation" }, body: d.champs });
+  const row = Array.isArray(rows) && rows[0] ? rows[0] : null;
+  if (!row) throw Object.assign(new Error("Lien introuvable ou révoqué."), { statusCode: 404, publique: true });
+  return { ok: true, ...protection.protectionServie(row) };
+}
+
+/**
+ * ⚠️ UNE PROTECTION DEMANDÉE SANS SA COLONNE N'EST PAS UNE PROTECTION DÉGRADÉE, C'EST UN LIEN OUVERT.
+ * Ailleurs, une colonne absente fait sauter le champ en silence (la clé d'idempotence, la date de
+ * révocation) : le lien marche, un peu moins bien. Ici, sauter `expires_at` créerait un lien qui ne
+ * meurt jamais pendant que l'hôte affiche « expire le 15 », et sauter `password_hash` un lien que
+ * quiconque ouvre. On REFUSE donc de créer, et on nomme la migration.
+ */
+const migrationManquante = () => Object.assign(
+  new Error("Protection des liens indisponible : appliquez la migration 0028-liens-proteges.sql."),
+  { statusCode: 503, publique: true },
+);
+
 // ⚠️ BORNER CE QUI VIENT DU DEHORS — TOUS les chemins d'écriture publics, et le pluriel a coûté.
 //
 // Ces bornes ont été posées pour les deux chemins de SESSION (interne et externe) : un objet libre
@@ -372,7 +432,8 @@ async function listSharesForDoc(docId, owner) {
   const VIDE = { opens: 0, maxPage: 0, seconds: 0, sessions: 0, lastAt: null };
   const enriched = shareList.map((sh) => {
     const a = agregats.bySlug.get(sh.slug) || VIDE;
-    return { slug: sh.slug, parent_slug: sh.parent_slug || null, recipient_email: sh.recipient_email, recipient_name: sh.recipient_name, created_by: sh.created_by, created_at: sh.created_at, revoked: sh.revoked, opens: a.opens, sessions: a.sessions, maxPage: a.maxPage, seconds: a.seconds, lastAt: a.lastAt };
+    // La protection se SERT par `protectionServie` : l'échéance et un booléen — jamais l'empreinte.
+    return { slug: sh.slug, parent_slug: sh.parent_slug || null, recipient_email: sh.recipient_email, recipient_name: sh.recipient_name, created_by: sh.created_by, created_at: sh.created_at, revoked: sh.revoked, ...protection.protectionServie(sh), opens: a.opens, sessions: a.sessions, maxPage: a.maxPage, seconds: a.seconds, lastAt: a.lastAt };
   });
 
   // ⚠️ HISTOGRAMME PUIS CUMUL DESCENDANT — O(pages + sessions) au lieu de O(pages × sessions).
@@ -1000,4 +1061,4 @@ async function internalStatsForDoc(docId) {
 }
 
 module.exports = {
-  cleIdempotence, init, createShare, createReshare, sendReshareEmail, getShareBySlug, logView, upsertSession, listSharesForDoc, listSessionsForDoc, listSessionsForRecipient, racineDuLien, curseurDe, curseurLu, sessionServie, CHAMPS_SERVIS, CHAMPS_RETENUS, revokeShare, setShareAuth, overview, upsertInternalSession, internalStatsForDoc };
+  cleIdempotence, init, createShare, createReshare, sendReshareEmail, getShareBySlug, resoudreLien, setShareProtection, logView, upsertSession, listSharesForDoc, listSessionsForDoc, listSessionsForRecipient, racineDuLien, curseurDe, curseurLu, sessionServie, CHAMPS_SERVIS, CHAMPS_RETENUS, revokeShare, setShareAuth, overview, upsertInternalSession, internalStatsForDoc };

package/supabase/init.sql

@@ -57,7 +57,10 @@ create table if not exists public.commercial_doc_shares (
   idem_key        text,
   -- Destinataire attesté par l'hôte : sert à ATTRIBUER une lecture, jamais à expédier en son nom.
   -- `recipient_email`, elle, dit qui peut expédier — vide quand personne ne le peut.
-  attested_recipient_email text
+  attested_recipient_email text,
+  -- Lien protégé (0028) : échéance et empreinte du mot de passe, nulles par défaut.
+  expires_at      timestamptz,
+  password_hash   text                       -- « sel:hash » scrypt — JAMAIS servi
 );
 create index if not exists cds_doc_id_idx on public.commercial_doc_shares (doc_id);
 -- ⚠️ RÈGLE (sixième audit) : tout index sur une colonne apparue APRÈS un init déjà publié est
@@ -806,6 +809,17 @@ update public.commercial_doc_shares set revoked_at = now() where revoked = true
 -- job compare.
 alter table public.doc_presentations
   add column if not exists view_rotation integer not null default 0;
+-- 0028 — même rattrapage : une base installée avant aujourd'hui ne verrait jamais ces deux colonnes en
+-- rejouant ce fichier, et le player refuserait alors de créer un lien protégé (il le dit, 503).
+alter table public.commercial_doc_shares
+  add column if not exists expires_at timestamptz;
+alter table public.commercial_doc_shares
+  add column if not exists password_hash text;
+comment on column public.commercial_doc_shares.expires_at is
+  'Echeance du lien : au-dela, il ne se resout plus. Nulle = sans expiration.';
+comment on column public.commercial_doc_shares.password_hash is
+  'Empreinte du mot de passe du lien (sel:hash, scrypt, hex). Nulle = sans mot de passe. '
+  'Jamais servie : un hote n''en voit qu''un booleen.';
 
 -- ⚠️ ET LE RATTRAPAGE VAUT AUSSI POUR CE QU'ON EFFACE (0026). Une base installée avant aujourd'hui
 -- porte treize mois d'adresses ; `create table if not exists` ne touche pas une table déjà là, donc

package/supabase/migrations/0028-liens-proteges.sql

@@ -0,0 +1,25 @@
+-- LES LIENS PROTÉGÉS : UNE ÉCHÉANCE ET UN MOT DE PASSE SUR UN LIEN TRACÉ.
+--
+-- Demandé par le premier hôte (01/10/2026) : sa fenêtre de partage disait « sans expiration », et un
+-- document envoyé à un prospect restait ouvrable des années plus tard. Deux colonnes, toutes deux
+-- NULLES par défaut — un lien existant ne change pas de comportement : sans date, il n'expire pas ;
+-- sans empreinte, il n'a pas de mot de passe.
+--
+--   expires_at     au-delà, le lien ne se résout plus (page, fichier, assistant, mesure, re-partage) ;
+--   password_hash  « sel:hash », scrypt, hexadécimal — JAMAIS servi : la carte, la liste des liens et
+--                  la page n'en disent qu'un booléen. Le cookie de déverrouillage en est signé.
+--
+-- Sans lui : rien ne casse, et rien ne s'ouvre par erreur — les liens existants se lisent comme avant,
+-- mais le player REFUSE de créer ou de modifier un lien protégé (503, qui nomme ce fichier) plutôt que
+-- de créer un lien ouvert qui se dirait protégé.
+-- Règle et pièges : server/lien-protege.js.
+alter table public.commercial_doc_shares
+  add column if not exists expires_at timestamptz;
+alter table public.commercial_doc_shares
+  add column if not exists password_hash text;
+
+comment on column public.commercial_doc_shares.expires_at is
+  'Echeance du lien : au-dela, il ne se resout plus. Nulle = sans expiration.';
+comment on column public.commercial_doc_shares.password_hash is
+  'Empreinte du mot de passe du lien (sel:hash, scrypt, hex). Nulle = sans mot de passe. '
+  'Jamais servie : un hote n''en voit qu''un booleen.';