discovery-media-player 0.1.23 → 0.1.25

package/context/storage.js

@@ -142,10 +142,24 @@ const TYPES = {
  * des premières pages avant la fin du téléchargement.
  */
 async function readLocal(cible, range) {
-  let stat;
-  try { stat = await fsp.stat(cible); } catch { return null; }
-  if (!stat.isFile()) return null;
+  // ⚠️ ON OUVRE D'ABORD, ON INTERROGE ENSUITE. `stat(chemin)` puis `open(chemin)` sont deux
+  // résolutions du même NOM à deux instants : entre les deux, le fichier peut avoir été remplacé.
+  // On lisait alors les octets du NOUVEAU fichier avec la taille de l'ANCIEN — un `Content-Range`
+  // qui ne décrit pas ce qu'il transporte, donc un document faux sans qu'aucune erreur ne sorte.
+  // Un descripteur, lui, désigne un objet et non un nom : `fh.stat()` parle du même fichier que
+  // `fh.read()`, quoi qu'il advienne du chemin entre-temps.
+  let fh;
+  try { fh = await fsp.open(cible, "r"); } catch { return null; }
+  try {
+    const stat = await fh.stat();
+    if (!stat.isFile()) return null;
+    return await lireDepuis(fh, stat, cible, range);
+  } finally {
+    await fh.close();
+  }
+}
 
+async function lireDepuis(fh, stat, cible, range) {
   const type = TYPES[path.extname(cible).toLowerCase()] || "application/octet-stream";
   const total = stat.size;
   const m = /^bytes=(\d*)-(\d*)$/.exec(String(range || ""));
@@ -159,17 +173,12 @@ async function readLocal(cible, range) {
     statut = 206;
   }
 
-  const fh = await fsp.open(cible, "r");
-  try {
-    const buf = Buffer.alloc(fin - debut + 1);
-    const { bytesRead } = await fh.read(buf, 0, buf.length, debut);
-    const corps = bytesRead === buf.length ? buf : buf.subarray(0, bytesRead);
-    const entetes = { "content-type": type };
-    if (statut === 206) entetes["content-range"] = `bytes ${debut}-${fin}/${total}`;
-    return reponse(statut, entetes, corps);
-  } finally {
-    await fh.close();
-  }
+  const buf = Buffer.alloc(fin - debut + 1);
+  const { bytesRead } = await fh.read(buf, 0, buf.length, debut);
+  const corps = bytesRead === buf.length ? buf : buf.subarray(0, bytesRead);
+  const entetes = { "content-type": type };
+  if (statut === 206) entetes["content-range"] = `bytes ${debut}-${fin}/${total}`;
+  return reponse(statut, entetes, corps);
 }
 
 function reponse(status, entetes, corps) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.23",
+  "version": "0.1.25",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -6,7 +6,7 @@
 const crypto = require("crypto");
 const { getShareBySlug, logView, upsertSession, createReshare, sendReshareEmail, upsertInternalSession,
   createShare, revokeShare, setShareAuth, overview: docOverview, listSharesForDoc, listSessionsForDoc, internalStatsForDoc } = require("./shares");
-const { createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent } = require("./presentations");
+const { createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presenterKey, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent } = require("./presentations");
 // CONTEXTE INJECTÉ : tout ce que le player emprunte à l'application hôte passe par ici — stockage,
 // base, identité, limites, marque, journalisation — et rien d'autre. C'est la frontière qui permettra
 // de brancher un second projet, puis d'ouvrir le cœur. Cf. api/_player-context.js.
@@ -233,7 +233,7 @@ const LIVE_PANEL = `<div class="chat hidden" id=chatPanel><div class=chat-grip i
 // JS partagé : présence + chat via Supabase Realtime. Live.connect(slug, me) / Live.disconnect().
 const LIVE_JS = `
 var Live=(function(){
-  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],seen={},msgEls={},msgData={},replyCtx=null,typers={},pdfCache={},_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
+  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESKEY='',seen={},msgEls={},msgData={},replyCtx=null,typers={},pdfCache={},_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
   try{ MUTED=localStorage.getItem('3dd-present-mute')==='1'; }catch(e){}
   // Couper/rétablir les notifications du chat (cloche) : coupé = plus de ticker ni de pulse (badge silencieux gardé).
   function applyMute(){ var b=document.getElementById('chatMute'); if(b){b.classList.toggle('muted',MUTED);b.title=MUTED?'Réactiver les notifications du chat':'Couper les notifications du chat';} setBadge(); }
@@ -276,7 +276,11 @@ var Live=(function(){
   function attKey(me){ return Player.live.attendeeKey(me,_store(),MYID); }
   // Heartbeat d'assistance → le serveur journalise qui suit, combien de temps, et les pages vues (via la page
   // courante de la présentation). Envoyé à la connexion puis toutes les 25 s. Best-effort (silencieux).
-  function sendAttend(){ if(!SLUG||!ME)return; try{ fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-attend',slug:SLUG,key:attKey(ME),name:ME.name||'',email:ME.email||'',avatar:ME.avatar||'',isMember:!!ME.member,isPresenter:ME.role==='presenter'})}); }catch(e){} }
+  // Le serveur ne croit plus 'isMember' ni 'isPresenter' sur parole : l'appartenance se prouve par
+  // le jeton d'acces de la session, le titre de presentateur par le control_token. Ce qui part d'ici
+  // n'est plus qu'une AFFIRMATION, et le serveur la remplace par ce qu'il a verifie.
+  function sendAttend(){ if(!SLUG||!ME)return; try{ var h={'Content-Type':'application/json'};var jw=accessToken();if(jw)h.Authorization='Bearer '+jw;
+    fetch('/api/doc',{method:'POST',headers:h,body:JSON.stringify({action:'present-attend',slug:SLUG,control:CONTROL,key:attKey(ME),name:ME.name||'',email:ME.email||'',avatar:ME.avatar||''})}); }catch(e){} }
   var EMOJIS=['👍','❤️','😂','😮','👏','🎉'];
   var RSVG='<svg viewBox="0 0 24 24" fill=none stroke=currentColor stroke-width=2 stroke-linecap=round><circle cx=12 cy=12 r=9 /><path d="M8.5 14.5s1.4 1.7 3.5 1.7 3.5-1.7 3.5-1.7"/><line x1=9 y1=9.2 x2=9.01 y2=9.2 /><line x1=15 y1=9.2 x2=15.01 y2=9.2 /></svg>';
   function esc(s){return Player.live.escapeHtml(s);}
@@ -294,7 +298,7 @@ var Live=(function(){
   function isMentioned(m){return Player.live.isMentioned(m,ME);}
   function renderPres(st){var l=flat(st),c=l.length;PRESENT=l;var e=document.getElementById('presCount');if(e)e.textContent=c;
     var a=document.getElementById('presAvs');if(a)a.innerHTML=l.slice(0,4).map(function(m){return '<span class=pres-av>'+av(m.avatar,m.name)+'</span>';}).join('');
-    var p=document.getElementById('presList');if(p)p.innerHTML='<h5>'+c+' en ligne</h5>'+l.map(function(m){return '<div class=pres-item><span class=a>'+av(m.avatar,m.name)+'</span><span class=b><div class=n>'+esc(m.name||'Invité')+(m.role==='presenter'?' <span class=tag>présentateur</span>':'')+'</div>'+(m.email?'<div class=e>'+esc(m.email)+'</div>':'')+'</span></div>';}).join('');}
+    var p=document.getElementById('presList');if(p)p.innerHTML='<h5>'+c+' en ligne</h5>'+l.map(function(m){return '<div class=pres-item><span class=a>'+av(m.avatar,m.name)+'</span><span class=b><div class=n>'+esc(m.name||'Invité')+(m.uid&&m.uid===PRESKEY?' <span class=tag>présentateur</span>':'')+'</div>'+(m.email?'<div class=e>'+esc(m.email)+'</div>':'')+'</span></div>';}).join('');}
   // Rendu d'un message → player/src/chat.ts (échappement testé sous jsdom : on y vérifie ce que
   // le NAVIGATEUR fabrique, pas seulement la chaîne produite).
   function renderRe(m){return Player.chat.renderReactions(m,ME);}
@@ -333,10 +337,11 @@ var Live=(function(){
   function setReply(id){var m=msgData[id];if(!m||m.deleted)return;var nm=m.author_name||'Invité';replyCtx={id:+id,name:nm,text:(m.body||'').slice(0,120)};var el=document.getElementById('chatReply');if(el){el.style.display='flex';el.innerHTML='<span class=cq><b>'+esc(nm)+'</b> '+esc((m.body||'').slice(0,80))+'</span><button id=chatReplyX title=Annuler>×</button>';var x=document.getElementById('chatReplyX');if(x)x.addEventListener('click',clearReply);}var t=document.getElementById('chatText');if(t)t.focus();}
   function clearReply(){replyCtx=null;var el=document.getElementById('chatReply');if(el){el.style.display='none';el.innerHTML='';}}
   function send(){var i=document.getElementById('chatText');var t=(i.value||'').trim();if(!t||!ME)return;if(LOCKED&&!canMod())return;i.value='';toggleSend();
-    var o={action:'present-chat',slug:SLUG,name:ME.name,email:ME.email,avatar:ME.avatar,isPresenter:ME.role==='presenter',isMember:!!ME.member,body:t,authorToken:authToken()};
+    var o={action:'present-chat',slug:SLUG,name:ME.name,email:ME.email,avatar:ME.avatar,body:t,authorToken:authToken()};
     if(CONTROL)o.control=CONTROL;
     if(replyCtx){o.replyTo=replyCtx.id;o.replyName=replyCtx.name;o.replyText=replyCtx.text;clearReply();}
-    fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(o)})
+    var h1={'Content-Type':'application/json'};var j1=accessToken();if(j1)h1.Authorization='Bearer '+j1;
+    fetch('/api/doc',{method:'POST',headers:h1,body:JSON.stringify(o)})
       .then(function(r){return r.json();})
       .then(function(d){if(d&&d.ok&&d.message){addMsg(d.message);sendMsg(d.message);}})
       .catch(function(){});}
@@ -349,9 +354,10 @@ var Live=(function(){
       return sb.storage.from('present-attachments').uploadToSignedUrl(d.path,d.token,file).then(function(u){
         if(u&&u.error)throw 0;
         var i=document.getElementById('chatText'),cap=(i&&i.value||'').trim();if(i)i.value='';
-        var o={action:'present-chat',slug:SLUG,name:ME.name,email:ME.email,avatar:ME.avatar,isPresenter:ME.role==='presenter',isMember:!!ME.member,body:cap,authorToken:authToken(),attachment:{url:d.publicUrl,name:file.name,type:file.type,kind:d.kind}};
+        var o={action:'present-chat',slug:SLUG,name:ME.name,email:ME.email,avatar:ME.avatar,body:cap,authorToken:authToken(),attachment:{url:d.publicUrl,name:file.name,type:file.type,kind:d.kind}};
         if(CONTROL)o.control=CONTROL;
-        return fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(o)});
+        return var h2={'Content-Type':'application/json'};var j2=accessToken();if(j2)h2.Authorization='Bearer '+j2;
+        fetch('/api/doc',{method:'POST',headers:h2,body:JSON.stringify(o)});
       });
     }).then(done).catch(function(){done();});}
   function applyLock(v){LOCKED=!!v;var t=document.getElementById('chatText'),s=document.getElementById('chatSend');var can=!LOCKED||canMod();if(t){t.disabled=!can;t.placeholder=can?'Écrire un message…':'Chat en lecture seule';}if(s)s.disabled=!can;var lk=document.getElementById('chatLockBtn');if(lk)lk.classList.toggle('on',LOCKED);var no=document.getElementById('chatLocked');if(no)no.style.display=(LOCKED&&!canMod())?'block':'none';toggleSend();}
@@ -449,7 +455,7 @@ var Live=(function(){
       var _relEtat=null,_relChat=null;
       // Groupé : dix diffusions d'affilée ne doivent pas produire dix requêtes.
       function relireEtat(){clearTimeout(_relEtat);_relEtat=setTimeout(function(){
-        relire('&state=1',function(d){if(d.state&&_onState)_onState(d.state);});
+        relire('&state=1',function(d){if(d.state)appliquerEtat(d.state);});
       },120);}
       function relireChat(){clearTimeout(_relChat);_relChat=setTimeout(function(){
         relire('&chat=1',function(d){
@@ -463,6 +469,21 @@ var Live=(function(){
         });
       },120);}
 
+      // ⚠️ LE TITRE VIENT D'ICI, PAS DE LA PRÉSENCE. La liste des participants tirait
+      // « présentateur » de la charge de présence, que chacun compose lui-même : un
+      // 'track({role:"presenter"})' suffisait à apparaître comme le présentateur devant toute
+      // l'audience, avec le nom et l'avatar de son choix. Le canal ne peut pas arbitrer ça — un
+      // participant légitime a le droit d'y écrire SA présence.
+      //
+      // Le serveur renvoie la CLÉ de celui qui a prouvé le control_token ; l'audience compare. Pas
+      // de clé, pas de titre : mieux vaut aucun titre qu'un titre usurpé.
+      function appliquerEtat(st){
+        if(typeof st.presenter_key!=='undefined'){var k=st.presenter_key||'';
+          if(k!==PRESKEY){PRESKEY=k;try{if(ch)renderPres(ch.presenceState());}catch(e){}}}
+        if(_onState)_onState(st);
+      }
+      relire('&state=1',function(d){if(d.state)appliquerEtat(d.state);});
+
       // Le message reçu sert à savoir QU'IL SE PASSE quelque chose, et à notifier ; son CONTENU
       // vient de la relecture. Sans ça, une notification pourrait afficher un texte forgé.
       ch.on('broadcast',{event:'msg'},function(){relireChat();});
@@ -480,6 +501,10 @@ var Live=(function(){
     }catch(e){}}
   function disconnect(){try{clearInterval(_tyIv);}catch(e){}try{clearInterval(_atIv);}catch(e){}try{sendAttend();}catch(e){}try{if(ch){ch.untrack();ch.unsubscribe();ch=null;}}catch(e){}var pb=document.getElementById('presBtn');if(pb)pb.style.display='none';var cb=document.getElementById('chatBtn');if(cb)cb.style.display='none';var _fb=document.getElementById('chatFab');if(_fb)_fb.classList.remove('on');var pn=document.getElementById('chatPanel');if(pn)pn.classList.add('hidden');}
   // Membre de l'équipe reconnu via la session app (MÊME ORIGINE, localStorage) → avatar + nom auto.
+  // Le jeton d'acces de la session locale, quand il y en a une. C'est la SEULE chose qui prouve au
+  // serveur qu'on est un membre ; 'member:true' dans la page ne prouve rien, il ne sert qu'a l'affichage.
+  function accessToken(){try{var raw=localStorage.getItem('3dd-supabase-auth');if(!raw)return '';var s=JSON.parse(raw);
+    return String((s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||'');}catch(e){return '';}}
   function detectMember(){try{var raw=localStorage.getItem('3dd-supabase-auth');if(!raw)return null;var s=JSON.parse(raw);var u=s&&(s.user||(s.currentSession&&s.currentSession.user)||(s.session&&s.session.user));if(u&&u.email){var m=u.user_metadata||{};return{name:m.name||u.email,email:u.email,avatar:m.avatarUrl||'',member:true,role:'viewer'};}}catch(e){}return null;}
   return {connect:connect,disconnect:disconnect,detectMember:detectMember,sendMap:sendMap,onMap:onMap,sendState:sendState,onState:onState};
 })();`;
@@ -1207,6 +1232,24 @@ function adresseAppelant(req) {
   return String((req.socket && req.socket.remoteAddress) || "").slice(0, 60);
 }
 
+/**
+ * Cet appelant est-il un MEMBRE de l'hôte, prouvé — pas déclaré ?
+ *
+ * ⚠️ L'appartenance décide de quelle POPULATION une lecture rejoint. « Ce client a lu douze
+ * minutes » ne vaut que si un collègue relisant le document n'entre pas dans le même compte : c'est
+ * la promesse que ce produit vend. Un booléen envoyé par le navigateur ne prouve rien — il est
+ * choisi par qui l'envoie.
+ *
+ * Le jeton d'accès, lui, est vérifié par l'hôte. Absent ou invalide : pas membre. Jamais de repli
+ * sur ce que l'appelant affirme, sinon la vérification ne sert qu'aux honnêtes.
+ */
+async function membreVerifie(req) {
+  try {
+    const u = await PLAYER.identity.verifyToken((req.headers && req.headers.authorization) || "");
+    return !!(u && u.email);
+  } catch { return false; }
+}
+
 async function relayerFichier(res, r, disposition) {
   if (!r) { res.statusCode = 404; res.end("Fichier indisponible"); return; }
   if (!r.ok && r.status !== 206) { res.statusCode = 502; res.end("Fichier indisponible"); return; }
@@ -2548,7 +2591,21 @@ async function handler(req, res) {
           const ip = adresseAppelant(req) || "anon";
           const allowed = await PLAYER.limits.allow(`patt:${ip}`, 1000, 3600);
           if (!allowed) return jp(429, { ok: false, error: "rate" });
-          const r = await recordAttendance(String(body.slug || ""), { key: body.key, name: body.name, email: body.email, avatar: body.avatar, isMember: !!body.isMember, isPresenter: !!body.isPresenter });
+          // ⚠️ CES DEUX BOOLÉENS ÉTAIENT CEUX DE L'APPELANT. `isMember` sépare la population interne
+          // de celle des prospects — c'est la promesse même du produit — et `isPresenter` accorde le
+          // titre dans la liste des participants. Les deux venaient du corps de la requête : un
+          // prospect pouvait se compter comme collègue, et se donner le titre de présentateur.
+          //
+          // Ce qui distingue un présentateur d'un participant n'est pas ce qu'il affirme, c'est le
+          // `control_token` — `present-chat` le vérifiait déjà pour le badge des messages, cette
+          // route ne le faisait pas. Et l'appartenance se prouve par le jeton d'accès de la session :
+          // cette route est un `fetch`, elle peut porter un en-tête (contrairement au suivi de
+          // lecture, qui part par `sendBeacon` et signe donc dans le corps).
+          const pres = await getPresentation(String(body.slug || ""));
+          if (!pres) return jp(404, { ok: false });
+          const estPresentateur = !!(body.control && require("crypto").createHash("sha256").update(String(body.control)).digest("hex") === pres.control_hash);
+          const estMembre = await membreVerifie(req);
+          const r = await recordAttendance(String(body.slug || ""), { key: body.key, name: body.name, email: body.email, avatar: body.avatar, isMember: estMembre, isPresenter: estPresentateur });
           return jp(r.ok ? 200 : (r.status || 400), r);
         } catch { return jp(500, { ok: false }); }
       }
@@ -2588,7 +2645,10 @@ async function handler(req, res) {
           // participant pourrait poster un message usurpant le présentateur). Sert aussi au chat verrouillé.
           const validControl = !!(body.control && require("crypto").createHash("sha256").update(String(body.control)).digest("hex") === pres.control_hash);
           if (pres.chat_locked && !validControl) return jp(423, { ok: false, error: "locked" });
-          const r = await addMessage(String(body.slug || ""), { name: body.name, email: body.email, avatar: body.avatar, isPresenter: validControl, isMember: !!body.isMember, body: body.body, replyTo: body.replyTo, replyName: body.replyName, replyText: body.replyText, authorToken: body.authorToken, attachment: body.attachment });
+          // `isMember` restait l'affirmation du client, alors que `isPresenter` était vérifié juste
+          // au-dessus. Deux poids sur la même ligne : le badge « présentateur » se méritait, celui
+          // de collègue se réclamait.
+          const r = await addMessage(String(body.slug || ""), { name: body.name, email: body.email, avatar: body.avatar, isPresenter: validControl, isMember: await membreVerifie(req), body: body.body, replyTo: body.replyTo, replyName: body.replyName, replyText: body.replyText, authorToken: body.authorToken, attachment: body.attachment });
           return jp(r.ok ? 200 : (r.status || 400), r);
         } catch { return jp(500, { ok: false }); }
       }
@@ -2755,7 +2815,13 @@ async function handler(req, res) {
       if (body.action === "reshare") {
         const mail = String(body.email || "").trim().toLowerCase();
         const j = (status, obj) => { res.statusCode = status; res.setHeader("Content-Type", "application/json"); res.end(JSON.stringify(obj)); };
-        if (!/.+@.+\..+/.test(mail)) return j(400, { ok: false, error: "email" });
+        // ⚠️ LA LONGUEUR AVANT LE MOTIF — et ici ce n'est pas de la prudence, c'est mesuré :
+        // `.+@.+\..+` reprend à chaque position de départ, coût 49 ms sur 10 000 caractères,
+        // 3 900 ms sur 100 000. Une seule requête, sur une route ouverte au lecteur, bloquait la
+        // boucle d'événements quatre secondes — l'instance entière, pas seulement l'appelant.
+        // Le débit (8/h par IP) ne protégeait rien : il est vérifié APRÈS, deux lignes plus bas.
+        // 254 est le maximum d'une adresse (RFC 5321) : au-delà ce n'est pas « long », c'est faux.
+        if (mail.length > 254 || !/.+@.+\..+/.test(mail)) return j(400, { ok: false, error: "email" });
         const ip = adresseAppelant(req) || "anon";
         const allowed = await PLAYER.limits.allow(`reshare:${ip}`, 8, 3600);
         if (!allowed) return j(429, { ok: false, error: "rate", message: "Trop de partages, réessayez plus tard." });
@@ -2973,6 +3039,10 @@ async function handler(req, res) {
           file_name: pres.file_name || null,
           doc_title: pres.doc_title || null,
           updated_at: pres.updated_at || null,
+          // Qui porte le titre, d'après le serveur. La liste des participants le tirait de la charge
+          // de présence, que chacun compose : il suffisait de s'annoncer présentateur pour l'être aux
+          // yeux de tous. Une clé, pas un booléen — l'audience compare, elle ne croit pas.
+          presenter_key: await presenterKey(String(q.present || "")),
         } }));
         return;
       }

package/server/presentations.js

@@ -281,6 +281,23 @@ async function toggleReaction(slug, msgId, emoji, reactor) {
   return { ok: true, message: premierPublic(maj) };
 }
 
+/**
+ * La clé du participant qui porte le titre de présentateur, telle que le SERVEUR la connaît.
+ *
+ * ⚠️ Elle existe parce que la liste des participants affichait le titre d'après la charge de
+ * PRÉSENCE, que chacun compose lui-même : `track({role:'presenter'})` suffisait à apparaître comme
+ * présentateur devant toute l'audience, avec le nom et l'avatar de son choix. Le canal ne peut pas
+ * arbitrer ça — un participant légitime a le droit d'y écrire sa présence.
+ *
+ * Le titre est désormais accordé ici, à partir de `is_presenter`, lui-même dérivé du `control_token`.
+ * Null quand personne ne l'a prouvé : mieux vaut aucun titre qu'un titre usurpé.
+ */
+async function presenterKey(slug) {
+  if (!slug) return null;
+  const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&is_presenter=is.true&select=attendee_key&order=last_seen.desc&limit=1`);
+  return (Array.isArray(rows) && rows[0] && rows[0].attendee_key) || null;
+}
+
 // ── Statistiques de présentation (assistance) ────────────────────────────────────────────────────────────
 // Heartbeat d'un participant : upsert de sa ligne d'assistance. On accumule le temps de présence (intervalles
 // < 60 s → un aller-retour ne gonfle pas total_ms) et l'ensemble des pages vues (page courante de la présentation).
@@ -302,7 +319,12 @@ async function recordAttendance(slug, { key, name, email, avatar, isMember, isPr
   const addMs = gap > 0 && gap <= ATTEND_MAX_GAP_MS ? gap : 0;
   const pages = Array.isArray(cur.pages) ? cur.pages.slice() : [];
   if (!pages.includes(page)) pages.push(page);
-  await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { last_seen: new Date(now).toISOString(), total_ms: Number(cur.total_ms || 0) + addMs, pages, name: (name || cur.name || "").slice(0, 120) || null, avatar: (avatar || cur.avatar || "").slice(0, 600) || null } });
+  await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { last_seen: new Date(now).toISOString(), total_ms: Number(cur.total_ms || 0) + addMs, pages, name: (name || cur.name || "").slice(0, 120) || null, avatar: (avatar || cur.avatar || "").slice(0, 600) || null,
+    // ⚠️ Les deux drapeaux se remettent à jour à chaque battement, ils ne sont plus figés à la
+    // première ligne : un transfert de présentation change qui porte le titre, et une session qui
+    // s'authentifie en cours de route devient un membre. Figés, ils décriraient l'instant de
+    // l'arrivée et non la réalité — et le premier arrivé aurait raison pour toujours.
+    is_member: !!isMember, is_presenter: !!isPresenter } });
   return { ok: true };
 }
 
@@ -382,4 +404,4 @@ async function listPresentationsForDoc(docId) {
 }
 
 module.exports = {
-  messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };
+  messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presenterKey, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };

package/server/shares.js

@@ -58,6 +58,10 @@ async function createReshare(parentSlug, { email, name }) {
   //     rapport qui a mené ici.
   //   • `allow_download` (défaut `true`) — le bouton Télécharger revenait sur un document où il
   //     avait été refusé.
+  //     ⚠️ À ne pas prendre pour une protection : c'est une PRÉFÉRENCE D'AFFICHAGE. Le lecteur qui
+  //     voit le document en a déjà les octets ; masquer le bouton retire une commodité, pas un
+  //     accès. Un document qu'on ne veut pas voir sortir ne doit pas être partagé, ou doit l'être
+  //     derrière `require_auth` — celui-là, lui, décide de qui obtient les octets.
   //   • `brand_key` — la marque se perdait à l'endroit exact où le document commence à circuler :
   //     le lecteur d'un document VALONEUF transmettait un lien qui s'ouvre sous une autre marque.
   //