discovery-media-player 0.1.26 → 0.1.28

package/context/standalone.js

@@ -457,6 +457,20 @@ function createStandaloneContext(env = process.env) {
       supabasePublishableKey: env.SUPABASE_PUBLISHABLE_KEY || "",
       mapsKey: env.GOOGLE_MAPS_API_KEY || "",
       extraFrameAncestors: String(env.DOC_FRAME_ANCESTORS || "").split(/\s+/).filter(Boolean),
+
+      /**
+       * Clé de `localStorage` sous laquelle VOTRE application range la session de ses membres.
+       *
+       * ⚠️ Vide par défaut, donc la détection des membres est inactive : aucun membre reconnu,
+       * aucune usurpation possible. Ce paquet portait `3dd-supabase-auth` en dur — la clé d'un seul
+       * hôte, qui ne trouvait rien chez tous les autres, et qui depuis 0.1.25 porte une propriété
+       * de sécurité : c'est par elle que l'appartenance se prouve.
+       *
+       * ⚠️ Et ça ne marche QUE si votre application et le player partagent la même origine. Deux
+       * sous-domaines, ce sont deux `localStorage` : aucune valeur ici n'y changera rien. C'est une
+       * transition — le bon mécanisme est que l'hôte injecte son membre au rendu de la page.
+       */
+      hostAuthStorageKey: String(env.PLAYER_HOST_AUTH_STORAGE_KEY || "").trim(),
       // ⚠️ Un BOOLÉEN, jamais l'URL. La carte d'identité doit pouvoir dire « un émetteur distinct
       // est configuré » sans dire lequel : c'est le dernier endroit où un hôte devait deviner.
       // `host-auth` dit que le code SAIT faire la séparation ; ceci dit qu'elle est POSÉE. Sans

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.26",
+  "version": "0.1.28",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -6,7 +6,7 @@
 const crypto = require("crypto");
 const { getShareBySlug, logView, upsertSession, createReshare, sendReshareEmail, upsertInternalSession,
   createShare, revokeShare, setShareAuth, overview: docOverview, listSharesForDoc, listSessionsForDoc, internalStatsForDoc } = require("./shares");
-const { createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presenterKey, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent } = require("./presentations");
+const { createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent } = require("./presentations");
 // CONTEXTE INJECTÉ : tout ce que le player emprunte à l'application hôte passe par ici — stockage,
 // base, identité, limites, marque, journalisation — et rien d'autre. C'est la frontière qui permettra
 // de brancher un second projet, puis d'ouvrir le cœur. Cf. api/_player-context.js.
@@ -119,6 +119,7 @@ const LIVE_CSS = `
   .pres-item{display:flex;align-items:center;gap:9px;padding:6px 8px;border-radius:8px}
   .pres-item .a,.cm .a{width:28px;height:28px;border-radius:50%;flex:none;background:#e6e2db;color:#555;font-size:11px;font-weight:700;display:inline-flex;align-items:center;justify-content:center;overflow:hidden}
   .pres-item .a img,.cm .a img{width:100%;height:100%;object-fit:cover}
+  .pres-by{font-size:12px;opacity:.72;margin:0 0 8px;padding:0 2px}
   .pres-item .n{font-size:13px;font-weight:600}
   .pres-item .e{font-size:11px;color:#888}
   .tag{font-size:9.5px;font-weight:800;color:#e5384d;text-transform:uppercase;letter-spacing:.02em}
@@ -233,7 +234,7 @@ const LIVE_PANEL = `<div class="chat hidden" id=chatPanel><div class=chat-grip i
 // JS partagé : présence + chat via Supabase Realtime. Live.connect(slug, me) / Live.disconnect().
 const LIVE_JS = `
 var Live=(function(){
-  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESKEY='',seen={},msgEls={},msgData={},replyCtx=null,typers={},pdfCache={},_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
+  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESNAME='',seen={},msgEls={},msgData={},replyCtx=null,typers={},pdfCache={},_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
   try{ MUTED=localStorage.getItem('3dd-present-mute')==='1'; }catch(e){}
   // Couper/rétablir les notifications du chat (cloche) : coupé = plus de ticker ni de pulse (badge silencieux gardé).
   function applyMute(){ var b=document.getElementById('chatMute'); if(b){b.classList.toggle('muted',MUTED);b.title=MUTED?'Réactiver les notifications du chat':'Couper les notifications du chat';} setBadge(); }
@@ -298,7 +299,7 @@ var Live=(function(){
   function isMentioned(m){return Player.live.isMentioned(m,ME);}
   function renderPres(st){var l=flat(st),c=l.length;PRESENT=l;var e=document.getElementById('presCount');if(e)e.textContent=c;
     var a=document.getElementById('presAvs');if(a)a.innerHTML=l.slice(0,4).map(function(m){return '<span class=pres-av>'+av(m.avatar,m.name)+'</span>';}).join('');
-    var p=document.getElementById('presList');if(p)p.innerHTML='<h5>'+c+' en ligne</h5>'+l.map(function(m){return '<div class=pres-item><span class=a>'+av(m.avatar,m.name)+'</span><span class=b><div class=n>'+esc(m.name||'Invité')+(m.uid&&m.uid===PRESKEY?' <span class=tag>présentateur</span>':'')+'</div>'+(m.email?'<div class=e>'+esc(m.email)+'</div>':'')+'</span></div>';}).join('');}
+    var p=document.getElementById('presList');if(p)p.innerHTML='<h5>'+c+' en ligne</h5>'+(PRESNAME?'<div class=pres-by>Présenté par '+esc(PRESNAME)+'</div>':'')+l.map(function(m){return '<div class=pres-item><span class=a>'+av(m.avatar,m.name)+'</span><span class=b><div class=n>'+esc(m.name||'Invité')+'</div>'+(m.email?'<div class=e>'+esc(m.email)+'</div>':'')+'</span></div>';}).join('');}
   // Rendu d'un message → player/src/chat.ts (échappement testé sous jsdom : on y vérifie ce que
   // le NAVIGATEUR fabrique, pas seulement la chaîne produite).
   function renderRe(m){return Player.chat.renderReactions(m,ME);}
@@ -415,7 +416,13 @@ var Live=(function(){
     var pb=document.getElementById('presBtn');if(pb)pb.style.display='inline-flex';
     var cb=document.getElementById('chatBtn');if(cb)cb.style.display='inline-flex';var _fb=document.getElementById('chatFab');if(_fb)_fb.classList.add('on');
     wire();history();
-    try{sb=window.supabase.createClient(LIVECFG.supaUrl,LIVECFG.supaKey,{realtime:{params:{eventsPerSecond:10}}});
+    try{sb=window.supabase.createClient(LIVECFG.supaUrl,LIVECFG.supaKey,{realtime:{params:{eventsPerSecond:10}},
+      // ⚠️ UNE CLÉ DÉCLARÉE, PAS CELLE PAR DÉFAUT. Ce client vivra un jour une session anonyme
+      // (canal Realtime prive). S'il ecrit sous la cle par defaut et que l'application de l'hote
+      // l'utilise aussi sur la meme origine, la session anonyme ECRASE celle du membre connecte.
+      // Chez nous les deux cles different deja, mais par heureux hasard : le declarer rend
+      // intentionnel ce qui n'etait qu'une consequence, et une topologie peut changer.
+      auth:{storageKey:LIVECFG.liveAuthKey||'dmp-live-auth',persistSession:true,autoRefreshToken:true}});
       ch=sb.channel('plive-'+slug,{config:{presence:{key:(me.email||me.name||'x')+':'+MYID}}});
       ch.on('presence',{event:'sync'},function(){renderPres(ch.presenceState());});
       // Plus d'abonnement à la table des messages : elle n'est plus publiée ni lisible
@@ -478,8 +485,8 @@ var Live=(function(){
       // Le serveur renvoie la CLÉ de celui qui a prouvé le control_token ; l'audience compare. Pas
       // de clé, pas de titre : mieux vaut aucun titre qu'un titre usurpé.
       function etatDuServeur(st){
-        if(typeof st.presenter_key!=='undefined'){var k=st.presenter_key||'';
-          if(k!==PRESKEY){PRESKEY=k;try{if(ch)renderPres(ch.presenceState());}catch(e){}}}
+        if(typeof st.presenter_name!=='undefined'){var n2=st.presenter_name||'';
+          if(n2!==PRESNAME){PRESNAME=n2;try{if(ch)renderPres(ch.presenceState());}catch(e){}}}
         if(_onState)_onState(st);
       }
       relire('&state=1',function(d){if(d.state)etatDuServeur(d.state);});
@@ -503,9 +510,9 @@ var Live=(function(){
   // Membre de l'équipe reconnu via la session app (MÊME ORIGINE, localStorage) → avatar + nom auto.
   // Le jeton d'acces de la session locale, quand il y en a une. C'est la SEULE chose qui prouve au
   // serveur qu'on est un membre ; 'member:true' dans la page ne prouve rien, il ne sert qu'a l'affichage.
-  function accessToken(){try{var raw=localStorage.getItem('3dd-supabase-auth');if(!raw)return '';var s=JSON.parse(raw);
+  function accessToken(){try{var raw=localStorage.getItem(LIVECFG.hostAuthKey||'');if(!raw)return '';var s=JSON.parse(raw);
     return String((s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||'');}catch(e){return '';}}
-  function detectMember(){try{var raw=localStorage.getItem('3dd-supabase-auth');if(!raw)return null;var s=JSON.parse(raw);var u=s&&(s.user||(s.currentSession&&s.currentSession.user)||(s.session&&s.session.user));if(u&&u.email){var m=u.user_metadata||{};return{name:m.name||u.email,email:u.email,avatar:m.avatarUrl||'',member:true,role:'viewer'};}}catch(e){}return null;}
+  function detectMember(){try{var raw=localStorage.getItem(LIVECFG.hostAuthKey||'');if(!raw)return null;var s=JSON.parse(raw);var u=s&&(s.user||(s.currentSession&&s.currentSession.user)||(s.session&&s.session.user));if(u&&u.email){var m=u.user_metadata||{};return{name:m.name||u.email,email:u.email,avatar:m.avatarUrl||'',member:true,role:'viewer'};}}catch(e){}return null;}
   return {connect:connect,disconnect:disconnect,detectMember:detectMember,sendMap:sendMap,onMap:onMap,sendState:sendState,onState:onState};
 })();`;
 
@@ -1243,6 +1250,34 @@ function adresseAppelant(req) {
  * Le jeton d'accès, lui, est vérifié par l'hôte. Absent ou invalide : pas membre. Jamais de repli
  * sur ce que l'appelant affirme, sinon la vérification ne sert qu'aux honnêtes.
  */
+// ── Clés de `localStorage`, et pourquoi ce ne sont plus des constantes ─────────────────────────
+//
+// ⚠️ `3dd-supabase-auth` — la clé de session du studio 3D Discovery — était écrite EN DUR à cinq
+// endroits de ce paquet open source. Conséquence pour tout autre hôte : `detectMember()` et
+// `accessToken()` ne trouvent jamais rien, donc AUCUN de ses membres n'est reconnu comme tel. La
+// séparation des populations interne/externe, que ce produit vend, ne fonctionnait que chez nous.
+//
+// ⚠️ Et depuis 0.1.25 cette clé porte une propriété de sécurité : c'est par elle que l'appartenance
+// se prouve. Une constante d'un hôte devenue porteuse pour tous les autres.
+//
+// Défaut VIDE, et c'est délibéré : sans clé déclarée, la détection est simplement inactive — aucun
+// membre, donc aucune usurpation. Un défaut à `3dd-supabase-auth` aurait gardé notre instance en
+// marche en laissant le défaut de conception intact, et le prochain hôte l'aurait découvert comme
+// ADV : en constatant que ses statistiques ne séparent rien.
+//
+// ⚠️ CE N'EST QU'UNE TRANSITION. Lire le `localStorage` d'une autre application ne peut PAS marcher
+// quand les origines diffèrent — l'instance ADV est sur `doc.adnfamily.com` et son application sur
+// `app.adnfamily.com` : deux `localStorage`, aucune configuration n'y changera rien. Le bon
+// mécanisme est que l'hôte INJECTE son membre au rendu de la page, comme il injecte déjà sa marque.
+// Tracé dans docs/AUDIT-2026-08-14-SUIVI.md.
+function cleSessionHote() {
+  return String((PLAYER.config && PLAYER.config.hostAuthStorageKey) || "");
+}
+// La session du client Realtime du player, et l'identité d'un invité : à lui, sous son nom. Elles
+// ne dépendent d'aucun hôte, donc elles restent des constantes — mais plus des constantes d'AUTRUI.
+const CLE_SESSION_PLAYER = "dmp-live-auth";
+const CLE_INVITE = "dmp-present-me";
+
 async function membreVerifie(req) {
   try {
     const u = await PLAYER.identity.verifyToken((req.headers && req.headers.authorization) || "");
@@ -1796,7 +1831,7 @@ ${LEGAL_CSS}
   <script nonce="${nonce}">${PLAYER_BROWSER_JS}</script>
   <script nonce="${nonce}" src="${PDFJS}/pdf.min.js"></script>
   ${preview ? `<script nonce="${nonce}" src="${SUPAJS}"></script>
-  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};${LIVE_JS}
+  <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")},hostAuthKey:${JSON.stringify(cleSessionHote())},liveAuthKey:${JSON.stringify(CLE_SESSION_PLAYER)},guestKey:${JSON.stringify(CLE_INVITE)}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};${LIVE_JS}
   ${MAP_JS}</script>` : ""}
   <script nonce="${nonce}">
   (function(){
@@ -1871,7 +1906,7 @@ ${LEGAL_CSS}
     var PRES=null, _pushT=null, _hbIv=0;
     // JWT de la session app (MÊME ORIGINE, localStorage) → autorise le rattachement de la présentation au membre
     // (reprise / liste / transfert) et les actions authentifiées (reclaim).
-    function appToken(){ try{ var raw=localStorage.getItem('3dd-supabase-auth'); if(!raw)return''; var s=JSON.parse(raw); var t=(s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||''; return t; }catch(e){ return ''; } }
+    function appToken(){ try{ var raw=localStorage.getItem(LIVECFG.hostAuthKey||''); if(!raw)return''; var s=JSON.parse(raw); var t=(s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||''; return t; }catch(e){ return ''; } }
     function ctlKey(slug){ return '3dd-pres-ctl-'+slug; }
     function saveCtl(slug,control){ try{ localStorage.setItem(ctlKey(slug),control); }catch(e){} }
     function clearCtl(slug){ try{ localStorage.removeItem(ctlKey(slug)); }catch(e){} }
@@ -2314,7 +2349,7 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
   })();
   </script>
   <script nonce="${nonce}">
-  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};
+  var LIVECFG={supaUrl:${JSON.stringify(supaUrl || "")},supaKey:${JSON.stringify(supaKey || "")},hostAuthKey:${JSON.stringify(cleSessionHote())},liveAuthKey:${JSON.stringify(CLE_SESSION_PLAYER)},guestKey:${JSON.stringify(CLE_INVITE)}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};
   ${LIVE_JS}
   ${MAP_JS}
   (function(){
@@ -2337,19 +2372,19 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
     // « Reprendre la main » : si le membre connecté (même origine) devient propriétaire de CETTE présentation
     // (après un transfert), on affiche un bouton pour ouvrir la visionneuse en pilotage — sinon on ne peut pas
     // piloter depuis la page audience.
-    function appTok(){ try{ var raw=localStorage.getItem('3dd-supabase-auth'); if(!raw)return''; var s=JSON.parse(raw); return (s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||''; }catch(e){return'';} }
+    function appTok(){ try{ var raw=localStorage.getItem(LIVECFG.hostAuthKey||''); if(!raw)return''; var s=JSON.parse(raw); return (s&&(s.access_token||(s.currentSession&&s.currentSession.access_token)||(s.session&&s.session.access_token)))||''; }catch(e){return'';} }
     function checkOwner(){ var tk=appTok(); if(!tk)return; fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json','Authorization':'Bearer '+tk},body:JSON.stringify({action:'present-list'})}).then(function(r){return r.json();}).then(function(d){ var mine=false; if(d&&d.presentations){ for(var i=0;i<d.presentations.length;i++){ if(d.presentations[i].slug===slug&&d.presentations[i].mine){mine=true;break;} } } var b=document.getElementById('takeOver'); if(b)b.style.display=mine?'inline-flex':'none'; }).catch(function(){}); }
     function startOwnerWatch(){ var b=document.getElementById('takeOver'); if(b&&!b._w){b._w=1;b.addEventListener('click',function(){ location.href='/app/documents?resume='+encodeURIComponent(slug); });} checkOwner(); setInterval(checkOwner,12000); }
     var me=Live.detectMember();
     if(me){ Live.connect(slug, me); startOwnerWatch(); return; }
-    var saved=null; try{ saved=JSON.parse(localStorage.getItem('3dd-present-me')||'null'); }catch(e){}
+    var saved=null; try{ saved=JSON.parse(localStorage.getItem(LIVECFG.guestKey||'dmp-present-me')||'null'); }catch(e){}
     if(saved&&saved.name){ Live.connect(slug, saved); return; }
     // Externe : on demande le nom pour participer.
     var o=document.createElement('div'); o.className='join';
     o.innerHTML='<div class=join-card><h4>Rejoindre la présentation</h4><p>Votre nom pour participer à la discussion.</p><input id=jName placeholder="Votre nom" maxlength=60 autocomplete=name><input id=jMail placeholder="Email (facultatif)" maxlength=120 autocomplete=email><button id=jGo>Rejoindre</button></div>';
     document.body.appendChild(o);
     var n=o.querySelector('#jName'); try{ n.focus(); }catch(e){}
-    function go(){ var name=(n.value||'').trim()||'Invité'; var email=(o.querySelector('#jMail').value||'').trim(); var me2={name:name,email:email,avatar:'',member:false,role:'viewer'}; try{ localStorage.setItem('3dd-present-me',JSON.stringify(me2)); }catch(e){} o.parentNode&&o.parentNode.removeChild(o); Live.connect(slug, me2); }
+    function go(){ var name=(n.value||'').trim()||'Invité'; var email=(o.querySelector('#jMail').value||'').trim(); var me2={name:name,email:email,avatar:'',member:false,role:'viewer'}; try{ localStorage.setItem(LIVECFG.guestKey||'dmp-present-me',JSON.stringify(me2)); }catch(e){} o.parentNode&&o.parentNode.removeChild(o); Live.connect(slug, me2); }
     o.querySelector('#jGo').addEventListener('click',go);
     n.addEventListener('keydown',function(e){ if(e.key==='Enter') go(); });
   })();
@@ -3039,10 +3074,26 @@ async function handler(req, res) {
           file_name: pres.file_name || null,
           doc_title: pres.doc_title || null,
           updated_at: pres.updated_at || null,
-          // Qui porte le titre, d'après le serveur. La liste des participants le tirait de la charge
-          // de présence, que chacun compose : il suffisait de s'annoncer présentateur pour l'être aux
-          // yeux de tous. Une clé, pas un booléen — l'audience compare, elle ne croit pas.
-          presenter_key: await presenterKey(String(q.present || "")),
+          // ⚠️ CE CHAMP A PORTÉ `presenter_key` PENDANT UNE JOURNÉE, ET C'ÉTAIT DEUX FAUTES.
+          //
+          // 1. FUITE. `attendeeKey()` renvoie l'ADRESSE E-MAIL quand le participant en a une. La clé
+          //    du présentateur était donc son e-mail, servi à tout visiteur anonyme du lien — sur la
+          //    route même dont le commentaire ci-dessus promet « rien que ce que l'audience doit
+          //    savoir ». Le champ portait un nom technique, et personne (moi compris) n'est allé
+          //    voir ce qu'il contenait.
+          //
+          // 2. CE N'ÉTAIT PAS UNE PREUVE. Le badge comparait cette clé à l'`uid` de la charge de
+          //    présence — que le client COMPOSE. Lire la clé publique puis s'annoncer avec elle
+          //    suffisait à porter le titre. On avait remplacé « le client déclare son rôle » par
+          //    « le client déclare une valeur que le serveur lui a donnée » : plus laborieux à
+          //    exploiter, pas plus vrai.
+          //
+          // ⚠️ Comparer deux valeurs que le client choisit ou connaît n'est pas une preuve. Le nom
+          // du présentateur vient de l'hôte, il ne se compare à rien, et il s'affiche à part de la
+          // liste des participants — laquelle ne porte plus aucun titre.
+          //
+          // Signalé par la seconde passe d'audit (P0-4) ; la fuite n'y était pas.
+          presenter_name: String(pres.presenter_name || "") || null,
         } }));
         return;
       }

package/server/presentations.js

@@ -281,29 +281,6 @@ async function toggleReaction(slug, msgId, emoji, reactor) {
   return { ok: true, message: premierPublic(maj) };
 }
 
-/**
- * La clé du participant qui porte le titre de présentateur, telle que le SERVEUR la connaît.
- *
- * ⚠️ Elle existe parce que la liste des participants affichait le titre d'après la charge de
- * PRÉSENCE, que chacun compose lui-même : `track({role:'presenter'})` suffisait à apparaître comme
- * présentateur devant toute l'audience, avec le nom et l'avatar de son choix. Le canal ne peut pas
- * arbitrer ça — un participant légitime a le droit d'y écrire sa présence.
- *
- * Le titre est désormais accordé ici, à partir de `is_presenter`, lui-même dérivé du `control_token`.
- * Null quand personne ne l'a prouvé : mieux vaut aucun titre qu'un titre usurpé.
- */
-async function presenterKey(slug) {
-  if (!slug) return null;
-  // ⚠️ NE JAMAIS FAIRE ÉCHOUER LA RELECTURE D'ÉTAT. Cette recherche est un ajout à une route dont
-  // l'audience dépend pour savoir quelle page est affichée. Une requête de plus, c'est une raison
-  // de plus de renvoyer 500 — et perdre TOUT l'état parce qu'on n'a pas su dire qui porte un badge
-  // serait un très mauvais échange. Sans réponse : pas de clé, donc pas de titre, et le reste passe.
-  try {
-    const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&is_presenter=is.true&select=attendee_key&order=last_seen.desc&limit=1`);
-    return (Array.isArray(rows) && rows[0] && rows[0].attendee_key) || null;
-  } catch { return null; }
-}
-
 // ── Statistiques de présentation (assistance) ────────────────────────────────────────────────────────────
 // Heartbeat d'un participant : upsert de sa ligne d'assistance. On accumule le temps de présence (intervalles
 // < 60 s → un aller-retour ne gonfle pas total_ms) et l'ensemble des pages vues (page courante de la présentation).
@@ -410,4 +387,4 @@ async function listPresentationsForDoc(docId) {
 }
 
 module.exports = {
-  messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presenterKey, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };
+  messagePublic, CHAMPS_PUBLICS, init, createPresentation, getPresentation, setPage, endPresentation, addMessage, listMessages, toggleReaction, editMessage, deleteMessage, setChatLock, createUploadUrl, reclaimPresentation, touchPresentation, listActivePresentations, handoverPresentation, endPresentationByOwner, recordAttendance, presentationStats, listPresentationsForDoc, switchPresentationDoc, setPresentationContent };