discovery-media-player 0.1.30 → 0.1.32

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.30",
+  "version": "0.1.32",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -234,7 +234,11 @@ const LIVE_PANEL = `<div class="chat hidden" id=chatPanel><div class=chat-grip i
 // JS partagé : présence + chat via Supabase Realtime. Live.connect(slug, me) / Live.disconnect().
 const LIVE_JS = `
 var Live=(function(){
-  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESNAME='',seen={},msgEls={},msgData={},replyCtx=null,typers={},pdfCache={},_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
+  // ⚠️ LES DICTIONNAIRES SONT SANS PROTOTYPE, Y COMPRIS ICI. Leurs clés viennent de messages, de
+  // participants, d'URL — donc du dehors. typers est le cas vif : il est alimenté par 'typing',
+  // le SEUL événement qui croie encore son émetteur (cf. 0.1.30). Un objet nu retire la question
+  // entière au lieu de la traiter cas par cas. (audit P1-2)
+  var sb=null,ch=null,ME=null,SLUG=null,CONTROL=null,LOCKED=false,AUTHTOK=null,PRESENT=[],PRESNAME='',seen=Object.create(null),msgEls=Object.create(null),msgData=Object.create(null),replyCtx=null,typers=Object.create(null),pdfCache=Object.create(null),_tyT=0,_tyIv=0,_atIv=0,unread=0,autoOpened=false,_histDone=false,_phWired=false,_onMap=null,_onState=null,_peekT=0,MUTED=false;
   try{ MUTED=localStorage.getItem('3dd-present-mute')==='1'; }catch(e){}
   // Couper/rétablir les notifications du chat (cloche) : coupé = plus de ticker ni de pulse (badge silencieux gardé).
   function applyMute(){ var b=document.getElementById('chatMute'); if(b){b.classList.toggle('muted',MUTED);b.title=MUTED?'Réactiver les notifications du chat':'Couper les notifications du chat';} setBadge(); }
@@ -246,7 +250,9 @@ var Live=(function(){
   function onMap(fn){_onMap=fn;}
   // État de la présentation diffusé par le présentateur — même canal que la carte. Sert à se
   // passer de la lecture anonyme des tables : l'audience n'a plus besoin de lire la ligne.
-  function sendState(p){try{if(ch)ch.send({type:'broadcast',event:'state',payload:p});}catch(e){}}
+  // Un SIGNAL, pas un état. L'audience relit depuis 0.1.19 et ignore déjà cette charge ; la laisser
+  // partir donnait l'illusion qu'elle sert, et invitait le prochain à s'en resservir.
+  function sendState(){try{if(ch)ch.send({type:'broadcast',event:'state',payload:{}});}catch(e){}}
   // CHAT EN DIFFUSION. Les messages arrivaient jusqu'ici par la lecture de TABLE en temps réel,
   // qui exige que cette table soit lisible publiquement — donc, avec la clé publiable, les
   // conversations de TOUTES les présentations, pas seulement la sienne. C'était le dernier
@@ -368,7 +374,7 @@ var Live=(function(){
   function onTyping(p){if(!p||p.id===MYID)return;typers[p.id]={name:p.name,t:Date.now()};renderTyping();}
   function renderTyping(){var el=document.getElementById('chatTyping');if(!el)return;var n=Date.now(),names=[];for(var k in typers){if(n-typers[k].t<4200)names.push(typers[k].name||'Quelqu\\'un');else delete typers[k];}el.textContent=names.length?(names.slice(0,2).join(', ')+(names.length>1?' écrivent…':' écrit…')):'';}
   function openPicker(btn,id){var p=document.getElementById('emojiPick');if(!p)return;p.__id=id;var r=btn.getBoundingClientRect();p.style.left=Math.max(8,Math.min(r.left-120,window.innerWidth-200))+'px';p.style.top=Math.max(8,r.top-44)+'px';p.classList.add('open');}
-  function mentionCheck(){var t=document.getElementById('chatText'),pop=document.getElementById('mentionPop');if(!t||!pop)return;var pos=t.selectionStart||0,pre=t.value.slice(0,pos),mm=pre.match(/@([\\p{L}0-9_'.-]*)$/u);if(!mm){pop.classList.remove('open');return;}var q=(mm[1]||'').toLowerCase();var seenN={},uniq=[];(PRESENT||[]).forEach(function(p){if(!p.name)return;var k=p.name.toLowerCase();if(seenN[k]||(ME&&p.name===ME.name))return;if(q&&k.indexOf(q)<0)return;seenN[k]=1;uniq.push(p);});uniq=uniq.slice(0,6);if(!uniq.length){pop.classList.remove('open');return;}pop.__len=(mm[1]||'').length;pop.innerHTML=uniq.map(function(p,i){return '<button class="'+(i===0?'sel':'')+'" data-n="'+esc(p.name)+'"><span class=a>'+av(p.avatar,p.name)+'</span>'+esc(p.name)+'</button>';}).join('');pop.classList.add('open');}
+  function mentionCheck(){var t=document.getElementById('chatText'),pop=document.getElementById('mentionPop');if(!t||!pop)return;var pos=t.selectionStart||0,pre=t.value.slice(0,pos),mm=pre.match(/@([\\p{L}0-9_'.-]*)$/u);if(!mm){pop.classList.remove('open');return;}var q=(mm[1]||'').toLowerCase();var seenN=Object.create(null),uniq=[];(PRESENT||[]).forEach(function(p){if(!p.name)return;var k=p.name.toLowerCase();if(seenN[k]||(ME&&p.name===ME.name))return;if(q&&k.indexOf(q)<0)return;seenN[k]=1;uniq.push(p);});uniq=uniq.slice(0,6);if(!uniq.length){pop.classList.remove('open');return;}pop.__len=(mm[1]||'').length;pop.innerHTML=uniq.map(function(p,i){return '<button class="'+(i===0?'sel':'')+'" data-n="'+esc(p.name)+'"><span class=a>'+av(p.avatar,p.name)+'</span>'+esc(p.name)+'</button>';}).join('');pop.classList.add('open');}
   function pickMention(name){var t=document.getElementById('chatText'),pop=document.getElementById('mentionPop');if(!t)return;var pos=t.selectionStart||t.value.length,len=(pop&&pop.__len)||0,before=t.value.slice(0,pos-len-1),after=t.value.slice(pos),ins='@'+name+' ';t.value=before+ins+after;var np=before.length+ins.length;t.focus();try{t.setSelectionRange(np,np);}catch(e){}if(pop)pop.classList.remove('open');}
   function wire(){var s=document.getElementById('chatSend'),t=document.getElementById('chatText'),cb=document.getElementById('chatBtn'),cl=document.getElementById('chatClose'),pn=document.getElementById('chatPanel'),pb=document.getElementById('presBtn'),pp=document.getElementById('presList'),box=document.getElementById('chatMsgs'),pick=document.getElementById('emojiPick');
     if(s&&!s._w){s._w=1;s.addEventListener('click',send);
@@ -1975,9 +1981,36 @@ ${LEGAL_CSS}
     function showBar(slug){ var lk=document.getElementById('pbarLink'); if(lk) lk.value=location.origin+'/present/'+slug; var pb=document.getElementById('pbar'); if(pb) pb.style.display='flex'; }
     // Le présentateur DIFFUSE l'état qu'il vient de persister. La base reste la vérité (les
     // arrivants tardifs la relisent) ; la diffusion évite à l'audience de lire la table.
-    function diffuserEtat(extra){ if(!PRES||!window.Live)return; try{ Live.sendState(Object.assign({active:true,current_page:cur||1,file_url:CFG.present&&CFG.present.url||null,updated_at:new Date().toISOString()},extra||{})); }catch(e){} }
-    function pushPage(){ if(!PRES)return; clearTimeout(_pushT); _pushT=setTimeout(function(){ if(!PRES)return; diffuserEtat({current_page:cur||1}); fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-page',slug:PRES.slug,control:PRES.control,page:cur||1})}).catch(function(){}); },250); }
-    function endPresent(){ if(!PRES)return; diffuserEtat({active:false}); var p=PRES; PRES=null; clearInterval(_hbIv); clearCtl(p.slug); var pb=document.getElementById('pbar'); if(pb)pb.style.display='none'; try{ if(window.Live) Live.disconnect(); }catch(e){} try{ var b=JSON.stringify({action:'present-end',slug:p.slug,control:p.control}); if(navigator.sendBeacon){navigator.sendBeacon('/api/doc',new Blob([b],{type:'application/json'}));} else {fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:b,keepalive:true});} }catch(e){} }
+    // ⚠️ ÉCRIRE, PUIS SIGNALER — ET PAS L'INVERSE.
+    //
+    // Le signal partait AVANT l'écriture. L'audience relisait donc l'état pendant que la base
+    // portait encore l'ancien, et aucun second signal n'était garanti : la page tournée se perdait
+    // jusqu'au filet de resynchronisation. Le commentaire d'origine affirmait pourtant l'ordre
+    // inverse — il décrivait l'intention, pas le code.
+    //
+    // Depuis 0.1.19 le signal ne sert qu'à dire « relis » : le retarder d'un aller-retour ne coûte
+    // rien, alors que l'émettre trop tôt fait relire pour rien ET perdre le changement.
+    // (audit P0-3)
+    function diffuserEtat(){ if(!PRES||!window.Live)return; try{ Live.sendState(); }catch(e){} }
+    function pushPage(){ if(!PRES)return; clearTimeout(_pushT); _pushT=setTimeout(function(){ if(!PRES)return;
+      fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-page',slug:PRES.slug,control:PRES.control,page:cur||1})})
+        .then(function(r){ if(r&&r.ok)diffuserEtat(); })
+        .catch(function(){});
+    },250); }
+    // ⚠️ TROIS GESTES, ET L'ORDRE ÉTAIT LE PIRE DES SIX. On signalait la fin, puis on COUPAIT LE
+    // CANAL, puis on envoyait l'avis de fin. Le signal partait donc avant l'écriture (relecture sur
+    // un état périmé), et la coupure avant l'envoi. L'audience pouvait ne jamais apprendre que la
+    // présentation était terminée — jusqu'au filet, 25 s plus tard, ou jamais si elle s'était
+    // rechargée entre-temps.
+    //
+    // sendBeacon ne s'attend pas, mais il rend la main une fois la requête MISE EN FILE : signaler
+    // juste après, puis couper, respecte l'ordre autant que ce transport le permet.
+    function endPresent(){ if(!PRES)return; var p=PRES; PRES=null; clearInterval(_hbIv); clearCtl(p.slug);
+      var pb=document.getElementById('pbar'); if(pb)pb.style.display='none';
+      try{ var b=JSON.stringify({action:'present-end',slug:p.slug,control:p.control});
+        if(navigator.sendBeacon){navigator.sendBeacon('/api/doc',new Blob([b],{type:'application/json'}));}
+        else {fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:b,keepalive:true});} }catch(e){}
+      try{ if(window.Live){ Live.sendState(); Live.disconnect(); } }catch(e){} }
     // Transfert : je passe la main → je cesse de piloter SANS clôturer la présentation (le nouvel owner reprendra).
     function stopPilotingLocally(){ if(!PRES)return; var s=PRES.slug; PRES=null; clearInterval(_hbIv); clearCtl(s); var pb=document.getElementById('pbar'); if(pb)pb.style.display='none'; try{ if(window.Live) Live.disconnect(); }catch(e){} }
     function liveConnect(slug,control){ try{ if(window.Live){ var P=CFG.present||{}; Live.connect(slug,{name:P.by||'Présentateur',email:P.email||'',avatar:P.av||'',role:'presenter',member:true},control); } }catch(e){} }
@@ -2008,7 +2041,10 @@ ${LEGAL_CSS}
         }).catch(function(){});
     }
     // Carte live : persiste le contenu (present-content, JWT) → l'audience bascule/suit via Realtime.
-    function presentContent(content){ if(!PRES)return; diffuserEtat({content:content||null}); var h={'Content-Type':'application/json'}; var tk=appToken(); if(tk) h['Authorization']='Bearer '+tk; fetch('/api/doc',{method:'POST',headers:h,body:JSON.stringify({action:'present-content',slug:PRES.slug,content:content})}).catch(function(){}); }
+    function presentContent(content){ if(!PRES)return; var h={'Content-Type':'application/json'}; var tk=appToken(); if(tk) h['Authorization']='Bearer '+tk;
+      fetch('/api/doc',{method:'POST',headers:h,body:JSON.stringify({action:'present-content',slug:PRES.slug,content:content})})
+        .then(function(r){ if(r&&r.ok)diffuserEtat(); })
+        .catch(function(){}); }
     function showMap(){ if(!PRES||!window.Map3DD)return; var wrap=document.getElementById('mapWrap'); if(wrap&&wrap.classList.contains('on')){ Map3DD.enter(null,true,presentContent); return; } var init=Player.presentation.initialMapContent(); presentContent(init); Map3DD.enter(init,true,presentContent); }
     function hideMap(){ if(!window.Map3DD)return; Map3DD.exit(); presentContent(null); }
     // Mode INTÉGRÉ : la page hôte délègue sa barre de titre à celle-ci. On lui dit

package/server/presentations.js

@@ -171,7 +171,9 @@ const CHAMPS_PUBLICS = [
 ];
 function messagePublic(row) {
   if (!row || typeof row !== "object") return null;
-  const out = {};
+  // Les clés viennent d'une liste blanche interne, mais l'objet est nu quand même : la règle se
+  // relit sans avoir à vérifier d'où vient chaque clé.
+  const out = Object.create(null);
   for (const c of CHAMPS_PUBLICS) if (c in row) out[c] = row[c];
   return out;
 }
@@ -321,12 +323,14 @@ async function presentationStats(slug) {
     PLAYER.db.request(`doc_presentation_messages?slug=eq.${enc(slug)}&deleted=eq.false&select=author_email,author_name&limit=1000`),
   ]);
   const msgs = Array.isArray(msgRows) ? msgRows : [];
-  const msgByKey = {};
-  msgs.forEach((m) => { const k = lc(m.author_email) || ("name:" + (m.author_name || "")); msgByKey[k] = (msgByKey[k] || 0) + 1; });
+  // ⚠️ Une `Map` : la clé est l'e-mail ou le nom d'un participant, donc une donnée du dehors.
+  // Avec un objet, `msgByKey["__proto__"]` traverse le prototype au lieu de compter. (audit P1-2)
+  const msgByKey = new Map();
+  msgs.forEach((m) => { const k = lc(m.author_email) || ("name:" + (m.author_name || "")); msgByKey.set(k, (msgByKey.get(k) || 0) + 1); });
   const attendees = (Array.isArray(attRows) ? attRows : []).map((a) => {
     const k = lc(a.email) || ("name:" + (a.name || ""));
     const pages = Array.isArray(a.pages) ? a.pages : [];
-    return { name: a.name, email: a.email, avatar: a.avatar, isMember: !!a.is_member, isPresenter: !!a.is_presenter, firstSeen: a.first_seen, lastSeen: a.last_seen, totalMs: Number(a.total_ms || 0), pages, pagesCount: pages.length, msgCount: msgByKey[k] || 0 };
+    return { name: a.name, email: a.email, avatar: a.avatar, isMember: !!a.is_member, isPresenter: !!a.is_presenter, firstSeen: a.first_seen, lastSeen: a.last_seen, totalMs: Number(a.total_ms || 0), pages, pagesCount: pages.length, msgCount: msgByKey.get(k) || 0 };
   });
   const viewers = attendees.filter((a) => !a.isPresenter);
   const start = new Date(pres.created_at || 0).getTime();
@@ -375,15 +379,15 @@ async function listPresentationsForDoc(docId) {
   const rows = await PLAYER.db.request(`doc_presentations?doc_id=eq.${enc(String(docId))}&select=slug,presenter_name,owner_name,current_page,active,created_at,updated_at&order=created_at.desc&limit=50`);
   const list = Array.isArray(rows) ? rows : [];
   // UNE requête groupée (in.(…)) au lieu d'une par présentation (N+1, jusqu'à 50) ; agrégation en mémoire.
-  const counts = {};
+  const counts = new Map();
   if (list.length) {
     try {
       const slugs = list.map((p) => enc(p.slug)).join(",");
       const att = await PLAYER.db.request(`doc_presentation_attendees?slug=in.(${slugs})&is_presenter=eq.false&select=slug&limit=5000`);
-      for (const a of Array.isArray(att) ? att : []) counts[a.slug] = (counts[a.slug] || 0) + 1;
+      for (const a of Array.isArray(att) ? att : []) counts.set(a.slug, (counts.get(a.slug) || 0) + 1);
     } catch { /* best-effort : compteurs à 0 */ }
   }
-  return list.map((p) => ({ slug: p.slug, presenterName: p.presenter_name, ownerName: p.owner_name, currentPage: p.current_page || 1, active: !!p.active, createdAt: p.created_at, endedAt: p.active ? null : p.updated_at, attendees: counts[p.slug] || 0 }));
+  return list.map((p) => ({ slug: p.slug, presenterName: p.presenter_name, ownerName: p.owner_name, currentPage: p.current_page || 1, active: !!p.active, createdAt: p.created_at, endedAt: p.active ? null : p.updated_at, attendees: counts.get(p.slug) || 0 }));
 }
 
 module.exports = {

package/server/shares.js

@@ -123,9 +123,13 @@ async function listSharesForDoc(docId, owner) {
   ]);
   const shareList = Array.isArray(shares) ? shares : [];
   const viewList = Array.isArray(views) ? views : [];
-  const bySlug = {};
+  // Le slug est engendré par le serveur, donc celui-ci n'était pas atteignable — on le convertit
+  // quand même. Un agrégateur qui doit se justifier au cas par cas finit par se tromper de cas :
+  // la règle « toute clé venue d'une ligne va dans une Map » se relit sans réfléchir.
+  const bySlug = new Map();
   for (const v of viewList) {
-    const s = (bySlug[v.slug] = bySlug[v.slug] || { opens: 0, maxPage: 0, seconds: 0, sessions: new Set(), lastAt: null });
+    let s = bySlug.get(v.slug);
+    if (!s) { s = { opens: 0, maxPage: 0, seconds: 0, sessions: new Set(), lastAt: null }; bySlug.set(v.slug, s); }
     if (v.event === "open") s.opens++;
     const mp = Math.max(Number(v.page) || 0, Number(v.max_page) || 0);
     if (mp > s.maxPage) s.maxPage = mp;
@@ -134,17 +138,18 @@ async function listSharesForDoc(docId, owner) {
     s.lastAt = v.at;
   }
   const enriched = shareList.map((sh) => {
-    const a = bySlug[sh.slug] || { opens: 0, maxPage: 0, seconds: 0, sessions: new Set(), lastAt: null };
+    const a = bySlug.get(sh.slug) || { opens: 0, maxPage: 0, seconds: 0, sessions: new Set(), lastAt: null };
     return { slug: sh.slug, parent_slug: sh.parent_slug || null, recipient_email: sh.recipient_email, recipient_name: sh.recipient_name, created_by: sh.created_by, created_at: sh.created_at, revoked: sh.revoked, opens: a.opens, sessions: a.sessions.size, maxPage: a.maxPage, seconds: a.seconds, lastAt: a.lastAt };
   });
   // Entonnoir de lecture : page max atteinte PAR SESSION → combien de lecteurs ont atteint AU MOINS la page p.
-  const sessMax = {};
+  // ⚠️ UNE `Map`, PAS UN OBJET — la clé vient du dehors. Voir l'explication complète sur `byDoc`.
+  const sessMax = new Map();
   for (const v of viewList) {
     const sid = v.session_id || v.slug;
     const mp = Math.max(Number(v.page) || 0, Number(v.max_page) || 0);
-    if (mp > 0) sessMax[sid] = Math.max(sessMax[sid] || 0, mp);
+    if (mp > 0) sessMax.set(sid, Math.max(sessMax.get(sid) || 0, mp));
   }
-  const reached = Object.values(sessMax);
+  const reached = [...sessMax.values()];
   const maxReached = reached.reduce((m, x) => Math.max(m, x), 0);
   const funnel = [];
   for (let p = 1; p <= maxReached; p++) funnel.push(reached.filter((x) => x >= p).length);
@@ -176,29 +181,55 @@ async function overview() {
     PLAYER.db.selectAll(`commercial_doc_internal_sessions?select=doc_id,user_email,last_at&last_at=gte.${since}&order=last_at.asc`).catch(() => []),
   ]);
   const list = Array.isArray(views) ? views : [];
-  const byDoc = {};
+  // ⚠️ POURQUOI DES `Map` DANS TOUT CE FICHIER, ET PAS DES OBJETS.
+  //
+  // Ces agrégateurs étaient des `{}` indexés par des identifiants, des e-mails, des sessions —
+  // tous venus du dehors. Une clé héritée y a une sémantique spéciale, et `X[k] = X[k] || {…}`
+  // suffit à tout casser :
+  //
+  //   `byDoc["__proto__"]` ne rend pas `undefined`, il rend `Object.prototype` — qui est VRAI.
+  //   Le `|| {…}` ne se déclenche donc pas, et `a` DEVIENT le prototype. Ensuite `a.opens++`
+  //   écrit `Object.prototype.opens = NaN`, et `a.readers.add(…)` lève sur `undefined`.
+  //
+  // ⚠️ Reproduit avec une seule ligne : `TypeError` immédiate, ET la propriété reste sur le
+  // prototype POUR TOUT LE PROCESSUS. Sur une instance serverless tiède, la pollution survit aux
+  // requêtes suivantes : chaque objet du processus porte alors un `opens`, et n'importe quel
+  // `if (x.opens)` ailleurs devient faux. Une ligne de table pour empoisonner un processus.
+  //
+  // `user_email` est atteignable sans authentification tant que `PLAYER_INTERNAL_STRICT` n'est pas
+  // posé (cf. 0.1.22), donc ce n'est pas théorique.
+  //
+  // Une `Map` n'a pas de prototype à traverser : ses clés sont des données, pas des noms de
+  // propriétés. C'est la seule forme qui n'a rien à se rappeler. La garde statique, elle, filtrait
+  // sur des NOMS DE VARIABLES (`id`, `k`, `sid` en étaient absents) — une alarme, jamais une
+  // barrière. (audit P1-2)
+  const byDoc = new Map();
   for (const v of list) {
     const id = v.doc_id || "";
     if (!id) continue;
-    const a = (byDoc[id] = byDoc[id] || { opens: 0, readers: new Set(), maxPage: 0, lastAt: null });
+    let a = byDoc.get(id);
+    if (!a) { a = { opens: 0, readers: new Set(), maxPage: 0, lastAt: null }; byDoc.set(id, a); }
     if (v.event === "open") a.opens++;
     if (v.session_id) a.readers.add(v.session_id);
     a.maxPage = Math.max(a.maxPage, Number(v.page) || 0, Number(v.max_page) || 0);
     a.lastAt = v.at;
   }
-  const intByDoc = {};
+  const intByDoc = new Map();
   for (const s of Array.isArray(internal) ? internal : []) {
     const id = s.doc_id || "";
     if (!id) continue;
-    const b = (intByDoc[id] = intByDoc[id] || { opens: 0, users: new Set(), lastAt: null });
+    let b = intByDoc.get(id);
+    if (!b) { b = { opens: 0, users: new Set(), lastAt: null }; intByDoc.set(id, b); }
     b.opens++;
     if (s.user_email) b.users.add(String(s.user_email).toLowerCase());
     b.lastAt = s.last_at;
   }
-  const out = {};
-  for (const id of new Set([...Object.keys(byDoc), ...Object.keys(intByDoc)])) {
-    const a = byDoc[id] || { opens: 0, readers: new Set(), maxPage: 0, lastAt: null };
-    const b = intByDoc[id] || { opens: 0, users: new Set(), lastAt: null };
+  // La sortie est rendue en JSON : un objet SANS prototype, pour qu'une clé héritée y reste une
+  // clé ordinaire jusqu'au bout de la chaîne.
+  const out = Object.create(null);
+  for (const id of new Set([...byDoc.keys(), ...intByDoc.keys()])) {
+    const a = byDoc.get(id) || { opens: 0, readers: new Set(), maxPage: 0, lastAt: null };
+    const b = intByDoc.get(id) || { opens: 0, users: new Set(), lastAt: null };
     out[id] = { opens: a.opens, readers: a.readers.size, maxPage: a.maxPage, lastAt: a.lastAt, internalOpens: b.opens, internalReaders: b.users.size, internalLastAt: b.lastAt };
   }
   return out;
@@ -242,9 +273,9 @@ async function listSessionsForDoc(docId) {
     PLAYER.db.request(`commercial_doc_sessions?doc_id=eq.${id}&select=*&order=last_at.desc&limit=500`),
     PLAYER.db.request(`commercial_doc_shares?doc_id=eq.${id}&is_test=not.is.true&select=slug,recipient_email,recipient_name`),
   ]);
-  const nameBySlug = {};
-  for (const sh of (Array.isArray(shares) ? shares : [])) nameBySlug[sh.slug] = sh.recipient_name || null;
-  return (Array.isArray(sessions) ? sessions : []).map((s) => ({ ...s, recipient_name: nameBySlug[s.slug] || null }));
+  const nameBySlug = new Map();
+  for (const sh of (Array.isArray(shares) ? shares : [])) nameBySlug.set(sh.slug, sh.recipient_name || null);
+  return (Array.isArray(sessions) ? sessions : []).map((s) => ({ ...s, recipient_name: nameBySlug.get(s.slug) || null }));
 }
 
 // Envoi AUTO du re-partage via 3D Discovery (Resend). Contenu 100% templé (pas de texte libre → anti-spam),
@@ -347,17 +378,19 @@ async function upsertInternalSession(p, { ip, ua }) {
 async function internalStatsForDoc(docId) {
   const rows = await PLAYER.db.request(`commercial_doc_internal_sessions?doc_id=eq.${enc(String(docId || ""))}&select=user_email,user_name,max_page,total_seconds,last_at&order=last_at.desc&limit=500`);
   const list = Array.isArray(rows) ? rows : [];
-  const byUser = {};
+  // ⚠️ La clé est un e-mail que l'appelant choisit — c'est le cas atteignable sans authentification.
+  const byUser = new Map();
   for (const r of list) {
     const k = low(r.user_email) || (r.user_name || "?");
-    const u = (byUser[k] = byUser[k] || { email: r.user_email || null, name: r.user_name || null, opens: 0, maxPage: 0, seconds: 0, lastAt: null });
+    let u = byUser.get(k);
+    if (!u) { u = { email: r.user_email || null, name: r.user_name || null, opens: 0, maxPage: 0, seconds: 0, lastAt: null }; byUser.set(k, u); }
     u.opens++;
     u.maxPage = Math.max(u.maxPage, Number(r.max_page) || 0);
     u.seconds += Number(r.total_seconds) || 0;
     if (!u.lastAt || r.last_at > u.lastAt) u.lastAt = r.last_at;
     if (!u.name && r.user_name) u.name = r.user_name;
   }
-  const users = Object.values(byUser).sort((a, b) => (b.lastAt || "").localeCompare(a.lastAt || ""));
+  const users = [...byUser.values()].sort((a, b) => (b.lastAt || "").localeCompare(a.lastAt || ""));
   return { opens: list.length, readers: users.length, lastAt: list[0]?.last_at || null, users };
 }