discovery-media-player 0.1.50 → 0.1.52

package/context/standalone.js

@@ -164,6 +164,13 @@ function creerLimites(db, journal) {
     return true;
   }
 
+  let deja = "";
+  function prevenirUneFois(message) {
+    if (deja === message) return;
+    deja = message;
+    try { journal.capture(new Error(message), { route: "limits" }); } catch { /* jamais bloquant */ }
+  }
+
   async function tablePresente() {
     if (partageDisponible !== null) return partageDisponible;
     try {
@@ -191,28 +198,36 @@ function creerLimites(db, journal) {
       if (PREFIXES_LOCAUX.some((p) => String(cle).startsWith(p))) return true;
       if (!(await tablePresente())) return true;
 
-      // Étage 2 : le compte partagé. ⚠️ Échec ouvert — une limite injoignable ne doit pas empêcher
-      // de lire un document. Un 429 raté coûte moins cher qu'une visionneuse morte.
+      // Étage 2 : le compte partagé, en UN SEUL GESTE.
+      //
+      // ⚠️ IL EN FAISAIT TROIS — lire, calculer, écrire — et sous charge, c'est-à-dire exactement
+      // quand une limite sert à quelque chose, plusieurs requêtes lisaient le même compte et
+      // écrivaient chacune « ce compte + 1 ». Vingt requêtes simultanées sur une limite de dix
+      // passaient toutes. Une limite qui ne tient que lorsque personne ne pousse ne limite rien.
+      //
+      // ⚠️ Échec OUVERT, et c'est délibéré : une limite injoignable ne doit pas empêcher de lire un
+      // document. Un 429 raté coûte moins cher qu'une visionneuse morte. Mais l'ouverture se DIT,
+      // une fois — un compteur qui ne compte plus en silence est pire qu'un compteur absent.
       try {
-        const fin = new Date(Date.now() + fenetreSecondes * 1000).toISOString();
-        const lignes = await db.request(`player_rate_limits?key=eq.${encodeURIComponent(cle)}&select=count,expires_at&limit=1`);
-        const ligne = Array.isArray(lignes) && lignes[0];
-        const vivante = ligne && new Date(ligne.expires_at).getTime() > Date.now();
-        if (!vivante) {
-          await db.request("player_rate_limits", {
-            method: "POST",
-            headers: { Prefer: "resolution=merge-duplicates,return=minimal" },
-            body: [{ key: String(cle), count: 1, expires_at: fin }],
-          });
-          return true;
-        }
-        if (Number(ligne.count || 0) >= max) return false;
-        await db.request(`player_rate_limits?key=eq.${encodeURIComponent(cle)}`, {
-          method: "PATCH", headers: { Prefer: "return=minimal" },
-          body: { count: Number(ligne.count || 0) + 1 },
+        const r = await db.request("rpc/player_rate_limit_bump", {
+          method: "POST",
+          body: { p_key: String(cle), p_max: max, p_window_seconds: fenetreSecondes },
         });
+        const ligne = Array.isArray(r) ? r[0] : r;
+        if (ligne && typeof ligne.autorise === "boolean") return ligne.autorise;
+        // Réponse d'une forme qu'on ne comprend pas : on n'invente pas un verdict.
+        prevenirUneFois("compteurs de débit : réponse inattendue de player_rate_limit_bump");
         return true;
-      } catch {
+      } catch (erreur) {
+        // ⚠️ LA FONCTION PEUT SIMPLEMENT NE PAS ÊTRE LÀ — un hôte qui n'a pas appliqué la migration
+        // reçoit un 404 de PostgREST, indiscernable ici d'une panne. Dans les deux cas on laisse
+        // passer ; dans les deux cas on le dit, en NOMMANT le fichier à appliquer. C'est la règle
+        // du chemin de migration : dégrader, jamais casser, et ne jamais dégrader en silence.
+        prevenirUneFois(
+          "compteurs de débit non atomiques : appliquez supabase/migrations/0004-limites-atomiques.sql. "
+          + "Sans elle, plusieurs requêtes simultanées peuvent dépasser la limite ensemble. "
+          + "(" + ((erreur && erreur.message) || erreur) + ")",
+        );
         return true;
       }
     },

package/docs/HOST-CONTRACT.md

@@ -76,8 +76,17 @@ This matters because nothing announced the difference: on serverless, several ex
 parallel and start cold, so a limit of 120/hour allowed 120 **per instance**. It existed, it
 reassured, and it bounded a fraction of what it claimed.
 
-Requires `supabase/migrations/0003-limites-partagees.sql`. **Until it is applied, nothing breaks**:
-counting falls back to memory — the previous behaviour — and the host is told once, by name.
+Requires `supabase/migrations/0003-limites-partagees.sql` **and**
+`0004-limites-atomiques.sql`. **Until they are applied, nothing breaks**: counting falls back —
+to memory without the first, to a non-atomic read-modify-write without the second — and the host is
+told once, by name.
+
+⚠️ **The second one is what makes the counter hold under load.** Reading, computing and writing as
+three steps means that several simultaneous requests read the same count and each write "that count
+plus one" — so they cross the ceiling together, precisely when a limit is supposed to matter. The
+atomic increment is **not expressible in REST** (`on conflict do update set count = count + 1` has
+to name the column on both sides), which is why this one operation, and only this one, goes through
+a database function.
 
 Two deliberate exceptions, both written next to the code:
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.50",
+  "version": "0.1.52",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/browser.generated.js

@@ -4,4 +4,4 @@
 // Injecté par api/doc.js dans un <script nonce=…> de la visionneuse. Le code navigateur du
 // player vit en modules TypeScript testés sous player/src/ — c'est ici qu'il atterrit.
 "use strict";
-module.exports = { PLAYER_BROWSER_JS: "\"use strict\";var Player=(()=>{var C=Object.defineProperty,Ue=Object.defineProperties,De=Object.getOwnPropertyDescriptor,We=Object.getOwnPropertyDescriptors,Ve=Object.getOwnPropertyNames,ye=Object.getOwnPropertySymbols;var Me=Object.prototype.hasOwnProperty,ze=Object.prototype.propertyIsEnumerable;var ve=(e,n,t)=>n in e?C(e,n,{enumerable:!0,configurable:!0,writable:!0,value:t}):e[n]=t,B=(e,n)=>{for(var t in n||(n={}))Me.call(n,t)&&ve(e,t,n[t]);if(ye)for(var t of ye(n))ze.call(n,t)&&ve(e,t,n[t]);return e},xe=(e,n)=>Ue(e,We(n));var v=(e,n)=>{for(var t in n)C(e,t,{get:n[t],enumerable:!0})},Fe=(e,n,t,r)=>{if(n&&typeof n==\"object\"||typeof n==\"function\")for(let o of Ve(n))!Me.call(e,o)&&o!==t&&C(e,o,{get:()=>n[o],enumerable:!(r=De(n,o))||r.enumerable});return e};var je=e=>Fe(C({},\"__esModule\",{value:!0}),e);var Fn={};v(Fn,{bridge:()=>L,cadence:()=>N,chat:()=>H,live:()=>$,presentation:()=>U,presentationState:()=>W,tracking:()=>O,viewer:()=>D});var L={};v(L,{onHostMessage:()=>en,onPlayerMessage:()=>Je,parseHostMessage:()=>Te,parsePlayerMessage:()=>we,sendToHost:()=>qe,sendToPlayer:()=>Qe,toWire:()=>Y});var K=\"3dd-doc-\",Ge=/^[A-Za-z0-9_-]{1,64}$/,Be=[\"close\",\"share\",\"embed-ready\",\"present-left\",\"present-denied\"],Ke=[\"embed-denied\"],Ye=[\"present-invite\",\"present-handover\",\"present-switch\"],Ze=[\"handover-done\"];function Y(e){let n={type:K+e.type};return\"slug\"in e&&e.slug&&(n.slug=e.slug),\"reason\"in e&&e.reason&&(n.reason=String(e.reason).slice(0,40)),n}function _e(e,n,t){if(!e||typeof e!=\"object\")return null;let r=e.type;if(typeof r!=\"string\"||!r.startsWith(K))return null;let o=r.slice(K.length);if(n.includes(o))return{type:o};if(Ke.includes(o)){let a=e.reason;return{type:o,reason:/^[a-z-]{1,40}$/.test(String(a||\"\"))?String(a):\"unknown\"}}if(!t.includes(o))return null;let s=e.slug;return typeof s!=\"string\"||!Ge.test(s)?null:{type:o,slug:s}}function we(e){return _e(e,Be,Ye)}function Te(e){return _e(e,Ze,[])}function qe(e,n){try{let t=n||(typeof window!=\"undefined\"?window.parent:null);t&&t.postMessage(Y(e),\"*\")}catch(t){}}function Qe(e,n){var t;try{(t=e==null?void 0:e.contentWindow)==null||t.postMessage(Y(n),\"*\")}catch(r){}}function Xe(e,n){var r;if(!e)return!0;let t=(r=e.contentWindow)!=null?r:e;return n===t}function Je(e,n,t){let r=n||(typeof window!=\"undefined\"?window:null);if(!r)return()=>{};let o=s=>{if(!Xe(t,s.source))return;let a=we(s.data);a&&e(a)};return r.addEventListener(\"message\",o),()=>r.removeEventListener(\"message\",o)}function en(e,n){var s;let t=n||(typeof window!=\"undefined\"?window:null);if(!t)return()=>{};let r=(s=t.parent)!=null?s:null,o=a=>{if(!r||r===t||a.source!==r)return;let l=Te(a.data);l&&e(l)};return t.addEventListener(\"message\",o),()=>t.removeEventListener(\"message\",o)}var O={};v(O,{createTracker:()=>ln});var N={};v(N,{PRESENTER_ACTIONS_PER_HOUR:()=>X,PRESENT_CACHE_MS:()=>rn,PRESENT_QUOTA_MARGIN:()=>Ae,PRESENT_QUOTA_PER_HOUR:()=>on,PRESENT_READS_PER_HOUR:()=>Re,PRESENT_READ_BURST:()=>Ie,PRESENT_READ_COALESCE_MS:()=>Pe,PRESENT_RESYNC_MS:()=>Se,PRESENT_SIGNAL_BUDGET_PER_HOUR:()=>tn,PRESENT_WRITE_TIMEOUT_MS:()=>J,READERS_PER_EGRESS:()=>q,RESYNC_READS_PER_HOUR:()=>ke,SESSION_IDLE_MS:()=>Q,SESSION_INTERVAL_MS:()=>Z,SESSION_QUOTA_PER_HOUR:()=>nn,SESSION_WRITES_PER_HOUR:()=>Ee});var Z=12e3,Ee=Math.ceil(300),q=25,nn=Ee*q,Q=18e4,Se=25e3,ke=Math.ceil(36e5/Se),X=720,Re=ke+X,tn=X,Ie=20,J=1e4,Pe=400,rn=Pe,Ae=4,on=(Re+Ie)*q*Ae;var sn=[\"mousemove\",\"mousedown\",\"keydown\",\"wheel\",\"touchstart\",\"pointerdown\"];function an(){let e=typeof globalThis!=\"undefined\"?globalThis.crypto:void 0;if(e&&typeof e.randomUUID==\"function\")return e.randomUUID().replace(/-/g,\"\");if(e&&typeof e.getRandomValues==\"function\"){let n=e.getRandomValues(new Uint8Array(16));return Array.from(n,t=>t.toString(16).padStart(2,\"0\")).join(\"\")}return Math.random().toString(36).slice(2)+Date.now().toString(36)}function un(e,n){return t=>{try{let r=JSON.stringify(t),o=n.navigator;o&&typeof o.sendBeacon==\"function\"?o.sendBeacon(e,new Blob([r],{type:\"application/json\"})):n.fetch(e,{method:\"POST\",headers:{\"Content-Type\":\"application/json\"},body:r,keepalive:!0})}catch(r){}}}function ln(e={}){var ge,be;let n=e.win||(typeof window!=\"undefined\"?window:null),t=e.doc||n&&n.document,r=e.now||(()=>Date.now()),o=e.endpoint||\"/api/doc\",s=(ge=e.idleMs)!=null?ge:Q,a=(be=e.sessionEveryMs)!=null?be:12e3,l=e.slug||\"\",d=e.internal||null,m=e.sessionId||an(),p=e.send||un(o,n),c={},u=0,g=0,f=0,M=0,y=null,E=r(),S=!1,V=!1,P=[],He=()=>!!l||!!d,ce=i=>{if(He())try{p(i)}catch(b){}},z=()=>!!t&&t.visibilityState===\"visible\"&&!S,de=i=>{let b=r()-i,_=Math.max(0,E-i)+s;return Math.max(0,Math.min(b,_))},F=()=>{y!=null&&u>0&&(c[u]=(c[u]||0)+de(y)/1e3),y=z()?r():null},pe=()=>{F(),y=null},j=()=>{y==null&&z()&&(y=r())},G=()=>{let i=0;for(let b in c)i+=c[b];return y!=null&&(i+=de(y)/1e3),Math.round(i)},fe=()=>{let i={};for(let b in c)i[b]=Math.round(c[b]);return i},k=()=>{E=r(),S&&(S=!1,j())},me=(i,b)=>{d||ce({slug:l,event:i,page:b||g,maxPage:f,seconds:G(),sessionId:m})},A=()=>{F();let i={event:\"session\",sessionId:m,numPages:M,maxPage:f,totalSeconds:G(),pagesTime:fe()};d?(i.internal=!0,i.docId=d.docId,i.email=d.email,i.name=d.name,d.it&&(i.it=d.it)):i.slug=l,ce(i)},R=(i,b,_,he)=>{!i||typeof i.addEventListener!=\"function\"||(i.addEventListener(b,_,he),P.push(()=>{i.removeEventListener(b,_,he)}))};return{sessionId:m,totalSeconds:G,maxPage:()=>f,pageTimes:fe,start(){if(V)return;V=!0,me(\"open\",1),u=1,E=r(),y=z()?r():null,R(t,\"visibilitychange\",()=>{t.visibilityState===\"hidden\"?(pe(),A()):(k(),j())}),R(n,\"focus\",()=>{k(),j()});for(let _ of sn)R(n,_,k,{passive:!0});R(e.scrollElement,\"scroll\",k,{passive:!0}),R(n,\"beforeunload\",A);let i=n.setInterval(()=>{!S&&r()-E>s&&(S=!0,pe())},5e3),b=n.setInterval(A,a);P.push(()=>{n.clearInterval(i),n.clearInterval(b)})},setPage(i){!i||i===g||(E=r(),F(),u=i,g=i,i>f&&(f=i,me(\"page\",i)))},setPageCount(i){M=i||0},noteActivity:k,flush:A,stop(){for(;P.length;){let i=P.pop();try{i==null||i()}catch(b){}}V=!1}}}var $={};v($,{STORAGE_KEYS:()=>x,attendeeKey:()=>fn,authorToken:()=>mn,avatarHtml:()=>ee,canModerate:()=>oe,createBudget:()=>Mn,createFileEcritures:()=>xn,createScheduler:()=>yn,escapeHtml:()=>h,fetchBorne:()=>vn,flattenPresence:()=>cn,formatMessageBody:()=>ne,initials:()=>Ce,isMentioned:()=>gn,isMine:()=>w,presenceId:()=>_n,reactorId:()=>re,shouldNotify:()=>bn,unreadLabel:()=>hn});var x={attendeeKey:\"3dd-present-attkey\",authorToken:\"3dd-present-authtoken\",chatMuted:\"3dd-present-mute\",presenceId:\"3dd-present-uid\"};function h(e){return String(e==null?\"\":e).replace(/&/g,\"&amp;\").replace(/</g,\"&lt;\").replace(/>/g,\"&gt;\").replace(/\"/g,\"&quot;\")}function Ce(e){let n=(e||\"?\").trim().split(/\\s+/);return(((n[0]||\"\")[0]||\"?\")+((n[1]||\"\")[0]||\"\")).toUpperCase()}function ee(e,n){return e?`<img src=\"${h(e)}\" alt=\"\">`:h(Ce(n))}function ne(e){let n=h(e);return n=n.replace(/(https?:\\/\\/[^\\s<]+)/g,t=>`<a href=\"${t}\" target=_blank rel=noreferrer class=cm-link>${t}</a>`),n=n.replace(/(^|\\s)@([\\p{L}0-9_'.-]+)/gu,(t,r,o)=>`${r}<span class=cm-mention>@${o}</span>`),n}function cn(e){let n=new Map;for(let t in e||{})for(let r of(e||{})[t]||[]){let o=String(r.uid||r.email||r.name||\"\").toLowerCase()||`_${t}_${n.size}`;(!n.get(o)||r.role===\"presenter\")&&n.set(o,r)}return[...n.values()]}function dn(e,n){try{return e?e.getItem(n):null}catch(t){return null}}function pn(e,n,t){try{e==null||e.setItem(n,t)}catch(r){}}function fn(e,n=\"anon\",t=te){try{if(!e)return`anon-${n}`;let r=e.getItem(x.attendeeKey);if(r)return r;let o=`anon-${t()}`;return e.setItem(x.attendeeKey,o),o}catch(r){return`anon-${n}`}}function te(){let e=typeof globalThis!=\"undefined\"?globalThis.crypto:void 0;if(e&&typeof e.randomUUID==\"function\")return e.randomUUID().replace(/-/g,\"\");if(e&&typeof e.getRandomValues==\"function\"){let n=e.getRandomValues(new Uint8Array(24));return Array.from(n,t=>t.toString(16).padStart(2,\"0\")).join(\"\")}try{console.warn(\"[player] crypto indisponible : jeton d'auteur affaibli\")}catch(n){}return Math.random().toString(36).slice(2)+Math.random().toString(36).slice(2)}function mn(e,n=te){let t=dn(e,x.authorToken);if(t)return t;let r=n();return pn(e,x.authorToken,r),r}function re(e){return String(e&&(e.email||e.name)||\"\").toLowerCase()}function w(e,n){return!e||!n?!1:e.author_email&&n.email?e.author_email===n.email:!e.author_email&&!n.email?e.author_name===n.name:!1}function oe(e){return!!(e&&e.role===\"presenter\")}function gn(e,n){if(!n||!n.name)return!1;let t=(n.name.split(/\\s+/)[0]||\"\").toLowerCase();return t?String(e&&e.body||\"\").toLowerCase().includes(`@${t}`)&&!w(e,n):!1}function bn(e){let{msg:n,me:t,historyLoaded:r,chatHidden:o}=e;return!r||!n||n.deleted||w(n,t)?!1:o}function hn(e){return!e||e<=0?\"\":e>9?\"9+\":String(e)}function yn(e,n={}){var g;let t=(g=n.minMs)!=null?g:300,r=n.now||(()=>Date.now()),o=n.setTimer||((f,M)=>setTimeout(f,M)),s=n.clearTimer||(f=>clearTimeout(f)),a=!1,l=!1,d=-1/0,m=null,p=!1;function c(){if(p||a){l=!0;return}let f=t-(r()-d);if(f>0){u(f);return}a=!0,l=!1,d=r();let M=!1;e(()=>{M||(M=!0,a=!1,l&&!p&&c())})}function u(f){p||m!==null||(m=o(()=>{m=null,c()},Math.max(0,f)))}return{signaler(){p||c()},maintenant(){p||(d=-1/0,c())},arreter(){p=!0,m!==null&&(s(m),m=null)}}}function vn(e,n,t=J,r={}){let o=r.fetch||(typeof fetch==\"function\"?fetch:void 0);if(!o)return Promise.reject(new Error(\"fetch indisponible\"));let s=r.setTimer||((u,g)=>setTimeout(u,g)),a=r.clearTimer||(u=>clearTimeout(u)),l=null;try{l=new AbortController}catch(u){}let d=l?xe(B({},n||{}),{signal:l.signal}):B({},n||{}),m=null,p=new Promise((u,g)=>{m=s(()=>{try{l==null||l.abort()}catch(f){}g(new Error(\"delai\"))},t)}),c=()=>{try{a(m)}catch(u){}};return Promise.race([o(e,d),p]).then(u=>(c(),u),u=>{throw c(),u})}function Mn(e){let n=e.now||(()=>Date.now()),t=Math.max(1,e.rafale),r=t,o=n();return{prendre(){let s=n();return r=Math.min(t,r+(s-o)*e.parHeure/36e5),o=s,r<1?!1:(r-=1,!0)},restants:()=>r}}function xn(e={}){var m;let n=(m=e.minMs)!=null?m:0,t=e.now||(()=>Date.now()),r=e.setTimer||((p,c)=>setTimeout(p,c)),o=new Map,s=!1,a=-1/0,l=!1;function d(){if(s||o.size===0)return;let p=n-(t()-a);if(p>0){if(l)return;l=!0,r(()=>{l=!1,d()},p);return}let c=o.keys().next().value,u=o.get(c);o.delete(c),s=!0,a=t(),Promise.resolve().then(u.tache).then(g=>u.regler(g),()=>u.regler(null)).then(()=>{s=!1,d()})}return{poser(p,c){return new Promise(u=>{let g=o.get(p);o.set(p,{tache:c,regler:f=>{g&&g.regler(f),u(f)}}),d()})},enAttente:()=>o.size}}function _n(e,n=te){try{if(e){let t=e.getItem(x.presenceId);if(t)return t;let r=`p-${n()}`;return e.setItem(x.presenceId,r),r}}catch(t){}return`p-${n()}`}var H={};v(H,{messageClassName:()=>Tn,renderActions:()=>Oe,renderAttachment:()=>Ne,renderMessage:()=>wn,renderReactions:()=>Le});function Le(e,n){let t=e&&e.reactions||{},r=re(n),o=\"\";for(let s in t){let a=t[s]||[];if(!a.length)continue;let l=a.indexOf(r)>=0;o+=`<button class=\"re-chip${l?\" on\":\"\"}\" data-e=\"${h(s)}\">${h(s)} ${a.length}</button>`}return o}function Ne(e){if(!e||!e.url)return\"\";let n=h(e.url);if(e.kind===\"image\")return`<a class=cm-att href=\"${n}\" target=_blank rel=noreferrer><img src=\"${n}\" alt=\"\" loading=lazy></a>`;let t=h(e.name||\"Document.pdf\");return`<a class=cm-att-pdf href=\"${n}\" target=_blank rel=noreferrer data-pdf=\"${n}\"><span class=cm-att-ph></span><span class=cm-pdflabel>${t}</span></a>`}function Oe(e,n){let t=w(e,n.me),r=`<button class=cm-react title=\"R\\xE9agir\">${n.reactIcon||\"\"}</button><button class=cm-reply title=\"R\\xE9pondre\">\\u21A9</button>`;return t&&(r+='<button class=cm-edit title=\"Modifier\">\\u270E</button>'),(t||oe(n.me))&&(r+='<button class=cm-del-btn title=\"Supprimer\">\\u{1F5D1}</button>'),r}function wn(e,n){if(e.deleted)return'<span class=a></span><span class=b><div class=\"txt cm-del\">Message supprim\\xE9</div></span>';let t=e.reply_to?`<div class=cm-q><b>${h(e.reply_name||\"\")}</b> ${h(e.reply_text||\"\")}</div>`:\"\",r=e.edited?\" <span class=cm-ed>(modifi\\xE9)</span>\":\"\",o=e.body?`<div class=txt>${ne(e.body)}${r}</div>`:\"\",s=e.is_presenter?\" <span class=tag>pr\\xE9sentateur</span>\":\"\";return`<span class=a>${ee(e.author_avatar,e.author_name)}</span><span class=b><div class=who><b>${h(e.author_name||\"Invit\\xE9\")}</b>${s}</div>`+t+o+Ne(e.attachment)+`<div class=cm-re>${Le(e,n.me)}</div></span><span class=cm-act>${Oe(e,n)}</span>`}function Tn(e,n,t){return\"cm\"+(w(e,n)?\" me\":\"\")+(e.deleted?\" isdel\":\"\")+(t?\" mentioned\":\"\")}var U={};v(U,{DEFAULT_CENTER:()=>ae,DEFAULT_ZOOM:()=>ue,MAP_TYPES:()=>I,cycleMapType:()=>En,initialMapContent:()=>kn,mapTypeLabel:()=>Sn,sanitizeContent:()=>le});var I=[\"roadmap\",\"satellite\",\"hybrid\"],ae=[46.6,2.5],ue=6;function T(e){let n=Number(e);return Number.isFinite(n)?n:null}function ie(e){if(!Array.isArray(e))return null;let n=T(e[0]),t=T(e[1]);return n!=null&&t!=null?[n,t]:null}var se=(e,n,t)=>Math.max(n,Math.min(t,e));function le(e){if(!e||typeof e!=\"object\")return null;let n=e;if(n.kind===\"pdf\"||n.kind==null)return null;if(n.kind===\"streetview\"){let t=ie(n.position);if(!t)return null;let r=n.pov&&typeof n.pov==\"object\"?n.pov:null,o=r?{heading:T(r.heading)||0,pitch:se(T(r.pitch)||0,-90,90)}:{heading:0,pitch:0};return{kind:\"streetview\",position:t,pov:o,zoom:se(T(n.zoom)||1,0,5)}}return n.kind!==\"map\"?null:{kind:\"map\",center:ie(n.center)||[...ae],zoom:se(Math.trunc(T(n.zoom)||ue),1,21),marker:ie(n.marker),mapType:I.includes(n.mapType)?n.mapType:null,label:String(n.label||\"\").slice(0,160)||null}}function En(e){let n=I.indexOf(e);return I[(n+1)%I.length]}function Sn(e){return e===\"roadmap\"?\"\\u{1F6F0} Satellite\":e===\"satellite\"?\"\\u{1F5FA} Hybride\":\"\\u{1F5FA} Plan\"}function kn(){return{kind:\"map\",center:[...ae],zoom:ue,marker:null,mapType:null,label:null}}var D={};v(D,{CURRENT_PAGE_MARGIN:()=>Ln,DEFAULT_ASPECT:()=>Pn,MAX_ZOOM:()=>In,MIN_PAGE_WIDTH:()=>An,MIN_ZOOM:()=>Rn,PRERENDER_MARGIN:()=>Cn,arrowState:()=>$n,averageColor:()=>Dn,clampPage:()=>$e,clampZoom:()=>Nn,fitWidth:()=>Un,isImageDocument:()=>Wn,progressPercent:()=>On});var Rn=.5,In=3,Pn=1.35,An=280,Cn=\"500px 0px\",Ln=\"-48% 0px -48% 0px\";function Nn(e){let n=Math.round((Number(e)||0)*10)/10;return Math.max(.5,Math.min(3,n))}function $e(e,n){return Math.max(1,Math.min(n||1,Number(e)||1))}function On(e,n){return n?Math.round($e(e,n)/n*100):0}function $n(e,n){return{prevDisabled:e<=1,nextDisabled:!!n&&e>=n}}var Hn=28;function Un(e){var a;let n=(a=e.zoom)!=null?a:1,t=Math.max(280,e.containerWidth||900)*n;if(!e.onePage)return t;let r=e.aspect||1.35,s=((e.containerHeight||600)-Hn-(e.overlap||0)-(e.reserve||0))/r;return s>120?Math.min(t,s):t}function Dn(e){let n=e.length/4;if(!n)return\"rgb(0,0,0)\";let t=0,r=0,o=0;for(let s=0;s<e.length;s+=4)t+=e[s],r+=e[s+1],o+=e[s+2];return`rgb(${Math.round(t/n)},${Math.round(r/n)},${Math.round(o/n)})`}function Wn(e,n){return/[.](png|jpe?g|webp|gif|avif)($|[?])/i.test(String(e||n||\"\"))}var W={};v(W,{presentationTransition:()=>Vn,switchDocUrl:()=>zn});function Vn(e,n={}){if(!e)return[{kind:\"nothing\"}];if(e.active===!1)return[{kind:\"ended\"}];let t=le(e.content);if(t)return[{kind:\"show-map\",content:t}];let r=[{kind:\"leave-map\"}];return e.file_url&&e.file_url!==n.docUrl?(r.push({kind:\"switch-doc\",url:e.file_url,name:e.file_name||void 0,title:e.doc_title||void 0,updatedAt:e.updated_at||void 0}),r):(e.current_page&&r.push({kind:\"show-page\",page:e.current_page}),r)}function zn(e,n){let t=encodeURIComponent(n||String(Date.now()));return`${e}${e.includes(\"?\")?\"&\":\"?\"}v=${t}`}return je(Fn);})();", SOURCE_HASH: "6388a573408bb1f8" };
+module.exports = { PLAYER_BROWSER_JS: "\"use strict\";var Player=(()=>{var C=Object.defineProperty,He=Object.defineProperties,De=Object.getOwnPropertyDescriptor,We=Object.getOwnPropertyDescriptors,Be=Object.getOwnPropertyNames,he=Object.getOwnPropertySymbols;var we=Object.prototype.hasOwnProperty,Ve=Object.prototype.propertyIsEnumerable;var ve=(e,n,t)=>n in e?C(e,n,{enumerable:!0,configurable:!0,writable:!0,value:t}):e[n]=t,G=(e,n)=>{for(var t in n||(n={}))we.call(n,t)&&ve(e,t,n[t]);if(he)for(var t of he(n))Ve.call(n,t)&&ve(e,t,n[t]);return e},Me=(e,n)=>He(e,We(n));var v=(e,n)=>{for(var t in n)C(e,t,{get:n[t],enumerable:!0})},ze=(e,n,t,r)=>{if(n&&typeof n==\"object\"||typeof n==\"function\")for(let o of Be(n))!we.call(e,o)&&o!==t&&C(e,o,{get:()=>n[o],enumerable:!(r=De(n,o))||r.enumerable});return e};var Fe=e=>ze(C({},\"__esModule\",{value:!0}),e);var Gn={};v(Gn,{bridge:()=>L,cadence:()=>N,chat:()=>$,live:()=>U,presentation:()=>H,presentationState:()=>W,tracking:()=>O,viewer:()=>D});var L={};v(L,{onHostMessage:()=>en,onPlayerMessage:()=>Je,parseHostMessage:()=>_e,parsePlayerMessage:()=>Te,sendToHost:()=>qe,sendToPlayer:()=>Qe,toWire:()=>Y});var K=\"3dd-doc-\",je=/^[A-Za-z0-9_-]{1,64}$/,Ge=[\"close\",\"share\",\"embed-ready\",\"present-left\",\"present-denied\"],Ke=[\"embed-denied\"],Ye=[\"present-invite\",\"present-handover\",\"present-switch\"],Ze=[\"handover-done\"];function Y(e){let n={type:K+e.type};return\"slug\"in e&&e.slug&&(n.slug=e.slug),\"reason\"in e&&e.reason&&(n.reason=String(e.reason).slice(0,40)),n}function xe(e,n,t){if(!e||typeof e!=\"object\")return null;let r=e.type;if(typeof r!=\"string\"||!r.startsWith(K))return null;let o=r.slice(K.length);if(n.includes(o))return{type:o};if(Ke.includes(o)){let a=e.reason;return{type:o,reason:/^[a-z-]{1,40}$/.test(String(a||\"\"))?String(a):\"unknown\"}}if(!t.includes(o))return null;let s=e.slug;return typeof s!=\"string\"||!je.test(s)?null:{type:o,slug:s}}function Te(e){return xe(e,Ge,Ye)}function _e(e){return xe(e,Ze,[])}function qe(e,n){try{let t=n||(typeof window!=\"undefined\"?window.parent:null);t&&t.postMessage(Y(e),\"*\")}catch(t){}}function Qe(e,n){var t;try{(t=e==null?void 0:e.contentWindow)==null||t.postMessage(Y(n),\"*\")}catch(r){}}function Xe(e,n){var r;if(!e)return!0;let t=(r=e.contentWindow)!=null?r:e;return n===t}function Je(e,n,t){let r=n||(typeof window!=\"undefined\"?window:null);if(!r)return()=>{};let o=s=>{if(!Xe(t,s.source))return;let a=Te(s.data);a&&e(a)};return r.addEventListener(\"message\",o),()=>r.removeEventListener(\"message\",o)}function en(e,n){var s;let t=n||(typeof window!=\"undefined\"?window:null);if(!t)return()=>{};let r=(s=t.parent)!=null?s:null,o=a=>{if(!r||r===t||a.source!==r)return;let u=_e(a.data);u&&e(u)};return t.addEventListener(\"message\",o),()=>t.removeEventListener(\"message\",o)}var O={};v(O,{createTracker:()=>ln});var N={};v(N,{PRESENTER_ACTIONS_PER_HOUR:()=>X,PRESENT_CACHE_MS:()=>rn,PRESENT_QUOTA_MARGIN:()=>Ie,PRESENT_QUOTA_PER_HOUR:()=>on,PRESENT_READS_PER_HOUR:()=>Re,PRESENT_READ_BURST:()=>Pe,PRESENT_READ_COALESCE_MS:()=>Ae,PRESENT_RESYNC_MS:()=>Se,PRESENT_SIGNAL_BUDGET_PER_HOUR:()=>tn,PRESENT_WRITE_TIMEOUT_MS:()=>J,READERS_PER_EGRESS:()=>q,RESYNC_READS_PER_HOUR:()=>ke,SESSION_IDLE_MS:()=>Q,SESSION_INTERVAL_MS:()=>Z,SESSION_QUOTA_PER_HOUR:()=>nn,SESSION_WRITES_PER_HOUR:()=>Ee});var Z=12e3,Ee=Math.ceil(300),q=25,nn=Ee*q,Q=18e4,Se=25e3,ke=Math.ceil(36e5/Se),X=720,Re=ke+X,tn=X,Pe=20,J=1e4,Ae=400,rn=Ae,Ie=4,on=(Re+Pe)*q*Ie;var sn=[\"mousemove\",\"mousedown\",\"keydown\",\"wheel\",\"touchstart\",\"pointerdown\"];function an(){let e=typeof globalThis!=\"undefined\"?globalThis.crypto:void 0;if(e&&typeof e.randomUUID==\"function\")return e.randomUUID().replace(/-/g,\"\");if(e&&typeof e.getRandomValues==\"function\"){let n=e.getRandomValues(new Uint8Array(16));return Array.from(n,t=>t.toString(16).padStart(2,\"0\")).join(\"\")}return Math.random().toString(36).slice(2)+Date.now().toString(36)}function un(e,n){return t=>{try{let r=JSON.stringify(t),o=n.navigator;o&&typeof o.sendBeacon==\"function\"?o.sendBeacon(e,new Blob([r],{type:\"application/json\"})):n.fetch(e,{method:\"POST\",headers:{\"Content-Type\":\"application/json\"},body:r,keepalive:!0})}catch(r){}}}function ln(e={}){var ge,be;let n=e.win||(typeof window!=\"undefined\"?window:null),t=e.doc||n&&n.document,r=e.now||(()=>Date.now()),o=e.endpoint||\"/api/doc\",s=(ge=e.idleMs)!=null?ge:Q,a=(be=e.sessionEveryMs)!=null?be:12e3,u=e.slug||\"\",d=e.internal||null,m=e.sessionId||an(),p=e.send||un(o,n),c={},l=0,g=0,f=0,w=0,h=null,E=r(),S=!1,B=!1,A=[],$e=()=>!!u||!!d,ce=i=>{if($e())try{p(i)}catch(b){}},V=()=>!!t&&t.visibilityState===\"visible\"&&!S,de=i=>{let b=r()-i,x=Math.max(0,E-i)+s;return Math.max(0,Math.min(b,x))},z=()=>{h!=null&&l>0&&(c[l]=(c[l]||0)+de(h)/1e3),h=V()?r():null},pe=()=>{z(),h=null},F=()=>{h==null&&V()&&(h=r())},j=()=>{let i=0;for(let b in c)i+=c[b];return h!=null&&(i+=de(h)/1e3),Math.round(i)},fe=()=>{let i={};for(let b in c)i[b]=Math.round(c[b]);return i},k=()=>{E=r(),S&&(S=!1,F())},me=(i,b)=>{d||ce({slug:u,event:i,page:b||g,maxPage:f,seconds:j(),sessionId:m})},I=()=>{z();let i={event:\"session\",sessionId:m,numPages:w,maxPage:f,totalSeconds:j(),pagesTime:fe()};d?(i.internal=!0,i.docId=d.docId,i.email=d.email,i.name=d.name,d.it&&(i.it=d.it)):i.slug=u,ce(i)},R=(i,b,x,ye)=>{!i||typeof i.addEventListener!=\"function\"||(i.addEventListener(b,x,ye),A.push(()=>{i.removeEventListener(b,x,ye)}))};return{sessionId:m,totalSeconds:j,maxPage:()=>f,pageTimes:fe,start(){if(B)return;B=!0,me(\"open\",1),l=1,E=r(),h=V()?r():null,R(t,\"visibilitychange\",()=>{t.visibilityState===\"hidden\"?(pe(),I()):(k(),F())}),R(n,\"focus\",()=>{k(),F()});for(let x of sn)R(n,x,k,{passive:!0});R(e.scrollElement,\"scroll\",k,{passive:!0}),R(n,\"beforeunload\",I);let i=n.setInterval(()=>{!S&&r()-E>s&&(S=!0,pe())},5e3),b=n.setInterval(I,a);A.push(()=>{n.clearInterval(i),n.clearInterval(b)})},setPage(i){!i||i===g||(E=r(),z(),l=i,g=i,i>f&&(f=i,me(\"page\",i)))},setPageCount(i){w=i||0},noteActivity:k,flush:I,stop(){for(;A.length;){let i=A.pop();try{i==null||i()}catch(b){}}B=!1}}}var U={};v(U,{STORAGE_KEYS:()=>M,attendeeKey:()=>fn,authorToken:()=>mn,avatarHtml:()=>ee,canModerate:()=>oe,createBudget:()=>Mn,createFileEcritures:()=>xn,createScheduler:()=>vn,escapeHtml:()=>y,fetchBorne:()=>wn,flattenPresence:()=>cn,formatMessageBody:()=>ne,initials:()=>Ce,isMentioned:()=>bn,isMine:()=>T,presenceId:()=>Tn,reactorId:()=>re,referenceAuteur:()=>gn,shouldNotify:()=>yn,unreadLabel:()=>hn});var M={attendeeKey:\"3dd-present-attkey\",authorToken:\"3dd-present-authtoken\",chatMuted:\"3dd-present-mute\",presenceId:\"3dd-present-uid\"};function y(e){return String(e==null?\"\":e).replace(/&/g,\"&amp;\").replace(/</g,\"&lt;\").replace(/>/g,\"&gt;\").replace(/\"/g,\"&quot;\")}function Ce(e){let n=(e||\"?\").trim().split(/\\s+/);return(((n[0]||\"\")[0]||\"?\")+((n[1]||\"\")[0]||\"\")).toUpperCase()}function ee(e,n){return e?`<img src=\"${y(e)}\" alt=\"\">`:y(Ce(n))}function ne(e){let n=y(e);return n=n.replace(/(https?:\\/\\/[^\\s<]+)/g,t=>`<a href=\"${t}\" target=_blank rel=noreferrer class=cm-link>${t}</a>`),n=n.replace(/(^|\\s)@([\\p{L}0-9_'.-]+)/gu,(t,r,o)=>`${r}<span class=cm-mention>@${o}</span>`),n}function cn(e){let n=new Map;for(let t in e||{})for(let r of(e||{})[t]||[]){let o=String(r.uid||r.email||r.name||\"\").toLowerCase()||`_${t}_${n.size}`;(!n.get(o)||r.role===\"presenter\")&&n.set(o,r)}return[...n.values()]}function dn(e,n){try{return e?e.getItem(n):null}catch(t){return null}}function pn(e,n,t){try{e==null||e.setItem(n,t)}catch(r){}}function fn(e,n=\"anon\",t=te){try{if(!e)return`anon-${n}`;let r=e.getItem(M.attendeeKey);if(r)return r;let o=`anon-${t()}`;return e.setItem(M.attendeeKey,o),o}catch(r){return`anon-${n}`}}function te(){let e=typeof globalThis!=\"undefined\"?globalThis.crypto:void 0;if(e&&typeof e.randomUUID==\"function\")return e.randomUUID().replace(/-/g,\"\");if(e&&typeof e.getRandomValues==\"function\"){let n=e.getRandomValues(new Uint8Array(24));return Array.from(n,t=>t.toString(16).padStart(2,\"0\")).join(\"\")}try{console.warn(\"[player] crypto indisponible : jeton d'auteur affaibli\")}catch(n){}return Math.random().toString(36).slice(2)+Math.random().toString(36).slice(2)}function mn(e,n=te){let t=dn(e,M.authorToken);if(t)return t;let r=n();return pn(e,M.authorToken,r),r}async function gn(e,n){let t=n!==void 0?n:typeof globalThis!=\"undefined\"&&globalThis.crypto?globalThis.crypto.subtle:null;if(!t||!e)return\"\";try{let r=async o=>{let s=await t.digest(\"SHA-256\",new TextEncoder().encode(o));return Array.from(new Uint8Array(s),a=>a.toString(16).padStart(2,\"0\")).join(\"\")};return(await r(\"ref:\"+await r(e))).slice(0,16)}catch(r){return\"\"}}function re(e){return String(e&&e.ref||\"\")}function T(e,n){return!e||!n||!e.author_ref||!n.ref?!1:e.author_ref===n.ref}function oe(e){return!!(e&&e.role===\"presenter\")}function bn(e,n){if(!n||!n.name)return!1;let t=(n.name.split(/\\s+/)[0]||\"\").toLowerCase();return t?String(e&&e.body||\"\").toLowerCase().includes(`@${t}`)&&!T(e,n):!1}function yn(e){let{msg:n,me:t,historyLoaded:r,chatHidden:o}=e;return!r||!n||n.deleted||T(n,t)?!1:o}function hn(e){return!e||e<=0?\"\":e>9?\"9+\":String(e)}function vn(e,n={}){var g;let t=(g=n.minMs)!=null?g:300,r=n.now||(()=>Date.now()),o=n.setTimer||((f,w)=>setTimeout(f,w)),s=n.clearTimer||(f=>clearTimeout(f)),a=!1,u=!1,d=-1/0,m=null,p=!1;function c(){if(p||a){u=!0;return}let f=t-(r()-d);if(f>0){l(f);return}a=!0,u=!1,d=r();let w=!1;e(()=>{w||(w=!0,a=!1,u&&!p&&c())})}function l(f){p||m!==null||(m=o(()=>{m=null,c()},Math.max(0,f)))}return{signaler(){p||c()},maintenant(){p||(d=-1/0,c())},arreter(){p=!0,m!==null&&(s(m),m=null)}}}function wn(e,n,t=J,r={}){let o=r.fetch||(typeof fetch==\"function\"?fetch:void 0);if(!o)return Promise.reject(new Error(\"fetch indisponible\"));let s=r.setTimer||((l,g)=>setTimeout(l,g)),a=r.clearTimer||(l=>clearTimeout(l)),u=null;try{u=new AbortController}catch(l){}let d=u?Me(G({},n||{}),{signal:u.signal}):G({},n||{}),m=null,p=new Promise((l,g)=>{m=s(()=>{try{u==null||u.abort()}catch(f){}g(new Error(\"delai\"))},t)}),c=()=>{try{a(m)}catch(l){}};return Promise.race([o(e,d),p]).then(l=>(c(),l),l=>{throw c(),l})}function Mn(e){let n=e.now||(()=>Date.now()),t=Math.max(1,e.rafale),r=t,o=n();return{prendre(){let s=n();return r=Math.min(t,r+(s-o)*e.parHeure/36e5),o=s,r<1?!1:(r-=1,!0)},restants:()=>r}}function xn(e={}){var m;let n=(m=e.minMs)!=null?m:0,t=e.now||(()=>Date.now()),r=e.setTimer||((p,c)=>setTimeout(p,c)),o=new Map,s=!1,a=-1/0,u=!1;function d(){if(s||o.size===0)return;let p=n-(t()-a);if(p>0){if(u)return;u=!0,r(()=>{u=!1,d()},p);return}let c=o.keys().next().value,l=o.get(c);o.delete(c),s=!0,a=t(),Promise.resolve().then(l.tache).then(g=>l.regler(g),()=>l.regler(null)).then(()=>{s=!1,d()})}return{poser(p,c){return new Promise(l=>{let g=o.get(p);o.set(p,{tache:c,regler:f=>{g&&g.regler(f),l(f)}}),d()})},enAttente:()=>o.size}}function Tn(e,n=te){try{if(e){let t=e.getItem(M.presenceId);if(t)return t;let r=`p-${n()}`;return e.setItem(M.presenceId,r),r}}catch(t){}return`p-${n()}`}var $={};v($,{messageClassName:()=>En,renderActions:()=>Oe,renderAttachment:()=>Ne,renderMessage:()=>_n,renderReactions:()=>Le});function Le(e,n){let t=e&&e.reactions||{},r=re(n),o=\"\";for(let s in t){let a=t[s]||[];if(!a.length)continue;let u=a.indexOf(r)>=0;o+=`<button class=\"re-chip${u?\" on\":\"\"}\" data-e=\"${y(s)}\">${y(s)} ${a.length}</button>`}return o}function Ne(e){if(!e||!e.url)return\"\";let n=y(e.url);if(e.kind===\"image\")return`<a class=cm-att href=\"${n}\" target=_blank rel=noreferrer><img src=\"${n}\" alt=\"\" loading=lazy></a>`;let t=y(e.name||\"Document.pdf\");return`<a class=cm-att-pdf href=\"${n}\" target=_blank rel=noreferrer data-pdf=\"${n}\"><span class=cm-att-ph></span><span class=cm-pdflabel>${t}</span></a>`}function Oe(e,n){let t=T(e,n.me),r=`<button class=cm-react title=\"R\\xE9agir\">${n.reactIcon||\"\"}</button><button class=cm-reply title=\"R\\xE9pondre\">\\u21A9</button>`;return t&&(r+='<button class=cm-edit title=\"Modifier\">\\u270E</button>'),(t||oe(n.me))&&(r+='<button class=cm-del-btn title=\"Supprimer\">\\u{1F5D1}</button>'),r}function _n(e,n){if(e.deleted)return'<span class=a></span><span class=b><div class=\"txt cm-del\">Message supprim\\xE9</div></span>';let t=e.reply_to?`<div class=cm-q><b>${y(e.reply_name||\"\")}</b> ${y(e.reply_text||\"\")}</div>`:\"\",r=e.edited?\" <span class=cm-ed>(modifi\\xE9)</span>\":\"\",o=e.body?`<div class=txt>${ne(e.body)}${r}</div>`:\"\",s=e.is_presenter?\" <span class=tag>pr\\xE9sentateur</span>\":\"\";return`<span class=a>${ee(e.author_avatar,e.author_name)}</span><span class=b><div class=who><b>${y(e.author_name||\"Invit\\xE9\")}</b>${s}</div>`+t+o+Ne(e.attachment)+`<div class=cm-re>${Le(e,n.me)}</div></span><span class=cm-act>${Oe(e,n)}</span>`}function En(e,n,t){return\"cm\"+(T(e,n)?\" me\":\"\")+(e.deleted?\" isdel\":\"\")+(t?\" mentioned\":\"\")}var H={};v(H,{DEFAULT_CENTER:()=>ae,DEFAULT_ZOOM:()=>ue,MAP_TYPES:()=>P,cycleMapType:()=>Sn,initialMapContent:()=>Rn,mapTypeLabel:()=>kn,sanitizeContent:()=>le});var P=[\"roadmap\",\"satellite\",\"hybrid\"],ae=[46.6,2.5],ue=6;function _(e){let n=Number(e);return Number.isFinite(n)?n:null}function se(e){if(!Array.isArray(e))return null;let n=_(e[0]),t=_(e[1]);return n!=null&&t!=null?[n,t]:null}var ie=(e,n,t)=>Math.max(n,Math.min(t,e));function le(e){if(!e||typeof e!=\"object\")return null;let n=e;if(n.kind===\"pdf\"||n.kind==null)return null;if(n.kind===\"streetview\"){let t=se(n.position);if(!t)return null;let r=n.pov&&typeof n.pov==\"object\"?n.pov:null,o=r?{heading:_(r.heading)||0,pitch:ie(_(r.pitch)||0,-90,90)}:{heading:0,pitch:0};return{kind:\"streetview\",position:t,pov:o,zoom:ie(_(n.zoom)||1,0,5)}}return n.kind!==\"map\"?null:{kind:\"map\",center:se(n.center)||[...ae],zoom:ie(Math.trunc(_(n.zoom)||ue),1,21),marker:se(n.marker),mapType:P.includes(n.mapType)?n.mapType:null,label:String(n.label||\"\").slice(0,160)||null}}function Sn(e){let n=P.indexOf(e);return P[(n+1)%P.length]}function kn(e){return e===\"roadmap\"?\"\\u{1F6F0} Satellite\":e===\"satellite\"?\"\\u{1F5FA} Hybride\":\"\\u{1F5FA} Plan\"}function Rn(){return{kind:\"map\",center:[...ae],zoom:ue,marker:null,mapType:null,label:null}}var D={};v(D,{CURRENT_PAGE_MARGIN:()=>Nn,DEFAULT_ASPECT:()=>In,MAX_ZOOM:()=>An,MIN_PAGE_WIDTH:()=>Cn,MIN_ZOOM:()=>Pn,PRERENDER_MARGIN:()=>Ln,arrowState:()=>$n,averageColor:()=>Wn,clampPage:()=>Ue,clampZoom:()=>On,fitWidth:()=>Dn,isImageDocument:()=>Bn,progressPercent:()=>Un,workerBlobUrl:()=>Vn});var Pn=.5,An=3,In=1.35,Cn=280,Ln=\"500px 0px\",Nn=\"-48% 0px -48% 0px\";function On(e){let n=Math.round((Number(e)||0)*10)/10;return Math.max(.5,Math.min(3,n))}function Ue(e,n){return Math.max(1,Math.min(n||1,Number(e)||1))}function Un(e,n){return n?Math.round(Ue(e,n)/n*100):0}function $n(e,n){return{prevDisabled:e<=1,nextDisabled:!!n&&e>=n}}var Hn=28;function Dn(e){var a;let n=(a=e.zoom)!=null?a:1,t=Math.max(280,e.containerWidth||900)*n;if(!e.onePage)return t;let r=e.aspect||1.35,s=((e.containerHeight||600)-Hn-(e.overlap||0)-(e.reserve||0))/r;return s>120?Math.min(t,s):t}function Wn(e){let n=e.length/4;if(!n)return\"rgb(0,0,0)\";let t=0,r=0,o=0;for(let s=0;s<e.length;s+=4)t+=e[s],r+=e[s+1],o+=e[s+2];return`rgb(${Math.round(t/n)},${Math.round(r/n)},${Math.round(o/n)})`}function Bn(e,n){return/[.](png|jpe?g|webp|gif|avif)($|[?])/i.test(String(e||n||\"\"))}async function Vn(e,n,t={}){let r=t.fetch||(typeof fetch==\"function\"?(a=>fetch(a)):null),o=t.subtle!==void 0?t.subtle:typeof globalThis!=\"undefined\"&&globalThis.crypto?globalThis.crypto.subtle:null,s=t.creerUrl||(a=>URL.createObjectURL(a));if(!r||!o||!n)return null;try{let a=await r(e);if(!a.ok)return null;let u=await a.arrayBuffer(),d=await o.digest(\"SHA-384\",u);return`sha384-${zn(new Uint8Array(d))}`!==n?null:s(new Blob([u],{type:\"application/javascript\"}))}catch(a){return null}}function zn(e){let n=\"\";for(let t of e)n+=String.fromCharCode(t);return btoa(n)}var W={};v(W,{presentationTransition:()=>Fn,switchDocUrl:()=>jn});function Fn(e,n={}){if(!e)return[{kind:\"nothing\"}];if(e.active===!1)return[{kind:\"ended\"}];let t=le(e.content);if(t)return[{kind:\"show-map\",content:t}];let r=[{kind:\"leave-map\"}];return e.file_url&&e.file_url!==n.docUrl?(r.push({kind:\"switch-doc\",url:e.file_url,name:e.file_name||void 0,title:e.doc_title||void 0,updatedAt:e.updated_at||void 0}),r):(e.current_page&&r.push({kind:\"show-page\",page:e.current_page}),r)}function jn(e,n){let t=encodeURIComponent(n||String(Date.now()));return`${e}${e.includes(\"?\")?\"&\":\"?\"}v=${t}`}return Fe(Gn);})();", SOURCE_HASH: "5bacfcb0f5b69825" };

package/server/handler.js

@@ -77,7 +77,66 @@ const originOf = (u) => { try { return new URL(u).origin; } catch { return ""; }
 //
 // Signalé par un audit externe. Fermer le chemin d'abord, migrer ensuite — dans cet ordre.
 const PDFJS = "https://cdnjs.cloudflare.com/ajax/libs/pdf.js/3.11.174";
-const SUPAJS = "https://cdn.jsdelivr.net/npm/@supabase/supabase-js@2/dist/umd/supabase.js";
+// ⚠️ VERSION EXACTE, PAS `@2` (constat P2-4). L'étiquette `@2` de jsdelivr suit la dernière 2.x :
+// la page servait donc, aux visiteurs, le code que Supabase avait publié le matin même — sans que
+// personne n'ait rien déployé, ni relu, ni pu revenir en arrière. Le jour où elle résolvait vers
+// 2.112.3, un correctif de la veille aurait changé ce qui tourne dans le navigateur d'un client
+// pendant une présentation en cours. Une dépendance mouvante n'est pas une dépendance, c'est un
+// abonnement à ce que décide un tiers.
+const SUPAJS = "https://cdn.jsdelivr.net/npm/@supabase/supabase-js@2.112.3/dist/umd/supabase.js";
+const LEAFLET = "https://unpkg.com/leaflet@1.9.4/dist/leaflet.js";
+// ⚠️ `weekly` EST UN CANAL, PAS UNE VERSION — le même défaut que l'étiquette `@2` de jsdelivr :
+// le code de cartographie exécuté chez le visiteur changeait chaque semaine sans qu'aucun
+// déploiement le décide. Google ne publie pas d'empreinte et son chargeur injecte d'autres
+// scripts, donc l'intégrité restera hors de portée ici ; épingler la version trimestrielle rend
+// au moins le changement DÉCIDÉ, et daté. À relever à chaque montée — Google retire les versions
+// après environ un an.
+const MAPS_VERSION = "3.58";
+
+/**
+ * Empreintes des dépendances tierces (constat P2-4).
+ *
+ * ⚠️ CE QUI EST EN JEU : un script tiers entre dans la page avec EXACTEMENT les droits de notre
+ * code — même origine, même session, même accès au document affiché. Une version épinglée dit
+ * seulement quel fichier on demande ; elle ne dit rien de ce qu'on reçoit. L'empreinte, elle, fait
+ * refuser le navigateur si un octet a changé, quelle que soit la raison : CDN compromis, compte de
+ * publication détourné, ou intermédiaire.
+ *
+ * ⚠️ ET ELLE OBLIGE À ÉPINGLER. `integrity` sur une URL mouvante casserait la page à la première
+ * publication du tiers : les deux vont ensemble, l'un n'a pas de sens sans l'autre.
+ *
+ * Relevées sur les octets réellement servis, pas recopiées d'une documentation. Pour les vérifier
+ * ou les mettre à jour après une montée de version :
+ *
+ *   curl -sL <url> | openssl dgst -sha384 -binary | openssl base64 -A
+ *
+ * Le banc navigateur les reconfronte à ce que les CDN servent — deux exemplaires d'un même fait
+ * doivent être comparés par quelqu'un au moins une fois.
+ */
+const TIERS = {
+  pdf: { url: PDFJS + "/pdf.min.js", sri: "sha384-/1qUCSGwTur9vjf/z9lmu/eCUYbpOTgSjmpbMQZ1/CtX2v/WcAIKqRv+U1DUCG6e" },
+  // ⚠️ Le worker N'A PAS DE BALISE, donc pas d'attribut `integrity` : il est chargé par pdf.js,
+  // pas par le document. Mais ses octets passent déjà par notre code (ils sont récupérés en texte
+  // puis transformés en blob de même origine, sans quoi le navigateur refuserait un worker
+  // distant) — on les vérifie donc à la main, là où ils passent. Sans ça, l'empreinte de
+  // `pdf.min.js` protégerait la petite moitié et laisserait la grande (1 Mo contre 300 ko) entrer
+  // sans contrôle, alors même qu'elle voit tout le contenu du document.
+  pdfWorker: { url: PDFJS + "/pdf.worker.min.js", sri: "sha384-SnzOobpRMLXZ52iJvZm/C0fYw0OQemTXzTjIsdsfMcrCtCEe9qgzxTd3RSklO5x2" },
+  supa: { url: SUPAJS, sri: "sha384-qafw21c/iciq0VXsi9FzkfoQv5I/V0iqE4lSNcKXPnW9/UTJLnv5CcN4FHxVLnKg" },
+  leaflet: { url: LEAFLET, sri: "sha384-cxOPjt7s7Iz04uaHJceBmS+qpjv2JkIHNVcuOrM+YHwZOmJGBXI00mdUXEq65HTH" },
+  // ⚠️ UNE FEUILLE DE STYLE TIERCE N'EST PAS INOFFENSIVE, et celle-ci n'était comptée nulle part.
+  // Du CSS peut déplacer, agrandir et rendre transparent n'importe quel élément : un bouton qu'on
+  // croit cliquer n'est pas forcément celui qu'on clique. Même origine, même empreinte, même règle.
+  leafletCss: { url: "https://unpkg.com/leaflet@1.9.4/dist/leaflet.css", sri: "sha384-sHL9NAb7lN7rfvG5lfHpm643Xkcjzp4jFvuavGOndn6pjVqS6ny56CAt3nsEVT4H" },
+};
+
+// ⚠️ `crossorigin` EST OBLIGATOIRE avec `integrity` sur une ressource d'une autre origine : sans
+// lui, la réponse est opaque, le navigateur ne peut pas la lire pour la hacher, et il refuse le
+// script — silencieusement du point de vue de la page. L'oublier ne dégrade pas la protection,
+// ça casse la page. Les deux ne se séparent jamais : d'où cette fonction, plutôt que trois
+// balises écrites à la main dont l'une finirait par en perdre un.
+const balise = (nonce, tiers) =>
+  `<script nonce="${nonce}" src="${tiers.url}" integrity="${tiers.sri}" crossorigin="anonymous"></script>`;
 
 // ————— Couche LIVE partagée (présence + chat historisé) — présentateur ET audience —————
 // CSS injecté dans les deux vues.
@@ -360,7 +419,7 @@ var Live=(function(){
     if(y)y.onclick=function(){close();if(onOk)onOk();};if(n)n.onclick=close;m.onclick=function(e){if(e.target===m)close();};
     document.addEventListener('keydown',key);m.classList.add('open');if(y)try{y.focus();}catch(e){}}
   function history(){fetch('/api/doc?present='+encodeURIComponent(SLUG)+'&chat=1').then(function(r){return r.json();}).then(function(d){var box=document.getElementById('chatMsgs');if(d&&d.messages&&d.messages.length){d.messages.forEach(function(m){addMsg(m);});}else if(box&&!box.children.length){box.innerHTML='<div class=chat-empty>Aucun message. Lancez la discussion.</div>';}if(d&&typeof d.locked!=='undefined')applyLock(d.locked);_histDone=true;}).catch(function(){_histDone=true;});}
-  function react(id,e){if(!ME||!id||!e)return;fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:reactorId()})}).then(majDiffusee).catch(function(){});}
+  function react(id,e){if(!ME||!id||!e)return;fetch('/api/doc',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({action:'present-react',slug:SLUG,msgId:+id,emoji:e,reactor:MOIREF})}).then(majDiffusee).catch(function(){});}
   function setReply(id){var m=msgData[id];if(!m||m.deleted)return;var nm=m.author_name||'Invité';replyCtx={id:+id,name:nm,text:(m.body||'').slice(0,120)};var el=document.getElementById('chatReply');if(el){el.style.display='flex';el.innerHTML='<span class=cq><b>'+esc(nm)+'</b> '+esc((m.body||'').slice(0,80))+'</span><button id=chatReplyX title=Annuler>×</button>';var x=document.getElementById('chatReplyX');if(x)x.addEventListener('click',clearReply);}var t=document.getElementById('chatText');if(t)t.focus();}
   function clearReply(){replyCtx=null;var el=document.getElementById('chatReply');if(el){el.style.display='none';el.innerHTML='';}}
   function send(){var i=document.getElementById('chatText');var t=(i.value||'').trim();if(!t||!ME)return;if(LOCKED&&!canMod())return;i.value='';toggleSend();
@@ -438,7 +497,27 @@ var Live=(function(){
     if(pick&&!pick._w){pick._w=1;pick.innerHTML=EMOJIS.map(function(e){return '<button data-e="'+e+'">'+e+'</button>';}).join('');
       pick.addEventListener('click',function(e){e.stopPropagation();var b=e.target.closest?e.target.closest('button'):null;if(b){react(pick.__id,b.getAttribute('data-e'));pick.classList.remove('open');}});
       document.addEventListener('click',function(){pick.classList.remove('open');});}}
-  function connect(slug,me,control){if(!window.supabase||!LIVECFG.supaUrl||!LIVECFG.supaKey||!slug)return;SLUG=slug;ME=me;CONTROL=control||null;
+  // ⚠️ NOTRE IDENTITÉ PUBLIQUE, ET LA SEULE. Elle remplace l'adresse partout où une identité
+  // devait sortir : clé du canal de présence, charge de présence, identité d'un réacteur,
+  // appartenance d'un message. Dérivée du jeton d'auteur — celui qui autorise déjà à modifier et
+  // supprimer — donc « c'est moi » dit enfin la même chose que « j'ai le droit ».
+  //
+  // ⚠️ PRÉPARÉE AU CHARGEMENT, PAS DANS LA CONNEXION. Premier jet : la connexion attendait le
+  // hachage avant de faire quoi que ce soit — tout retardé pour un calcul local, et deux essais
+  // tombés qui pilotent la page de façon synchrone. Le hachage ne dépend que du jeton d'auteur :
+  // il n'a aucune raison d'attendre un appel, et la souscription réseau lui laisse tout le temps.
+  //
+  // La CLÉ de présence, elle, n'en a jamais eu besoin : MYID est déjà tiré au sort par navigateur.
+  // Y mettre l'adresse ne servait qu'au confort de lecture, au prix d'une identité publiée à tous.
+  //
+  // ⚠️ ET PAS D'ACCENT GRAVE DANS CE COMMENTAIRE : il vit DANS le gabarit de la page, donc un
+  // accent grave y ferme la chaîne. Ce bloc l'a appris à ses dépens il y a trois minutes.
+  //
+  // Vide dans un contexte non sécurisé (pas de crypto.subtle) : on s'annonce alors sans identité
+  // plutôt qu'avec une fausse, et les boutons qui supposent la propriété disparaissent.
+  var MOIREF='';
+  var REFPRETE=(function(){ try{ return Player.live.referenceAuteur(authToken()).then(function(r){ MOIREF=r||''; }).catch(function(){ MOIREF=''; }); }catch(e){ return Promise.resolve(); } })();
+  function connect(slug,me,control){if(!window.supabase||!LIVECFG.supaUrl||!LIVECFG.supaKey||!slug)return;SLUG=slug;ME=me;CONTROL=control||null;try{ME.ref=MOIREF;}catch(e){}
     var pb=document.getElementById('presBtn');if(pb)pb.style.display='inline-flex';
     var cb=document.getElementById('chatBtn');if(cb)cb.style.display='inline-flex';var _fb=document.getElementById('chatFab');if(_fb)_fb.classList.add('on');
     wire();history();
@@ -449,7 +528,7 @@ var Live=(function(){
       // Chez nous les deux cles different deja, mais par heureux hasard : le declarer rend
       // intentionnel ce qui n'etait qu'une consequence, et une topologie peut changer.
       auth:{storageKey:LIVECFG.liveAuthKey||'dmp-live-auth',persistSession:true,autoRefreshToken:true}});
-      ch=sb.channel('plive-'+slug,{config:{presence:{key:(me.email||me.name||'x')+':'+MYID}}});
+      ch=sb.channel('plive-'+slug,{config:{presence:{key:MYID}}});
       ch.on('presence',{event:'sync'},function(){renderPres(ch.presenceState());});
       // Plus d'abonnement à la table des messages : elle n'est plus publiée ni lisible
       // publiquement. Tout passe par la diffusion, et l'historique par la route de chat.
@@ -576,7 +655,7 @@ var Live=(function(){
       // par accident : le jour où quelqu'un rebranche un paramètre, la charge d'un canal public
       // redeviendrait crue sans que rien ne le signale. On coupe le chemin, pas seulement l'usage.
       ch.on('broadcast',{event:'map'},function(){if(_onMap)_onMap();});
-      ch.subscribe(function(st){if(st==='SUBSCRIBED'){ch.track({name:me.name,email:me.email,avatar:me.avatar,role:me.role,member:!!me.member,uid:presId()});sendAttend();}});
+      ch.subscribe(function(st){if(st==='SUBSCRIBED'){REFPRETE.then(function(){ME.ref=MOIREF;ch.track({name:me.name,ref:MOIREF,avatar:me.avatar,role:me.role,member:!!me.member,uid:presId()});sendAttend();});}});
       _tyIv=setInterval(renderTyping,1500);
       _atIv=setInterval(sendAttend,25000);
       // Filet de sécurité : au déchargement de la page/iframe (fermeture, reload, switch), on retire la présence
@@ -624,12 +703,12 @@ var Map3DD=(function(){
   var useG=!!GMAPS_KEY; // carte de base = Google Maps si une clé est fournie, sinon repli OpenStreetMap (Leaflet)
   function loadLeaflet(cb){ if(window.L){cb();return;} var iv=setInterval(function(){if(window.L){clearInterval(iv);cb();}},80);
     if(leafletLoading)return; leafletLoading=true;
-    var css=document.createElement('link');css.rel='stylesheet';css.href='https://unpkg.com/leaflet@1.9.4/dist/leaflet.css';document.head.appendChild(css);
-    var s=document.createElement('script');s.src='https://unpkg.com/leaflet@1.9.4/dist/leaflet.js';document.body.appendChild(s); }
+    var css=document.createElement('link');css.rel='stylesheet';css.href='${TIERS.leafletCss.url}';css.integrity='${TIERS.leafletCss.sri}';css.crossOrigin='anonymous';document.head.appendChild(css);
+    var s=document.createElement('script');s.src='${TIERS.leaflet.url}';s.integrity='${TIERS.leaflet.sri}';s.crossOrigin='anonymous';document.body.appendChild(s); }
   // Google Maps JS chargé à la demande, seulement si une clé est fournie (GMAPS_KEY).
   function loadGoogle(cb){ if(window.google&&window.google.maps){cb();return;} if(!GMAPS_KEY)return; var iv=setInterval(function(){if(window.google&&window.google.maps){clearInterval(iv);cb();}},120);
     if(gLoading)return; gLoading=true;
-    var s=document.createElement('script');s.async=true;s.src='https://maps.googleapis.com/maps/api/js?key='+encodeURIComponent(GMAPS_KEY)+'&v=weekly&loading=async';document.body.appendChild(s); }
+    var s=document.createElement('script');s.async=true;s.src='https://maps.googleapis.com/maps/api/js?key='+encodeURIComponent(GMAPS_KEY)+'&v=${MAPS_VERSION}&loading=async';document.body.appendChild(s); }
   function loadBase(cb){ if(useG)loadGoogle(cb); else loadLeaflet(cb); }
   function ensureMap(center,zoom){ if(map)return;
     if(useG){ var el=document.getElementById('map3dd'); if(!el||!window.google)return;
@@ -1547,7 +1626,15 @@ function sendHtml(res, status, html, scriptSrc, imgExtra, frameAncestors) {
     // personne n'a franchie serait un mauvais échange. `'self'` ferme l'exfiltration, qui est le
     // risque réel.
     "form-action 'self'",
-    // Aperçu interne : framing MÊME ORIGINE autorisé (iframe DocViewer). Page publique : 'none' (anti-clickjacking).
+    // ⚠️ CE COMMENTAIRE ANNONÇAIT `'none'` POUR LA PAGE PUBLIQUE, ET C'ÉTAIT FAUX. Un lien tracé
+    // sans `embed` est servi en `frame-ancestors 'self'` (cf. la route `doc`) : encadrement de
+    // MÊME ORIGINE uniquement, ce qui reste sain — un détournement de clic suppose une page
+    // étrangère, et une page hostile sur notre propre origine serait déjà une compromission bien
+    // pire. Mais la phrase, elle, faisait croire à un refus total.
+    //
+    // Trouvé en écrivant l'essai de bout en bout : l'assertion recopiait ce commentaire, et c'est
+    // elle qui est tombée. Le comportement est désormais VÉRIFIÉ par ce banc, donc ce que vous
+    // lisez ici ne peut plus dériver seul.
     `frame-ancestors ${frameAncestors || "'none'"}`,
   ].join("; "));
   res.end(html);
@@ -1997,8 +2084,8 @@ ${LEGAL_CSS}
   ${legalFooter({ tracked: !preview && !!share.slug, sansExpediteur: !share.recipient_email && !share.created_by })}
   ${brandLogo || !brandIntroRuntime ? "" : `<script nonce="${nonce}">(${brandIntroRuntime.toString()})();</script>`}
   <script nonce="${nonce}">${PLAYER_BROWSER_JS}</script>
-  <script nonce="${nonce}" src="${PDFJS}/pdf.min.js"></script>
-  ${preview ? `<script nonce="${nonce}" src="${SUPAJS}"></script>
+  ${balise(nonce, TIERS.pdf)}
+  ${preview ? `${balise(nonce, TIERS.supa)}
   <script nonce="${nonce}">var LIVECFG={supaUrl:${JSON.stringify(share.supa_url || "")},supaKey:${JSON.stringify(share.supa_key || "")},hostAuthKey:${JSON.stringify(cleSessionHote())},liveAuthKey:${JSON.stringify(CLE_SESSION_PLAYER)},guestKey:${JSON.stringify(CLE_INVITE)}};var GMAPS_KEY=${JSON.stringify((PLAYER.config && PLAYER.config.mapsKey) || "" || "")};${LIVE_JS}
   ${MAP_JS}</script>` : ""}
   <script nonce="${nonce}">
@@ -2287,14 +2374,28 @@ ${LEGAL_CSS}
       render();
     }
     function setZoom(z){ zoom=Player.viewer.clampZoom(z); document.getElementById('zlbl').textContent=Math.round(zoom*100)+'%'; if(pdfDoc) build(); }
-    // Vrai worker SAME-ORIGIN via blob (un Worker cross-origin est bloqué par le navigateur → "fake worker").
+    // ⚠️ UN REFUS ARRÊTE LE LECTEUR, et les deux replis plus doux ont été MESURÉS avant d'être
+    // écartés — pas jugés sur leur mine :
+    //
+    //   • rendre l'URL distante : pdf.js l'enveloppe LUI-MÊME dans un blob de même origine, et le
+    //     code non vérifié s'exécute. C'était le comportement livré : l'empreinte ne servait à rien ;
+    //   • laisser la valeur vide : pdf.js DÉDUIT une adresse par défaut depuis sa propre position
+    //     sur le CDN, et le charge quand même.
+    //
+    // Les deux annulaient la vérification EN SILENCE, et aucun raisonnement ne l'aurait dit : il a
+    // fallu regarder les workers réellement créés. Il ne reste qu'une sortie honnête — ne pas
+    // afficher, et le dire. Un document qu'on ne rend pas se voit ; un document rendu par du code
+    // qu'on n'a pas vérifié, non.
+    //
+    // Le drapeau posé sur la fenêtre permet au banc d'EXIGER le refus, au lieu de constater une
+    // absence de rendu qui aurait dix causes.
     var wsrc=CFG.pdfjs+'/pdf.worker.min.js';
     try{
-      fetch(wsrc).then(function(r){return r.ok?r.text():null;}).then(function(t){
-        try{ pdfjsLib.GlobalWorkerOptions.workerSrc = t ? URL.createObjectURL(new Blob([t],{type:'application/javascript'})) : wsrc; }catch(e){ pdfjsLib.GlobalWorkerOptions.workerSrc=wsrc; }
-        start();
-      }).catch(function(){ pdfjsLib.GlobalWorkerOptions.workerSrc=wsrc; start(); });
-    }catch(e){ pdfjsLib.GlobalWorkerOptions.workerSrc=wsrc; start(); }
+      Player.viewer.workerBlobUrl(wsrc,'${TIERS.pdfWorker.sri}').then(function(u){
+        if(!u){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); return; }
+        pdfjsLib.GlobalWorkerOptions.workerSrc=u; start();
+      }).catch(function(){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); });
+    }catch(e){ window.__workerRefuse=1; loadError("Document non affiche : une dependance n a pas pu etre verifiee."); }
     // Bord à bord en une-page mobile : chaque millimètre compte, surtout pour un PDF paysage.
     function baseWidth(){ var pad=(onePage&&window.innerWidth<=820)?0:30; return (scrollEl.clientWidth||900)-pad; }
     // Hauteur du document OCCULTÉE par la bottom sheet du bot (mobile, état compagnon) : la page une-page se
@@ -2577,8 +2678,8 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
   ${PLAYER.branding.poweredBy ? `<div class=brand>Propulsé par ${esc(PLAYER.branding.poweredBy)}</div>` : ""}
   ${legalFooter({ tracked: true })}
   <script nonce="${nonce}">${PLAYER_BROWSER_JS}</script>
-  <script nonce="${nonce}" src="${PDFJS}/pdf.min.js"></script>
-  <script nonce="${nonce}" src="https://cdn.jsdelivr.net/npm/@supabase/supabase-js@2/dist/umd/supabase.js"></script>
+  ${balise(nonce, TIERS.pdf)}
+  ${balise(nonce, TIERS.supa)}
   <script nonce="${nonce}">
   (function(){
     var CFG=${cfg.replace(/</g, "\\u003c")};
@@ -2603,10 +2704,10 @@ function presentHtml(pres, nonce, logoUrl, supaUrl, supaKey) {
     }
     var wsrc=CFG.pdfjs+'/pdf.worker.min.js';
     function boot(){
-      fetch(wsrc).then(function(r){return r.ok?r.text():null;}).then(function(t){
-        try{ pdfjsLib.GlobalWorkerOptions.workerSrc=t?URL.createObjectURL(new Blob([t],{type:'application/javascript'})):wsrc; }catch(e){ pdfjsLib.GlobalWorkerOptions.workerSrc=wsrc; }
-        load();
-      }).catch(function(){ pdfjsLib.GlobalWorkerOptions.workerSrc=wsrc; load(); });
+      Player.viewer.workerBlobUrl(wsrc,'${TIERS.pdfWorker.sri}').then(function(u){
+        if(!u){ window.__workerRefuse=1; var _e=document.getElementById('pg'); if(_e)_e.textContent="Document non affiche : une dependance n a pas pu etre verifiee."; return; }
+        pdfjsLib.GlobalWorkerOptions.workerSrc=u; load();
+      }).catch(function(){ window.__workerRefuse=1; var _e=document.getElementById('pg'); if(_e)_e.textContent="Document non affiche : une dependance n a pas pu etre verifiee."; });
     }
     function load(){
       pdfjsLib.getDocument({url:CFG.fileUrl,isEvalSupported:false}).promise.then(function(pdf){
@@ -3847,6 +3948,9 @@ async function handler(req, res) {
   }
 }
 
-module.exports = { handler, init };
+// ⚠️ `TIERS` est exporté pour être CONFRONTÉ, pas pour être utilisé. Le banc navigateur et la
+// forge doivent pouvoir demander « quelles dépendances tierces, à quelles empreintes » sans en
+// tenir une seconde liste — c'est la seule façon qu'une empreinte périmée finisse par se voir.
+module.exports = { handler, init, TIERS };
 
 // redeploy: forcer le build production (Vercel a sauté la prod du merge #463 — wording re-partage).

package/server/presentations.js

@@ -74,6 +74,35 @@ async function touchPresentation(slug, control) {
 // Liste des présentations en cours (membre authentifié). Auto-purge : une présentation active dont le
 // dernier heartbeat remonte à > STALE_MS (présentateur parti sans clôturer) est marquée inactive.
 const STALE_MS = 3 * 60 * 1000;
+
+/**
+ * ÉCRIRE SEULEMENT SI LA CONDITION TIENT ENCORE — au moment de l'écriture, pas au moment du contrôle.
+ *
+ * ⚠️ LE DÉFAUT QUE ÇA FERME. Toutes les écritures de pilotage faisaient : lire la ligne, vérifier le
+ * jeton, PATCHER. Entre la vérification et le PATCH, la présentation peut avoir été TERMINÉE — et
+ * comme le pilotage écrit « active: true », la requête retardée la ROUVRAIT pour toute l'audience.
+ * Le présentateur avait cliqué « Terminer », vu l'écran de fin, et l'audience continuait de suivre.
+ * Un second SELECT juste avant le PATCH ne changerait rien : la fenêtre se déplace, elle ne ferme pas.
+ *
+ * ⚠️ ET LA CONDITION N'EST PAS « active = true », que l'audit prescrivait. Elle casserait un
+ * comportement voulu : une présentation devient inactive au bout de trois minutes sans battement
+ * (le portable du présentateur a dormi), et sa page suivante DOIT la remettre en ligne — un
+ * présentateur anonyme n'a aucun autre moyen de revenir. La bonne condition est celle qui sépare
+ * la fin DÉCIDÉE de la péremption CONSTATÉE : terminer ANNULE le jeton de contrôle. On filtre donc
+ * sur le jeton, et chaque chemin porte dans sa condition le critère qu'il vérifiait déjà.
+ *
+ * Zéro ligne touchée = refus. PostgREST le dit en rendant un tableau vide, à condition de demander
+ * la représentation — sans quoi on ne saurait pas distinguer « rien à faire » de « rien fait ».
+ */
+async function ecrireSiEncoreVrai(condition, corps) {
+  const lignes = await PLAYER.db.request(condition, {
+    method: "PATCH", headers: { Prefer: "return=representation" }, body: corps,
+  });
+  return Array.isArray(lignes) && lignes.length > 0;
+}
+
+/** Le rang, seulement là où la colonne existe — sinon PostgREST rejette le PATCH ENTIER. */
+const filtreRang = (rang) => (rang && rang.controle ? `&write_seq=lt.${rang.rang}` : "");
 async function listActivePresentations(email) {
   const me = lc(email);
   const rows = await PLAYER.db.request("doc_presentations?active=eq.true&select=slug,doc_id,file_url,file_name,doc_title,presenter_name,owner_email,owner_name,owner_avatar,current_page,last_seen,created_at,updated_at&order=updated_at.desc&limit=100");
@@ -193,8 +222,16 @@ async function setPage(slug, control, page, seq) {
   // navigateur n'affiche rien — la page qu'il voulait écrire est déjà dépassée par une plus récente.
   if (rang.perime) return { ok: true, perime: true };
   const p = Math.max(1, Math.trunc(Number(page) || 1));
-  await PLAYER.db.request(`doc_presentations?slug=eq.${enc(slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { current_page: p, active: true, last_seen: new Date().toISOString(), updated_at: new Date().toISOString(), ...(rang.controle ? { write_seq: rang.rang } : {}) } });
-  return { ok: true };
+  // Le jeton DANS la condition : si la présentation a été terminée entre-temps, il a été annulé
+  // et cette écriture ne trouve plus sa ligne. Le rang aussi, pour que deux écritures concurrentes
+  // ne puissent pas s'inverser — la comparaison et l'écriture deviennent le même geste.
+  const ecrit = await ecrireSiEncoreVrai(
+    `doc_presentations?slug=eq.${enc(slug)}&control_hash=eq.${sha(control)}${filtreRang(rang)}`,
+    { current_page: p, active: true, last_seen: new Date().toISOString(), updated_at: new Date().toISOString(), ...(rang.controle ? { write_seq: rang.rang } : {}) },
+  );
+  // Refus SILENCIEUX, comme un rang périmé : le navigateur n'a rien à afficher, la page qu'il
+  // voulait écrire n'a simplement plus de présentation où aller.
+  return ecrit ? { ok: true } : { ok: true, perime: true };
 }
 
 // Fin de présentation → l'audience voit « terminée ».
@@ -202,7 +239,17 @@ async function endPresentation(slug, control) {
   const row = await getPresentation(slug);
   if (!row) return { ok: false, status: 404 };
   if (!tokenMatches(control, row.control_hash)) return { ok: false, status: 403 };
-  await PLAYER.db.request(`doc_presentations?slug=eq.${enc(slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { ...CLOTURE, updated_at: new Date().toISOString() } });
+  // ⚠️ CONDITIONNÉ AU JETON LUI AUSSI, et pas seulement par symétrie : entre la vérification et
+  // l'écriture, le propriétaire a pu REPRENDRE la main depuis un autre appareil, ce qui régénère
+  // le jeton. Une fin retardée émise avec l'ancien fermerait alors la session neuve — le contraire
+  // de ce que la reprise vient d'obtenir.
+  await ecrireSiEncoreVrai(
+    `doc_presentations?slug=eq.${enc(slug)}&control_hash=eq.${sha(control)}`,
+    { ...CLOTURE, updated_at: new Date().toISOString() },
+  );
+  // Terminer est IDEMPOTENT : ne pas trouver de ligne veut dire « déjà terminée, ou reprise
+  // ailleurs ». Dans les deux cas l'appelant n'a plus rien à faire, et un échec l'inviterait à
+  // réessayer une action qui n'a plus d'objet.
   return { ok: true };
 }
 
@@ -210,7 +257,42 @@ async function endPresentation(slug, control) {
 // Pièce jointe : URL d'upload SIGNÉE (service role) → le client PUT directement dans le bucket. Type/taille
 // validés par le bucket (image/*+pdf, ≤10 Mo). L'URL publique finale est renvoyée pour attacher au message.
 const ATT_KINDS = { "image/png": "image", "image/jpeg": "image", "image/webp": "image", "image/gif": "image", "application/pdf": "pdf" };
+/**
+ * UNE PRÉSENTATION TERMINÉE DEVIENT UNE ARCHIVE : on la relit, on ne l'écrit plus.
+ *
+ * ⚠️ « TERMINÉE » VEUT DIRE DÉCIDÉE, PAS PÉRIMÉE — la distinction qui traverse tout ce module.
+ * Une présentation devient inactive après trois minutes sans battement, et son présentateur doit
+ * pouvoir revenir ; refuser le chat dans ce cas couperait la parole à une salle pendant que
+ * l'orateur rebranche son portable. Terminer, en revanche, ANNULE le jeton de contrôle : c'est
+ * cette trace-là qui distingue une fin d'une somnolence, et c'est elle qu'on lit.
+ *
+ * ⚠️ LA LECTURE RESTE OUVERTE, et c'est un choix de produit, pas un oubli. Ce qui s'est dit
+ * pendant une présentation a de la valeur après : on relit une question, on retrouve un lien.
+ * Le risque n'est pas dans la lecture, il est dans l'écriture — un message ajouté après coup dans
+ * un fil que plus personne ne surveille, une pièce jointe déposée dans le bucket d'une session
+ * close. On ferme donc les sept portes qui ÉCRIVENT, et aucune de celles qui lisent.
+ */
+async function estArchive(slug) {
+  const row = await getPresentation(slug);
+  // Pas de présentation du tout : ce n'est pas une archive, et l'appelant a ses propres 404.
+  if (!row) return false;
+  // ⚠️ LES DEUX FAITS, PAS UN SEUL — et le premier jet ne prenait que le jeton annulé. Une ligne
+  // dont la colonne n'est simplement pas remontée aurait alors été prise pour une session close :
+  // un champ ABSENT et un champ NUL sont la même chose une fois passés par JSON, et cette
+  // confusion aurait fermé le chat de présentations parfaitement vivantes. Six essais l'ont dit
+  // tout de suite, ce qui est exactement leur métier.
+  //
+  // Terminer écrit les deux ensemble (active: false ET jeton annulé) ; une péremption n'écrit que
+  // le premier. Exiger les deux distingue donc la fin décidée de la somnolence, sans dépendre
+  // d'une absence.
+  return row.active === false && row.control_hash == null;
+}
+
+/** Refus commun, pour que les sept routes répondent la même chose. */
+const REFUS_ARCHIVE = { ok: false, status: 409, error: "ended" };
+
 async function createUploadUrl(slug, name, type) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
 
   // ⚠️ `Object.hasOwn` et pas une simple lecture : un objet littéral hérite de `constructor`,
   // `toString`, `valueOf`, `__proto__`… `ATT_KINDS["constructor"]` rend une FONCTION, donc une
@@ -246,16 +328,59 @@ async function createUploadUrl(slug, name, type) {
  * ailleurs. C'est le même jeu de champs que celui servi à l'historique.
  */
 const CHAMPS_PUBLICS = [
-  "id", "author_name", "author_email", "author_avatar", "is_presenter", "is_member",
+  "id", "author_name", "author_avatar", "is_presenter", "is_member",
   "body", "attachment", "reactions", "reply_to", "reply_name", "reply_text",
   "deleted", "edited", "created_at",
 ];
+
+/**
+ * IDENTITÉ PUBLIQUE D'UN AUTEUR — opaque, stable, et dérivée de ce qui AUTORISE déjà.
+ *
+ * ⚠️ `author_email` ÉTAIT DANS CETTE LISTE. Chaque message rendu à n'importe quel participant
+ * portait donc l'adresse de son auteur, et nos audiences sont des visiteurs anonymes externes :
+ * il suffisait d'ouvrir l'historique du chat pour repartir avec les adresses de toute l'équipe.
+ *
+ * ⚠️ CE QUI REMPLACE N'EST PAS UN PSEUDONYME TIRÉ AU SORT, mais l'empreinte du JETON D'AUTEUR —
+ * celui-là même qui autorise à modifier et supprimer. Deux conséquences, toutes deux voulues :
+ *
+ *   • aucun secret d'instance n'est nécessaire. Hacher une adresse sans sel ne protège rien (le
+ *     domaine est connu, les prénoms se devinent) ; ici l'entrée est un jeton tiré au sort ;
+ *   • « c'est mon message » DIT ENFIN LA MÊME CHOSE QUE « j'ai le droit d'y toucher ». L'ancien
+ *     `isMine` comparait les adresses alors que l'édition n'a jamais regardé que le jeton : un
+ *     membre sur un second navigateur voyait un bouton « Modifier » qui lui répondait 403.
+ *
+ * Un tour de hachage de plus que la valeur stockée : ce qui sort n'est jamais le matériel gardé
+ * en base, même si le connaître ne suffirait pas à usurper.
+ */
+const refAuteur = (hash) => (hash ? sha("ref:" + hash).slice(0, 16) : null);
+
+/**
+ * ⚠️ LES ANCIENNES RÉACTIONS PORTENT DES ADRESSES, et aucune migration ne les réécrira : le
+ * client stockait `email || nom` comme identité de réacteur. On garde le COMPTE — la pastille
+ * affiche toujours « 👍 3 » — en remplaçant chaque identité illisible par un jeton de place qui
+ * ne correspond à personne. Un participant ne se reconnaît plus dans ses vieilles réactions ;
+ * personne ne lit celles des autres. Le stockage n'est pas touché : les valeurs héritées
+ * disparaissent d'elles-mêmes au premier basculement.
+ */
+function reactionsPubliques(brut) {
+  if (!brut || typeof brut !== "object" || Array.isArray(brut)) return brut;
+  const out = Object.create(null);
+  for (const [emoji, liste] of Object.entries(brut)) {
+    if (!Array.isArray(liste)) continue;
+    out[emoji] = liste.map((v, i) => (/^[0-9a-f]{16}$/.test(String(v)) ? String(v) : `ancien-${i}`));
+  }
+  return out;
+}
+
 function messagePublic(row) {
   if (!row || typeof row !== "object") return null;
   // Les clés viennent d'une liste blanche interne, mais l'objet est nu quand même : la règle se
   // relit sans avoir à vérifier d'où vient chaque clé.
   const out = Object.create(null);
   for (const c of CHAMPS_PUBLICS) if (c in row) out[c] = row[c];
+  if ("reactions" in out) out.reactions = reactionsPubliques(out.reactions);
+  // Dérivé, jamais recopié : `author_hash` est lu pour ça et ne sort jamais tel quel.
+  if ("author_hash" in row) out.author_ref = refAuteur(row.author_hash);
   return out;
 }
 
@@ -266,6 +391,7 @@ function premierPublic(reponse) {
 }
 
 async function addMessage(slug, { name, email, avatar, isPresenter, isMember, body, replyTo, replyName, replyText, authorToken, attachment }) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
   const b = String(body || "").trim().slice(0, 2000);
   // ⚠️ Pas de normalisation ici : `config.supabaseUrl` arrive SANS barre finale, c'est le
   // contrat de l'adaptateur. En rajouter une deuxième couche, c'est deux endroits qui décident —
@@ -291,13 +417,24 @@ async function addMessage(slug, { name, email, avatar, isPresenter, isMember, bo
   return { ok: true, message: premierPublic(cree) };
 }
 
+/**
+ * ⚠️ L'HISTORIQUE PASSE MAINTENANT PAR LA PROJECTION, et il ne le faisait pas. Il rendait les
+ * lignes TELLES QUELLES, en comptant sur la seule liste du `select` pour ne rien laisser filer.
+ * Ça tenait tant que la liste ne contenait que du public — puis la référence d'auteur a exigé de
+ * lire `author_hash`, et cette lecture serait ressortie intacte vers toute l'audience.
+ *
+ * Trouvé par l'essai écrit pour le correctif, avant le premier envoi : deux protections pour la
+ * même chose — un `select` étroit et une projection — dont une seule était appliquée ici. Une
+ * garde qui dépend de ce qu'on n'a pas demandé cède au premier champ qu'on demande.
+ */
 async function listMessages(slug) {
-  const rows = await PLAYER.db.request(`doc_presentation_messages?slug=eq.${enc(String(slug || ""))}&select=id,author_name,author_email,author_avatar,is_presenter,is_member,body,attachment,reactions,reply_to,reply_name,reply_text,deleted,edited,created_at&order=created_at.asc&limit=300`);
-  return Array.isArray(rows) ? rows : [];
+  const rows = await PLAYER.db.request(`doc_presentation_messages?slug=eq.${enc(String(slug || ""))}&select=id,author_name,author_avatar,author_hash,is_presenter,is_member,body,attachment,reactions,reply_to,reply_name,reply_text,deleted,edited,created_at&order=created_at.asc&limit=300`);
+  return Array.isArray(rows) ? rows.map(messagePublic) : [];
 }
 
 // Éditer son message (jeton d'auteur requis). Ne touche pas aux messages supprimés.
 async function editMessage(slug, msgId, authorToken, body) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
   const id = Math.trunc(+msgId); const b = String(body || "").trim().slice(0, 2000);
   if (!id || !b || !authorToken) return { ok: false, status: 400 };
   const rows = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&slug=eq.${enc(String(slug || ""))}&select=author_hash,deleted&limit=1`);
@@ -309,6 +446,7 @@ async function editMessage(slug, msgId, authorToken, body) {
 
 // Supprimer (soft) : l'auteur (jeton) OU le présentateur (control_token de la présentation).
 async function deleteMessage(slug, msgId, { authorToken, control }) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
   const id = Math.trunc(+msgId);
   if (!id) return { ok: false, status: 400 };
   const rows = await PLAYER.db.request(`doc_presentation_messages?id=eq.${id}&slug=eq.${enc(String(slug || ""))}&select=author_hash&limit=1`);
@@ -323,6 +461,7 @@ async function deleteMessage(slug, msgId, { authorToken, control }) {
 
 // Verrouiller / déverrouiller le chat (présentateur uniquement).
 async function setChatLock(slug, control, locked) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
   const pres = await getPresentation(slug);
   if (!pres) return { ok: false, status: 404 };
   if (!tokenMatches(control, pres.control_hash)) return { ok: false, status: 403 };
@@ -332,6 +471,7 @@ async function setChatLock(slug, control, locked) {
 
 // Réaction emoji (toggle) : le participant (identifié par email ou nom) ajoute/retire un emoji sur un message.
 async function toggleReaction(slug, msgId, emoji, reactor) {
+  if (await estArchive(slug)) return REFUS_ARCHIVE;
   const id = Math.trunc(+msgId); const e = String(emoji || "").slice(0, 8); const who = String(reactor || "").slice(0, 160).toLowerCase();
   if (!id || !e || !who) return { ok: false, status: 400 };
   // ⚠️ Une réaction est un EMOJI. Refuser tout ce qui ressemble à un identifiant ferme la porte à
@@ -372,6 +512,10 @@ async function recordAttendance(slug, { key, name, email, avatar, isMember, isPr
   if (!slug || !key) return { ok: false, status: 400 };
   const pres = await getPresentation(slug);
   if (!pres) return { ok: false, status: 404 };
+  // ⚠️ La lecture est DÉJÀ faite ici : on s'en sert plutôt que d'en refaire une. Un battement de
+  // présence sur une session close n'a rien à mettre à jour — et il en arrive à chaque onglet
+  // resté ouvert, longtemps après la fin.
+  if (pres.active === false && pres.control_hash == null) return REFUS_ARCHIVE;
   const page = Math.max(1, Math.trunc(Number(pres.current_page) || 1));
   const now = Date.now();
   const rows = await PLAYER.db.request(`doc_presentation_attendees?slug=eq.${enc(slug)}&attendee_key=eq.${enc(String(key))}&select=*&limit=1`);
@@ -459,10 +603,13 @@ async function switchPresentationDoc(slug, email, isAdmin, { fileUrl, fileName,
   if (!row) return { ok: false, status: 404 };
   if (estClose(row)) return { ok: false, status: 409, error: "ended" };
   if (!isAdmin && (!row.owner_email || row.owner_email !== lc(email))) return { ok: false, status: 403 };
-  await PLAYER.db.request(`doc_presentations?slug=eq.${enc(slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: {
+  const ecrit = await ecrireSiEncoreVrai(`doc_presentations?slug=eq.${enc(slug)}&active=eq.true`, {
     file_url: String(fileUrl), file_name: fileName || null, doc_title: docTitle || null, doc_id: docId ? String(docId) : null,
     content: null, current_page: 1, active: true, last_seen: new Date().toISOString(), updated_at: new Date().toISOString(),
-  } });
+  });
+  // Une présentation terminée entre le contrôle et l'écriture n'est pas rouverte par un
+  // changement de document : le refus arrive tard, mais il arrive.
+  if (!ecrit) return { ok: false, status: 409, error: "ended" };
   return { ok: true };
 }
 
@@ -517,7 +664,17 @@ async function setPresentationContent(slug, email, isAdmin, content, control) {
   if (!pilote && !proprietaire) return { ok: false, status: 403 };
   // Le pilote a déjà été filtré par la révocation du jeton ; c'est le propriétaire qu'on arrête ici.
   if (!pilote && estClose(row)) return { ok: false, status: 409, error: "ended" };
-  await PLAYER.db.request(`doc_presentations?slug=eq.${enc(slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { content: sanitizeContent(content), active: true, last_seen: new Date().toISOString(), updated_at: new Date().toISOString() } });
+  // ⚠️ DEUX AUTORISATIONS, DONC DEUX CONDITIONS — et c'est la seule façon de ne pas retirer un
+  // droit en fermant une porte. Le PILOTE écrit tant que son jeton vaut : une carte affichée
+  // pendant que le portable dormait doit encore partir, comme une page. Le PROPRIÉTAIRE, lui,
+  // n'écrit que sur une présentation vivante : c'est déjà ce que le contrôle au-dessus exige.
+  const ecrit = await ecrireSiEncoreVrai(
+    pilote
+      ? `doc_presentations?slug=eq.${enc(slug)}&control_hash=eq.${sha(control)}`
+      : `doc_presentations?slug=eq.${enc(slug)}&active=eq.true`,
+    { content: sanitizeContent(content), active: true, last_seen: new Date().toISOString(), updated_at: new Date().toISOString() },
+  );
+  if (!ecrit) return { ok: false, status: 409, error: "ended" };
   return { ok: true };
 }
 

package/supabase/migrations/0004-limites-atomiques.sql

@@ -0,0 +1,55 @@
+-- COMPTER SANS SE FAIRE DOUBLER.
+--
+-- Le compteur partagé faisait trois gestes : lire, calculer, écrire. Sous charge — c'est-à-dire
+-- exactement quand une limite sert à quelque chose — plusieurs requêtes lisent le même compte et
+-- écrivent chacune « ce compte + 1 ». Vingt requêtes simultanées sur une limite de dix passent
+-- toutes. Une limite qui ne tient que lorsque personne ne pousse ne limite rien.
+--
+-- ⚠️ POURQUOI UNE FONCTION SQL ICI, alors que tout le reste du player tient en PostgREST simple.
+-- L'incrément atomique n'est PAS exprimable en REST : `on conflict do update set count = count + 1`
+-- a besoin de nommer la colonne des deux côtés, ce que le protocole ne permet pas. C'est la seule
+-- opération du produit qui exige de dire quelque chose que REST ne sait pas dire — et la garde de
+-- portabilité de la forge reste vraie, parce qu'un `rpc/` n'ajoute ni jointure ni arbre booléen.
+--
+-- ⚠️ LA FENÊTRE EST REMISE À NEUF, PAS PROLONGÉE. `expires_at` n'est réécrit que lorsque la
+-- précédente est expirée : sans ça, chaque appel repousserait l'échéance et la fenêtre glisserait
+-- indéfiniment — un visiteur régulier ne verrait jamais son compteur repartir de zéro.
+--
+-- Sans lui : le player laisse passer, et le dit une fois dans son journal en nommant ce fichier.
+-- Les limites restent celles d'avant — comptées par instance et non atomiques — donc plusieurs
+-- requêtes simultanées peuvent dépasser le plafond ensemble. Rien ne casse, rien ne se ferme : un
+-- 429 raté coûte moins cher qu'une visionneuse morte, et une garde qui s'ouvre doit le dire.
+--
+-- Applicable pendant que la version précédente tourne : tant que le code ne l'appelle pas, elle
+-- ne fait rien ; dès qu'il l'appelle, elle compte juste.
+
+create or replace function public.player_rate_limit_bump(
+  p_key text,
+  p_max integer,
+  p_window_seconds integer
+)
+returns table (autorise boolean, compte integer)
+language plpgsql
+security definer
+set search_path = public
+as $$
+declare
+  v_count integer;
+begin
+  insert into public.player_rate_limits as l (key, count, expires_at)
+  values (p_key, 1, now() + make_interval(secs => p_window_seconds))
+  on conflict (key) do update
+    set count = case when l.expires_at <= now() then 1 else l.count + 1 end,
+        expires_at = case when l.expires_at <= now()
+                          then now() + make_interval(secs => p_window_seconds)
+                          else l.expires_at end
+  returning l.count into v_count;
+
+  -- Le refus est décidé ICI, sur la valeur qu'on vient d'écrire : le client n'a rien à recalculer,
+  -- donc rien à recalculer sur une valeur déjà périmée.
+  return query select (v_count <= p_max), v_count;
+end;
+$$;
+
+-- Le player parle à la base avec la clé de service ; personne d'autre n'a à appeler ceci.
+revoke all on function public.player_rate_limit_bump(text, integer, integer) from public, anon, authenticated;