discovery-media-player 0.1.69 → 0.1.71

package/context/standalone.js

@@ -269,6 +269,18 @@ function createStandaloneContext(env = process.env) {
       }),
       // Écriture de fichier : hors périmètre d'une instance autonome (elle sert, elle ne range pas).
       async put() { throw new Error("storage.put n'est pas disponible sans câblage d'hôte"); },
+      // Optionnelle (rétention) : efface un objet du bucket — faux si l'API Storage est absente.
+      async remove(bucket, chemin) {
+        const base = sansBarreFinale(env.SUPABASE_URL);
+        const cle = String(env.SUPABASE_SERVICE_ROLE_KEY || "");
+        if (!base || !cle || !bucket || !chemin) return false;
+        try {
+          const r = await fetch(`${base}/storage/v1/object/${bucket}/${chemin}`, {
+            method: "DELETE", headers: { apikey: cle, Authorization: `Bearer ${cle}` },
+          });
+          return r.ok;
+        } catch { return false; }
+      },
 
       /**
        * URL d'envoi signée, pour une pièce jointe de chat. **Capacité de l'HÔTE**, pas du cœur.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.69",
+  "version": "0.1.71",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",
@@ -55,12 +55,12 @@
   "scripts": {
     "prepare": "node tools/install-hooks.mjs",
     "start": "node bin/serve.js",
-    "build": "node build/bundle.mjs && tsc -p tsconfig.build.json && node -e \"import('./build/bundle.mjs').then(m=>m.marquerDistEsm())\"",
+    "build": "node -e \"require('fs').existsSync('build/bundle.mjs')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && node build/bundle.mjs && tsc -p tsconfig.build.json && node -e \"import('./build/bundle.mjs').then(m=>m.marquerDistEsm())\"",
     "test": "node -e \"require('fs').existsSync('server/__tests__')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run",
     "test:watch": "vitest",
-    "lint": "eslint bin context server src build",
+    "lint": "node -e \"require('fs').existsSync('eslint.config.mjs')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && eslint bin context server src build",
     "lint:fix": "eslint bin context server src build --fix",
-    "typecheck": "tsc --noEmit",
+    "typecheck": "node -e \"require('fs').existsSync('tsconfig.json')||(console.error('Ce script ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && tsc --noEmit",
     "prepublishOnly": "npm run build && npm test",
     "test:e2e": "node -e \"require('fs').existsSync('vitest.e2e.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.e2e.config.mjs",
     "test:base": "node -e \"require('fs').existsSync('vitest.base.config.mjs')||(console.error('Ce banc ne vit pas dans le paquet publié - le champ scripts annonce plus que le tarball ne contient. Clonez le depot puis npm ci : https://github.com/Juli1artha/discovery-media-player'),process.exit(1))\" && vitest run --config vitest.base.config.mjs"

package/server/handler.js

@@ -29,6 +29,7 @@ function init(ctx) {
   PLAYER = ctx;
   // Le domaine reçoit le même contexte : une seule construction pour tout le player.
   require("./shares").init(ctx);
+  require("./retention").init(ctx);
   require("./presentations").init(ctx);
   require("./brands").init(ctx);
   // ⚠️ Réinitialisé avec le contexte : les réponses de la sonde valent pour UNE base. Un hôte qui
@@ -453,10 +454,21 @@ var Live=(function(){
     var t=document.getElementById('lModalT'),d=document.getElementById('lModalD'),y=document.getElementById('lModalYes'),n=document.getElementById('lModalNo');
     if(t)t.textContent=opts.title||'Confirmer ?';if(d){d.textContent=opts.desc||'';d.style.display=opts.desc?'block':'none';}
     if(y)y.textContent=opts.ok||'Confirmer';
-    function close(){m.classList.remove('open');if(y)y.onclick=null;if(n)n.onclick=null;m.onclick=null;document.removeEventListener('keydown',key);}
-    function key(e){if(e.key==='Escape'){close();}else if(e.key==='Enter'){close();if(onOk)onOk();}}
+    // ⚠️ UN role=dialog SANS PIÈGE DE FOCUS EST UNE DÉCLARATION SANS EFFET (septième audit) :
+    // Tab sortait vers la page derrière, et à la fermeture le focus tombait sur <body> — un
+    // utilisateur clavier repartait de zéro. Le piège boucle entre les DEUX boutons, Échap et
+    // Entrée existaient déjà, et l'élément qui avait le focus à l'ouverture le RETROUVE.
+    var avant=document.activeElement;
+    function close(){m.classList.remove('open');if(y)y.onclick=null;if(n)n.onclick=null;m.onclick=null;document.removeEventListener('keydown',key);
+      if(avant&&avant.focus)try{avant.focus();}catch(e){}}
+    function key(e){if(e.key==='Escape'){close();}else if(e.key==='Enter'){close();if(onOk)onOk();}
+      else if(e.key==='Tab'){var f=[n,y].filter(function(x){return x;});if(!f.length)return;e.preventDefault();
+        var i=f.indexOf(document.activeElement);var j=e.shiftKey?(i<=0?f.length-1:i-1):(i>=f.length-1?0:i+1);try{f[j].focus();}catch(err){}}}
     if(y)y.onclick=function(){close();if(onOk)onOk();};if(n)n.onclick=close;m.onclick=function(e){if(e.target===m)close();};
     document.addEventListener('keydown',key);m.classList.add('open');if(y)try{y.focus();}catch(e){}}
+  // Crochet interne (même famille que __presRelireEtat) : le piège de focus ne se PROUVE que
+  // piloté clavier dans un vrai navigateur, et la seule voie UI passe par un message à soi.
+  try{window.__confirmDialog=confirmDialog;}catch(e){}
   function history(){fetch('/api/doc?present='+encodeURIComponent(SLUG)+'&chat=1').then(function(r){return r.json();}).then(function(d){var box=document.getElementById('chatMsgs');if(d&&d.messages&&d.messages.length){d.messages.forEach(function(m){addMsg(m);});}else if(box&&!box.children.length){box.innerHTML='<div class=chat-empty>Aucun message. Lancez la discussion.</div>';}if(d&&typeof d.locked!=='undefined')applyLock(d.locked);_histDone=true;}).catch(function(){_histDone=true;});}
   function react(id,e){if(!ME||!id||!e)return;
     // ⚠️ ON ENVOIE L'ÉTAT VOULU, PAS « INVERSE ». Basculer n'a de sens qu'une fois : un renvoi
@@ -847,7 +859,7 @@ var Map3DD=(function(){
     var svb=document.getElementById('mapSV'); if(svb&&!svb._w){svb._w=1;svb.addEventListener('click',function(){ if(!map)return; var c=useG?[map.getCenter().lat(),map.getCenter().lng()]:[map.getCenter().lat,map.getCenter().lng]; goSV(c); });}
     var tm=document.getElementById('mapToMap'); if(tm&&!tm._w){tm._w=1;tm.addEventListener('click',toMap);} }
   function doSearch(text){ text=(text||'').trim(); var res=document.getElementById('mapRes'); if(!text||!res)return; res.innerHTML='<div style="padding:9px 14px;color:#888;font-size:12px">Recherche…</div>';
-    fetch('https://nominatim.openstreetmap.org/search?format=json&limit=5&q='+encodeURIComponent(text),{headers:{Accept:'application/json'}}).then(function(r){return r.json();}).then(function(l){ if(!l||!l.length){res.innerHTML='<div style="padding:9px 14px;color:#888;font-size:12px">Aucun résultat.</div>';return;} res.innerHTML=l.map(function(o){var la=Number(o.lat),lo=Number(o.lon);if(!isFinite(la)||!isFinite(lo))return '';return '<button data-lat="'+la+'" data-lng="'+lo+'">'+String(o.display_name||'').replace(/</g,'&lt;')+'</button>';}).join(''); }).catch(function(){res.innerHTML='<div style="padding:9px 14px;color:#c0392b;font-size:12px">Recherche indisponible.</div>';}); }
+    fetch('https://nominatim.openstreetmap.org/search?format=json&limit=5&q='+encodeURIComponent(text),{headers:{Accept:'application/json'}}).then(function(r){return r.json();}).then(function(l){ if(!l||!l.length){res.innerHTML='<div style="padding:9px 14px;color:#888;font-size:12px">Aucun résultat.</div>';return;} res.innerHTML=l.map(function(o){var la=Number(o.lat),lo=Number(o.lon);if(!isFinite(la)||!isFinite(lo)||la<-90||la>90||lo<-180||lo>180)return '';return '<button data-lat="'+la+'" data-lng="'+lo+'">'+String(o.display_name||'').replace(/</g,'&lt;')+'</button>';}).join(''); }).catch(function(){res.innerHTML='<div style="padding:9px 14px;color:#c0392b;font-size:12px">Recherche indisponible.</div>';}); }
   // ── Street View (Google) ─────────────────────────────────────────────────────────────────────────
   function tempHint(t){ var h=document.getElementById('mapHint'); if(h){h.textContent=t; setTimeout(function(){ if(h.textContent===t)h.textContent=(isPres?'':'Vue du présentateur — en direct'); },2600);} }
   // Le présentateur passe en Street View depuis le centre de la carte : on cherche le panorama le plus proche.
@@ -3524,8 +3536,23 @@ async function handler(req, res) {
       // ⚠️ QUI a le droit de diffuser un document est en revanche une règle de l'HÔTE, pas du
       // player : elle passe par le contexte (`identity.canManageShares`). Le player se contente de
       // vérifier le jeton. Sans réponse de l'hôte : refus.
+      // ── RÉTENTION (docs/RETENTION.md) ────────────────────────────────────────────────────────
+      // Déclenchement explicite : hôte de confiance ou admin. Renvoie les comptes DÉCLARÉS —
+      // le recensement indépendant (SQL nu) est l'autre moitié du contrat, pas cette route.
+      if (body.action === "retention.run") {
+        const jd = (status, obj) => { res.statusCode = status; res.setHeader("Content-Type", "application/json"); res.end(JSON.stringify(obj)); };
+        try {
+          const hote = !!(PLAYER.identity.isTrustedHostCall && PLAYER.identity.isTrustedHostCall(req.headers));
+          let admin = false;
+          if (!hote) { const u = await PLAYER.identity.verifyToken(req.headers.authorization); admin = !!(u && PLAYER.identity.isAdmin(u)); }
+          if (!hote && !admin) return jd(403, { ok: false, error: "retention.run : hôte de confiance ou admin requis" });
+          return jd(200, await require("./retention").purgerRetention(Date.now()));
+        } catch (e) { try { PLAYER.errors.capture(e, { route: "retention" }); } catch { /* jamais bloquant */ } return jd(500, { ok: false }); }
+      }
       if (String(body.action || "").startsWith("docshare.")) {
         const jd = (status, obj) => { res.statusCode = status; res.setHeader("Content-Type", "application/json"); res.end(JSON.stringify(obj)); };
+        // Balayage de rétention opportuniste — au plus un par 24 h, jamais bloquant.
+        try { require("./retention").tick(); } catch { /* jamais bloquant */ }
         try {
           // ── L'HÔTE PARLE EN SON NOM PROPRE ────────────────────────────────────────────────
           //
@@ -3613,10 +3640,21 @@ async function handler(req, res) {
               // demandes suivantes la trouveront par l'unicité, et les doublons d'avant 0011
               // s'éteignent d'eux-mêmes faute d'être resservis.
               const cleDispo = await require("./schema").attendue("liensUniques");
-              await PLAYER.db.request(`commercial_doc_shares?slug=eq.${encodeURIComponent(dejaLa[0].slug)}`, {
-                method: "PATCH", headers: { Prefer: "return=minimal" },
-                body: { doc_title: body.docTitle || null, file_url: String(body.fileUrl), file_name: body.fileName || null, revoked: false, ...(cleDispo ? { idem_key: cleHote } : {}) },
-              });
+              // ⚠️ MÊME RATTRAPAGE QUE LE CHEMIN DE CRÉATION (septième audit : le correctif ne
+              // s'était pas appliqué à lui-même). Deux doublons d'avant 0011 en concurrence :
+              // l'index refuse la seconde pose de clé — on relit le gagnant au lieu de rendre 500.
+              try {
+                await PLAYER.db.request(`commercial_doc_shares?slug=eq.${encodeURIComponent(dejaLa[0].slug)}`, {
+                  method: "PATCH", headers: { Prefer: "return=minimal" },
+                  body: { doc_title: body.docTitle || null, file_url: String(body.fileUrl), file_name: body.fileName || null, revoked: false, ...(cleDispo ? { idem_key: cleHote } : {}) },
+                });
+              } catch (erreur) {
+                if (!String((erreur && erreur.message) || "").includes("409")) throw erreur;
+                try { PLAYER.errors.capture(new Error("backfill hôte : la clé était déjà posée ailleurs — " + docId), { route: "hostshare", benin: true }); } catch { /* jamais bloquant */ }
+                const gagnant = await PLAYER.db.request(`commercial_doc_shares?idem_key=eq.${encodeURIComponent(cleHote)}&select=slug&limit=1`);
+                if (!Array.isArray(gagnant) || !gagnant[0]) throw erreur;
+                return jd(200, { ok: true, slug: gagnant[0].slug, reused: true });
+              }
               return jd(200, { ok: true, slug: dejaLa[0].slug, reused: true });
             }
             // `createdBy` reste NUL : personne ne l'a créé. Le filtre « mes liens » compare
@@ -3684,7 +3722,16 @@ async function handler(req, res) {
           const cleTest = cleIdempotence("repetition", [docId]);
           if (Array.isArray(ex) && ex[0]) {
             const cleDispo = await require("./schema").attendue("liensUniques");
-            await PLAYER.db.request(`commercial_doc_shares?slug=eq.${encodeURIComponent(ex[0].slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { doc_title: body.docTitle || null, file_url: String(body.fileUrl), file_name: body.fileName || null, bot_enabled: true, bot_guided: true, bot_profile_id: (body.profileId || "").trim() || null, revoked: false, ...(cleDispo ? { idem_key: cleTest } : {}) } });
+            // Même rattrapage que ci-dessus : le backfill de la répétition pose la même clé.
+            try {
+              await PLAYER.db.request(`commercial_doc_shares?slug=eq.${encodeURIComponent(ex[0].slug)}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { doc_title: body.docTitle || null, file_url: String(body.fileUrl), file_name: body.fileName || null, bot_enabled: true, bot_guided: true, bot_profile_id: (body.profileId || "").trim() || null, revoked: false, ...(cleDispo ? { idem_key: cleTest } : {}) } });
+            } catch (erreur) {
+              if (!String((erreur && erreur.message) || "").includes("409")) throw erreur;
+              try { PLAYER.errors.capture(new Error("backfill répétition : la clé était déjà posée ailleurs — " + docId), { route: "docshare-test", benin: true }); } catch { /* jamais bloquant */ }
+              const gagnant = await PLAYER.db.request(`commercial_doc_shares?idem_key=eq.${encodeURIComponent(cleTest)}&select=slug&limit=1`);
+              if (!Array.isArray(gagnant) || !gagnant[0]) throw erreur;
+              return jd(200, { ok: true, slug: gagnant[0].slug, reused: true });
+            }
             return jd(200, { ok: true, slug: ex[0].slug });
           }
           // Deux ouvertures simultanées de la répétition : la contrainte tranche, le perdant relit.

package/server/retention.js

@@ -0,0 +1,92 @@
+// LA PURGE DÉCLARE, LE RECENSEMENT LA CONTREDIT.
+//
+// Ce module est UNE des deux moitiés du contrat de rétention (docs/RETENTION.md) : il efface ce
+// qui a dépassé sa fenêtre et DÉCLARE ses comptes, table par table. L'autre moitié —
+// `supabase/recensement-retention.sql` — recompte en SQL nu ce qui reste dans le périmètre
+// revendiqué, sans partager une ligne, une fonction ni un filtre avec ce fichier : deux textes
+// qui ne peuvent pas être faux de la même manière. La forge les confronte sur une base réelle.
+//
+// ⚠️ Le compte déclaré vient des LIGNES RENDUES par le DELETE (`Prefer: return=representation`,
+// select réduit à une colonne), jamais d'un comptage préalable : ce qui est déclaré est ce qui a
+// été fait, pas ce qui était prévu.
+//
+// ⚠️ L'absence ne se prouve pas ici : ce module peut seulement dire ce qu'il a effacé. La
+// question « son périmètre couvre-t-il ce qui existe ? » appartient à la garde de forge qui
+// confronte les colonnes du schéma vivant à docs/RETENTION.md.
+
+let PLAYER = null;
+const init = (ctx) => { PLAYER = ctx; };
+const enc = encodeURIComponent;
+
+// Fenêtres par défaut de docs/RETENTION.md — l'hôte ajuste via `config.retention`.
+const FENETRES = { journauxMois: 13, presentationsMois: 12, liensRevoquesMois: 13 };
+const fenetres = () => ({ ...FENETRES, ...((PLAYER.config && PLAYER.config.retention) || {}) });
+
+// Borne calendaire : N mois avant `now`, en ISO — les fenêtres de RETENTION.md parlent en mois.
+function borne(now, mois) { const d = new Date(now); d.setMonth(d.getMonth() - mois); return d.toISOString(); }
+
+async function effacer(chemin) {
+  const lignes = await PLAYER.db.request(chemin, { method: "DELETE", headers: { Prefer: "return=representation" } });
+  return Array.isArray(lignes) ? lignes.length : 0;
+}
+
+// Chemin du bucket depuis l'URL publique d'une pièce jointe — nul si l'URL vient d'ailleurs.
+function cheminPieceJointe(url) {
+  const m = /\/present-attachments\/(.+)$/.exec(String(url || ""));
+  return m ? m[1].split("?")[0] : null;
+}
+
+async function purgerRetention(now) {
+  const f = fenetres();
+  const efface = {};
+  const bJournaux = borne(now, f.journauxMois);
+
+  efface.commercial_doc_views = await effacer(`commercial_doc_views?at=lt.${enc(bJournaux)}&select=id`);
+  efface.commercial_doc_sessions = await effacer(`commercial_doc_sessions?last_at=lt.${enc(bJournaux)}&select=session_id`);
+  efface.commercial_doc_internal_sessions = await effacer(`commercial_doc_internal_sessions?last_at=lt.${enc(bJournaux)}&select=session_id`);
+  efface.doc_bot_sessions = await effacer(`doc_bot_sessions?last_at=lt.${enc(bJournaux)}&select=id`);
+  efface.player_rate_limits = await effacer(`player_rate_limits?expires_at=lt.${enc(new Date(now).toISOString())}&select=key`);
+
+  // Liens révoqués : seulement là où la révocation est DATÉE (0013) — sans la colonne, la purge
+  // resterait muette plutôt que d'inventer une borne depuis l'âge du lien.
+  const dateDispo = await require("./schema").attendue("revocationDatee");
+  efface.commercial_doc_shares = dateDispo
+    ? await effacer(`commercial_doc_shares?revoked=eq.true&revoked_at=lt.${enc(borne(now, f.liensRevoquesMois))}&select=slug`)
+    : 0;
+
+  // Présentations mortes : la ligne, ses messages, ses présences — et les fichiers du bucket si
+  // l'hôte fournit storage.remove (capacité OPTIONNELLE : sans elle, la limite est écrite dans
+  // RETENTION.md plutôt que simulée ici).
+  const bPres = borne(now, f.presentationsMois);
+  const mortes = await PLAYER.db.request(`doc_presentations?active=eq.false&updated_at=lt.${enc(bPres)}&select=slug`);
+  efface.doc_presentations = 0; efface.doc_presentation_messages = 0;
+  efface.doc_presentation_attendees = 0; efface.pieces_jointes = 0;
+  const retirer = PLAYER.storage && typeof PLAYER.storage.remove === "function" ? PLAYER.storage.remove.bind(PLAYER.storage) : null;
+  for (const p of (Array.isArray(mortes) ? mortes : [])) {
+    const slug = p && p.slug; if (!slug) continue;
+    if (retirer) {
+      const jointes = await PLAYER.db.request(`doc_presentation_messages?slug=eq.${enc(slug)}&attachment=not.is.null&select=attachment`);
+      for (const j of (Array.isArray(jointes) ? jointes : [])) {
+        const chemin = cheminPieceJointe(j && j.attachment);
+        if (!chemin) continue;
+        try { if (await retirer("present-attachments", chemin)) efface.pieces_jointes += 1; } catch { /* le fichier survit, la ligne part quand même — limite dite */ }
+      }
+    }
+    efface.doc_presentation_messages += await effacer(`doc_presentation_messages?slug=eq.${enc(slug)}&select=id`);
+    efface.doc_presentation_attendees += await effacer(`doc_presentation_attendees?slug=eq.${enc(slug)}&select=attendee_key`);
+    efface.doc_presentations += await effacer(`doc_presentations?slug=eq.${enc(slug)}&select=slug`);
+  }
+  return { ok: true, efface };
+}
+
+// Balayage opportuniste : au plus UN par fenêtre de 24 h (le verrou est le compteur de débit
+// partagé — même mécanique que les limites, donc multi-processus sans coordination). Jamais
+// bloquant : la route qui l'héberge répond sans l'attendre, l'échec se capture.
+function tick() {
+  Promise.resolve()
+    .then(() => PLAYER.limits.allow("retention:sweep", 1, 86400))
+    .then((permis) => { if (permis) return purgerRetention(Date.now()); })
+    .catch((e) => { try { PLAYER.errors.capture(e, { route: "retention", benin: true }); } catch { /* jamais bloquant */ } });
+}
+
+module.exports = { init, purgerRetention, tick, cheminPieceJointe };

package/server/schema.js

@@ -47,6 +47,11 @@ const ATTENDUES = {
     migration: "supabase/migrations/0011-liens-uniques.sql",
     fonction: "empêcher deux demandes simultanées de créer deux liens système pour le même usage",
   },
+  revocationDatee: {
+    table: "commercial_doc_shares", colonne: "revoked_at",
+    migration: "supabase/migrations/0013-revocation-datee.sql",
+    fonction: "dater la révocation pour borner la rétention des liens révoqués",
+  },
   reactionsOrdonnees: {
     table: "doc_presentation_messages", colonne: "reactions_seq",
     migration: "supabase/migrations/0006-reactions-ordonnees.sql",

package/server/shares.js

@@ -345,7 +345,9 @@ async function sendReshareEmail({ parent, childSlug, origin, toEmail, toName })
 }
 
 async function revokeShare(slug) {
-  await PLAYER.db.request(`commercial_doc_shares?slug=eq.${enc(String(slug || ""))}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { revoked: true } });
+  // La date borne la rétention (RETENTION.md) — écrite seulement là où la colonne existe (0013).
+  const dateDispo = await require("./schema").attendue("revocationDatee");
+  await PLAYER.db.request(`commercial_doc_shares?slug=eq.${enc(String(slug || ""))}`, { method: "PATCH", headers: { Prefer: "return=minimal" }, body: { revoked: true, ...(dateDispo ? { revoked_at: new Date().toISOString() } : {}) } });
 }
 
 // Soft wall : (dé)verrouille l'accès d'un lien /doc — require_auth=true → connexion visiteur exigée.

package/supabase/init.sql

@@ -39,6 +39,7 @@ create table if not exists public.commercial_doc_shares (
   created_by      text,
   created_at      timestamptz not null default now(),
   revoked         boolean not null default false,
+  revoked_at      timestamptz,               -- date de l'acte : borne la rétention (RETENTION.md)
   parent_slug     text,                      -- re-partage : le lien d'où celui-ci est issu
   bot_enabled     boolean not null default false,
   bot_script      text,
@@ -68,6 +69,12 @@ alter table public.commercial_doc_shares
 create unique index if not exists cds_idem_key_uniq
   on public.commercial_doc_shares (idem_key)
   where idem_key is not null;
+comment on column public.commercial_doc_shares.idem_key is
+  'Clé d''idempotence des liens SYSTÈME (hôte, répétition) : empreinte « genre:sha256(JSON des '
+  'composants) » — genre = hote | repetition. Les clés historiques au format concaténé '
+  '« hote:<doc>|<email> » se remplacent d''elles-mêmes au réemploi (backfill). Nulle sur les '
+  'liens ordinaires. Unique quand renseignée : deux demandes simultanées ne créent qu''un lien, '
+  'la seconde relit le gagnant.';
 create index if not exists cds_parent_idx on public.commercial_doc_shares (parent_slug);
 create index if not exists idx_doc_shares_brand_key
   on public.commercial_doc_shares (brand_key) where brand_key is not null;
@@ -417,6 +424,9 @@ alter table public.doc_presentation_messages
   add column if not exists client_key text;
 alter table public.commercial_doc_shares
   add column if not exists idem_key text;
+alter table public.commercial_doc_shares
+  add column if not exists revoked_at timestamptz;
+update public.commercial_doc_shares set revoked_at = now() where revoked = true and revoked_at is null;
 -- Une base née d'un init.sql d'avant la 0008 porte un NOT NULL qui rend la clôture impossible.
 alter table public.doc_presentations
   alter column control_hash drop not null;

package/supabase/migrations/0011-liens-uniques.sql

@@ -17,6 +17,9 @@
 alter table public.commercial_doc_shares
   add column if not exists idem_key text;
 
+-- ⚠️ Le format décrit ci-dessous était celui de l'époque ; la clé est devenue une EMPREINTE
+-- (genre:sha256) et la 0012 remet ce commentaire de colonne à jour EN BASE. Le texte d'origine
+-- reste ici tel qu'appliqué — une migration ne se réécrit pas, elle se corrige par la suivante.
 comment on column public.commercial_doc_shares.idem_key is
   'Clé d''idempotence des liens SYSTÈME (hôte, répétition) : « hote:<doc>|<destinataire attesté> » '
   'ou « repetition:<doc> ». Nulle sur les liens ordinaires. Unique quand renseignée : deux '

package/supabase/migrations/0012-commentaire-cle-empreinte.sql

@@ -0,0 +1,16 @@
+-- LE COMMENTAIRE DE COLONNE DÉCRIVAIT UN FORMAT MORT.
+--
+-- La 0011 documentait la clé sous sa forme concaténée « hote:<doc>|<destinataire attesté> » ;
+-- depuis, la clé est une EMPREINTE — genre:sha256(JSON.stringify(composants)) — parce que la
+-- concaténation portait trois défauts (troncature à l'écriture mais relecture entière, collision
+-- de préfixe, frontière « | » déplaçable — septième audit). Un commentaire de colonne se lit dans
+-- la base, longtemps après les fichiers : celui-ci aurait envoyé un exploitant chercher des clés
+-- lisibles qui n'existent plus.
+--
+-- Sans lui : rien ne casse — seule la documentation EN BASE reste fausse.
+comment on column public.commercial_doc_shares.idem_key is
+  'Clé d''idempotence des liens SYSTÈME (hôte, répétition) : empreinte « genre:sha256(JSON des '
+  'composants) » — genre = hote | repetition. Les clés historiques au format concaténé '
+  '« hote:<doc>|<email> » se remplacent d''elles-mêmes au réemploi (backfill). Nulle sur les '
+  'liens ordinaires. Unique quand renseignée : deux demandes simultanées ne créent qu''un lien, '
+  'la seconde relit le gagnant.';

package/supabase/migrations/0013-revocation-datee.sql

@@ -0,0 +1,21 @@
+-- LA RÉVOCATION N'AVAIT PAS DE DATE — « 13 MOIS APRÈS RÉVOCATION » ÉTAIT INCALCULABLE.
+--
+-- docs/RETENTION.md promet la purge des liens révoqués 13 mois après leur révocation ; or le
+-- schéma ne portait que `revoked boolean` et `created_at`. Sans date, la politique serait restée
+-- une phrase — ou aurait pris l'âge du lien comme borne, purgeant un lien révoqué d'hier parce
+-- qu'il est né il y a deux ans. La colonne date l'acte ; le backfill démarre l'horloge des
+-- révoqués existants À MAINTENANT (leur date réelle est perdue — compter large plutôt qu'inventer).
+--
+-- Sans lui : rien ne casse — la purge des liens révoqués reste simplement inactive (sonde de
+-- schéma négative), les autres purges tournent.
+alter table public.commercial_doc_shares
+  add column if not exists revoked_at timestamptz;
+
+comment on column public.commercial_doc_shares.revoked_at is
+  'Date de révocation du lien — borne la rétention (purge N mois après, cf. docs/RETENTION.md). '
+  'Nulle tant que le lien vit. Les révoqués d''avant cette colonne ont reçu la date de la '
+  'migration : leur horloge démarre là.';
+
+update public.commercial_doc_shares
+  set revoked_at = now()
+  where revoked = true and revoked_at is null;

package/supabase/recensement-retention.sql

@@ -0,0 +1,54 @@
+-- LE RECENSEMENT INDÉPENDANT — L'AUTRE MOITIÉ DU CONTRAT DE RÉTENTION.
+--
+-- Ce fichier recompte, en SQL nu, ce qui RESTE dans le périmètre que docs/RETENTION.md revendique.
+-- Il ne partage RIEN avec `server/retention.js` : ni fonction, ni filtre, ni transport — deux
+-- textes écrits séparément, qui ne peuvent pas être faux de la même manière (l'erreur partagée
+-- rend un compte juste ; l'indépendance est la propriété, pas un style). Les fenêtres (13/12/13
+-- mois) sont le CONTRAT commun : elles viennent du document, pas du code.
+--
+-- Usage : psql -f supabase/recensement-retention.sql — chaque ligne rend « table|restantes ».
+-- Après une purge, tout doit être à zéro ; un reste est un mensonge de la purge OU un trou de
+-- son périmètre. La forge l'exécute à chaque course, après le banc base.
+select 'commercial_doc_views' as perimetre, count(*) as restantes
+  from public.commercial_doc_views
+  where at < now() - interval '13 months'
+union all
+select 'commercial_doc_sessions', count(*)
+  from public.commercial_doc_sessions
+  where last_at < now() - interval '13 months'
+union all
+select 'commercial_doc_internal_sessions', count(*)
+  from public.commercial_doc_internal_sessions
+  where last_at < now() - interval '13 months'
+union all
+select 'doc_bot_sessions', count(*)
+  from public.doc_bot_sessions
+  where last_at < now() - interval '13 months'
+union all
+select 'player_rate_limits', count(*)
+  from public.player_rate_limits
+  where expires_at < now()
+union all
+select 'commercial_doc_shares_revoques', count(*)
+  from public.commercial_doc_shares
+  where revoked and revoked_at < now() - interval '13 months'
+union all
+select 'doc_presentations_mortes', count(*)
+  from public.doc_presentations
+  where not active and updated_at < now() - interval '12 months'
+union all
+-- Messages et présences : orphelins d'une présentation morte-ancienne OU d'aucune présentation —
+-- formulé par NOT EXISTS, pas par la liste de slugs que la purge a construite.
+select 'doc_presentation_messages_orphelins', count(*)
+  from public.doc_presentation_messages m
+  where not exists (
+    select 1 from public.doc_presentations p
+    where p.slug = m.slug
+      and (p.active or p.updated_at >= now() - interval '12 months'))
+union all
+select 'doc_presentation_attendees_orphelins', count(*)
+  from public.doc_presentation_attendees a
+  where not exists (
+    select 1 from public.doc_presentations p
+    where p.slug = a.slug
+      and (p.active or p.updated_at >= now() - interval '12 months'));