teuthis-cms 0.1.0__tar.gz

teuthis_cms-0.1.0/.env.example

@@ -0,0 +1,71 @@
+# Copier en .env pour le développement local. Aucune valeur IA n'est
+# nécessaire pour que l'API démarre (CDC §14.11).
+#
+# --- Authentification (Epic E6) : rien à renseigner, et ce n'est pas un oubli.
+# Les sessions du back-office sont des jetons opaques aléatoires adossés à la
+# table `staff_sessions` (ADR-0008), pas des JWT signés : il n'y a donc aucun
+# secret de signature à configurer, et aucun secret de développement à risquer
+# d'emporter en production. La politique de mot de passe (16 caractères, 4
+# classes — CDC §8.3) et la durée de session sont paramétrables **par tenant**
+# dans `tenants.settings["rbac"]`, pas par variable d'environnement : ce sont
+# des règles d'un projet, pas de l'instance.
+#
+# Le premier administrateur se crée par `POST /api/v1/auth/bootstrap`, qui ne
+# répond que tant que le tenant n'a aucun compte de back-office — plutôt qu'un
+# couple admin/admin posé par une migration, c'est-à-dire un mot de passe par
+# défaut oublié en production.
+
+DATABASE_URL=postgresql+asyncpg://teuthis:teuthis@postgres:5432/teuthis
+REDIS_URL=redis://redis:6379/0
+
+STORAGE_ENDPOINT=http://minio:9000
+STORAGE_BUCKET=teuthis-media
+STORAGE_ACCESS_KEY=teuthis
+STORAGE_SECRET_KEY=teuthis-dev-secret
+
+# --- IA — désactivé par défaut, à renseigner uniquement avec le profil ai-local ---
+AI_OLLAMA_ENDPOINT=
+AI_VLLM_ENDPOINT=
+AI_LLAMACPP_ENDPOINT=
+AI_OPENAI_API_KEY=
+AI_ANTHROPIC_API_KEY=
+AI_MISTRAL_API_KEY=
+AI_GEMINI_API_KEY=
+AI_CUSTOM_ENDPOINT=
+AI_CUSTOM_API_KEY=
+AI_CUSTOM_PROTOCOL=openai_compatible
+
+# « restricted » (défaut) : aucun modèle déclaré comme faisant sortir les
+# données de l'infrastructure n'est appelé. « hybrid » : sortie possible si la
+# politique de la tâche l'autorise, jamais pour des données personnelles.
+# « open » : sortie possible, toujours journalisée. Une valeur inconnue vaut
+# « restricted » — une faute de frappe ne doit pas ouvrir un canal de sortie.
+AI_SOVEREIGNTY_MODE=restricted
+# Catalogues YAML supplémentaires du Model Registry (Epic E8). Vide = seul le
+# catalogue livré avec le CMS est chargé. Ajouter un modèle local ne demande
+# donc ni déploiement de code, ni migration.
+AI_MODEL_REGISTRY_DIR=
+# Volontairement vide : le choix du modèle d'embedding par défaut reste ouvert
+# (ADR-0004, faute de comparatif sur des contenus français). Le premier modèle
+# réellement déployé verrouille la dimension pgvector ; en changer ensuite est
+# une migration avec réindexation planifiée, refusée techniquement sans elle.
+AI_DEFAULT_EMBEDDING_MODEL=
+AI_MAX_MONTHLY_COST=
+AI_REQUIRE_HUMAN_VALIDATION=true
+AI_JOB_TIMEOUT_SECONDS=120
+AI_CACHE_TTL_DAYS=30
+
+# --- Accessibilité : référentiels d'audit (Epic E15, ADR-0018) ---
+# Répertoire de référentiels YAML supplémentaires. Vide = seuls les
+# référentiels livrés sont chargés (`app/compliance/referentials/`).
+#
+# C'est ce réglage qui rend tenable la contrainte du point ouvert #8 : le
+# RGAA 5 est annoncé pour fin 2026, et sa prise en charge consistera à
+# déposer un fichier ici — sans déploiement de code, sans migration, et sans
+# que les audits déjà saisis sous la grille 4.1.2 cessent d'être lisibles.
+#
+# Aucun référentiel par défaut n'est nommé, volontairement : chaque audit
+# déclare la grille sous laquelle il a été conduit. Un « référentiel par
+# défaut » de l'installation serait redevenu, à l'usage, « le référentiel du
+# CMS ».
+ACCESSIBILITY_REFERENTIAL_DIR=

teuthis_cms-0.1.0/.flake8

@@ -0,0 +1,3 @@
+[flake8]
+max-line-length = 100
+extend-exclude = .venv,alembic/versions

teuthis_cms-0.1.0/.gitignore

@@ -0,0 +1,450 @@
+## Ignore Visual Studio temporary files, build results, and
+## files generated by popular Visual Studio add-ons.
+##
+## Get latest from https://github.com/github/gitignore/blob/main/VisualStudio.gitignore
+
+# User-specific files
+*.rsuser
+*.suo
+*.user
+*.userosscache
+*.sln.docstates
+*.env
+
+# User-specific files (MonoDevelop/Xamarin Studio)
+*.userprefs
+
+# Mono auto generated files
+mono_crash.*
+
+# Build results
+[Dd]ebug/
+[Dd]ebugPublic/
+[Rr]elease/
+[Rr]eleases/
+
+[Dd]ebug/x64/
+[Dd]ebugPublic/x64/
+[Rr]elease/x64/
+[Rr]eleases/x64/
+bin/x64/
+obj/x64/
+
+[Dd]ebug/x86/
+[Dd]ebugPublic/x86/
+[Rr]elease/x86/
+[Rr]eleases/x86/
+bin/x86/
+obj/x86/
+
+[Ww][Ii][Nn]32/
+[Aa][Rr][Mm]/
+[Aa][Rr][Mm]64/
+[Aa][Rr][Mm]64[Ee][Cc]/
+bld/
+[Oo]bj/
+[Oo]ut/
+[Ll]og/
+[Ll]ogs/
+
+# Build results on 'Bin' directories
+**/[Bb]in/*
+# Uncomment if you have tasks that rely on *.refresh files to move binaries
+# (https://github.com/github/gitignore/pull/3736)
+#!**/[Bb]in/*.refresh
+
+# Visual Studio 2015/2017 cache/options directory
+.vs/
+# Uncomment if you have tasks that create the project's static files in wwwroot
+#wwwroot/
+
+# Visual Studio 2017 auto generated files
+Generated\ Files/
+
+# MSTest test Results
+[Tt]est[Rr]esult*/
+[Bb]uild[Ll]og.*
+*.trx
+
+# NUnit
+*.VisualState.xml
+TestResult.xml
+nunit-*.xml
+
+# Approval Tests result files
+*.received.*
+
+# Build Results of an ATL Project
+[Dd]ebugPS/
+[Rr]eleasePS/
+dlldata.c
+
+# Benchmark Results
+BenchmarkDotNet.Artifacts/
+
+# .NET Core
+project.lock.json
+project.fragment.lock.json
+artifacts/
+.artifacts/
+
+# ASP.NET Scaffolding
+ScaffoldingReadMe.txt
+
+# StyleCop
+StyleCopReport.xml
+
+# Files built by Visual Studio
+*_i.c
+*_p.c
+*_h.h
+*.ilk
+*.meta
+*.obj
+*.idb
+*.iobj
+*.pch
+*.pdb
+*.ipdb
+*.pgc
+*.pgd
+*.rsp
+# but not Directory.Build.rsp, as it configures directory-level build defaults
+!Directory.Build.rsp
+*.sbr
+*.tlb
+*.tli
+*.tlh
+*.tmp
+*.tmp_proj
+*_wpftmp.csproj
+*.log
+*.tlog
+*.vspscc
+*.vssscc
+.builds
+*.pidb
+*.svclog
+*.scc
+
+# Chutzpah Test files
+_Chutzpah*
+
+# Visual C++ cache files
+ipch/
+*.aps
+*.ncb
+*.opendb
+*.opensdf
+*.sdf
+*.cachefile
+*.VC.db
+*.VC.VC.opendb
+
+# Visual Studio profiler
+*.psess
+*.vsp
+*.vspx
+*.sap
+
+# Visual Studio Trace Files
+*.e2e
+
+# TFS 2012 Local Workspace
+$tf/
+
+# Guidance Automation Toolkit
+*.gpState
+
+# ReSharper is a .NET coding add-in
+_ReSharper*/
+*.[Rr]e[Ss]harper
+*.DotSettings.user
+
+# TeamCity is a build add-in
+_TeamCity*
+
+# DotCover is a Code Coverage Tool
+*.dotCover
+
+# AxoCover is a Code Coverage Tool
+.axoCover/*
+!.axoCover/settings.json
+
+# Coverlet is a free, cross platform Code Coverage Tool
+coverage*.json
+coverage*.xml
+coverage*.info
+
+# Visual Studio code coverage results
+*.coverage
+*.coveragexml
+
+# NCrunch
+_NCrunch_*
+.NCrunch_*
+.*crunch*.local.xml
+nCrunchTemp_*
+
+# MightyMoose
+*.mm.*
+AutoTest.Net/
+
+# Web workbench (sass)
+.sass-cache/
+
+# Installshield output folder
+[Ee]xpress/
+
+# DocProject is a documentation generator add-in
+DocProject/buildhelp/
+DocProject/Help/*.HxT
+DocProject/Help/*.HxC
+DocProject/Help/*.hhc
+DocProject/Help/*.hhk
+DocProject/Help/*.hhp
+DocProject/Help/Html2
+DocProject/Help/html
+
+# Click-Once directory
+publish/
+
+# Publish Web Output
+*.[Pp]ublish.xml
+*.azurePubxml
+# Note: Comment the next line if you want to checkin your web deploy settings,
+# but database connection strings (with potential passwords) will be unencrypted
+*.pubxml
+*.publishproj
+
+# Microsoft Azure Web App publish settings. Comment the next line if you want to
+# checkin your Azure Web App publish settings, but sensitive information contained
+# in these scripts will be unencrypted
+PublishScripts/
+
+# NuGet Packages
+*.nupkg
+# NuGet Symbol Packages
+*.snupkg
+# The packages folder can be ignored because of Package Restore
+**/[Pp]ackages/*
+# except build/, which is used as an MSBuild target.
+!**/[Pp]ackages/build/
+# Uncomment if necessary however generally it will be regenerated when needed
+#!**/[Pp]ackages/repositories.config
+# NuGet v3's project.json files produces more ignorable files
+*.nuget.props
+*.nuget.targets
+
+# Microsoft Azure Build Output
+csx/
+*.build.csdef
+
+# Microsoft Azure Emulator
+ecf/
+rcf/
+
+# Windows Store app package directories and files
+AppPackages/
+BundleArtifacts/
+Package.StoreAssociation.xml
+_pkginfo.txt
+*.appx
+*.appxbundle
+*.appxupload
+
+# Visual Studio cache files
+# files ending in .cache can be ignored
+*.[Cc]ache
+# but keep track of directories ending in .cache
+!?*.[Cc]ache/
+
+# Others
+ClientBin/
+~$*
+*~
+*.dbmdl
+*.dbproj.schemaview
+*.jfm
+*.pfx
+*.publishsettings
+orleans.codegen.cs
+
+# Including strong name files can present a security risk
+# (https://github.com/github/gitignore/pull/2483#issue-259490424)
+#*.snk
+
+# Since there are multiple workflows, uncomment next line to ignore bower_components
+# (https://github.com/github/gitignore/pull/1529#issuecomment-104372622)
+#bower_components/
+
+# RIA/Silverlight projects
+Generated_Code/
+
+# Backup & report files from converting an old project file
+# to a newer Visual Studio version. Backup files are not needed,
+# because we have git ;-)
+_UpgradeReport_Files/
+Backup*/
+UpgradeLog*.XML
+UpgradeLog*.htm
+ServiceFabricBackup/
+*.rptproj.bak
+
+# SQL Server files
+*.mdf
+*.ldf
+*.ndf
+
+# Business Intelligence projects
+*.rdl.data
+*.bim.layout
+*.bim_*.settings
+*.rptproj.rsuser
+*- [Bb]ackup.rdl
+*- [Bb]ackup ([0-9]).rdl
+*- [Bb]ackup ([0-9][0-9]).rdl
+
+# Microsoft Fakes
+FakesAssemblies/
+
+# GhostDoc plugin setting file
+*.GhostDoc.xml
+
+# Node.js Tools for Visual Studio
+.ntvs_analysis.dat
+node_modules/
+
+# Visual Studio 6 build log
+*.plg
+
+# Visual Studio 6 workspace options file
+*.opt
+
+# Visual Studio 6 auto-generated workspace file (contains which files were open etc.)
+*.vbw
+
+# Visual Studio 6 workspace and project file (working project files containing files to include in project)
+*.dsw
+*.dsp
+
+# Visual Studio 6 technical files
+*.ncb
+*.aps
+
+# Visual Studio LightSwitch build output
+**/*.HTMLClient/GeneratedArtifacts
+**/*.DesktopClient/GeneratedArtifacts
+**/*.DesktopClient/ModelManifest.xml
+**/*.Server/GeneratedArtifacts
+**/*.Server/ModelManifest.xml
+_Pvt_Extensions
+
+# Paket dependency manager
+**/.paket/paket.exe
+paket-files/
+
+# FAKE - F# Make
+**/.fake/
+
+# CodeRush personal settings
+**/.cr/personal
+
+# Python Tools for Visual Studio (PTVS)
+**/__pycache__/
+*.pyc
+
+# Cake - Uncomment if you are using it
+#tools/**
+#!tools/packages.config
+
+# Tabs Studio
+*.tss
+
+# Telerik's JustMock configuration file
+*.jmconfig
+
+# BizTalk build output
+*.btp.cs
+*.btm.cs
+*.odx.cs
+*.xsd.cs
+
+# OpenCover UI analysis results
+OpenCover/
+
+# Azure Stream Analytics local run output
+ASALocalRun/
+
+# MSBuild Binary and Structured Log
+*.binlog
+MSBuild_Logs/
+
+# AWS SAM Build and Temporary Artifacts folder
+.aws-sam
+
+# NVidia Nsight GPU debugger configuration file
+*.nvuser
+
+# MFractors (Xamarin productivity tool) working folder
+**/.mfractor/
+
+# Local History for Visual Studio
+**/.localhistory/
+
+# Visual Studio History (VSHistory) files
+.vshistory/
+
+# BeatPulse healthcheck temp database
+healthchecksdb
+
+# Backup folder for Package Reference Convert tool in Visual Studio 2017
+MigrationBackup/
+
+# Ionide (cross platform F# VS Code tools) working folder
+**/.ionide/
+
+# Fody - auto-generated XML schema
+FodyWeavers.xsd
+
+# VS Code files for those working on multiple tools
+.vscode/*
+!.vscode/settings.json
+!.vscode/tasks.json
+!.vscode/launch.json
+!.vscode/extensions.json
+!.vscode/*.code-snippets
+
+# Local History for Visual Studio Code
+.history/
+
+# Built Visual Studio Code Extensions
+*.vsix
+
+# Windows Installer files from build outputs
+*.cab
+*.msi
+*.msix
+*.msm
+*.msp
+
+
+# Claude Code local tooling (agents, settings) — not shared via git
+.claude/
+
+# calamars monorepo — Nuxt / Python build & env artifacts
+apps/admin/.nuxt/
+apps/admin/.output/
+apps/api/.venv/
+apps/api/__pycache__/
+apps/api/.pytest_cache/
+apps/api/*.egg-info/
+.env
+apps/api/.env
+apps/admin/.env
+
+# Dépôt local des fichiers liés à une personne physique (Epic E12,
+# `settings.personal_file_root`). Des données personnelles réelles y
+# atterrissent dès le premier export RGPD : elles ne doivent jamais
+# entrer dans un dépôt Git, fût-il privé.
+apps/api/var/

teuthis_cms-0.1.0/Dockerfile

@@ -0,0 +1,20 @@
+# python:3.12-alpine, épinglé par digest pour la reproductibilité des builds
+# (cf. docs/adr/0007-image-base-python-api-alpine.md). Pas de build-deps
+# (gcc/libpq-dev) : asyncpg/uvloop/httptools publient des wheels musllinux
+# prêts à l'emploi, aucune compilation native requise.
+FROM python:3.12-alpine@sha256:d09d15e60962ca365d1cd544a48773bac9d33f2fb1b00f2aa0deec78ade7dc31
+
+WORKDIR /app
+
+# COPY . . précède le pip install : `-e .` construit un editable install qui
+# a besoin du paquet `app/` présent sur disque au moment de l'install (sans
+# quoi hatchling ne l'enregistre nulle part et `import app` échoue partout
+# hors du répertoire de travail — y compris pour `pytest` exécuté seul dans
+# l'image). Coût assumé : le layer pip install n'est plus mis en cache
+# indépendamment du code source.
+COPY . .
+RUN pip install --no-cache-dir -e ".[dev]"
+
+EXPOSE 8000
+
+CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "8000"]

teuthis_cms-0.1.0/PKG-INFO

@@ -0,0 +1,19 @@
+Metadata-Version: 2.5
+Name: teuthis-cms
+Version: 0.1.0
+Summary: Teuthis-CMS — API Core (Sprint 0 skeleton)
+Requires-Python: >=3.12
+Requires-Dist: alembic>=1.14
+Requires-Dist: asyncpg>=0.30
+Requires-Dist: fastapi>=0.115
+Requires-Dist: pydantic-settings>=2.6
+Requires-Dist: pydantic>=2.9
+Requires-Dist: pyyaml>=6.0
+Requires-Dist: redis>=5.2
+Requires-Dist: sqlalchemy[asyncio]>=2.0
+Requires-Dist: uvicorn[standard]>=0.32
+Provides-Extra: dev
+Requires-Dist: httpx>=0.27; extra == 'dev'
+Requires-Dist: pytest-asyncio>=0.24; extra == 'dev'
+Requires-Dist: pytest>=8.3; extra == 'dev'
+Requires-Dist: ruff>=0.7; extra == 'dev'

teuthis_cms-0.1.0/alembic/env.py

@@ -0,0 +1,59 @@
+import asyncio
+from logging.config import fileConfig
+
+from sqlalchemy.ext.asyncio import create_async_engine
+
+from alembic import context
+from app.core.config import settings
+from app.core.database import Base
+from app.models import Site, Tenant  # noqa: F401  (enregistre les modèles sur Base.metadata)
+
+config = context.config
+if config.config_file_name is not None:
+    fileConfig(config.config_file_name)
+
+# URL de la base : l'appelant peut l'imposer par `sqlalchemy.url`, sinon on
+# retombe sur la configuration applicative.
+#
+# Le second cas est celui du dépôt — `alembic upgrade head`, la CI,
+# `docker compose up` —, où `alembic.ini` laisse volontairement
+# `sqlalchemy.url` vide pour qu'aucune URL ne soit écrite en dur à côté de
+# celle du `.env`. Le premier est celui de la CLI de packaging (ADR-0023,
+# `app/cli/migrate.py`) : `teuthiscms <projet>` migre la base du projet
+# qu'elle vient de créer alors qu'elle s'exécute encore depuis le répertoire
+# *parent*, où `Settings` n'a aucun `.env` à lire et retomberait sur l'hôte
+# `postgres` de `docker-compose.yml`. Sans cette lecture, l'URL passée en
+# paramètre serait silencieusement ignorée.
+database_url = config.get_main_option("sqlalchemy.url") or settings.database_url
+
+target_metadata = Base.metadata
+
+
+def run_migrations_offline() -> None:
+    context.configure(
+        url=database_url,
+        target_metadata=target_metadata,
+        literal_binds=True,
+        dialect_opts={"paramstyle": "named"},
+    )
+    with context.begin_transaction():
+        context.run_migrations()
+
+
+def do_run_migrations(connection) -> None:
+    context.configure(connection=connection, target_metadata=target_metadata)
+    with context.begin_transaction():
+        context.run_migrations()
+
+
+async def run_migrations_online() -> None:
+    connectable = create_async_engine(database_url)
+    async with connectable.connect() as connection:
+        await connection.run_sync(do_run_migrations)
+    await connectable.dispose()
+
+
+if context.is_offline_mode():
+    run_migrations_offline()
+else:
+    asyncio.run(run_migrations_online())

teuthis_cms-0.1.0/alembic/script.py.mako

@@ -0,0 +1,24 @@
+"""${message}
+
+Revision ID: ${up_revision}
+Revises: ${down_revision | comma,n}
+Create Date: ${create_date}
+"""
+from typing import Sequence, Union
+
+from alembic import op
+import sqlalchemy as sa
+${imports if imports else ""}
+
+revision: str = ${repr(up_revision)}
+down_revision: Union[str, None] = ${repr(down_revision)}
+branch_labels: Union[str, Sequence[str], None] = ${repr(branch_labels)}
+depends_on: Union[str, Sequence[str], None] = ${repr(depends_on)}
+
+
+def upgrade() -> None:
+    ${upgrades if upgrades else "pass"}
+
+
+def downgrade() -> None:
+    ${downgrades if downgrades else "pass"}

teuthis_cms-0.1.0/alembic/versions/0001_initial_tenant_site.py

@@ -0,0 +1,58 @@
+"""Extensions PostgreSQL + socle tenant/site.
+
+Pose dès le Sprint 0 (CDC §3.2, §14.11) :
+- `pgvector`, nécessaire pour les embeddings de l'Epic AI Socle (E8), même si
+  aucune table `ai_embeddings` n'existe encore — éviter une extension ajoutée
+  au dernier moment sur une base en production.
+- `unaccent`, condition 2 de la trajectoire recherche du CDC §10.2 (config
+  linguistique française explicite, pas seulement de l'anglais par défaut).
+- Les tables `tenants` / `sites`, socle multi-tenant minimal, sans aucune
+  règle de mutualisation (Epic E10 / jalon M9).
+
+Revision ID: 0001
+Revises:
+Create Date: 2026-08-19
+"""
+from collections.abc import Sequence
+
+import sqlalchemy as sa
+from sqlalchemy.dialects import postgresql
+
+from alembic import op
+
+revision: str = "0001"
+down_revision: str | None = None
+branch_labels: str | Sequence[str] | None = None
+depends_on: str | Sequence[str] | None = None
+
+
+def upgrade() -> None:
+    op.execute("CREATE EXTENSION IF NOT EXISTS vector")
+    op.execute("CREATE EXTENSION IF NOT EXISTS unaccent")
+
+    op.create_table(
+        "tenants",
+        sa.Column("id", postgresql.UUID(as_uuid=True), primary_key=True),
+        sa.Column("name", sa.String(255), nullable=False),
+        sa.Column("created_at", sa.DateTime(timezone=True), server_default=sa.func.now()),
+    )
+    op.create_table(
+        "sites",
+        sa.Column("id", postgresql.UUID(as_uuid=True), primary_key=True),
+        sa.Column(
+            "tenant_id",
+            postgresql.UUID(as_uuid=True),
+            sa.ForeignKey("tenants.id", ondelete="CASCADE"),
+            nullable=False,
+        ),
+        sa.Column("name", sa.String(255), nullable=False),
+        sa.Column("subdomain", sa.String(255), nullable=False, unique=True),
+        sa.Column("created_at", sa.DateTime(timezone=True), server_default=sa.func.now()),
+    )
+
+
+def downgrade() -> None:
+    op.drop_table("sites")
+    op.drop_table("tenants")
+    op.execute("DROP EXTENSION IF EXISTS unaccent")
+    op.execute("DROP EXTENSION IF EXISTS vector")