HAISSEL

HAISSEL est une communauté d'offres affiliées doublée d'un parcours pour apprendre l'affiliation. Les guides sont ouverts à tous ; tout ce qui mène à un lien affilié ou à un compte éditeur MyLead est réservé aux membres ayant déclaré 18 ans ou plus. Le site ne verse aucun argent, ne demande jamais d'identifiants MyLead et ne promet aucun gain.

Sommaire

1. Fonctionnalités
2. Architecture
3. Mettre en ligne sur Vercel
4. Développer en local
5. Sécurité
6. Âge des membres
7. Affiliation interne (gelée)
8. Anciennes tables
9. Tests et migrations

L'ancien fonctionnement en réseau local et sous Docker / Nginx est archivé dans docs/archive/reseau-local-et-docker.md.

Fonctionnalités

Membres

• Fil d'offres : les offres publiées par la communauté et par l'équipe, classées par catégorie.
• Recherche dans le titre et la description des offres.
• Publication avec modération : toute publication attend la validation de l'équipe avant d'apparaître.
  • Les membres majeurs partagent des fiches campagne : lien vers la page officielle (site de l'annonceur ou page de la campagne sur MyLead), nom de la campagne, conseils et conditions. Un lien qui ressemble à un lien de suivi affilié est refusé (liste dans src/utils/affiliate-tracking.js).
  • Seuls les administrateurs publient des liens affiliés.
• Profil : mes offres (statut et motif de refus éventuel), offres sauvegardées, sécurité du compte.
• Sauvegardes : garder une offre pour plus tard.
• Signalements : signaler une offre à l'équipe, y compris une demande d'« échange d'inscriptions » (interdite).
• Apprendre : guides et tutoriels, opportunités, parcours MyLead et lien de parrainage (ces deux derniers réservés aux majeurs).
• Notifications : messages de l'équipe affichés dans le site.

Administration

• Catégories des offres.
• Modération des offres membres et des signalements.
• Guides, tutoriels et opportunités de l'espace Apprendre.
• Parrainage.
• Notifications envoyées aux membres.
• Liens de l'équipe et clics.

Architecture

• Serveur : Node.js (≥ 20) + Express.
• Base : PostgreSQL, hébergée chez Neon via l'intégration Vercel.
• Interface : HTML, CSS et JavaScript, sans framework (dossier frontend/).
• Hébergement : Vercel (vercel.json). Les migrations sont lancées automatiquement à chaque déploiement par scripts/vercel-build.js (script vercel-build).

Sur Vercel, plusieurs instances répondent en parallèle, sans mémoire partagée. Le mode est détecté par VERCEL=1, défini par Vercel. En conséquence :

• les limites de tentatives sont comptées en base (tables rate_limit_counters et login_throttle_failures) ;
• les notifications passent par une interrogation régulière (GET /api/notifications/poll, toutes les 45 s, onglet visible uniquement) au lieu d'un flux SSE. Le nombre d'utilisateurs connectés n'est donc pas disponible dans la console ;
• la purge de rétention (RGPD) est déclenchée chaque nuit par le planificateur de Vercel (crons dans vercel.json, route /api/internal/retention, authentifiée par CRON_SECRET).

Mettre en ligne sur Vercel

Variables d'environnement

À renseigner dans le tableau de bord Vercel (Settings › Environment Variables). « Sensitive » : cochez l'option pour que la valeur ne soit plus lisible après enregistrement.

Variable	Rôle	Obligatoire	Sensitive
APP_SECRET	secret maître, au moins 32 octets aléatoires. JWT_SECRET est accepté à la place pour les anciennes installations	oui	oui
DATABASE_URL	adresse PostgreSQL. Si elle est absente, l'adresse publiée par l'intégration Neon (<PRÉFIXE>_DATABASE_URL, et <PRÉFIXE>_DATABASE_URL_UNPOOLED pour les migrations) est utilisée	oui, sauf intégration Neon	oui
NODE_ENV	production	oui	non
COOKIE_SECURE	true (Vercel sert toujours en HTTPS)	oui	non
CRON_SECRET	authentifie la purge de rétention ; sans elle, la route répond 404 et la purge ne tourne pas	oui	oui
TURNSTILE_SITE_KEY	clé publique Cloudflare Turnstile (anti-robot) ; à définir avec la clé secrète, ou aucune des deux	recommandé	non
TURNSTILE_SECRET_KEY	clé secrète Turnstile	recommandé	oui
ADMIN_IP_ALLOWLIST	adresses IP autorisées pour l'administration, séparées par des virgules ; vide = toute adresse	optionnel	non
ENABLE_INTERNAL_AFFILIATION	false (défaut) : moteur d'affiliation interne gelé	optionnel	non
MAIL_TRANSPORT	none (défaut) ou smtp	si e-mails	non
MAIL_FROM, SMTP_HOST, SMTP_PORT, SMTP_SECURE, SMTP_USER	expéditeur et serveur SMTP	si e-mails	non
SMTP_PASSWORD	mot de passe SMTP	si e-mails	oui
APP_PUBLIC_URL	adresse du site, base des liens envoyés par e-mail	si e-mails	non

ADMIN_REQUIRE_MFA est sans effet en ligne : la double authentification des administrateurs y est toujours imposée.

Sans e-mail configuré (MAIL_TRANSPORT=none), la vérification d'adresse n'est pas exigée et « Mot de passe oublié » est masqué.

This is the beginning of the README. Read the rest at the original. Read the full README ↗