Documentation technique
-
Documents produit et techniques (28/10) : PRD.md, TRD.md, APP_FLOW.md, DESIGN_BRIEF.md, BACKEND_SCHEMA.md, IMPLEMENTATION_PLAN.md.
-
bridge-live-dispatch.js — module à brancher sur ton bridge pour que le bandeau « En direct » réagisse en ~1 minute au lieu de 10 (voir l'en-tête du fichier pour l'installation). Ce dossier n'est pas utilisé par le site : il n'y a rien à faire tant que tu ne l'intègres pas.
Garde-fous automatiques (GitHub Actions)
| Workflow | Quand | Ce qu'il fait |
|---|
| Qualité | à chaque push touchant pages / data / scripts | valide data/*.json, vérifie la parité site ↔ admin, la cohérence des menus et les liens |
| Tests (navigateur) | à chaque push touchant pages / JS / tests | lance tests/run-all.js (admin + pages publiques) sur une copie temporaire |
| Plan du site | quand data/custom-pages.json change | régénère sitemap.xml |
| Minification | quand style.css, main.js, admin.js, admin/ ou js/ change | régénère les .min et les ?v= |
Ajouter une page au site
- Ajoute-la dans
CORE_PAGES (main.js), crée le fichier .html avec des data-edit sur ses textes.
node scripts/sync-nav.js (menus) puis node scripts/generate-sitemap.js.- Ajoute-la dans
TEXT_PAGES (admin/textes.js) — sinon scripts/check-admin-parity.js échoue (c'est voulu).
Une page créée depuis l'admin (onglet « Pages ») n'a rien de tout ça à faire.
Lancer les tests en local
cd tests && npm install && npx playwright install chromium && node run-all.js
Sécurité de l'admin (23/10)
- Jeton GitHub (
admin/commun.js, getToken / setToken / expireRememberedToken) : gardé par défaut en sessionStorage (oublié à la fermeture de l'onglet, invisible des autres onglets du site). Case « Se souvenir de moi sur cet appareil » → localStorage + drapeau aulit_admin_token_remember, 7 jours maximum (effacé à l'ouverture de l'admin au-delà). Un ancien jeton laissé en localStorage sans ce drapeau est déplacé en sessionStorage au chargement.
- Piège : l'origine
aulit42369.github.io est partagée par toutes les pages publiques (et tous les dépôts Pages du compte). Tout script qu'elles chargent peut lire le localStorage — et le sessionStorage de l'onglet admin, car l'aperçu de l'onglet Textes ouvre une page publique en iframe de même origine.
- GoatCounter : chargé en version figée
count.v4.js avec integrity (SRI) + crossorigin="anonymous" sur les 12 pages publiques. Si GoatCounter sort une nouvelle version, ne PAS remettre count.js : recalculer le hash (curl -s https://gc.zgo.at/count.vX.js | openssl dgst -sha384 -binary | openssl base64 -A) et le mettre partout. Vérifié par tests/admin-token.test.js.
- Brouillons et annonces programmées ne sont pas secrets (piège) : le site est statique et le dépôt public. Une page décochée « Publiée » reste entière dans
data/custom-pages.json, une annonce désactivée ou programmée reste dans data/site.json (et tout reste dans l'historique git). Le filtre published !== false / announcementActive (main.js) ne fait que masquer l'affichage. L'admin le dit désormais (texte de l'onglet Pages, case « Publiée », confirmation d'enregistrement, état du bandeau). Vérifié par tests/admin-features.test.js. Pour un vrai brouillon privé, il faudrait le garder hors du dépôt (voir la question ouverte du 23/10).
