v3 : relecture de decbc0b — lien annulé retiré de la page, liens annulés avant les sessions, pluriel espagnol

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
Yvv
2026-10-23 09:26:56 +02:00
co-authored by Claude Opus 5.5
parent decbc0ba7b
commit dc2de0947c
10 changed files with 79 additions and 39 deletions
+6 -6
View File
@@ -29,12 +29,12 @@ Duniter peut se loger et tout faire — sauf la gestion des accès », qui revie
- Sessions : cookie HttpOnly, SameSite=Lax, Secure en https (`__Host-`), jeton haché en base ;
en-tête anti-CSRF sur toute écriture. Une session dure **jusqu'à ce qu'on la ferme** : 400 jours
(ce qu'un navigateur garde au plus), recomptés à chaque visite, une fois par jour au plus. On la
ferme en se déconnectant, ou un administrateur ferme dans trustinWallet les sessions d'une
identité (appareil perdu, départ), jamais celle d'où il agit, avec le lien de connexion qui
l'attend encore. Une personne non administratrice qui perd un appareil le demande à un
administrateur. (D'abord 30 jours fixes, changé le
2026-10-23 : une personne invitée n'a pas de clé Ğ1 pour revenir, et une session expirée lui
coûtait un nouveau lien.)
ferme en se déconnectant. Un administrateur peut aussi, dans trustinWallet, fermer les sessions
d'une identité (appareil perdu, départ), sauf celle d'où il agit ; il annule du même geste le
lien de connexion encore en attente pour cette identité. Une personne non administratrice qui
perd un appareil le demande à un administrateur. Jusqu'au 2026-10-23, les sessions duraient
30 jours fixes ; on a changé parce qu'une personne invitée n'a pas de clé Ğ1 pour revenir, et
qu'une session expirée lui coûtait un nouveau lien.
- Les règles (qui voit, qui ouvre, qui administre) vivent dans `trustin-access`, futur cœur du
service trustinWallet ; le serveur ne décide jamais seul.
- **Une personne, une voix** : là où l'électorat est la toile de confiance (Monnaie libre),