v3 : une session dure jusqu'à ce qu'on la ferme, l'administration ferme celles d'une identité

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-23 08:45:26 +02:00
parent 422b45ab75
commit cf634c25d2
11 changed files with 163 additions and 13 deletions
@@ -26,8 +26,13 @@ Duniter peut se loger et tout faire — sauf la gestion des accès », qui revie
  trustinWallet montre par quel lien chaque identité est venue. Limite assumée : une même
  personne qui l'ouvre deux fois, sous deux noms, a deux identités — sans effet dans Monnaie
  libre (seule la toile vote), à surveiller dans le groupe d'essai.
- Sessions : cookie HttpOnly, SameSite=Lax, Secure en https, 30 jours, jeton haché en base ;
-  en-tête anti-CSRF sur toute écriture.
+- Sessions : cookie HttpOnly, SameSite=Lax, Secure en https (`__Host-`), jeton haché en base ;
+  en-tête anti-CSRF sur toute écriture. Une session dure **jusqu'à ce qu'on la ferme** : 400 jours
+  (ce qu'un navigateur garde au plus), recomptés à chaque visite, une fois par jour au plus. On la
+  ferme en se déconnectant, ou un administrateur ferme dans trustinWallet les sessions d'une
+  identité (appareil perdu, départ), jamais celle d'où il agit. (D'abord 30 jours fixes, changé le
+  2026-10-23 : une personne invitée n'a pas de clé Ğ1 pour revenir, et une session expirée lui
+  coûtait un nouveau lien.)
 - Les règles (qui voit, qui ouvre, qui administre) vivent dans `trustin-access`, futur cœur du
  service trustinWallet ; le serveur ne décide jamais seul.
 - **Une personne, une voix** : là où l'électorat est la toile de confiance (Monnaie libre),
@@ -17,8 +17,8 @@ les contradictions, l'inertie votée, la publication. Puis `CONTROLES.md` : ce q
 | Un compte sur **git.open.us.org**, collaboratrice de `yvv/decision` | pousser tes branches, ouvrir des demandes de fusion | Yvv |

 Le lien d'invitation s'ouvre **une seule fois** et expire en 14 jours ; il ouvre ta session sur
-ce navigateur pour 30 jours. Sur un autre appareil, demande à Yvv un nouveau lien de
-connexion. Si Yvv t'envoie plutôt un **lien d'équipe** (`/equipe#…`), il te demande ton nom et
+ce navigateur, qui reste ouverte tant que tu reviens (au moins une fois par an) et que tu ne te
+déconnectes pas. Sur un autre appareil, demande à Yvv un nouveau lien de connexion. Si Yvv t'envoie plutôt un **lien d'équipe** (`/equipe#…`), il te demande ton nom et
 te crée ta propre identité ; ne l'ouvre qu'une fois, puis reviens par ta session.

 ## 3. Tester sans rien installer