v3 : relecture de decbc0b — lien annulé retiré de la page, liens annulés avant les sessions, pluriel espagnol
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
@@ -29,12 +29,12 @@ Duniter peut se loger et tout faire — sauf la gestion des accès », qui revie
|
||||
- Sessions : cookie HttpOnly, SameSite=Lax, Secure en https (`__Host-`), jeton haché en base ;
|
||||
en-tête anti-CSRF sur toute écriture. Une session dure **jusqu'à ce qu'on la ferme** : 400 jours
|
||||
(ce qu'un navigateur garde au plus), recomptés à chaque visite, une fois par jour au plus. On la
|
||||
ferme en se déconnectant, ou un administrateur ferme dans trustinWallet les sessions d'une
|
||||
identité (appareil perdu, départ), jamais celle d'où il agit, avec le lien de connexion qui
|
||||
l'attend encore. Une personne non administratrice qui perd un appareil le demande à un
|
||||
administrateur. (D'abord 30 jours fixes, changé le
|
||||
2026-10-23 : une personne invitée n'a pas de clé Ğ1 pour revenir, et une session expirée lui
|
||||
coûtait un nouveau lien.)
|
||||
ferme en se déconnectant. Un administrateur peut aussi, dans trustinWallet, fermer les sessions
|
||||
d'une identité (appareil perdu, départ), sauf celle d'où il agit ; il annule du même geste le
|
||||
lien de connexion encore en attente pour cette identité. Une personne non administratrice qui
|
||||
perd un appareil le demande à un administrateur. Jusqu'au 2026-10-23, les sessions duraient
|
||||
30 jours fixes ; on a changé parce qu'une personne invitée n'a pas de clé Ğ1 pour revenir, et
|
||||
qu'une session expirée lui coûtait un nouveau lien.
|
||||
- Les règles (qui voit, qui ouvre, qui administre) vivent dans `trustin-access`, futur cœur du
|
||||
service trustinWallet ; le serveur ne décide jamais seul.
|
||||
- **Une personne, une voix** : là où l'électorat est la toile de confiance (Monnaie libre),
|
||||
|
||||
Reference in New Issue
Block a user