YvvandClaude Opus 5.5
1f9c241b41
- docker/app.Dockerfile : une image Rust + Svelte, la construction rejoue toute la boucle (fmt, clippy -D warnings, tests, svelte-check, vitest) ; utilisateur non-root, volume /data. docker/app-compose.yml pour sonic (fabio). - .woodpecker/app.yml : produit sur decision.librodrome.org, attend la maquette, écarte tout conteneur qui revendique encore la racine, healthcheck du commit. - .woodpecker/maquette.yml (ex .woodpecker.yml) : la maquette v2 telle quelle, sur maquette.decision.librodrome.org, mêmes volumes. - .env.example de la maquette rangé dans maquette/ ; celui de la v3 à la racine. - Docs : README, CONTRIBUTING (travail à deux), CLAUDE.md v3, HANDOFF, docs/chantiers (feuille de route, fiche, contrôles, onboarding de Chiara, demande à poka), docs/adr 0001–0006. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
21 lines
1.3 KiB
Markdown
21 lines
1.3 KiB
Markdown
# 0006 — Accès : connect.monnaie-libre.fr, invitations, trustinWallet
|
|
|
|
**Contexte.** « Le même accès que pour le forum Monnaie libre », « toute personne avec une clé
|
|
Duniter peut se loger et tout faire — sauf la gestion des accès », qui revient à trustinWallet
|
|
(nouveau nom de trustWallet, déjà pris).
|
|
|
|
**Décision.**
|
|
- Connexion Ğ1 : libreDecision est client OAuth2 de connect.monnaie-libre.fr (comme le forum).
|
|
Le compte est la clé d'identité (`idty:N`) ; on garde le nom affiché et le statut de membre.
|
|
- En attendant l'inscription du client : liens d'invitation à usage unique (14 jours), le
|
|
secret dans le fragment de l'URL (jamais dans les journaux du serveur).
|
|
- Sessions : cookie HttpOnly, SameSite=Lax, Secure en https, 30 jours, jeton haché en base ;
|
|
en-tête anti-CSRF sur toute écriture.
|
|
- Les règles (qui voit, qui ouvre, qui administre) vivent dans `trustin-access`, futur cœur du
|
|
service trustinWallet ; le serveur ne décide jamais seul.
|
|
- Premier administrateur : un lien d'invitation écrit au premier démarrage dans le volume de
|
|
données (0600), jamais dans les journaux.
|
|
|
|
**Coût.** Tant que connect n'est pas branché, chaque testeuse a besoin d'un lien. Quand
|
|
trustinWallet deviendra un service, `trustin-access` deviendra son client.
|