+198
−5
+58
−2
+197
−5
File changed.
Preview size limit exceeded, changes collapsed.
Loading
On ne renforce pas une cellule par le relais de courriel du SI qui est tombé
Question posée à l'écran : comment ajouter un membre si le relais SMTP n'est pas configuré, ou hors service ? La réponse était : on ne peut pas. Et c'est une contradiction avec le principe fondateur — Kastell existe pour le jour où le système d'information du client est tombé, et sa propre façon de faire entrer quelqu'un dépendait du relais de courriel de ce même système. Le défaut était pire que « le lien n'est pas affiché ». L'envoi était attendu **dans la transaction**, sans capture : un relais en panne annulait l'invitation elle-même. Pas de ligne en attente, pas de jeton, rien — une erreur, et voilà. Et comme l'instance refuse de démarrer en production sans SMTP_HOST, il n'y avait pas non plus le repli des traces du serveur. ── Ce qui change L'envoi sort de la transaction. L'invitation existe d'abord ; ce qui échoue à partir se dit, canal par canal, et ne détruit rien. Les canaux se cochent : courriel, SMS, ou aucun des deux. Le SMS passe par la passerelle de l'organisation si elle en a une, sinon par celle de l'instance — celle qui mobilise déjà ces mêmes personnes à trois heures du matin. Le lien est rendu une fois, copiable, avec l'état de chaque canal. Le jeton n'est stocké que haché : il ne sera pas réaffiché, et l'écran le dit. Corollaire assumé — pour retrouver un lien perdu, il faut réinviter. ── Le dernier recours Ouvrir le compte sur place, avec un laissez-passer de seize caractères sans O, sans 0, sans I ni 1 : il se dicte au téléphone, la nuit. Ce n'est pas un mot de passe, c'est un laissez-passer à usage unique, et le mécanisme existait déjà pour le compte d'installation — la porte du serveur bloque toutes les routes jusqu'à son remplacement. Je l'ai réemployé tel quel. Deux garde-fous, dont le second n'est pas décoratif. Le secret est engendré par le serveur, jamais choisi par qui invite : laissé au choix, il serait faible ou réemployé d'un compte à l'autre. Et un directeur de crise ne peut pas ouvrir un compte propriétaire par ce chemin. Convier un propriétaire ne pose pas ce problème — le lien part dans la boîte d'un tiers, celui qui invite ne le détient jamais. Ici il le détient : sans cette règle, le chemin serait une élévation de privilège en deux gestes. Le risque résiduel, que je ne peux pas supprimer : entre la création et la première connexion, celui qui a ouvert le compte connaît le secret. C'est inhérent à un secret dicté. D'où le motif obligatoire et la trace nominative au journal d'administration — c'est ce qui permet de le constater après coup, et c'est pourquoi l'écran présente ce chemin comme un recours, pas un raccourci. Treize garanties, éprouvées avec un transport de courriel volontairement en panne : l'invitation survit, l'échec est rapporté, le lien rendu ouvre bien l'invitation, et le compte ouvert sur place se heurte à un 403 sur toute autre route que le remplacement de son laissez-passer. Co-Authored-By: Claude (RCA)