Ressources et comptes
Les niveaux de lecture et les dates de disponibilité sont contrôlés par le serveur pour les documents du catalogue. Les sources protégées ne doivent pas être placées dans les fichiers publics. Masquer un lien externe ne rend pas le document privé chez son hébergeur.
Les accès partagés n’identifient pas une personne et ne synchronisent pas ses données. Le lot comptes ajoute des identités sur invitation et des rôles de gestion personnels avec double authentification. Voir Comptes. Les pages de gestion doivent conserver le contrôle d’autorité du lot comptes final ; ne jamais réintroduire une voie de gestion fondée sur l’ancien mot de passe partagé.
Données et sessions
Les cookies de session sont protégés côté serveur. Le contrôle d’origine demeure obligatoire pour les mutations. Les secrets, codes de secours, fichiers de configuration privée et exports nominatifs ne doivent pas être publiés.
Le guide administrateur utilise accounts().authority.requireAdmin(headers) avant tout rendu. La gestion des objets personnels vérifie la session avant et après lecture, conserve le propriétaire déterminé côté serveur et refuse les révisions périmées. Les sessions personnelles expirent après 4 heures sans activité pour un élève, 1 heure pour un professeur, 20 minutes pour un administrateur ou le webmestre. Les requêtes automatiques ne prolongent pas une session.
Jeux et périmètres
Les neuf jeux publics conservent leurs contrôles de salons, origine, place et légalité des coups. Les quotas des jeux publics restent inchangés ; l’exemption liée à la confiance n’est livrée que sur la bêta. Les deux nouveaux jeux et les classes restent sur la bêta ; son autorisation d’entrée est distincte de la session applicative.
Vérification
Vérifier après intégration : refus anonyme et professeur sur les pages de gestion, accès d’un administrateur personnel avec 2FA, révocation de session, isolation des sauvegardes entre deux comptes et conflits de révision. La simple lecture de ces pages documentaires n’atteste pas la validation des API.