Qualité du site

Recette : tests E2E de démarrage et d'accueil

• Rien de visible : ajout d'un contrôle automatisé. L'instance recette doit rester joignable sur http://<ip-nas>:9009 (page d'accueil et /health).

Recette : le serveur ne démarrait plus (validation d'environnement mal câblée)

• L'instance recette redevient accessible (http://<ip-nas>:9009) : le serveur ne meurt plus au démarrage, la page d'accueil et le panneau répondent de nouveau. Aucun changement visible sur le site public en production.

Tests E2E Playwright, page Vertus réparée, données pierres restaurées

• La page « Vertus » affiche de nouveau les 102 fiches pierres avec images et recherche (elle n'en affichait plus aucune : une apostrophe dans une chaîne JS plantait le script).
• Les fiches pierre-amethyste.html et pierre-quartz-rose.html, supprimées pendant l'incident de données, sont régénérées : 102 pages statiques complètes, aucun lien mort entre fiches.

Trafic réel, prochain événement sur l'accueil, hash CSP auto-réparés

• L'accueil affiche « Prochain rendez-vous » : la date du prochain événement de l'agenda, son heure et son lieu, avec un lien vers l'agenda complet. Congés et rendez-vous privés exclus ; le bandeau reste masqué si l'agenda est vide ou indisponible (aucun texte inventé, aucun trou visuel).

Accueil remanié (soins, 5 univers, réassurance, newsletter en fin de parcours), panel Produits réorganisé et runtime Node 24.22.2

• Panel Produits : la liste s'affiche sur deux colonnes sans barre de défilement interne (c'est la page qui défile), les sept filtres de statut sont alignés sous la recherche, les prix à deux décimales sont alignés à droite et alignent « 12,5 » sur « 12,50 », les lignes paires sont teintées et les boutons d'action sont centrés sur toute la hauteur de la ligne. La colonne de date s'intitule désormais « Maj » (infobulle « Dernière mise à jour du produit »).
• Boutique et paiement inchangés : cette version met aussi à jour le moteur d'exécution Node.js et deux bibliothèques (Google Agenda, envoi d'e-mails), sans toucher aux fiches produits, aux prix, aux commandes ni au tunnel de paiement.
• Accueil : nouvelle section « Soins & accompagnement » (« Un moment pour vous ») qui présente les séances de Reiki et de guidance par les oracles avec leur durée et leur tarif, à jour depuis le panel.
• Accueil : cinq univers complémentaires (la vignette « Soins & oracles » rejoint Pierres naturelles, Aimants, Cool Toutou et Mystic Cristal) et un nouveau bloc « Achat & contact » juste avant la newsletter, avec quatre repères de confiance (paiement sécurisé, livraison offerte dès 60 €, rétractation 14 jours, fait main à Reyrieux) et un bandeau pour écrire ou prendre rendez-vous.
• Accueil : la newsletter descend en fin de page, après ce bloc de confiance — on ne demande plus l'e-mail avant d'avoir montré l'offre et levé les derniers doutes ; l'ancienne section « Mes créations » et le lien secondaire du héro (« boutique partenaire ») disparaissent.

Boutique : une quantité modifiée n’est plus ignorée

• Sur une fiche produit à variante unique, la quantité saisie dans le panneau est bien appliquée : le produit ne reste plus affiché en « Rupture » alors que le stock vient d’être modifié.
• La quantité affichée à la réouverture de la fiche est toujours la quantité réelle (elle suit les ventes), et le champ « Stock » disparaît quand la quantité se règle sur les lignes de variantes.

La note qualité suit les mises à jour de sécurité

• Après une mise à jour de sécurité, la note qualité du site se remet à jour d'elle-même : elle ne peut plus rester bloquée sur une faille pourtant corrigée (constaté après le correctif body-parser : note 96/100 au lieu de 100).
• Le détail « CVE (modules) » du panneau décrit toujours l'installation réellement en place, jamais un état antérieur.

Sécurité : parseur de requêtes et client HTTP mis à jour

• Rien ne change à l'écran : cette version corrige une faille de déni de service dans le parseur de requêtes (body-parser) et dans le client HTTP de l'outil de compilation (undici), sans modifier les pages, la boutique ni les commandes.
• Le site ne peut plus être ralenti ou arrêté par une requête compressée suivie d'octets parasites (GHSA-27r3-jxmh-p828).

Veille des mises à jour : panneau, e-mail et commande

• Le panneau (Système → Version & qualité) affiche une nouvelle carte « Mises à jour disponibles » : quels modules sont en retard et si le moteur Node.js du site a un correctif en attente.
• Le résumé quotidien par e-mail prévient quand une nouvelle version est publiée, sans rappeler la même mise à jour chaque jour.
• Une commande (npm run check:updates) permet de faire ce contrôle sans ouvrir le panneau, utilisable par une tâche planifiée.

Sécurité : runtime Node.js mis à jour vers 24.22.1

• Rien ne change à l'écran : cette version corrige des failles du moteur Node.js (celles du 21/10/2026), sans modifier les pages, la boutique ni les commandes.
• Le site est protégé contre l'exécution de code à distance via la décompression Brotli (CVE-2026-111497) et contre les contournements de validation de certificat lors des appels sortants (paiement Mollie, agenda, e-mails).

Menu mobile réparé, pages stables au chargement, panier partout et aperçus de partage

• Le menu hamburger refonctionne sur téléphone : il pouvait être invisible (panneau masqué par le CSS critique) ou sortir de l'écran sur les petits modèles (320-340 px).
• Le panneau du menu s'ouvre désormais sous la barre : son titre et la croix de fermeture ne sont plus recouverts.
• Le caddie de la barre fonctionne sur toutes les pages (et non plus seulement dans la boutique) : tiroir latéral, quantités, total, bouton « Commander ».
• Chaque fiche produit a son bouton « Ajouter au panier » (ou « Précommander ») et ses boutons de partage, sans repasser par la boutique.
• Les liens partagés (WhatsApp, Facebook, LinkedIn) affichent une vraie image d'aperçu 1200×630, y compris pour chaque bijou.
• Les pages ne « sautent » plus pendant le chargement : la mise en page est stable dès le premier affichage (accueil, boutique, commande, fiches).
• Pages plus légères : celles qui n'affichent aucune icône ne téléchargent plus la police d'icônes (−124 Ko sur 134 pages).
• Menu ordinateur inchangé : entrées et sous-menus au survol, plus rapides à charger.

Accueil : deux boutiques claires, slogan sur deux lignes, nouveautés en vitrine

• Accueil : le slogan s'affiche sur deux lignes (« L'énergie des pierres, » puis « la force des aimants ») sur ordinateur comme sur téléphone.
• Deux accès distincts et hiérarchisés : un bouton plein « Voir la boutique » (bijoux et pierres) et, juste en dessous, un lien discret « Aimants : Energetix (boutique partenaire) → ».
• Nouveau bloc « Sorties d'atelier » sous le héro : les 4 dernières pièces publiées, avec photo, titre et prix, chacune cliquable vers sa fiche.
• Les deux accès e-book du héro (« E-book litho » et « E-book aimants ») deviennent de vraies pastilles claires, lisibles sur la photo ; sans appauvrir la hiérarchie, le CTA plein reste devant.
• La pastille « Qualité du site » passe sous les boutons e-book, centrée.
• Le panneau du héro (« Fait main · Reyrieux (Ain) », slogan, boutons) est centré verticalement dans le héro, l'indicateur « Défiler » restant à sa place, en bas.
• Menu : le sous-menu boutique s'appelle désormais « Boutique / Boutique Energetix » sur ordinateur comme sur mobile (fin de « Mes boutiques »).

Version & qualité : plus de faux « modules absents » et un contrôle honnête

• Dans Système → Version & qualité, les outils de développement (Playwright, node-gyp) ne s'affichent plus en rouge « Absent » : ils portent un badge neutre « Non installé (dev) », leur absence de l'image de production étant normale.
• Le contrôle « Secrets hors du dépôt » ne peut plus accuser la sécurité à tort : quand il ne peut pas être évalué (fichier absent de l'image), il s'affiche « non évaluable » et sort de la note — la catégorie Sécurité indique alors « 1 contrôle non évaluable (hors note) — le reste passe » au lieu de « Tous les contrôles passent ».

Panel : le contrôle « Secrets hors du dépôt » n'est plus en échec en ligne

• La page Système → Version & qualité ne signale plus de contrôle en échec : la catégorie Sécurité passe de 95 à 100 /100 et la note globale du site revient à 100 (A).
• Aucun changement visible ailleurs : les filtres, la pastille « Qualité du site » et la page /qualite continuent d'afficher la même note, désormais sans avertissement.

Héro : l'indicateur « Défiler » ne mord plus sur le cadre

• Le mot « Défiler » ne se pose plus sur le bord du cadre (panneau en verre fumé) du héro : il est affiché SOUS le panneau, avec un espace garanti — sur ordinateur comme sur téléphone (y compris téléphone couché et petits écrans).
• Le panneau du héro reste centré dans la bande visible et ne colle plus à la barre de navigation sur une fenêtre basse.

Page publique « Qualité du site » et pastille dans le pied de page

• Nouvelle page /qualite : version en ligne, note qualité technique et historique des versions, accessible depuis une pastille discrète — dans le héro de l'accueil (sous « Ouvert / Fermé ») et dans le pied de page de toutes les pages.
• La pastille affiche « Qualité du site » suivi de la lettre et de la note (ex. « Qualité du site A · 96/100 ») et en prend la couleur ; hors production, la bordure est pointillée et l'environnement n'apparaît que dans l'infobulle.
• La page indique toujours si l'audit des dépendances a pu être pris en compte dans la note.

Modules Node.js lisibles sur mobile (panel)

• Dans le panel mobile, chaque module Node.js s'affiche en carte compacte : nom et état sur la première ligne, type et versions déclarée/installée sur la seconde.

Page publique « Version et composants »

• Lien « Version x.y.z » dans le pied de page du site, rempli automatiquement depuis l'API (jamais figé dans les pages).
• Page /version : version déployée, date de build, environnement, Node.js / V8 / OpenSSL et versions des modules directs.
• Présentation des fonctionnements techniques : CSP stricte, PWA, paiement Mollie, e-mails, Google Agenda, images WebP.

Page « Version & qualité » dans le panel

• Nouvelle rubrique Système → Version & qualité : version, build, révision, environnement et version de Node.js réellement déployés.
• Historique des versions avec, pour chacune, les ajouts fonctionnels, les changements techniques et les mises à jour de modules.
• Liste des modules Node.js directs : version déclarée, version installée, écart éventuel et nombre total de paquets.
• Notes qualité /100 et note globale A–E sur le SEO, les CVE, la sécurité, la performance et l'accessibilité, avec le détail de chaque contrôle.

Version et build identifiables, précommande v1, correctif des avis

• Le site expose sa version et sa date de build (/health, en-tête X-App-Version, pied du panel admin).
• Précommande v1 : quota dédié, stock réel intact, statut SCHEDULED, e-mails dédiés ; panier mixte expédié en une seule fois.
• Mise à jour automatique des avis Google réparée en production (Chromium en root dans le conteneur).

Résumé quotidien des erreurs et déploiement recette durci

• Résumé quotidien par e-mail à l'artisan des échecs d'envoi et des erreurs du journal, uniquement s'il y a du nouveau.
• Étape one-shots du déploiement recette fiabilisée (plus de copie manuelle sur le NAS).

Journal système, structuration des routeurs et durcissement

• Journal système à 3 niveaux consultable et réglable depuis le panel (Informations / Warning / Error).
• Sondage /health minimal pour Docker et la supervision.
• Messages d'erreur 500 génériques : plus aucun détail interne renvoyé au client.

Partage WhatsApp, Facebook et Instagram

• Barre de partage commune aux fiches pierre, événements et boutique limitée à WhatsApp, Facebook et Instagram.
• Instagram ouvre le profil et copie le lien tagué utm_source=instagram ; source comptée dans le panel.

Mollie comme unique moyen de paiement

• Le virement bancaire est supprimé : Mollie devient l'unique moyen de paiement de la boutique.
• Liaison stricte entre un paiement et sa commande (montant, référence, statut).

Sécurité, hygiène et purge des restes Shopify

• HSTS durci (includeSubDomains + preload) et IBAN chiffré au repos.
• Purge des restes Shopify : plus aucune interaction avec l'ancienne boutique.
• Audit d'intégrité du panel : menus et champs réalignés (2 bugs corrigés).