---
from: qwen
to: dom
date: 2026-06-05
topic: matrice-acceptation-v11-5
status: open
priority: high
references:
  - decision: docs/coordination/decisions/2026-06-05_dom_d17-v11-5-chantiers-paralleles.md
  - decision: docs/coordination/decisions/2026-06-02_dom_mvp-pivots-strategiques.md
  - decision: docs/coordination/decisions/2026-06-02_dom_d13-partial-scope.md
  - decision: docs/coordination/decisions/2026-06-02_dom_d14-plateforme-licence-architecture.md
  - decision: docs/coordination/decisions/2026-05-28_dom_no-ui-changes.md
  - plan: docs/coordination/inbox/for-dom/2026-06-05_claude_plan-v11-5-parallele.md
---

# Matrice d'acceptation v11.5 -- 2026-06-05

## 1. Criteres GO/NO-GO -- GUI v6

| # | Critere | Verification | GO si |
|---|---|---|---|
| 1.1 | Lancement sans erreur | `python Pseudonymisation_Gui_V6.py` (dev) et EXE v11.5 | Fenetre s'ouvre, splash complet, aucun traceback dans `anonymisation.log` |
| 1.2 | Workflow batch nominal (v5 -> v6) | Selection dossier source + sortie, lancement | Meme resultat d'anonymisation que v5 (meme score qualite, meme entites masquees) sur le corpus audit_30 |
| 1.3 | Non-regression moteur | `pytest tests/` (98+ tests) + `evaluate_quality.py --compare` | 100% tests verts, score qualite >= baseline 99.8, leak score 100/100 |
| 1.4 | Interface repond aux 3 onglets de la maquette | Comparaison visuelle avec `docs/ui_mockup_v6.html` | Chaque onglet present, chaque sous-onglet accessible, chaque bouton fonctionnel |
| 1.5 | Themes (4 themes) | Cycle des themes via selecteur | 4 themes applicables sans recharger, aucun artefact visuel (texte illisible, contrastes casses) |
| 1.6 | Editeur de masques | Ajout/modification/suppression d'un masque | Masque sauvegarde dans le profil JSON, applique au prochain batch |
| 1.7 | Single-instance guard | Lancer 2 instances simultanement | La 2eme instance refuse le lancement, messagebox explicite |
| 1.8 | Splash/progression au lancement | Lancer EXE froid (cache modele clear) | Splash affiche chaque etape, pas d'ecran noir > 3s |
| 1.9 | Erreur import core = message clair | Renommer temporairement `anonymizer_core_refactored_onnx.py`, lancer | `messagebox.showerror` avec message lisible + ecriture dans `crash.log` |
| 1.10 | Drag-and-drop ou selection dossier | Glisser un dossier dans la zone / utiliser le file picker | Le dossier est detecte, la liste des fichiers apparait |

## 2. Criteres GO/NO-GO -- D-13 complet

| # | Critere | Verification | GO si |
|---|---|---|---|
| 2.1 | VLM Ollama cache en non-admin | Lancer sans `ANON_ADMIN`, verifier UI | Aucune reference a Ollama/VLM visible dans l'interface |
| 2.2 | VLM Ollama visible en admin | Lancer avec `ANON_ADMIN=1` | Section VLM visible, parametrable |
| 2.3 | Stopwords personnalisables bloques non-admin | Lancer sans admin | Input de stopwords masque ou desactive |
| 2.4 | Stopwords debloques en admin | Lancer avec admin | Input editable, sauvegarde dans profil |
| 2.5 | Profils techniques (regex_overrides, force_terms) bloques non-admin | Lancer sans admin | Section "Profils techniques" absente ou grissee |
| 2.6 | Choix moteur NER bloque non-admin | Lancer sans admin | Pas de selecteur moteur visible (moteur par defaut seul actif) |
| 2.7 | Titre fenetre signal admin | Lancer avec admin | Le titre de fenetre contient `[MODE ADMIN]` |
| 2.8 | `admin_required()` protege l'API | Appeler une fonction protegee via `admin_mode.admin_required()` en non-admin | `RuntimeError` levee avec message clair |
| 2.9 | Sauvegarde config sensible bloquee non-admin | Tenter d'exporter un profil contenant des regex_overrides sans admin | Action refusee, message explicite |
| 2.10 | Fichier `.admin` active le mode | Creer un fichier `.admin` vide a la racine, relancer | `is_admin()` retourne True, UI bascule en mode admin |
| 2.11 | Variable `ANON_ADMIN` active le mode | `ANON_ADMIN=1 python ...` | `is_admin()` retourne True, UI bascule en mode admin |
| 2.12 | Priorite env > fichier | `ANON_ADMIN=0` + fichier `.admin` present | `is_admin()` retourne False (env prioritaire, ou inversement selon la decision de Dom) |

## 3. Criteres GO/NO-GO -- Licence client

| # | Critere | Verification | GO si |
|---|---|---|---|
| 3.1 | Licence valide = lancement normal | `license.dat` avec signature RSA-PSS valide | L'application se lance normalement, aucun message d'alerte |
| 3.2 | Licence falsifiee = blocage | Modifier un octet du `license.dat` | L'application refuse de demarrer, message "Licence invalide" |
| 3.3 | Licence expiree = mode degrade | `license.dat` avec `expires_at` dans le passe + grace period (15j) non ecoulee | L'application se lance avec banniere "Licence expiree -- renouvellement necessaire", anonymisation fonctionnelle |
| 3.4 | Grace period ecoulee = blocage | `expires_at` + 16 jours | L'application refuse de demarrer, message "Licence expiree -- contactez votre administrateur" |
| 3.5 | Offline < 30 jours = OK | Couper reseau, lancer avec licence valide < 30j depuis dernier phone home | Lancement normal |
| 3.6 | Offline > 30 jours = demande phone home | Simuler un cache > 30j sans reseau | Message demandant de reconnecter, ou blocage selon decision |
| 3.7 | machine_id lie au poste | Copier `license.dat` sur une autre machine (autre machine_id) | Blocage avec message "Licence invalide sur ce poste" |
| 3.8 | 1 licence = 1 poste | Activer 2 machines avec le meme `client_id` mais `machine_id` differents | La 2eme activation refusee ou la 1ere revoquee (selon politique) |
| 3.9 | Cle publique embarquee, cle privee serveur | Verifier le code client | Aucune cle privee RSA dans le code source ni l'EXE (decompile rapide) |
| 3.10 | `license.dat` stocke localement | Verifier l'emplacement du fichier | Fichier present, permissions restrictives (0o600 ou equivalent Windows) |
| 3.11 | Phase 1.1 seulement (client) | Aucun endpoint serveur dans le code v11.5 | Pas de code serveur FastAPI dans le repo client (reporte Phase 1.2) |

## 4. Tests necessaires

### Tests unitaires

| Module | Tests a creer/modifier | Couverture cible |
|---|---|---|
| `admin_mode.py` | `test_is_admin_env`, `test_is_admin_file`, `test_is_admin_cached`, `test_is_admin_force_refresh`, `test_admin_required_raises`, `test_admin_required_ok`, `test_priority_env_over_file` | >= 90% lignes |
| `license.py` (nouveau) | `test_verify_valid_signature`, `test_verify_forged_signature`, `test_expired_in_grace`, `test_expired_past_grace`, `test_wrong_machine_id`, `test_offline_within_30d`, `test_offline_past_30d`, `test_license_file_permissions` | >= 90% lignes |
| `quarantine.py` | Tests existants conserves ; ajouter `test_secure_quarantine_dir_perms`, `test_finalize_with_total` | >= 85% lignes |
| `gui_v6/` (nouveau package) | `test_batch_paths_resolve`, `test_profile_load_valid`, `test_profile_load_missing`, `test_mask_editor_roundtrip` | >= 70% lignes |

### Tests d'integration

| Scenario | Setup | Verification |
|---|---|---|
| Batch complet v6 = meme resultat que v5 | Corpus audit_30, profil `standard_local`, meme seed | Comparer chaque fichier de sortie v5 vs v6 : meme nombre d'entites masquees par type, meme score qualite (+/- 0.1) |
| D-13 : non-admin ne voit rien de sensible | Lancer GUI v6 sans ANON_ADMIN, sans fichier .admin | `grep -ri "ollama\|vlm\|gliner\|camembert\|regex_override\|force_terms" <capture_ui>` = 0 resultat |
| D-13 : admin voit tout | Lancer GUI v6 avec ANON_ADMIN=1 | Chaque section protegee est visible et editable |
| Licence : blocage avant GUI | `license.dat` falsifie, lancer EXE | GUI ne s'ouvre jamais, seul le splash ou message d'erreur apparait |
| Licence : grace period | `license.dat` expire il y a 10 jours | GUI s'ouvre avec banniere visible, batch fonctionnel |
| Quarantaine + GUI v6 | Dossier avec 1 PDF corrompu + 1 doc texte court (< 100 chars) + 1 doc avec PII residuelle | Quarantaine/INDEX.md genere avec 1 full + 1 partial, errors.log contient 2 entries JSON |
| Build EXE reproductible | PyInstaller `anonymisation_onefile.spec` sur machine Windows propre | EXE genere, taille dans la plage attendue (700-750 MB), `--version` affiche v11.5 |

### Smoke tests

| Scenario | Procedure | Resultat attendu |
|---|---|---|
| T1 : Premier lancement (no models) | Lancer EXE sans modeles locaux | SetupWindow s'ouvre, telechargement EDS-Pseudo + GLiNER + verification ONNX, puis GUI auto |
| T2 : Premier lancement (models presents) | Lancer EXE avec modeles deja telecharges | Splash progresse en 5 etapes, GUI s'ouvre directement |
| T3 : Anonymisation 1 document TXT | Glisser un .txt avec PII connue (nom, telephone, ville) | Sortie .txt anonymisee, score qualite >= 95, aucune PII residuelle detectee |
| T4 : Anonymisation 1 document PDF | Glisser un .PDF avec texte | Sortie PDF redige + .txt anonymise, aucune PII visible dans le PDF redige |
| T5 : Anonymisation batch 10 documents | Dossier avec 10 .txt variés | 10 fichiers anonymises, errors.log (si erreurs), score moyen >= 98 |
| T6 : Profil export/import | Exporter un profil JSON, le reimporter sur une autre instance | Profil identique, meme regles appliquees, meme resultat |
| T7 : Mode admin ON/OFF | Lancer en admin, verifier sections ; relancer sans admin | Sections visibles en admin, absentes sans |
| T8 : Quarantaine auto | Dossier avec 1 PDF chiffre + 1 .txt vide | PDF chiffre en quarantaine full, .txt vide en quarantaine full, INDEX.md present |
| T9 : Licence valide | `license.dat` valide place dans dossier app | Lancement normal, aucune banniere |
| T10 : Licence expiree (grace) | `license.dat` expire il y a 7 jours | Lancement avec banniere "Licence expiree" |
| T11 : Single instance | Lancer 2 instances | 2eme refuse avec messagebox |
| T12 : Offline 30 jours | Couper reseau, lancer avec licence cachee < 30j | Lancement normal |

## 5. Scenarios beta utilisateur

| Scenario | Utilisateur | Validation |
|---|---|---|
| S1 : Secretaire medicale anonymise 5 comptes-rendus avant publication | Secretaire, poste Windows, pas admin, licence valide | 5 CR anonymises en < 2 min, aucune PII residuelle visible, dossier de sortie propre |
| S2 : DSI hospitalier batch mensuel 200 documents | DSI, poste Windows, profil etabli, licence valide | 200 docs traites, score qualite moyen >= 98, INDEX.md quarantaine si anomalies, errors.log exploitable |
| S3 : Operateur rencontre un document en quarantaine | Operateur metier, pas de connaissances techniques | Document place dans quarantaine/, fichier .reason.txt lisible avec raison claire et action recommandee |
| S4 : Renouvellement licence | DSI recu email de renouvellement, telecharge nouveau `license.dat` | Ancien `license.dat` remplace, application relancee, banniere disparait |
| S5 : Audit DPO demande la trace d'une campagne | DPO demande "avec quelle version ces documents ont ete anonymises ?" | Audit JSONL present dans les sorties avec version_code, version_regles, horodatage, profil_applique |
| S6 : Echange de profil entre etablissements | Etablissement A exporte un profil, envoie par email a B | B importe le profil, l'applique, resultat conforme aux regles de A |
| S7 : Licence expiree en plein travail | Operateur ouvre l'app, decouvre que la licence est en grace | Banniere visible mais anonymisation fonctionnelle, operateur peut alerter DSI |

## 6. Criteres RGPD / securite / offline

| # | Critere | Type | Verification |
|---|---|---|---|
| 6.1 | Aucune PII reelle dans code/docs/maquettes | RGPD | `grep -ri "CHCB\|Bayonne\|Saint-Denis\|GRAND\|SIMONET\|OYARCABA\|EJNAINI" code/ docs/` = 0 resultat (sauf tests unitaires avec donnees synthetiques) |
| 6.2 | Pas de cle privee RSA dans le client | Securite | `grep -ri "BEGIN RSA PRIVATE KEY\|PRIVATE_KEY" *.py license.py` = 0 resultat dans le code client |
| 6.3 | Quarantaine dir permissions 0o700 | RGPD/Secu | `os.stat(quarantine_dir).st_mode` & 0o777 == 0o700 |
| 6.4 | errors.log permissions 0o600 | RGPD/Secu | `os.stat(errors_log).st_mode` & 0o777 == 0o600 |
| 6.5 | Pas de sortie reseau non autorisee (non-admin) | RGPD | Lancer Wireshark/tcpdump pendant batch non-admin = 0 connexion sortante (sauf phone home licence si implemente) |
| 6.6 | VLM Ollama inaccessible en non-admin | RGPD | Code path : `VlmManager` instancie uniquement si `is_admin()` = True |
| 6.7 | Offline : anonymisation fonctionnelle sans reseau | Offline | Couper reseau, lancer batch = resultat identique a online (sauf phone home licence) |
| 6.8 | `license.dat` ne contient pas de PII | RGPD | Contenu du JSON licence = `{machine_id, client_id, expires_at, version, signature}` uniquement |
| 6.9 | Fichiers temporaires nettoyes | RGPD | Apres batch, `tempfile` directory vide ou ne contient aucun fichier avec contenu PII |
| 6.10 | Audit trail complet par document | RGPD | Chaque document anonymise a un audit JSONL associe avec timestamp, version, profil, entites masquees |
| 6.11 | Pas de PII dans les logs | RGPD | `anonymisation.log` ne contient aucun nom, telephone, email, adresse reelle |
| 6.12 | Mode degrade licence = pas de blocage brutal securite | Offline/UX | Licence expiree grace period = anonymisation fonctionnelle, seule la banniere change |
