anonymisation/docs/beta/runbook-portail-beta.md

Runbook — portail licence/téléchargement pour bêta contrôlée

Portail app_aivanov (FastAPI). Objectif : permettre à un client bêta de récupérer la GUI et d'activer sa licence.

⚠️ Pré-requis de déploiement (voir §5) : servir derrière un reverse proxy HTTPS et définir des secrets forts (APP_SECRET_KEY, ADMIN_PASSWORD). C'est le niveau adéquat : le portail ne contient aucune donnée patient (licences + compteurs agrégés uniquement). Pas besoin de VPN/IP allowlist.

1. Publier l'installateur GUI comme artefact actif

Sur le serveur portail :

python3 scripts/publish_artifact.py --version 2026.06.18.1203 \
  --file /chemin/vers/Anonymisation-Setup.exe --active

(ou via le back-office admin → « Publier une version » : version, canal, fichier, « rendre active »). Le SHA-256 est recalculé côté serveur — vérifier qu'il == 8B437346…DED2F.

2. Créer / valider le compte client bêta

• Option A — auto-inscription : le client va sur /register (organisation, e-mail, mot de passe ≥ 8) → compte en attente.
• Puis admin : /admin → section « Inscriptions en attente » → Approuver (crée automatiquement une licence active via approve_user_with_default_licence).
• Option B — création admin directe : back-office « Nouveau client ».
• (Reset admin si besoin : python3 scripts/create_admin.py <email> <mdp> --force.)

3. Licence + jeton d'activation

• Vérifier la licence active du client (back-office « Licences » : statut active, postes, expiration).
• Le client (espace /licences) génère un jeton d'activation (« Générer un jeton », valable 48 h) à saisir dans la GUI (bouton « Activer »).
• L'activation poste appelle POST /api/v1/activate (token + machine_id) → licence signée RSA renvoyée.

4. Vérifier la disponibilité du téléchargement

• GET /api/v1/version → doit renvoyer la version active (2026.06.18.1203 + SHA + download_url). 404 = aucun artefact actif (revoir §1).
• Téléchargement authentifié : GET /api/v1/download/{version} exige une session web connectée + licence active (ou admin). Vérifier qu'un client connecté avec licence peut télécharger, et qu'un anonyme reçoit 401.
• UX : un navigateur anonyme sur une route protégée est redirigé vers /login ; le logo renvoie à / ; favicon OK (correctifs F1/F2/F3).

5. Sécurité — niveau proportionné (pas la NASA)

Modèle de menace réel : le portail ne stocke aucune donnée patient (tout le traitement est local au poste client) — uniquement licences, jetons d'activation et compteurs d'usage agrégés. Le seul actif sensible = l'installateur publié et les actions admin. Le niveau adéquat est donc HTTPS + login/mot de passe fort, pas un durcissement de banque.

À faire avant exposition client (cheap, indispensable) :

• HTTPS via reverse proxy (obligatoire). Le cookie de session passe automatiquement en Secure dès que APP_ENV ≠ dev/test (fait — commit 884661a).
• Secrets forts en variables d'environnement : APP_SECRET_KEY, ADMIN_PASSWORD (ne jamais laisser les défauts dev dev-change-me-INSECURE / change-me). C'est le vrai point : un admin compromis pourrait publier un faux installateur.

Déjà couvert / non bloquant :

• CSRF : le cookie est en SameSite=Lax, ce qui bloque déjà l'envoi du cookie sur un POST cross-site (l'attaque CSRF classique). Pas de middleware dédié requis pour une bêta sous login.
• Rate-limiting /login : nice-to-have, se gère au reverse proxy (fail2ban/limit_req) si besoin ; avec un mot de passe fort + l'approbation manuelle des comptes, le risque brute-force est marginal. Non bloquant.

Hygiène (non urgent) : sortir l'e-mail admin par défaut (dom@aivanov.fr) du code source vers .env.

6. Données / RGPD

• Le portail ne reçoit jamais de contenu patient : uniquement licences, activations de postes, et compteurs d'usage agrégés (nb traitements/documents/pages).
• Le dashboard admin « Utilisation par client » affiche ces compteurs (clients sans usage inclus, à 0).