anonymisation/docs/beta/2026-06-25_audit-pret-beta-gui-v6.md

Audit prêt-pour-bêta — GUI V6 (HEAD 4b7c8db, 2026-06-25)

Périmètre : GUI V6 (gui_v6/) + chaîne prod (licence, télémétrie, diffusion) pour une mise en bêta testeur. Cible : un testeur installe l'EXE Windows → active sa licence → traite des PDF/images médicaux → ses stats remontent au portail.

Audit en 3 axes (parcours/UX/PII, moteurs/OnnxTR/frozen, licence/télémétrie/diffusion). Findings vérifiés dans le code (lignes citées) ; les 2 plus lourds recontrôlés par Claude.

À FAIRE par Dom : valider / élaguer cette liste avant tout code (cocher / barrer).

---

P0 — Bloqueurs bêta (à corriger avant toute diffusion)

P0-1 — Fuite PII silencieuse : la GUI ne fait pas fail-close si le NER obligatoire échoue

• gui_v6/engine_bridge.py:222-231 appelle ensure_loaded() sans vérifier l'état ; si CamemBERT-bio ne charge pas (:173-175 → UNAVAILABLE, camembert=None), le traitement continue en regex + gazetteers seuls et le document sort compté « Réussi ». Le rescan résiduel ne couvre PAS les noms de personnes.
• Le CLI de prod fait l'inverse : scripts/anonymize_cli.py:184-198 fail-close (code 3, aucune sortie) si le modèle obligatoire manque.
• Impact : modèle ONNX corrompu/absent (antivirus, ressource manquante) → PDF qui paraît traité, statut OK, mais noms patients potentiellement en clair. Risque #1.
• Fix : dans process_fn, si use_local_ner et état UNAVAILABLE → lever une exception explicite (refus de traitement), le runner la remonte en échec. Aligne la GUI sur la garantie code-3 du CLI.

P0-2 — Chaîne prod cassée : la GUI pointe http://localhost, jamais le portail réel

• Pseudonymisation_Gui_V6.py:57 → AnonymisationApp() sans client → gui_v6/app.py:41 LicenseClient("http://localhost"). La télémétrie réutilise cette URL (app.py:199). Aucune env var / config / injection build ne fixe l'URL portail (grep exhaustif = 0).
• Impact : sur un poste testeur, activation licence ET télémétrie POSTent sur localhost → rien n'écoute → activation impossible, stats jamais remontées. Toute la « chaîne prod » demandée est non fonctionnelle. Le portail tourne sur app.aivanov.eu (vérifié live, HTTPS 200, artefact servi).
• Fix : injecter l'URL réelle (DEFAULT_PORTAL_URL="https://app.aivanov.eu" ou env var), localhost devient le secours dev. Impose un rebuild (l'EXE déjà publié est inutilisable pour l'activation).

P0-3 — Gain −2 Go non réalisé : optimum réintroduit torch en dur

• requirements.txt:3 = optimum[onnxruntime]>=2.0.0 ; optimum déclare torch>=1.11 en dépendance cœur (vérifié). Le build installe requirements → torch dans le venv → PyInstaller le bundle malgré le retrait des hiddenimports (4b7c8db). EXE ~+2 Go.
• optimum n'est importé que par ner_manager_onnx.py (legacy ONNX non câblé à la GUI), Pseudonymisation_Gui_V5.py (V5 legacy) et un script de finetune — jamais par gui_v6/ (le NER GUI = camembert_ner_manager en onnxruntime brut).
• Fix : retirer optimum (et hiddenimports optimum*) du build frozen GUI ; valider « torch-free » par la taille EXE réelle + grep de l'arbo PyInstaller, pas par le diff du spec.

P0-4 — Build non reproductible : pas de précache des poids OnnxTR

• anonymisation_gui_v6_onefile.spec:50-67 raise FileNotFoundError si les poids db_resnet50 + crnn_vgg16_bn absents du cache ; scripts/build_windows_oneclick.ps1 ne télécharge jamais ces poids. Le build « marche » seulement grâce au cache résiduel de la machine 192.168.1.11.
• Fix : étape pré-PyInstaller : python -c "from onnxtr.models import ocr_predictor; ocr_predictor(det_arch='db_resnet50', reco_arch='crnn_vgg16_bn')" + doc.

P0-5 — Crash frozen ONNX probable : le hotfix CLI 6c6f653 non reporté au launcher GUI

• Le launcher V6 ne pose pas ANON_SKIP_LEGACY_ONNX_MANAGER=1 (lu à l'import du core, anonymizer_core_refactored_onnx.py:211) et ne pré-charge pas CamemBERT — alors que le hotfix CLI (scripts/anonymize_cli.py:87) le fait pour éviter « cannot load module more than once per process » en frozen Windows.
• Fix : poser le flag tout en haut de Pseudonymisation_Gui_V6.py + pré-charger CamemBERT avant le 1er import du core. À confirmer sur l'EXE (non reproductible en dev).

P0-6 — Contrôle de licence purement décoratif (décision Dom requise)

• Enforcement nul : tab_usage.py:205 active « Lancer » selon le nombre de documents seulement ; aucune gate sur le statut licence (lu pour affichage uniquement).
• Pas de vérif locale : license_client.py:208-213 lit license.json sans vérifier signature ni machine_id → fichier copiable sur N postes = N licences « actives ».
• machine_id = MAC seule 12 chars (machine_id.py:12-14) = clonable, change en VM.
• D-20.1 (fingerprint multi-composants) et D-20.4 (vérif locale machine_id) non implémentés. La bêta est une fenêtre idéale (aucune activation prod existante à migrer).
• Décision Dom : niveau d'enforcement bêta (souple / dur / différé) — voir question.

P0-7 — Pas de protection multi-instance (lock perdu vs V5)

• Pseudonymisation_Gui_V6.py:50-59 lance mainloop() sans file-lock msvcrt.locking (présent en V5). Double-clic testeur → 2 instances, 2 chargements ONNX, 2 écritures dans le même dossier sortie.
• Fix : réintroduire le lock V5 + message « application déjà ouverte ».

---

P1 — Forte friction testeur / écarts (à arbitrer pour la bêta)

• P1-1 — Dropzone décorative (tab_usage.py:103-115) : zone « déposez vos fichiers » sans glisser-déposer réel. Confusion dès la 1re étape. → câbler DnD (tkinterdnd2) ou retirer la métaphore.
• P1-2 — 7 toggles « Données à détecter » non câblés (tab_config.py:351-357) : les interrupteurs (Noms, DDN, Établissements…) n'ont ni variable ni callback → aucun effet. Promesse UI non tenue. → câbler au moteur ou rendre informatifs (lecture seule).
• P1-3 — Import/Export config désactivés « à venir » (tab_config.py:817-840) alors que le Partage est mis en avant. Régression vs workflow email V5. → câbler ou retirer.
• P1-4 — config_path jamais transmis (app.py:155-162, tab_usage.py:53,176) : le dictionnaires.yml externe éditable n'est pas garanti chargé en frozen (pas de copie au 1er lancement). Personnalisations établissement potentiellement ignorées.
• P1-5 — Erreurs/quarantaine sans pointeur (tab_usage.py:268,282) : « échec » / « quarantaine » sans indiquer où est le doc non livré (_*_failed/). → afficher le chemin sortie + bouton « ouvrir le dossier ».
• P1-6 — Pas de validation d'inscriptibilité du dossier de sortie (processing_runner.py:214) : dossier en lecture seule → tout le lot échoue par doc avec message cryptique. → test d'écriture en amont.
• P1-7 — Version app incohérente : gui_v6/__init__.py:11 = 6.0.0-g1 vs artefact/note bêta 2026.06.18.1203 (remonte aussi en télémétrie). → aligner sur le schéma de release.
• P1-8 — Runbook non exécutable tel quel : republier impose un rebuild après P0-2 (le SHA de note-beta-client.md deviendra caduc). → ajouter étape « vérifier URL portail embarquée » au runbook.
• P1-9 — Clé de signature licence = clé dev auto-générée (app_aivanov/app/signing.py) : KEY_ID « dev », paire RSA régénérée si volume recréé → licences invalidées. → provisionner une clé prod stable avant d'activer la vérif de signature côté client.
• P1-10 — Politiques VM (D-20.2) / dossiers partagés (D-20.3) non implémentées (décision Dom, marquées « DECISION REQUIS » dans D-20). Acceptable de différer en bêta interne — à acter.
• P1-11 — Audit JSONL original="docTR" (anonymizer_core_refactored_onnx.py:5356) : trace de provenance périmée (OCR = OnnxTR) visible dans le livrable d'audit. → "OnnxTR".

---

P2 — Polish (best-effort)

• P2-1 — Étapes de progression statiques (tab_usage.py:144-147) : pastilles Extraction/Détection/Masquage/PDF décoratives ; pas de feedback intra-document.
• P2-2 — Cartes format de sortie décoratives (tab_usage.py:118-127) : suggèrent un choix alors que la sortie est toujours PDF+TXT. → présenter comme « sorties produites ».
• P2-3 — Commentaires/docstrings docTR périmés (anonymizer_core_refactored_onnx.py:55,102) : cosmétique, comportement OK.
• P2-4 — os_info non envoyé à l'activation (license_client.py:161-164) : perte d'info diagnostique mineure.
• P2-5 — Contact / canal de retour vide dans docs/beta/note-beta-client.md:36.
• P2-6 — /api/v1/version ne déclenche pas de download (tab_about.py:164-178) : le testeur va manuellement sur le portail. Acceptable bêta.

---

Verdicts positifs (ne pas re-traiter)

• Télémétrie RGPD : irréprochable. Double filtrage liste-blanche (usage_telemetry.py:72, _ALLOWED_DOC_KEYS) + recalcul serveur Pydantic strict. Aucun nom/chemin/texte ne peut fuiter. Non bloquante (thread daemon, timeout 4 s, spool best-effort). App utilisable hors-ligne.
• Pipeline cœur fail-closed correct : quarantaine moteur → échec, SEUIL_RESCAN_RESIDUEL=0, redact_pdf_raster pas dans un except: pass. La fuite P0-1 vient du wiring GUI, pas du cœur.
• engine_bridge / affichage moteurs : logique « n'afficher que les moteurs embarqués » saine et cohérente avec OnnxTR (OCR) + CamemBERT-bio (NER onnxruntime). 0 référence docTR dans les chaînes affichées à l'utilisateur.
• Câblage ONNXTR_CACHE_DIR frozen : chemins concordants, fail-closed si OnnxTR absent.
• Portail déployé et fonctionnel : app.aivanov.eu HTTPS, artefact servi, download authentifié (licence active requise). Le serveur n'est pas le problème — le client n'y est pas connecté.

---

Décompte : P0 = 7 · P1 = 11 · P2 = 6

Synthèse pour décision

Le « complet pour prod bêta » est plus que rebuild + ship : la chaîne prod est aujourd'hui non fonctionnelle bout-en-bout (P0-2 localhost, P0-6 licence décorative), il y a un risque PII #1 (P0-1 fail-open), et le −2 Go n'est pas acquis (P0-3 optimum). Rien de rédhibitoire : findings nets, fixes ciblés. C'est un vrai chantier de finition + câblage, pas une réécriture.