anonymisation/docs/superpowers/specs/2026-06-25-gui-v6-beta-prod-design.md

# GUI V6 → prod bêta testeur — design

**Date** : 2026-06-25 · **Branche** : `feature/q1-quarantine-mvp` · **HEAD de départ** : `4b7c8db`
**Statut** : design validé Dom (cadrage + décisions ci-dessous), prêt pour plan d'implémentation.

## 1. Objectif

Amener **GUI V6** (`gui_v6/`) à une **mise en prod bêta testeur** complète : un testeur
non-technique installe l'EXE Windows → **active sa licence** → traite des PDF/images
médicaux → ses **statistiques d'usage remontent au portail** `app.aivanov.eu`, et l'équipe
peut **récupérer ses logs de diagnostic** (scrubbés) pour analyse. Le CLI est mis de côté
(pas abandonné) ; il partage le même core, donc les fixes cœur lui profitent.

## 2. Périmètre

**Dans le périmètre (décisions Dom) :**
- App finie : correction des 7 P0 + des P1 qui trompent le testeur + UI honnête de bout en bout.
- Rebuild Windows OnnxTR / **torch-free** (gain ~2 Go) + smoke.
- Chaîne prod : activation licence bout-en-bout + télémétrie qui remonte réellement + diffusion testée.
- **Diagnostics** : log fichier V6 + scrubbing PII (philosophie liste-blanche) + **auto-upload portail**.
- **Mise à jour propre** : version réelle injectée au build, upgrade en place, app fermée, config préservée.
- **Modèles embarqués dans l'EXE** : présents automatiquement à l'install, hors-ligne (déjà le cas, à fiabiliser).

**Hors périmètre (différé, acté) :**
- Enforcement licence **dur** (blocage), anti-VM (D-20.2/3), fingerprint multi-composants
  (D-20.1), vérification de signature RSA côté client + clé prod stable (P1-9).
- **MAJ in-app auto-download** (l'app télécharge+lance l'installeur) — la MAJ bêta se fait par
  téléchargement manuel de l'installeur depuis le portail.
- Onboarding profond : install validée sur site testeur, boucle de retour structurée.
- DnD réel = **inclus** (voir D) ; tout le reste P1 non listé + P2 non listés = itération ultérieure.

## 3. Décisions clés (et pourquoi)

| # | Décision | Justification |
|---|----------|---------------|
| D1 | **Licence souple + binding poste** : activation câblée, statut affiché, vérif locale `machine_id` (D-20.4), **pas de blocage** du traitement. | Valide la chaîne sans bloquer un testeur hors-ligne/mal activé. Durcissement post-bêta. |
| D2 | **Toggles « Données à détecter » câblés pour de vrai**, défaut tous ON. | Un contrôle visible non fonctionnel **fausse le test humain**. |
| D3 | **Pas de plancher dur** : décocher une catégorie relâche masquage **et** filet de sécurité pour cette catégorie ; l'utilisateur assume. | Sinon le toggle reste faussé (quarantaine systématique). `EMAIL/IBAN/IPP` (sans toggle) restent toujours masqués = plancher conservé. |
| D4 | **−2 Go via `excludes` PyInstaller** ; validation par **taille EXE réelle**. | `optimum[onnxruntime]` tire `torch` en dép cœur ; legacy non câblé (import déjà sous try/except). |
| D5 | **Linux-first TDD, un seul build Windows à la fin** ; P0-5 porte à l'identique le hotfix CLI `6c6f653`. | Minimise les cycles de build chers. |
| D6 | **Rebuild = autonome** (build interne + smoke) ; **diffusion (republish portail) = gate Dom**. | Cadrage d'autonomie. |
| D7 | **Logs auto-upload scrubbé** : log fichier V6 rotatif + diagnostics **structurés liste-blanche** (type d'exception, étape, code) + redaction ciblée des identifiants de doc connus, envoyés au portail (endpoint `/diagnostics`, auth licence, non bloquant). | Récupération auto pour analyse sans déranger le testeur ; RGPD garanti par la **même philosophie que la télémétrie** (whitelist), pas par un scrub a posteriori d'un log brut. |
| D8 | **MAJ = installeur propre** : version réelle injectée au build, AppId fixe (upgrade en place), `CloseApplications`, config/licence préservées (hors dossier install). | Suffit en bêta ; MAJ in-app auto-download différée. |

## 4. Chantiers

### A. Sûreté & robustesse cœur
- **P0-1 — Fail-close GUI sur NER indisponible.** `gui_v6/engine_bridge.py:make_process_fn`
  (210-233) : capturer l'état de `ensure_loaded()` ; si `use_local_ner` et état `UNAVAILABLE`
  (CamemBERT-bio non chargé, `:173-175`) → lever `EngineUnavailableError`. Le runner la remonte
  en **échec** (doc non livré). Réplique la garantie code-3 du CLI (`scripts/anonymize_cli.py:184-198`).
  *Test* : factory CamemBERT qui throw → 0 fichier en sortie + statut échec.
- **P0-5 — Frozen ONNX.** `Pseudonymisation_Gui_V6.py:main` (50-58, entrée frozen confirmée
  `anonymisation_gui_v6_onefile.spec:145`) pose `os.environ.setdefault("ANON_SKIP_LEGACY_ONNX_MANAGER","1")`
  **avant** `from gui_v6.app import AnonymisationApp` (l.55), et pré-charge CamemBERT. *Test* : ordre
  d'init unitaire ; **confirmation au smoke EXE** (non reproductible en dev Linux).
- **P0-7 — Lock multi-instance.** File-lock `msvcrt.locking` (Windows) au début de `main()`,
  message « application déjà ouverte ». Le nom du mutex est **partagé avec l'installeur** (D8/AppMutex).
  *Test* : unit mock.

### B. Chaîne prod — licence + télémétrie
- **P0-2 — URL portail.** `DEFAULT_PORTAL_URL = "https://app.aivanov.eu"` injectée à l'entrypoint
  (override `ANON_PORTAL_URL`) ; `gui_v6/app.py:41` `localhost` devient secours dev. Télémétrie **et
  diagnostics** héritent de l'URL (`app.py:199`). *Test* : entrypoint construit le client sur l'URL prod.
- **P0-6 — Licence souple + binding (D1).** Activation câblée bout-en-bout. Au démarrage :
  `local_status()` + **comparer `payload.machine_id` au `machine_id` local** ; si mismatch → statut
  « licence liée à un autre poste » **affiché**, traitement **non bloqué**. *Test* : `license.json`
  copié (machine_id ≠ local) → statut invalide, traitement fonctionne.

### C. Build torch-free reproductible + modèles embarqués
- **P0-3 — −2 Go (D4).** `excludes=['torch','torchvision','optimum','optimum.onnxruntime','doctr']`
  aux 3 specs ; `optimum[onnxruntime]` en optionnel commenté dans `requirements.txt`. **Validation =
  taille EXE réelle + grep arbo PyInstaller pour `torch`**.
- **P0-4 — Précache OnnxTR + modèles embarqués (#2).** Étape avant PyInstaller dans
  `scripts/build_windows_oneclick.ps1` : `ocr_predictor(det_arch='db_resnet50', reco_arch='crnn_vgg16_bn')`
  (télécharge les 2 poids). Confirme que le spec embarque bien CamemBERT-bio ONNX + poids OnnxTR
  (`anonymisation_gui_v6_onefile.spec` `datas`) → **modèles présents à l'install, hors-ligne, sans
  téléchargement** (aucun chemin de download runtime dans `gui_v6/` — vérifié). Doc build mise à jour.

### D. Honnêteté UI (anti-faussé)
- **P1-2 — Toggles « Données à détecter » câblés (D2/D3).** 7 booléens (Noms→`NOM`,
  DDN→`DATE_NAISSANCE`, Établissements→`ETAB`, Adresses→`ADRESSE`, NIR→`NIR`, Téléphones→`TEL`,
  N° adhérent→`ADHERENT`), défaut tous ON, fil : `ConfigState` → `EngineSettings` → kwargs →
  `process_document` → `cfg` (core:2934/5678). Le moteur **gate le masquage par type** ; une catégorie
  décochée n'est plus masquée. **Couplage sécurité (D3)** : pour les catégories décochées du rescan
  résiduel (`CRITICAL_PII_KEYS`, core:610 — NIR, TEL, DATE_NAISSANCE), le **rescan est relâché**
  (pas de fausse quarantaine). `EMAIL/IBAN/IPP` restent toujours masqués. *Tests* : (a) décocher `ETAB`
  → établissement non masqué, autres masqués ; (b) décocher `NIR` → NIR en clair + pas de quarantaine ;
  (c) tous ON → non-régression. **Revue Qwen obligatoire (code sécurité).**
- **P1-1 — Glisser-déposer réel** via `tkinterdnd2` (`tab_usage.py:103-115`) + boutons conservés.
- **P1-3 — Import/Export config câblés** (`tab_config.py:817-840`), logique merge V5 (`scripts/merge_params.py`).
- **P1-4 — `config_path` frozen** : résoudre `dictionnaires.yml` à côté de `sys.executable`, copie au
  1er lancement, passé en `config_path`.
- **P1-5 — Erreurs/quarantaine lisibles** : chemin sortie + mention `_*_failed/` + bouton « ouvrir le dossier ».
- **P2-1 / P2-2 (bonus)** : étapes de progression et cartes format **honnêtes** (fonctionnelles ou
  visiblement non-cliquables).

### E. Diagnostics & logs (#1, D7)
- **E1 — Log fichier V6.** Configurer un log loguru rotatif à chemin connu
  (`%LOCALAPPDATA%/Aivanov/Anonymisation/logs/anonymisation.log`) dans `Pseudonymisation_Gui_V6.py`
  **avant** tout import (combiné à l'ordre P0-5). Aujourd'hui V6 n'a **aucun** log fichier → en frozen
  fenêtré les diagnostics sont perdus. *Test* : le log est créé au chemin attendu.
- **E2 — Diagnostics structurés liste-blanche (RGPD).** Un module `diagnostics` qui produit des
  **événements structurés** (type d'exception, étape moteur, code, durée, version, `run_id`,
  `machine_id`) — **jamais** de texte de document ni de contenu d'erreur libre. Les identifiants de
  documents (noms/chemins connus en entrée) sont **redactés** (→ ordinal/hash) partout. Même
  philosophie que `usage_telemetry._ALLOWED_*`. *Tests* : un run avec noms de fichiers PII → 0
  nom/chemin/texte dans la charge utile diag.
- **E3 — Upload auto.** Client diagnostic (réutilise l'auth licence/`machine_id` comme la télémétrie),
  `POST /api/v1/diagnostics/report`, **non bloquant** (thread daemon, spool best-effort, timeout court).
  Hérite de l'URL portail (P0-2). *Test* : échec réseau → traitement non figé, spool écrit.
- **E4 — Portail (`app_aivanov`, repo séparé).** Endpoint `/api/v1/diagnostics/report` (Pydantic strict,
  auth licence/seat, recalcul/validation serveur), stockage, vue admin « Diagnostics par client ».
  Migration alembic. *Tests web.* **Revue Qwen RGPD.**

### F. Release, mise à jour & diffusion
- **P1-7 + D8 — Version & installeur.** Injecter la vraie version release (schéma `2026.MM.DD.HHMM`,
  depuis `build_info`) dans `gui_v6/__init__.py` **et** dans `installer/Anonymisation.iss` (`AppVersion`,
  `VersionInfoVersion`) — aujourd'hui codée en dur `"1.0.0"` / `"6.0.0-g1"` (3 schémas incohérents).
- **D8 — MAJ propre.** `Anonymisation.iss` : AppId fixe déjà présent (upgrade en place) ; ajouter
  `CloseApplications=yes` + `AppMutex=<nom partagé avec P0-7>` pour fermer l'app avant remplacement de
  l'EXE. Licence/config en `%LOCALAPPDATA%/Aivanov/Anonymisation/` (hors `{app}`) → **préservées**
  (vérifié). *Test/checklist* : installer N+1 sur N préserve licence+config, version affichée correcte.
- Rebuild Windows GUI V6 (192.168.1.11 via ssh-windows) ; **smoke** : `--self-test` ; 1 PDF natif ;
  1 PDF scanné (`ocr_used=True`) ; **fail-close vérifié** ; **taille EXE mesurée** (−2 Go ?) ; cycle
  MAJ N→N+1 testé.
- **Runbook** `docs/beta/runbook-portail-beta.md` finalisé (+ étape « vérifier URL portail embarquée ») ;
  **republish portail + MAJ SHA dans `note-beta-client.md` = gate Dom**.

## 5. Stratégie de tests & non-régression
- TDD sur tout le testable Linux : nouveaux `tests/unit/test_gui_v6_*` + extension core (gating par type)
  + tests diagnostics/scrubbing. Non-régression suite existante (222+ tests) + gate `synthetic_regression`.
- Revue **Qwen** sur les fixes sécurité (P0-1, P0-6, P1-2 gating+rescan) **et RGPD** (F2/F4 diagnostics).
- Smoke EXE pour les concerns frozen-only (P0-4, P0-5, taille, cycle MAJ).

## 6. Critères d'acceptation (definition of done)
1. Aucune sortie produite si le NER obligatoire échoue (fail-close GUI = CLI).
2. Activation licence fonctionne contre `app.aivanov.eu` ; binding correct ; **non bloquant**.
3. Télémétrie d'un run réel **visible au portail** (RGPD : compteurs only).
4. Les 7 toggles modifient **réellement** la sortie ; tous ON = non-régression ; décoché = relâché.
5. Import/export, DnD, messages d'erreur : **fonctionnels** (zéro contrôle factice).
6. **Diagnostic** d'un run **visible au portail**, contenant **0 nom/chemin/texte de document** (RGPD vérifié).
7. **Modèles** présents dans l'EXE : OCR + NER fonctionnent **hors-ligne** post-install, sans téléchargement.
8. **MAJ N→N+1** : upgrade propre, licence + config préservées, app fermée pendant la MAJ, version correcte.
9. EXE rebuildé : self-test OK, OCR scanné OK, **taille −~2 Go confirmée**, 0 « cannot load module ».
10. Suite verte, 0 régression, revue Qwen GO (sécurité + RGPD).
11. Diffusion portail = **sur GO Dom** uniquement.

## 7. Risques & points différés
- **R1** — P1-2 touche le cœur sécurité : risque de régression de masquage. Mitigation : TDD + gate
  `synthetic_regression` + revue Qwen ; défaut tous-ON identique à l'existant.
- **R2** — Binding `machine_id` MAC-seule **faible** (contournable, fragile en VM). Accepté en souple ;
  durcissement (D-20.1) différé post-bêta — **signalé**.
- **R3** — P0-5 (crash frozen) non confirmable en dev : **dépend du smoke EXE**. Mitigation : portage
  identique du hotfix CLI connu-bon.
- **R4** — Sans signature vérifiée côté client (différé), le binding `machine_id` est éditable à la main :
  protège de la copie naïve, pas d'un utilisateur déterminé. Acceptable bêta.
- **R5** — **RGPD diagnostics** : un log technique peut fuiter de la PII. Mitigation = événements
  **structurés liste-blanche** (pas de texte libre) + redaction des identifiants de doc + revue Qwen RGPD +
  défaut conservateur (dans le doute, on ne remonte pas la ligne). C'est le risque RGPD principal du lot.
- **Différé** : MAJ in-app auto-download, enforcement dur, anti-VM, signature client, reste P1/P2.