PD-248 — Spécification canonique contractuelle¶

1. Objectif¶

La User Story PD-248 DOIT garantir, sur iOS uniquement, que toute tentative de capture d'écran d'un écran sensible défini au périmètre produise une image inutilisable pour l'extraction de secret, sans action utilisateur et sans notification utilisateur.

Cette spécification est normative et prévaut sur toute interprétation implicite.

2. Périmètre / Hors périmètre¶

2.1 Périmètre inclus¶

Sont inclus exclusivement les écrans suivants:

Contrainte de plateforme: iOS 15.0 et versions supérieures.

2.2 Hors périmètre¶

3. Définitions¶

3.1 Énumérations contractuelles¶

4. Invariants (non négociables)¶

5. Flux nominaux¶

F-248-01 — Entrée sur écran sensible¶

1. L'utilisateur navigue vers un écran SCR-248-01..04.
2. Le système place protection_state=ACTIVE avant la première opportunité de screenshot sur cet écran.
3. Toute capture déclenchée pendant l'affichage de l'écran sensible retourne capture_result=BLOCKED.
4. Aucun signal utilisateur visible/audible n'est émis.

F-248-02 — Sortie d'écran sensible vers écran non sensible¶

1. L'utilisateur quitte un écran sensible vers un écran non sensible.
2. Le système place protection_state=INACTIVE.
3. Une capture sur l'écran non sensible retourne capture_result=ALLOWED.

F-248-03 — Transition entre écrans sensibles¶

1. L'utilisateur navigue d'un écran sensible vers un autre écran sensible.
2. Le système maintient protection_state=ACTIVE en continu (aucune désactivation intermédiaire observable).
3. Toute capture durant la transition et sur l'écran d'arrivée retourne capture_result=BLOCKED.

F-248-04 — Écran non sensible¶

1. L'utilisateur reste sur un écran hors liste SCR-248-01..04.
2. protection_state=INACTIVE.
3. Une capture retourne capture_result=ALLOWED et contient le rendu normal de l'écran.

5bis. Diagrammes Mermaid¶

D-248-01 — Diagramme d'état : protection_state¶

Le diagramme modélise les transitions de protection_state en fonction de la navigation entre écrans sensibles (SCR-248-01..04) et non sensibles. Les gardes référencent les invariants INV-248-02, INV-248-03 et INV-248-05.

stateDiagram-v2
    [*] --> INACTIVE : App lancée (écran non sensible)

    INACTIVE --> ACTIVE : Entrée écran SCR-248-01..04\n[INV-248-02 : activation automatique]
    ACTIVE --> INACTIVE : Sortie vers écran non sensible\n[INV-248-03 : désactivation automatique]
    ACTIVE --> ACTIVE : Transition sensible → sensible\n[INV-248-03 : maintien ACTIVE sans fenêtre INACTIVE]

    state ACTIVE {
        note right of ACTIVE
            capture_result = BLOCKED [INV-248-01]
            Activation silencieuse [INV-248-04]
            Délai activation < 10 ms [INV-248-08]
        end note
    }

    state INACTIVE {
        note right of INACTIVE
            capture_result = ALLOWED [INV-248-05]
        end note
    }

    ACTIVE --> ERROR : Échec activation/maintien\n[ERR-248-001, ERR-248-002]
    ERROR --> INACTIVE : Redirection hors écran sensible < 500 ms

D-248-02 — Diagramme de séquence : flux nominal entrée/sortie écran sensible¶

Le diagramme couvre les flux F-248-01 (entrée) et F-248-02 (sortie) avec les vérifications d'invariants aux points critiques.

sequenceDiagram
    actor User
    participant Nav as React Navigation
    participant Hook as useScreenCapture Hook
    participant Expo as expo-screen-capture
    participant iOS as iOS Screenshot API

    Note over User,iOS: F-248-01 — Entrée sur écran sensible [INV-248-02]
    User->>Nav: Navigue vers SCR-248-01..04
    Nav->>Hook: onFocus(screenId)
    Hook->>Hook: Vérifie screenId ∈ {SCR-248-01..04}
    Hook->>Expo: preventScreenCapture()
    Expo->>iOS: UIScreen.main.isCaptured = true
    Note right of Hook: protection_state = ACTIVE<br/>Délai < 10 ms [INV-248-08]
    Hook-->>Nav: Protection activée (silencieux) [INV-248-04]

    Note over User,iOS: Tentative de screenshot [INV-248-01]
    User->>iOS: Déclenche screenshot
    iOS-->>User: Image sans données sensibles (BLOCKED)

    Note over User,iOS: F-248-02 — Sortie vers écran non sensible [INV-248-03]
    User->>Nav: Navigue vers écran non sensible
    Nav->>Hook: onBlur(screenId)
    Hook->>Expo: allowScreenCapture()
    Expo->>iOS: UIScreen.main.isCaptured = false
    Note right of Hook: protection_state = INACTIVE [INV-248-05]

    User->>iOS: Déclenche screenshot
    iOS-->>User: Image normale (ALLOWED) [INV-248-05]

D-248-03 — Diagramme de séquence : transition sensible → sensible¶

Le diagramme couvre le flux F-248-03 où la protection reste active en continu sans fenêtre INACTIVE observable (INV-248-03).

sequenceDiagram
    actor User
    participant Nav as React Navigation
    participant HookA as useScreenCapture (écran A)
    participant HookB as useScreenCapture (écran B)
    participant Expo as expo-screen-capture

    Note over User,Expo: F-248-03 — Transition sensible → sensible [INV-248-03]
    Note right of HookA: protection_state = ACTIVE (écran A)

    User->>Nav: Navigue SCR-248-01 → SCR-248-02
    Nav->>HookB: onFocus(SCR-248-02)
    HookB->>Expo: preventScreenCapture()
    Note right of Expo: Protection maintenue (pas de gap)
    Nav->>HookA: onBlur(SCR-248-01)
    HookA->>HookA: Détecte transition vers sensible → skip allowScreenCapture()

    Note right of HookB: protection_state = ACTIVE en continu<br/>Aucune fenêtre INACTIVE [INV-248-03]

    User->>Expo: Déclenche screenshot
    Expo-->>User: Image sans données sensibles (BLOCKED) [INV-248-01]

6. Cas d'erreur¶

Note: le contenu exact de télémétrie interne est hors périmètre tant que la présence de l'événement technique et du error_code est vérifiable.

7. Critères d'acceptation (testables)¶

8. Scénarios de test (Given / When / Then)¶

9. Hypothèses explicites¶

10. Points à clarifier¶

Références¶

• Epic : PD-189 — CRYPTO
• JIRA : PD-248
• Repos concernés : ProbatioVault-app (mobile iOS)
• Documents associés : PD-242-specification.md (INV-242-11), PD-106-specification.md (MFA)
• Story parente : PD-242 (Enveloppe cryptographique de récupération)