PD-106 - Scenarios de tests contractuels¶

TEST-ID: TC-NOM-01 - Acces Settings et consultation profil
Reference spec: F-106-01, INV-106-01, INV-106-02, INV-106-03, INV-106-04, CA-106-01, CA-106-02, CA-106-03, CA-106-04

GIVEN
  - Un utilisateur U1 est authentifie avec une session valide S1.
  - Le backend retourne un profil deterministe (nom, email, avatar ou initiales).
  - Le backend retourne un etat MFA deterministe (ex: `desactive`).
WHEN
  - U1 ouvre le parcours Settings.
THEN
  - Les entrees Profil, MFA, mot de passe, deconnexion et suppression de compte sont accessibles depuis le meme point d'entree Settings.
  - Le profil affiche nom, email et avatar ou initiales en lecture seule.
  - Le compte connecte est identifiable sans ambiguite (identifiant lisible present).
AND
  - Un appel de lecture d'etat MFA est effectue au chargement et l'etat affiche correspond strictement a la reponse serveur.

TEST-ID: TC-NOM-02 - Activation MFA TOTP reussie
Reference spec: F-106-02, INV-106-05, INV-106-07, INV-106-08, INV-106-09, CA-106-05, CA-106-06, CA-106-08

GIVEN
  - U1 est authentifie et MFA est `desactive` cote serveur.
  - La re-authentification immediate de U1 reussit.
  - Le serveur accepte l'initialisation d'enrolement TOTP puis la verification du code saisi.
WHEN
  - U1 lance l'activation MFA et soumet un code TOTP valide.
THEN
  - MFA passe a `active` uniquement apres confirmation serveur de verification.
  - Les codes de recuperation sont affiches en clair une seule fois avec avertissement de criticite.
AND
  - L'etat MFA est recharge depuis le serveur apres succes.

TEST-ID: TC-NOM-03 - Re-authentification non reutilisable entre operations critiques
Reference spec: INV-106-05, INV-106-06, CA-106-05

GIVEN
  - U1 est authentifie.
  - Une operation critique A a ete autorisee juste avant execution via re-authentification validee.
WHEN
  - U1 tente une operation critique B distincte sans nouvelle re-authentification.
THEN
  - L'operation B est refusee et une nouvelle re-authentification est exigee.
AND
  - Aucune mutation serveur liee a l'operation B n'est executee tant que la nouvelle re-authentification n'est pas validee.

TEST-ID: TC-NOM-04 - Regeneration codes de recuperation reussie
Reference spec: F-106-03, INV-106-05, INV-106-09, INV-106-10, CA-106-08, CA-106-09

GIVEN
  - U1 est authentifie et dispose d'un jeu de codes valide RC1.
  - U1 valide la confirmation explicite.
  - U1 reussit la re-authentification immediate.
WHEN
  - U1 regenere ses codes de recuperation.
THEN
  - Un nouveau jeu RC2 est emis et affiche une seule fois en clair avec avertissement.
AND
  - Tout code RC1 devient invalide et au moins un code RC2 est valide.

TEST-ID: TC-NOM-05 - Desactivation MFA reussie
Reference spec: F-106-04, INV-106-11, CA-106-10

GIVEN
  - U1 est authentifie et MFA est `active`.
  - U1 valide la confirmation explicite de desactivation.
  - U1 reussit la re-authentification immediate.
WHEN
  - U1 confirme la desactivation MFA.
THEN
  - Le serveur confirme la desactivation.
  - L'etat MFA final affiche est `desactive` apres relecture serveur.
AND
  - Aucun etat intermediaire de succes n'est conserve si la confirmation serveur n'est pas recue.

TEST-ID: TC-NOM-06 - Changement de mot de passe reussi
Reference spec: F-106-05, INV-106-05, INV-106-12

GIVEN
  - U1 est authentifie.
  - `ancien_mdp` est valide, `nouveau_mdp` respecte la politique serveur, `confirmation_mdp` = `nouveau_mdp`.
  - La re-authentification immediate est validee.
WHEN
  - U1 soumet la demande de changement de mot de passe.
THEN
  - Le serveur confirme le changement.
  - La session courante est invalidee cote serveur.
AND
  - Les donnees sensibles locales de session sont supprimees.
  - U1 est redirige vers un etat non authentifie.

TEST-ID: TC-NOM-07 - Deconnexion reussie
Reference spec: F-106-06, INV-106-13, CA-106-13, CA-106-14

GIVEN
  - U1 est authentifie avec session valide S1.
  - Des donnees sensibles de session existent localement (token/session en cours).
WHEN
  - U1 confirme la deconnexion.
THEN
  - La session S1 est invalidee cote serveur.
  - Les donnees sensibles locales de session sont supprimees.
AND
  - U1 est redirige vers un etat non authentifie.

TEST-ID: TC-NOM-08 - Suppression de compte reussie
Reference spec: F-106-07, INV-106-14, INV-106-15, CA-106-15, CA-106-16

GIVEN
  - Un compte de test destructible U2 existe et est authentifie.
  - U2 valide la confirmation renforcee attendue par l'interface.
  - U2 reussit la re-authentification immediate.
WHEN
  - U2 confirme la suppression de compte.
THEN
  - La validation initiale de confirmation renforcee est demandee et validee.
  - La confirmation finale distincte est demandee et validee.
AND
  - La suppression est confirmee par le serveur.
  - U2 est deconnecte immediatement.
  - Toute tentative ulterieure d'utilisation du compte U2 echoue.

TEST-ID: TC-NOM-09 - Localisation des textes PD-106
Reference spec: INV-106-17, CA-106-18

GIVEN
  - Deux langues supportees L1 et L2 sont configurees.
  - U1 est authentifie.
WHEN
  - U1 bascule la langue active de L1 vers L2 puis ouvre le parcours Settings.
THEN
  - Les libelles, messages et confirmations du parcours PD-106 sont affiches dans la langue active.
AND
  - Aucun placeholder de cle i18n brut n'apparait.

TEST-ID: TC-NOM-10 - Codes de recuperation masques hors affichage unique
Reference spec: F-106-03, INV-106-09, CA-106-08

GIVEN
  - U1 est authentifie.
  - Aucun evenement de generation/regeneration de codes n'a eu lieu dans la session en cours.
WHEN
  - U1 ouvre la section codes de recuperation.
THEN
  - Aucun code en clair n'est affiche.
AND
  - Un message explicite indique la necessite de regeneration pour afficher un nouveau jeu de codes.

TEST-ID: TC-NOM-11 - Re-authentification expiree (>5 minutes) avant operation critique
Reference spec: INV-106-05, CA-106-05

GIVEN
  - U1 est authentifie.
  - Une re-authentification valide est effectuee.
  - Plus de 5 minutes se sont ecoulees depuis cette validation, sans nouvelle re-authentification.
WHEN
  - U1 tente d'executer une operation critique.
THEN
  - L'operation est rejetee.
AND
  - Une nouvelle re-authentification est exigee avant execution.
  - Aucune mutation serveur liee a l'operation critique n'est appliquee.

TEST-ID: TC-NOM-12 - Re-authentification invalidee apres sortie de flux/navigation intermediaire
Reference spec: INV-106-05, CA-106-05

GIVEN
  - U1 est authentifie.
  - Une re-authentification valide est effectuee dans le flux d'une operation critique.
WHEN
  - U1 quitte ce flux vers un autre parcours, puis revient et tente d'executer l'operation critique.
THEN
  - L'operation est rejetee.
AND
  - Une nouvelle re-authentification est exigee avant execution.
  - Aucune mutation serveur liee a l'operation critique n'est appliquee.

TEST-ID: TC-ERR-01 - Session expiree pendant action critique
Reference spec: ERR-106-SESSION-EXPIRED, INV-106-16

GIVEN
  - U1 apparait authentifie cote client.
  - Cote serveur, la session est expiree/invalide au moment de l'action.
WHEN
  - U1 execute une operation critique.
THEN
  - L'action est rejetee.
  - L'application force un etat non authentifie.
AND
  - Un message explicite est affiche et aucun effet critique n'est applique.

TEST-ID: TC-ERR-02 - Erreur reseau/time-out
Reference spec: ERR-106-NETWORK, INV-106-16

GIVEN
  - U1 est authentifie.
  - La requete necessaire a l'operation cible est en time-out ou reseau indisponible.
WHEN
  - U1 valide l'operation.
THEN
  - Un message d'erreur explicite est affiche.
AND
  - Aucun changement d'etat local n'est presente comme succes.

TEST-ID: TC-ERR-03 - Lecture etat MFA indisponible
Reference spec: ERR-106-MFA-STATE-UNAVAILABLE, INV-106-04, CA-106-04

GIVEN
  - U1 est authentifie.
  - La lecture d'etat MFA retourne une erreur deterministe.
WHEN
  - U1 ouvre Settings.
THEN
  - L'etat MFA affiche est `inconnu`.
AND
  - Les actions exigeant un etat MFA fiable sont bloquees avec message explicite.

TEST-ID: TC-ERR-04 - Echec initialisation enrolement MFA
Reference spec: ERR-106-MFA-ENROLL-FAILED, INV-106-16, CA-106-07

GIVEN
  - U1 est authentifie et re-authentifie.
  - L'initialisation d'enrolement TOTP echoue cote serveur.
WHEN
  - U1 lance l'activation MFA.
THEN
  - MFA reste `desactive`.
  - Un message explicite est affiche.
AND
  - Aucune persistance locale durable de secret n'est observee.

TEST-ID: TC-ERR-05 - Code TOTP invalide a la verification
Reference spec: ERR-106-MFA-CODE-INVALID, INV-106-07, CA-106-07

GIVEN
  - U1 est dans le flux d'activation MFA avec re-authentification valide.
  - Le code TOTP soumis est invalide.
WHEN
  - U1 soumet le code invalide.
THEN
  - L'activation MFA n'est pas validee.
  - Un message explicite est affiche.
AND
  - Aucun indicateur de succes n'est presente.

TEST-ID: TC-ERR-06 - Refus desactivation MFA sans re-authentification valide
Reference spec: ERR-106-MFA-DISABLE-DENIED, INV-106-11, CA-106-10

GIVEN
  - U1 est authentifie et MFA est `active`.
  - La re-authentification est absente ou invalide.
WHEN
  - U1 tente de desactiver MFA.
THEN
  - La desactivation est refusee.
AND
  - MFA reste `active` et un message explicite est affiche.

TEST-ID: TC-ERR-07 - Consultation codes hors affichage unique
Reference spec: ERR-106-RECOVERY-NOT-AVAILABLE, INV-106-09, CA-106-08

GIVEN
  - U1 est authentifie.
  - Aucun affichage unique valide n'est disponible.
WHEN
  - U1 tente de consulter les codes de recuperation.
THEN
  - Aucun code en clair n'est affiche.
AND
  - Un message explicite indique la regeneration necessaire.

TEST-ID: TC-ERR-08 - Echec regeneration codes de recuperation
Reference spec: ERR-106-RECOVERY-REGEN-FAILED, INV-106-16

GIVEN
  - U1 est authentifie, confirme l'action et reussit la re-authentification.
  - Le serveur echoue la regeneration.
WHEN
  - U1 confirme la regeneration.
THEN
  - Un message explicite est affiche.
AND
  - Tant que la regeneration n'est pas confirmee serveur, l'ancien jeu de codes reste valide.

TEST-ID: TC-ERR-09 - Confirmation mot de passe incoherente
Reference spec: ERR-106-PWD-CONFIRM-MISMATCH, INV-106-12, CA-106-11

GIVEN
  - U1 renseigne `nouveau_mdp` et `confirmation_mdp` differents.
WHEN
  - U1 soumet le formulaire de changement mot de passe.
THEN
  - Le rejet est immediat.
AND
  - Aucun appel critique de changement mot de passe n'est emis.

TEST-ID: TC-ERR-10 - Refus serveur politique mot de passe
Reference spec: ERR-106-PWD-POLICY, INV-106-12, INV-106-16, CA-106-12

GIVEN
  - U1 est authentifie.
  - Le serveur refuse la demande (ancien mot de passe invalide ou politique non respectee).
WHEN
  - U1 soumet la demande.
THEN
  - Le mot de passe reste inchange.
  - Le motif de refus est affiche de facon exploitable.
AND
  - Aucun etat de succes n'est affiche.

TEST-ID: TC-ERR-11 - Echec invalidation session au logout
Reference spec: ERR-106-LOGOUT-FAILED, INV-106-16

GIVEN
  - U1 est authentifie.
  - Le serveur retourne un echec lors de l'invalidation de session.
WHEN
  - U1 confirme la deconnexion.
THEN
  - Un message explicite est affiche.
  - Les donnees sensibles locales de session sont supprimees.
AND
  - L'application force un etat non authentifie.

TEST-ID: TC-ERR-12 - Confirmation renforcee invalide en suppression compte
Reference spec: ERR-106-DELETE-CONFIRMATION, INV-106-14, CA-106-15

GIVEN
  - U1 est sur le flux suppression de compte.
  - La confirmation renforcee saisie est invalide/incomplete.
WHEN
  - U1 soumet la suppression.
THEN
  - La suppression n'est pas executee.
AND
  - Un message explicite est affiche.

TEST-ID: TC-ERR-13 - Echec re-authentification en suppression compte
Reference spec: ERR-106-DELETE-REAUTH, INV-106-14, CA-106-15

GIVEN
  - U1 est sur le flux suppression de compte.
  - La confirmation renforcee est validee.
  - La re-authentification echoue.
WHEN
  - U1 tente de finaliser la suppression.
THEN
  - La suppression n'est pas executee.
AND
  - Un message explicite est affiche.

TEST-ID: TC-ERR-14 - Echec serveur suppression compte
Reference spec: ERR-106-DELETE-FAILED, INV-106-15, CA-106-16

GIVEN
  - U1 est sur le flux suppression avec confirmation renforcee et re-authentification valides.
  - Le serveur echoue la suppression.
WHEN
  - U1 confirme la suppression.
THEN
  - Un message explicite est affiche.
AND
  - Le compte n'est pas marque comme supprime et aucun etat de succes n'est presente.

TEST-ID: TC-ERR-15 - Rate limit sur re-authentification/TOTP
Reference spec: ERR-106-RATE-LIMIT, INV-106-16

GIVEN
  - U1 effectue des tentatives repetitives jusqu'au seuil de rate-limit defini par le serveur.
WHEN
  - U1 depasse le seuil.
THEN
  - Le serveur retourne l'erreur de rate-limit.
  - L'application affiche un message explicite, incluant la contrainte temporelle si disponible.
AND
  - Aucun changement d'etat critique n'est applique.

TEST-ID: TC-INV-01 - Non persistance des secrets MFA et codes de recuperation
Reference spec: INV-106-08, CA-106-17

GIVEN
  - Un environnement de test permet d'injecter des valeurs sentinelles uniques dans le secret TOTP et les codes de recuperation.
  - U1 execute un flux d'activation MFA reussi puis un flux de regeneration codes reussi.
WHEN
  - Le flux est termine, puis l'application est relancee.
THEN
  - Les valeurs sentinelles ne sont retrouvees dans aucun stockage local durable de l'application.
  - Les valeurs sentinelles ne sont retrouvees dans aucun log applicatif accessible en environnement de test.
AND
  - Toute preuve de secret en clair dans ces surfaces constitue un echec bloquant.

TEST-ID: TC-INV-02 - Absence d'echec critique silencieux
Reference spec: INV-106-16, CA-106-07, CA-106-12

GIVEN
  - Chaque operation critique est testee avec une erreur serveur deterministe (ou erreur reseau) sur un jeu de cas couvre.
WHEN
  - U1 declenche chaque operation critique en situation d'echec.
THEN
  - Un message explicite et exploitable est affiche dans tous les cas.
AND
  - Aucun etat de succes ne s'affiche pour une operation ayant echoue.

TEST-ID: TC-INV-03 - Preuve RGPD art.17 complete (hors perimetre mobile)
Reference spec: INV-106-18, CA-106-19

GIVEN
  - Perimetre limite aux tests applicatifs mobile PD-106.
WHEN
  - L'auditeur tente de prouver l'effacement complet des donnees serveur et la politique de retention/purge.
THEN
  - La preuve exhaustive ne peut pas etre etablie depuis le mobile seul.
AND
  - La conformite doit etre validee via artefacts backend/compliance externes.