PD-298 — UI propriétaire de création et gestion des liens de partage sans compte¶

1. Objectif¶

La User Story PD-298 DOIT permettre au propriétaire authentifié d’une preuve, depuis l’application mobile ProbatioVault, de :

• créer un lien de partage sans compte (email destinataire, TTL, options),
• visualiser ses liens de partage (par preuve et globalement),
• révoquer un lien avec confirmation contractuelle,
• consulter le journal des accès d’un lien,
• voir les avertissements contractuels DRM/RGPD avant action.

La story est strictement côté propriétaire. Aucune capacité destinataire native n’est incluse.

2. Périmètre / Hors périmètre¶

Inclus¶

• Création d’un lien via POST /shares depuis la fiche d’une preuve possédée.
• Liste des liens associés à une preuve.
• Écran global “Mes partages” avec tri décroissant de création, filtre par état, pagination offset/limit.
• Détail d’un lien et révocation via POST /shares/:id/revoke.
• Consultation du journal via GET /shares/:id/events.
• Affichage contractuel :
• avertissement révocation (texte ARB-7 exact),
• avertissement absence de DRM (première création + reconsultation),
• encart RGPD visible avant soumission.
• Validation client des entrées (email, TTL).
• i18n FR (chaînes externalisées), multilingue-ready.

Exclu¶

• Portail destinataire dans l’app.
• Modification des endpoints backend PD-287.
• Push notifications côté app.
• Deep linking vers un partage.
• Mode hors-ligne / queue offline.
• Partage multi-preuves.
• RGAA complet (hors périmètre MVP).

3. Définitions¶

Règle non testable marquée hors périmètre : - Validité juridique de la base légale RGPD (qualification légale) : hors périmètre de validation fonctionnelle UI.

4. Invariants (non négociables)¶

5. Flux nominaux¶

5.1 Modèle de données contractuel (source unique formats)¶

5.2 Bornes numériques contractuelles¶

Note contractuelle : - Aucun objectif de performance chiffré (latence P95/P99, mémoire) n’est fourni pour cette story ; ces SLA de performance sont hors périmètre.

5.3 SLA temporels (transitions)¶

Aucune autre transition temporelle identifiée côté UI propriétaire.

5.4 Flux nominaux contractuels¶

F-298-01 — Création d’un lien depuis une preuve

1. Le propriétaire ouvre la fiche d’une preuve.
2. Le système vérifie la propriété (ownerUserId == user connecté).
3. Le propriétaire ouvre le formulaire de partage.
4. Le système vérifie l’indicateur drmWarningSeen :
5. false => affiche avertissement DRM avant saisie effective.
6. true => pas de réaffichage automatique.
7. Le formulaire expose : email destinataire, TTL (presets/custom), maxViews optionnel, notifications, encart RGPD visible avant CTA.
8. À soumission, validations client obligatoires (email, TTL, types).
9. Si valide, appel POST /shares.
10. En succès, affichage du lien créé avec état PENDING_ACTIVATION.
11. Rafraîchissement de la liste des liens.

F-298-02 — Liste des liens d’une preuve

1. Depuis une preuve possédée, le propriétaire ouvre la section partages.
2. Le système récupère les partages du propriétaire et affiche uniquement ceux liés à la preuve.
3. Chaque ligne affiche au minimum : statut (badge), date création, email (non loggé), actions contextuelles.
4. Pull-to-refresh force un rechargement réseau.

F-298-03 — Écran global “Mes partages”

1. Le propriétaire ouvre l’écran via navigation principale.
2. Le système appelle GET /shares avec offset/limit.
3. Résultats triés par création décroissante, filtrables par état.
4. Infinite scroll par incrément d’offset de 20.
5. Aucun cache local des données de partage.

F-298-04 — Détail et révocation

1. Le propriétaire ouvre le détail d’un shareId.
2. Le système affiche données du lien + actions autorisées selon état.
3. Sur action “Révoquer”, affichage obligatoire de la modale ARB-7.
4. Si confirmation explicite, appel POST /shares/:id/revoke.
5. En succès, rafraîchissement état et verrouillage des actions non autorisées.

F-298-05 — Journal des accès

1. Le propriétaire ouvre le journal d’un lien.
2. Le système appelle GET /shares/:id/events.
3. Chaque entrée affiche : date/heure, type, email, IP masquée, device.
4. Si journal vide, un message contextuel explicite est affiché (pas de vide silencieux).

F-298-06 — Consultation répétée des avertissements

1. Le propriétaire peut reconsulter l’avertissement DRM depuis paramètres ou formulaire.
2. L’encart RGPD est affiché à chaque création, avant soumission.

5.5 Machine d’états, transitions retour et états terminaux¶

Matrice des transitions

Transitions retour (obligatoire)

• ACTIVE -> PENDING_ACTIVATION : INTERDITE (pas de rollback activation).
• OTP_BLOCKED -> PENDING_ACTIVATION : INTERDITE (pas de déblocage manuel en MVP).
• REVOKED -> ACTIVE : INTERDITE (révocation irréversible).
• EXPIRED -> ACTIVE : INTERDITE (expiration irréversible).
• REVOKED -> * : INTERDITE (état terminal, résolution manuelle uniquement).
• EXPIRED -> * : INTERDITE (état terminal, résolution manuelle uniquement).

Comportement downgrade/retour

• Données historiques (journal, métadonnées) : conservées en lecture seule.
• Quotas/limites : réappliqués immédiatement par état backend.
• Fonctionnalités : re-verrouillées immédiatement en REVOKED/EXPIRED.
• Aucune transition bidirectionnelle autorisée : Aucune transition retour applicable au sens A↔B autorisé.

Checklist machine à états

• Chaque état liste ses transitions sortantes autorisées/interdites.
• Chaque état terminal mentionne explicitement -> * : INTERDITE.
• Modèle d’états couvert par invariant dédié (INV-298-14, INV-298-15).

5.6 Mécanismes de protection distribuée¶

Aucun mécanisme de protection distribuée applicable (module synchrone mono-instance).

5.7 Atomicité multi-composant¶

Aucune atomicité multi-composant applicable côté PD-298 (pas de transaction DB/queue côté app).

5.8 Contraintes inter-modules¶

5.9 Stratégie de migration DDL¶

Aucune migration DDL applicable (story UI mobile, aucune modification de colonne/base).

5bis. Diagrammes (obligatoires)¶

Diagramme d’état¶

stateDiagram-v2
    [*] --> PENDING_ACTIVATION : creation share (POST /shares)

    PENDING_ACTIVATION --> ACTIVE : OTP valide (backend)
    PENDING_ACTIVATION --> OTP_BLOCKED : seuil OTP atteint (backend)
    PENDING_ACTIVATION --> REVOKED : revoke owner
    PENDING_ACTIVATION --> EXPIRED : ttl atteint
    PENDING_ACTIVATION --> PENDING_ACTIVATION : INTERDITE

    ACTIVE --> REVOKED : revoke owner
    ACTIVE --> EXPIRED : ttl atteint
    ACTIVE --> PENDING_ACTIVATION : INTERDITE
    ACTIVE --> OTP_BLOCKED : INTERDITE
    ACTIVE --> ACTIVE : INTERDITE

    OTP_BLOCKED --> REVOKED : revoke owner
    OTP_BLOCKED --> EXPIRED : ttl atteint
    OTP_BLOCKED --> PENDING_ACTIVATION : INTERDITE
    OTP_BLOCKED --> ACTIVE : INTERDITE
    OTP_BLOCKED --> OTP_BLOCKED : INTERDITE

    REVOKED --> PENDING_ACTIVATION : INTERDITE (terminal)
    REVOKED --> ACTIVE : INTERDITE (terminal)
    REVOKED --> OTP_BLOCKED : INTERDITE (terminal)
    REVOKED --> EXPIRED : INTERDITE (terminal)
    REVOKED --> REVOKED : INTERDITE (terminal)

    EXPIRED --> PENDING_ACTIVATION : INTERDITE (terminal)
    EXPIRED --> ACTIVE : INTERDITE (terminal)
    EXPIRED --> OTP_BLOCKED : INTERDITE (terminal)
    EXPIRED --> REVOKED : INTERDITE (terminal)
    EXPIRED --> EXPIRED : INTERDITE (terminal)

Diagramme de séquence¶

sequenceDiagram
    participant U as Propriétaire
    participant APP as App ProbatioVault
    participant LS as Stockage local
    participant API as API Sharing (PD-287)

    U->>APP: Ouvre formulaire création
    APP->>LS: Lire drmWarningSeen(userId)
    LS-->>APP: true/false
    alt drmWarningSeen == false
        APP-->>U: Afficher avertissement DRM (ARB-8)
        U->>APP: Accepte avertissement
        APP->>LS: Ecrire drmWarningSeen(userId)=true
    end

    APP-->>U: Afficher encart RGPD avant CTA
    U->>APP: Saisit email + TTL + options
    APP->>APP: normaliser(email), valider(regex D-287-03), valider TTL [15..43200]
    APP->>API: POST /shares {proofId, recipientEmail, ttlMinutes, maxViews?, notificationsEnabled}
    API-->>APP: 201 {shareId, state=PENDING_ACTIVATION, expiresAt}
    APP-->>U: Afficher résultat + état

    U->>APP: Ouvre journal du lien
    APP->>API: GET /shares/:id/events
    API-->>APP: events[{eventAt, eventType, recipientEmail, ip, deviceType}]
    APP->>APP: transformer ip -> ipMasked
    APP-->>U: Afficher events (IP masquée)

6. Cas d’erreur¶

7. Critères d’acceptation (testables)¶

8. Scénarios de test (Given / When / Then)¶

Scénario 1 — Création nominale

• GIVEN propriétaire authentifié sur preuve possédée
• WHEN il soumet email valide + TTL 7j
• THEN POST /shares réussit
• AND le lien apparaît avec état PENDING_ACTIVATION

Scénario 2 — Email invalide

• GIVEN formulaire de création ouvert
• WHEN email invalide est saisi
• THEN la soumission est bloquée localement
• AND aucune requête backend n’est envoyée

Scénario 3 — TTL hors borne haute

• GIVEN formulaire ouvert
• WHEN TTL custom > 30j
• THEN la soumission est refusée côté client
• AND un message de borne est affiché

Scénario 4 — Révocation confirmée

• GIVEN un lien ACTIVE
• WHEN propriétaire clique “Révoquer” puis confirme
• THEN modal ARB-7 exacte est visible avant appel
• AND POST /shares/:id/revoke est envoyé après confirmation
• AND l’état devient REVOKED

Scénario 5 — Révocation annulée

• GIVEN un lien ACTIVE
• WHEN propriétaire ferme la modal sans confirmer
• THEN aucun appel revoke n’est effectué
• AND l’état reste inchangé

Scénario 6 — Première création et avertissement DRM

• GIVEN drmWarningSeen=false
• WHEN formulaire création est ouvert
• THEN l’avertissement DRM est affiché avant soumission
• AND le flag est mémorisé après acquittement

Scénario 7 — Journal d’accès

• GIVEN un lien ayant des événements
• WHEN propriétaire ouvre “Voir journal”
• THEN GET /shares/:id/events est appelé
• AND chaque ligne affiche IP masquée, pas IP brute

Scénario 8 — Journal vide contextualisé

• GIVEN un lien sans événement retourné
• WHEN écran journal est affiché
• THEN un message explicatif contextuel est visible
• AND l’écran n’est pas silencieusement vide

Scénario 9 — Preuve non possédée

• GIVEN preuve dont ownerUserId != user connecté
• WHEN utilisateur ouvre le détail de preuve
• THEN action “Partager” est absente
• AND aucun endpoint de création n’est appelé

Scénario 10 — Pas de cache local

• GIVEN un lien révoqué depuis un autre terminal
• WHEN propriétaire rouvre la liste partages
• THEN un appel réseau frais est effectué
• AND l’état affiché est REVOKED

9. Hypothèses explicites¶

10. Points à clarifier¶

10.1 Contraintes techniques contractuelles (stack réelle)¶

10.2 Données manquantes / arbitrages restants¶

Références¶

• Epic : Référence épique non fournie dans l’expression de besoin.
• JIRA : PD-298.
• Repos concernés : ProbatioVault-app (principal), ProbatioVault-backend (dépendance API PD-287).
• Documents associés :
• Expression de besoin PD-298 (date 2026-04-22),
• PD-287 (backend, DONE, date 2026-04-19),
• ARB-7 / ARB-8 PD-287,
• CA-287-27 (encart RGPD).