PD-63 — Retour d'expérience (REX)¶

1. Résumé exécutif¶

2. Métriques de convergence¶

2.1 Temps et itérations¶

2.2 Scores de convergence par gate¶

2.3 Écarts par catégorie¶

3. Points fluides¶

Ce qui a bien fonctionné : - Architecture zero-knowledge : le pattern pre-signed URL + fail-closed a été bien compris et implémenté du premier coup - Mapping INV/CA rigoureux : la traçabilité spec → code → tests a facilité Gate 8 - Modularité du code : AuditDownloadService, S3PresignService, DocumentAccessGuard bien séparés - Tests unitaires complets : 104 tests couvrant tous les cas d'erreur et flux nominaux - Gate 8 en une itération : l'implémentation était conforme aux specs corrigées

4. Points difficiles¶

Obstacles rencontrés (sans justification) : - Gate 3 v1 : 5.93/10 — spec initiale trop vague sur fail-closed, audit et flux partage/B2B - Gate 5 v1 : 6.28/10 — plan incomplet (migration ⅗ champs, absence Phase 0 go/no-go) - Pipeline post-merge : 6 commits — clés HSM orphelines + Sonar security hotspot - Pipelines bloqués en "canceling" — runners OVH occupés pendant 17+ minutes

5. Hypothèses révélées tardivement¶

Hypothèses non explicites découvertes en cours de workflow : - Fail-closed vs retry — découverte à Gate 5 v1 : distinction infra (retry OK) vs appli (fail-closed strict) - Tables document_shares / co_holders inexistantes — découverte à l'étape 6 : flux partage/B2B non implémentables - INV-04 key naming stricte — découverte post-merge : tests PD-7 vérifient les labels de TOUTES les clés HSM - Math.random() flaggé par Sonar — découverte post-merge : même pour un correlation ID non-sécuritaire

6. Invariants complexes¶

Invariants difficiles à implémenter ou sensibles aux régressions : - INV-63-05 (fail-closed) — TC-INT-14 : audit AVANT réponse client, pas de download sans trace - INV-63-07 (messages neutres) — TC-SEC-12 : même message d'erreur pour 403/404 (anti-énumération) - INV-63-03 (zero-knowledge) — TC-SEC-05 : backend ne retourne jamais le contenu, seulement une URL

7. Dette technique¶

Compromis acceptés et non bloquants : - checkShareAccess() stubé — impact: faible (table à créer dans future story PD-XX) - checkB2BAccess() stubé — impact: faible (table à créer dans future story PD-YY) - Rate limiting hors scope — impact: moyen (à implémenter au niveau API Gateway)

8. Risques résiduels¶

8bis. Matrice de délégation inter-PD¶

8ter. Bugs de tests¶

9. Patterns récurrents détectés¶

9.1 Patterns confirmés (déjà vus dans d'autres stories)¶

• Fail-closed audit pattern — aussi dans PD-31, PD-60
• Zero-knowledge architecture — aussi dans PD-46, PD-97
• Pre-signed URL avec TTL — aussi dans PD-46

9.2 Nouveaux patterns identifiés¶

• Post-merge pipeline fixes — tests HSM contractuels (PD-7) bloquent le merge si clés non conformes
• Sonar security hotspots — même Math.random() pour logging est flaggé
• Pipeline cancellation stuck — jobs HSM/DB peuvent bloquer l'annulation 15+ min

10. Améliorations du workflow¶

10.1 Améliorations des prompts/templates¶

10.2 Améliorations des agents¶

10.3 Améliorations du processus¶

• Cleanup HSM post-test automatique — ajouter job GitLab pour supprimer clés pv-test-* orphelines
• Surveiller pipeline activement — ne pas attendre passivement, utiliser watch-pipeline.sh systématiquement
• Annuler pipelines bloqués — forcer cancel des jobs individuels si pipeline stuck en "canceling"

11. Enseignements clés¶

1. Fail-closed dès la spec — contractualiser le comportement en cas d'échec audit dès Gate 3 évite 2+ itérations
2. Phase 0 go/no-go systématique — valider les hypothèses critiques (tables existantes, services disponibles) avant implémentation
3. Labels HSM stricts — utiliser pv-test-* pour tout clé éphémère, PD-7 vérifie INV-04 globalement
4. crypto.randomUUID() toujours — Sonar flagge Math.random() même pour logging, utiliser randomUUID par défaut
5. Pipeline monitoring actif — surveiller avec barre de progression, annuler pipelines bloqués manuellement

12. Métriques cumulatives¶

REX généré le 2026-02-21 par Claude (Orchestrateur)