Séparer le projet PostHog du développement et traiter les événements de recette envoyés #162

Contexte

Epic : #13
Architecture-Technique › PostHog et Sentry par environnement · Securite-et-RGPD · Analytics · D-059
Maquette : sans objet — réponse DESIGN D-059 (https://github.com/Inprogress-Agency/widoo-app/wiki/Design-Changelog#d-059--2026-09-28) publiée le 2026-09-28

Découverte de CODE pendant #33 (Inbox) : apps/mobile/.env.local porte une EXPO_PUBLIC_POSTHOG_KEY non vide (fichier ignoré par git, valeur non lue par l'agent). En développement, expo/virtual/env relit .env.local à l'exécution, même quand la variable est vidée dans le shell. Toute session de développement qui accepte la bannière de consentement envoie donc ses événements au projet PostHog de cette clé. Pendant la recette de #33, avant la redirection vers la console, sont partis : app_opened, map_search_zone et result_card_viewed initiaux, et une sonde route_shared avec route_id: "probe".

Règle retenue (D-059) : le développement local n'a aucune clé PostHog et n'envoie rien (journal console seulement, EXPO_PUBLIC_ANALYTICS_DEBUG=1) ; l'app ignore une clé présente en développement. Staging (build preview) et production ont deux projets PostHog distincts, PostHog Cloud UE, « Widoo — staging » et « Widoo — production ». Sentry garde un projet par surface, séparé par environment. Les clés vivent dans l'environnement EAS du profil preview ou production et dans Secret Manager, jamais dans un fichier versionné ni dans l'environnement EAS development.

Comportement attendu

Pour CODE

• Garde-fou dans apps/mobile/src/analytics : aucun client PostHog n'est créé quand EXPO_PUBLIC_APP_ENV est vide, absent ou vaut development, que EXPO_PUBLIC_POSTHOG_KEY soit renseignée ou non. Seuls preview et production créent le client (si la clé est présente). Le journal console EXPO_PUBLIC_ANALYTICS_DEBUG=1 continue de fonctionner en développement. La décision est une fonction pure testée (analytics.test.ts ou voisin) : environnement vide, development, preview, production, avec et sans clé.
• apps/mobile/.env.example : EXPO_PUBLIC_POSTHOG_KEY laissée vide en local, avec un commentaire qui dit que la clé est ignorée en développement et que les builds la reçoivent de l'environnement EAS du profil (preview → projet staging, production → projet production).
• README (racine) : aucune clé PostHog en local ; un événement se vérifie d'abord dans le journal local (EXPO_PUBLIC_ANALYTICS_DEBUG=1 : nom, propriétés, consentement), puis son arrivée réelle sur un build preview, dans le projet « Widoo — staging ».
• Hors périmètre : Sentry (inchangé, déjà séparé par environment), création des projets et des clés.

Actions hors agents (Ilan ou Paul)

État au 2026-09-29, d'après le constat de Paul.

• Projet PostHog « Widoo - Staging » : existe (eu.posthog.com, organisation Inprogress Agency, seul projet de l'organisation). « Widoo - Production » : création reportée à la préparation de la production (v1.0), l'offre gratuite ne donnant qu'un projet et le second demandant une carte (décision de Paul) → Créer le projet PostHog Widoo - Production et poser sa clé dans EAS #264.
• Réglage D-019 « Discard client IP data » vérifié activé sur « Widoo - Staging ». Point « pas de PostHog AI » : abandonné par décision de Paul (aucun interrupteur dans PostHog, jugé sans importance) ; non vérifié.
• Poser les clés dans les environnements EAS preview et production ; aucune dans l'environnement EAS development. Staging → preview au premier build preview : Poser les variables EAS preview et lancer le premier build preview Android #266. Production → Créer le projet PostHog Widoo - Production et poser sa clé dans EAS #264.
• Clé retirée de apps/mobile/.env.local (EXPO_PUBLIC_POSTHOG_KEY vide chez Paul).
• Projet de la clé qui était dans .env.local identifié : « Widoo - Staging ». Les événements de la recette du 2026-09-25 (dont route_shared route_id = probe) y sont restés, sans suppression : le projet staging sert à la recette (D-059).

Critères d'acceptation

• Règle des projets PostHog par environnement écrite dans le wiki (D-059)
• Aucun client PostHog en développement (EXPO_PUBLIC_APP_ENV vide ou development), même avec une clé renseignée : couvert par un test
• Le client PostHog est créé en preview et en production quand la clé est présente : couvert par un test
• Le journal EXPO_PUBLIC_ANALYTICS_DEBUG=1 fonctionne toujours en développement
• apps/mobile/.env.example et README à jour
• Événements de recette traités dans le projet concerné, ou constat qu'il ne s'agissait pas de staging ni de production (commentaire d'Ilan ou Paul ; ne bloque pas la PR) : commentaire de Paul du 2026-09-29, projet staging, événements conservés

Notes techniques

• Dépend de Instrumenter les événements analytics de la découverte #33 (PR chore(mobile): instrumenter les événements de la découverte #159, ouverte) : le journal EXPO_PUBLIC_ANALYTICS_DEBUG=1, sa ligne dans .env.example et le paragraphe Analytics du README n'existent que sur sa branche, et les deux tickets touchent apps/mobile/src/analytics/index.ts. Partir de main après la fusion de chore(mobile): instrumenter les événements de la découverte #159.
• process.env.EXPO_PUBLIC_* doit être lu littéralement pour être inliné (apps/mobile/src/analytics/index.ts) ; EXPO_PUBLIC_APP_ENV est posé par profil dans apps/mobile/eas.json et déjà lu par apps/mobile/src/monitoring.
• La PR ne manipule aucune clé réelle.