feat(admin): affiliation et clics de réservation (A-09)

[Nascimento95]

Résultat et problème

Widoo n'avait aucun moyen de compter les clics sur « Réserver », ni de gérer ses programmes d'affiliation, ni de savoir quelles étapes réservables n'ont pas encore de lien partenaire. A-09 « Affiliation » le fait, pour l'éditeur et l'admin.

• GET /v1/go/:stepId (public) : compte le clic dans booking_clicks, puis redirige (302) vers le lien que l'étape affiche, celui du créateur d'abord, sinon le lien partenaire de Widoo (D-048). Il ne redirige que vers un lien déjà enregistré en https pour une étape d'un parcours publié, jamais vers une adresse donnée par l'appelant ; tout le reste est un 404 qui ne compte rien. Limité à 60 par minute et par adresse.
• Programmes : liste, création, modification, activation et désactivation (nom unique, réseau, note de commission, cookie de 0 à 365 jours). Un programme inactif ne prête plus ses liens.
• Lien partenaire par lieu : deux champs dans la fiche d'un lieu (PATCH /admin/places/:id), le lien en https et son programme, ensemble ou pas du tout ; un programme demande un lien.
• Étapes réservables : les étapes de parcours publiés qui demandent une réservation ou portent un lien, avec le lien affiché, son origine (créateur, créateur affilié, partenaire de Widoo), ses clics sur 30 jours, et le filtre « lieux sans lien partenaire ».
• Une seule règle du lien affiché : resolveBookingLink (packages/shared), que /go et la liste utilisent.
• Chaque écriture de programme et de lieu écrit admin_actions.

Limites

• La fiche d'un parcours côté app n'affiche pas encore le lien partenaire : GET /routes/:id n'existe pas (ticket Exposer GET /routes/:id et /routes/:id/timeline, stocker computed #36). Il devra appeler resolveBookingLink et joindre le lieu et son programme. Tant qu'il n'existe pas, aucun lien partenaire ne s'affiche dans l'app.
• Le bouton « Réserver » de l'app qui appelle /go est le ticket mobile Passer « Réserver » par /go/:stepId pour compter les clics #345 (Paul). L'adresse est /v1/go/:stepId, comme toutes les routes de l'API (le ticket écrit https://<api>/go/:stepId).
• booking_clicks.user_id reste vide : la redirection s'ouvre dans le navigateur, sans session. La colonne est prévue par le wiki, et son lien est coupé à la purge d'un compte.
• Le suivi des inscriptions des programmes (S'inscrire aux programmes d'affiliation (activités, billetterie) et fournir les liens à Sarah #212, cité par le wiki A-09) n'est pas dans la liste du ticket : non fait.
• À l'enregistrement d'un lieu, une erreur de champ (422) est maintenant dite comme telle (« un champ est refusé… ») au lieu d'un échec général, et la page défile jusqu'à l'erreur, le bouton étant en bas d'un long formulaire.

Fixes #344
Écrans : A-09, A-04 (champs du lien partenaire)
Dépendance : PR empilée sur #500 (#348, base issue/348-settings-and-log), elle-même sur #499 (#341), #479, #398, #365 et #363.

Comment vérifier

1. pnpm install, docker-compose up -d, pnpm --filter @widoo/api db:migrate && pnpm --filter @widoo/api db:seed, pnpm dev.
2. En admin, Affiliation › Programmes : ajouter un programme (un nom déjà pris est refusé), le modifier, le désactiver.
3. Dans la fiche d'un lieu (Lieux et parcours), saisir un lien partenaire https://… : le champ « Programme du lien » apparaît ; un lien en http:// est refusé dès l'enregistrement.
4. Affiliation › Étapes réservables : l'origine du lien (une étape sans lien de créateur montre « Partenaire Widoo »), les clics sur 30 jours, et le filtre « Lieux sans lien partenaire ».
5. Ouvrir http://localhost:8080/v1/go/<identifiant d'une étape avec un lien> dans le navigateur : redirection vers le lien, et le compteur de l'étape augmente de 1. Un identifiant inconnu donne un 404 sans redirection.
6. Connecté en moderator : « Affiliation » n'est pas dans le menu.

Tests : l'ordre créateur puis partenaire, le programme inactif, un lien partenaire sans programme, le 404 sans clic pour une étape sans lien, d'un parcours non publié ou inconnue, le délai de moins de 200 ms, les droits (moderator refusé), la liste des étapes (origines, filtre, clics sur 30 jours), les programmes (unicité du nom sans tenir compte de la casse, patch partiel, journal), le lien partenaire d'un lieu (ensemble, conservé si absent, refusé hors https ou sans lien).

• pnpm lint && pnpm typecheck && pnpm test verts en local (chaque commit passe lint et types) ; seuls les tests chronométrés de l'API échouent parfois en suite complète (délai de 5 s) et passent seuls

Formatage mécanique : non

Risque

Niveau : 3 — nouvelle table et migration, endpoint public non authentifié qui écrit et redirige.

Taille : tous les commits sous 400 lignes utiles (le plus gros : 394). Le snapshot de la migration (meta/0018_snapshot.json) est généré par drizzle-kit.

Revue OWASP

• A01 Contrôle d'accès : les routes admin sont fermées au moderator et à l'utilisateur par le garde de section (rôle lu en base à chaque appel) ; PATCH /admin/places/:id reste réservé à l'éditeur et à l'admin. /go est public par nature : il ne lit rien du compte et n'expose que le lien déjà affiché de l'étape.
• A01 Redirection non validée (open redirect) : /go ne prend aucune adresse en entrée, il lit le lien stocké de l'étape ou du lieu, et le refuse s'il n'est pas en https. Les liens sont déjà tenus à https à l'écriture, par le schéma et par une contrainte de la base (places_partner_link_check).
• A04 Conception non sécurisée : un lien partenaire n'est utilisé que si son programme est actif ; un programme exige un lien ; le lien du créateur passe toujours avant. Seule une étape d'un parcours publié est joignable.
• A04 / A05 Abus et déni de service : une redirection est une écriture ; elle est limitée à 60 par minute et par adresse (429 au-delà), et un identifiant mal formé est refusé avant la base.
• A03 Injection : requêtes paramétrées ; la date de la fenêtre de 30 jours est passée en paramètre typé ; textes des programmes en texte brut sans balises.
• A09 Journalisation : création et modification d'un programme et d'un lieu écrivent admin_actions (avant, après) dans la transaction du changement.
• Données personnelles : un clic ne porte ni compte, ni adresse IP, ni navigateur ; user_id reste vide. Réponses no-store, noindex, referrer-policy: no-referrer.
• Aucune nouvelle dépendance.

Retour arrière

Revert de la PR. Migration 0018 additive : deux tables et deux colonnes nullables sur places. Un revert du code laisse les tables et colonnes sans effet. Pour les supprimer, retirer d'abord les liens partenaires des lieux (partner_program_id, puis partner_booking_url) avant de supprimer affiliate_programs. Les clics comptés sont des statistiques sans donnée personnelle : les garder ne coûte rien.

🤖 Generated with Claude Code