feat(installation): un poste neuf sort utilisable, et le bouton redémarrer redémarre - #54

Quatre défauts trouvés en installant un poste de production, dont deux le rendaient inutilisable. Aucun n'était visible sans installer pour de vrai.

L'application est désormais en production : recette passée en magasin, deux semaines d'exploitation réelle tenues. Le lot L9 est clos.

1. Le bouton « Redémarrer le poste » laissait le poste éteint

setRecovery n'appelait que SetRecoveryActions, jamais SetRecoveryActionsOnNonCrashFailures. Windows met ce drapeau à FALSE par défaut, et faux veut dire « n'appliquer les reprises que si le service s'arrête sans signaler SERVICE_STOPPED ». Or l'arrêt ordonné de §13.4 se termine proprement et le signale : le SCM voyait un arrêt normal et n'appliquait aucune des trois reprises de §15.2.

La prémisse fausse était écrite à cinq endroits, dont ADR-055 lui-même et un banc vert intitulé « THE CODE IS THE MECHANISM » — le pire état possible. Tous corrigés ; l'ADR porte un amendement daté plutôt qu'une réécriture.

setRecovery prend désormais une interface de deux méthodes, parce qu'un banc qui ne lirait que le plan resterait vert si quelqu'un retirait le second appel — c'est exactement le défaut qui avait été livré. Vérifié en le cassant.

2. Une adresse d'écoute vide verrouillait toute l'administration

Export remet le bloc réseau à zéro et la cible release exige un export : le fichier livré porte littéralement "listen": "", donc le poste refusait sa propre configuration de livraison. PUT /admin/api/config valide le document entier, si bien qu'une seule faute portant sur un champ qu'aucun écran n'éditait empêchait le moindre enregistrement, sur toutes les pages.

Config.UnmarshalJSON ramène une adresse vide à celle du profil neutre, comme il le fait déjà pour update.repository et ui.min_products_for_chip.

L'ordre de livraison était contraint et il a été tenu : la garde d'import d'abord, le rattrapage du décodeur ensuite. Dans l'autre sens, un défaut bloquant serait devenu silencieux — le 422 était le seul garde-fou empêchant un export importé de déplacer l'écouteur d'un poste de 0.0.0.0:8085 vers la boucle locale.

La page Poste gagne enfin les champs network.listen et admin_on_lan : la mécanique de déplacement à chaud était livrée depuis toujours, seul le champ manquait — et §14.4 ne le listait pas, c'est de là que venait l'oubli.

3. Le plancher du mot de passe d'administration passe à quatre

Le chiffre existait en six exemplaires que rien ne reliait ; il est ramené à une autorité, web.MinPasswordLength, les copies qu'un autre langage impose étant liées à elle par un banc qui lit le fichier source.

Un vrai défaut, indépendant de la valeur, a été trouvé au passage : la route HTTP comptait des octets là où la ligne de commande comptait des runes — « é » vaut un caractère au clavier et deux sur le fil. Les quatre portes comptent maintenant des points de code.

4. L'installation demande ce qu'elle seule peut savoir (ADR-060)

Mot de passe d'administration, numéro et nom du poste ; la balance sort déclarée absente, faute d'en avoir une de branchée. Nouvelle action openscale config station. Aucune option de config ne prend de secret.

L'empreinte va de 6c06605a à 79ba8bfc tant que la balance est déclarée absente, puis revient à 6c06605a dès qu'elle est redéclarée — mesuré dans les deux sens, et dit sur la fiche, dans le message de fin et dans INSTALLATION.md, parce que §15.5 fait comparer les quatre empreintes à l'œil.

Une relecture adverse a rattrapé ce qui aurait annulé le bénéfice : --no-scale vide scale.type, or aucun geste de l'écran ne le remettait. La détection servait pourtant déjà le driver reconnu, et detect.go l'écrivait dans son propre commentaire depuis toujours (« what goes into the form is the driver that recognised what came out of the cable »). L'écran le jetait. Un bouton « Utiliser cette balance » écrit présence, protocole et port d'un seul geste.

Les deux installeurs marchent désormais en couple

install.sh porte les six mêmes options, les mêmes questions, le même plancher, la même fiche et le même message de fin. La règle n'est pas gardée par la bonne volonté : deploy/parity_test.go lit le param() de l'un et le case de l'autre et compare dans les deux sens. Une exception est permise, jamais muette — motivée dans le banc et dans le script qui n'a pas l'option, et une raison de moins de 60 caractères fait rougir.

Deux pièges mesurés plutôt que devinés :

• sous dash, la longueur de chaîne du shell compte des octets quelle que soit la locale : un plancher de quatre appliqué ainsi aurait accepté « éàç » — 3 caractères, 6 octets — que le binaire refuse ;
• /proc/<pid>/cmdline est lisible par tous les comptes quand /proc/<pid>/environ ne l'est que du propriétaire : le secret descend par l'environnement, effacé avant le premier processus fils.

Vérification

Ce qui n'est PAS fait, et n'est pas à croire fait

• Aucun poste réel n'a été installé avec ce binaire ; la recette de redémarrage reste à éprouver sur machine.
• sc qfailureflag n'a pas été relevé sur le poste de production : le diagnostic tient sur le source et la sémantique Windows, pas sur une mesure terrain.
• doctor ne contrôle pas le drapeau de reprise — ce défaut resterait invisible sans matériel. Le contrôle qui l'aurait attrapé n'est pas écrit.
• install.sh n'a jamais été lancé en entier : rien de ce qui touche apt-get, useradd, udev, polkit ni systemctl n'est exercé.
• Les deux bootstraps ne sont pas à parité sur leurs options propres (--force, --force-install) : divergence de structure, bootstrap.sh déléguant à update.sh là où bootstrap.ps1 lance toujours install.ps1. Jugé non bloquant par le propriétaire du produit — ces options gouvernent le chemin de téléchargement, pas ce qu'un poste devient. Le banc déclare son périmètre au lieu de prétendre le couvrir.
• Les postes déjà installés ne sont pas réparés par ce lot, par décision de périmètre : TROUBLESHOOTING.md dit sans détour qu'une mise à jour ne répare pas ce défaut, le réglage fautif vivant dans Windows et non dans le binaire.