Password-Manager/LICENCE-TESTS.md

Système de licences — scénario d'essai

Écrit le 2026-09-05, après la séance qui a posé la vérification hors ligne, le liage au poste et l'écran d'activation.

Ce plan ne cherche pas à montrer que ça marche : il cherche les endroits où ça casserait sans prévenir. Un système de licences échoue de deux façons opposées, et les deux coûtent cher — refuser un client qui a payé, ou ouvrir à quelqu'un qui n'a rien. Chaque essai ci-dessous vise l'une des deux.

Ce que la séance a déjà appris, et qui vaut d'être gardé en tête : l'empreinte du poste dépendait de l'ordre de démarrage. Selon que WMI répondait ou non, la même machine se présentait sous deux identités et refusait sa propre licence. Rien dans une utilisation normale ne l'aurait montré. D'où la série D.

---

Préparation

L'outil de remise à zéro : pose un fichier config.txt à côté de l'exe (n'importe quel contenu, même vide). Un bouton rouge Deactivate (debug) apparaît alors au bas de Settings → Licence : il efface la licence rangée et rien d'autre. Sans config.txt le bouton n'apparaît pas, et la commande sous-jacente est de toute façon inerte — un exe livré ne peut pas être désactivé par ce chemin.

Ne supprime %LOCALAPPDATA%\PMServer\prefs.bin qu'en dernier recours : ça désactive aussi, mais emporte le mode de déverrouillage, le nom retenu et les réglages de sync.

Ce qu'il faut sous la main :

• ta licence valable, liée à ce poste ;
• l'Installation ID de ce poste (Settings → Licence, ou l'écran d'activation) ;
• tools/licence.ps1 et la clé privée.

Ordre : A → B → C → D → E. La série A établit l'état de référence ; les suivantes le cassent volontairement.

---

A. Le chemin normal

1. Coffre déjà activé, lancer l'application. À voir : l'écran d'activation n'apparaît pas. On tombe directement sur l'écran de connexion.
2. Settings → Licence. À voir : Licensed to, Email, Issued et Installation ID remplis. Le nom affiché est celui que tu as tapé à l'émission — il vient de la charge utile signée, pas d'un réglage local.
3. Fermer, relancer. À voir : toujours pas d'écran d'activation. C'est ce qui prouve que la licence est rangée et relue, pas seulement acceptée une fois.

---

B. Ce qui doit être refusé

Chaque essai part de l'écran d'activation (licence effacée).

1. Chaîne quelconque : taper nimportequoi. À voir : This licence key is not valid, en rouge. L'écran reste.
2. Licence tronquée : coller ta licence valable en retirant les dix derniers caractères. À voir : même refus. La signature ne tolère pas un octet.
3. Charge utile trafiquée : prendre ta licence, changer un seul caractère dans la partie avant le point (le nom, l'adresse), coller. À voir : même refus. C'est l'essai qui prouve que le contenu affiché dans Settings ne peut pas être maquillé.
4. Licence d'un autre poste :

   tools\licence.ps1 -For "x@y.z" -Name "Autre" -Machine "AAAA-BBBB-CCCC-DDDD"
   

   coller le résultat. À voir : refus. C'est le cœur du liage — une licence parfaitement signée, mais pas pour cette machine.
5. Licence d'une autre paire de clés :

   tools\licence.ps1 -Init -KeyFile "%TEMP%\faux.key"
   tools\licence.ps1 -For "x@y.z" -Name "Faux" -Machine "<TON ID>" -KeyFile "%TEMP%\faux.key"
   

   coller le résultat. À voir : refus. C'est le cœur de la signature — la bonne machine, la bonne forme, mais pas ta clé. Si cet essai passait, n'importe qui pourrait fabriquer des licences. Puis supprimer %TEMP%\faux.key.
6. Ta vraie licence, pour finir. À voir : l'écran disparaît, on passe à la connexion.

---

C. Ce qui ne doit PAS être refusé

Le risque symétrique, et le plus coûteux commercialement.

1. Coller ta licence avec des espaces avant et après (une sélection à la souris en attrape presque toujours). À voir : acceptée. Le code fait Trim.
2. Coller ta licence avec un retour à la ligne collé au bout. À voir : acceptée.
3. Après activation, redémarrer la machine (pas seulement l'application). À voir : toujours activée. Le port du serveur change à chaque lancement — si la licence avait vécu dans localStorage, elle serait perdue ici. C'est l'essai qui prouve le stockage DPAPI.

---

D. L'empreinte du poste — la série qui a déjà attrapé un défaut

1. Noter l'Installation ID dans Settings → Licence.
2. Fermer, relancer, relire. À voir : exactement le même. Un seul caractère de différence, et toutes les licences de cette machine tomberaient au prochain lancement.
3. Relancer cinq fois de suite, en laissant la machine chargée (ouvrir quelques applications) pour varier les temps de démarrage. À voir : le même à chaque fois. C'est le défaut corrigé le 2026-09-05 : l'empreinte dépendait de l'initialisation de COM par WebView2, donc de la vitesse de démarrage.
4. Démarrage à froid : redémarrer Windows, lancer l'application en premier. À voir : le même.

---

E. La portée de l'activation

1. Autre compte Windows sur la même machine : ouvrir une session différente, lancer l'application. À voir : l'écran d'activation réapparaît, avec le même Installation ID. Comportement voulu : la licence est rangée par utilisateur (DPAPI), l'empreinte est celle de la machine. Ta licence y sera acceptée.
2. Copier l'exe dans un autre dossier et le lancer. À voir : toujours activée. La licence ne vit pas à côté de l'exe.
3. La mise à jour — le cas qu'on vivra réellement. Remplacer l'exe d'une installation existante par une nouvelle version, lancer. À voir : toujours activée. C'est l'essai le plus utile de la série : si une mise à jour désactivait, il faudrait réémettre une licence à chaque livraison, et on ne s'en apercevrait qu'au premier client mécontent.

---

Résultat de la première campagne — 2026-09-05

A B C D E2 E3 passés. Rien à corriger : la campagne n'a rien trouvé, ce qui n'était pas acquis — la séance qui l'a précédée avait déjà sorti trois défauts (empreinte dépendante de l'ordre de démarrage, message d'erreur en cyan au lieu de rouge, licences flottantes acceptées).

E1 (autre compte Windows) n'a pas été joué — faute d'un second compte sous la main. Ce que le code dit qu'il donnerait : écran d'activation de retour, même Installation ID, licence acceptée telle quelle. À éprouver le jour où un client le signale, ou avant de vendre à quelqu'un qui a plusieurs sessions.

Deux observations de la campagne, gardées parce qu'elles se reproduiront :

• C3 a été plus probant que prévu. Le port avait été changé à la main entre les deux lancements (8766 → 51812), donc l'origine du navigateur a réellement changé — exactement ce que l'essai veut prouver, mais pour de bon.
• Un port éphémère dans le journal sans ligne de repli n'est pas un défaut : c'est port=0 ou un config.txt absent. Le repli, lui, écrit toujours « Port N unavailable » avant de se déplacer.

---

F. La deuxieme couche, la premiere sautee — 2026-09-16

Ne rien rapiecer : ignorer l'ecran completement et interroger l'API en direct, comme quelqu'un qui aurait saute la 1re couche. Meme requete, licence active puis retiree.

Preparation : config.txt a cote de l'exe avec port=8799, require_token=false, require_process_check=false. Les deux derniers sont indispensables — sinon le jeton ou le controle de processus repondent 404 AVANT la 2e couche, et l'essai ne prouve rien. A supprimer ensuite.

Deux pieges rencontres, qui fausseraient le resultat :

• config.txt est lu depuis le dossier courant. Lancer l'exe d'ailleurs le prive de sa config : jeton et controle actifs, 404 partout, faux positif. Lancer avec le dossier de l'exe comme dossier de travail.
• La 2e couche retient un « oui » pour la vie du processus. Fermer la fenetre ne quitte pas (elle part dans la zone de notification) : relance = reveil de l'ancien processus, qui repond encore pong. Quitter par le menu de l'icone, verifier qu'aucune instance ne tourne, puis relancer.

Resultat :

Requete	Licence active	Licence retiree
GET /ping	200 pong	404
GET /entries, /settings, /folders	—	404
POST /register	—	404 — impossible de se creer un compte
GET /index.html	200	200 — l'ecran d'activation reste servi
GET /nexiste-pas	404 JSON	404 JSON

Observation : le refus de la 2e couche n'a pas un corps vide — Indy remplace un ContentText vide par sa page 404 Not Found. Il se distingue donc d'une route inexistante ({"error":"Not found"}), ce qui revele quelles routes existent. Sans consequence en production (jeton et controle de processus actifs), mais contraire au principe du verrouillage.

---

F bis. Meme essai, depuis l'application — 2026-09-17

L'essai F interrogeait l'API a la main. Celui-ci passe par l'application, avec un exe d'essai compile avec LICENCE_TEST_SKIP_SCREEN : la 1re couche repond toujours « licencie », comme si elle avait ete rapiecee. La 2e couche, independante, verifie la vraie licence. (Construction : voir CLAUDE.md, section de la deuxieme couche. Jamais livre.)

1. Lancer l'exe d'essai, licence active : pas d'ecran d'activation, Register d'un compte de test reussit.
2. Settings → Licence → Deactivate (debug), puis Quit par l'icone.
3. Relancer : toujours pas d'ecran d'activation (1re couche « rapiecee »).
4. Tenter d'entrer.

Resultat : toasts rouges « Not found », impossible d'entrer. Le message est le 404 generique, identique a celui d'une route inexistante — depuis le correctif du meme jour. Qui aurait rapiece la 1re couche voit une application qui ne marche pas, sans indice qu'une verification de licence existe.

Apres l'essai : reactiver la licence avec un exe normal — l'exe d'essai n'affiche jamais l'ecran d'activation.

---

Ce qu'aucun de ces essais ne prouve

À dire clairement, pour ne pas se croire protégé de ce qu'on ne l'est pas :

• Rapiécer l'exe pour sauter la vérification reste possible. C'est vrai de tout schéma hors ligne. La signature empêche de fabriquer des licences, pas de contourner le code qui les lit.
• Il n'y a pas de révocation. Une licence émise vaut pour toujours sur sa machine. La seule annulation possible est de régénérer la paire et de réémettre — ce qui casse toutes les autres.
• Le brouillage des blocs embarqués n'est pas du chiffrement. L'onglet Memory de Process Explorer, un débogueur ou la réponse HTTP rendent toujours le frontend en clair.

Le défaut à reconnaître sans le provoquer

Si $ObfSecret (BuildAssets.ps1) et AssetObfSecret (PM.EmbeddedAssets.pas) divergent, la magie PMA1 tombe et le serveur refuse de servir : /index.html en 404, fenêtre vide. Ce n'est pas une panne de licence, c'est un désaccord de build. Symptôme à ne pas confondre.