Password-Manager/LICENCE-TESTS.md

# Système de licences — scénario d'essai

Écrit le **2026-09-05**, après la séance qui a posé la vérification hors ligne,
le liage au poste et l'écran d'activation.

Ce plan ne cherche pas à montrer que ça marche : **il cherche les endroits où ça
casserait sans prévenir**. Un système de licences échoue de deux façons
opposées, et les deux coûtent cher — refuser un client qui a payé, ou ouvrir à
quelqu'un qui n'a rien. Chaque essai ci-dessous vise l'une des deux.

Ce que la séance a déjà appris, et qui vaut d'être gardé en tête : **l'empreinte
du poste dépendait de l'ordre de démarrage.** Selon que WMI répondait ou non,
la même machine se présentait sous deux identités et refusait sa propre licence.
Rien dans une utilisation normale ne l'aurait montré. D'où la série D.

---

## Préparation

**L'outil de remise à zéro** : pose un fichier `config.txt` à côté de l'exe
(n'importe quel contenu, même vide). Un bouton rouge **Deactivate (debug)**
apparaît alors au bas de *Settings → Licence* : il efface la licence rangée et
rien d'autre. Sans `config.txt` le bouton n'apparaît pas, et la commande
sous-jacente est de toute façon inerte — un exe livré ne peut pas être
désactivé par ce chemin.

Ne supprime `%LOCALAPPDATA%\PMServer\prefs.bin` qu'en dernier recours : ça
désactive aussi, mais emporte le mode de déverrouillage, le nom retenu et les
réglages de sync.

**Ce qu'il faut sous la main** :

- ta licence valable, liée à ce poste ;
- l'Installation ID de ce poste (Settings → Licence, ou l'écran d'activation) ;
- `tools/licence.ps1` et la clé privée.

**Ordre** : `A → B → C → D → E`. La série A établit l'état de référence ; les
suivantes le cassent volontairement.

---

## A. Le chemin normal

1. Coffre déjà activé, lancer l'application.
   **À voir** : l'écran d'activation **n'apparaît pas**. On tombe directement
   sur l'écran de connexion.
2. Settings → Licence.
   **À voir** : *Licensed to*, *Email*, *Issued* et *Installation ID* remplis.
   Le nom affiché est celui que tu as tapé à l'émission — il vient de la charge
   utile signée, pas d'un réglage local.
3. Fermer, relancer.
   **À voir** : toujours pas d'écran d'activation. C'est ce qui prouve que la
   licence est rangée et relue, pas seulement acceptée une fois.

---

## B. Ce qui doit être refusé

Chaque essai part de l'écran d'activation (licence effacée).

1. **Chaîne quelconque** : taper `nimportequoi`.
   **À voir** : *This licence key is not valid*, **en rouge**. L'écran reste.
2. **Licence tronquée** : coller ta licence valable en retirant les dix derniers
   caractères.
   **À voir** : même refus. La signature ne tolère pas un octet.
3. **Charge utile trafiquée** : prendre ta licence, changer **un seul caractère
   dans la partie avant le point** (le nom, l'adresse), coller.
   **À voir** : même refus. C'est l'essai qui prouve que le contenu affiché dans
   Settings ne peut pas être maquillé.
4. **Licence d'un autre poste** :
   ```
   tools\licence.ps1 -For "x@y.z" -Name "Autre" -Machine "AAAA-BBBB-CCCC-DDDD"
   ```
   coller le résultat.
   **À voir** : refus. **C'est le cœur du liage** — une licence parfaitement
   signée, mais pas pour cette machine.
5. **Licence d'une autre paire de clés** :
   ```
   tools\licence.ps1 -Init -KeyFile "%TEMP%\faux.key"
   tools\licence.ps1 -For "x@y.z" -Name "Faux" -Machine "<TON ID>" -KeyFile "%TEMP%\faux.key"
   ```
   coller le résultat.
   **À voir** : refus. **C'est le cœur de la signature** — la bonne machine, la
   bonne forme, mais pas ta clé. Si cet essai passait, n'importe qui pourrait
   fabriquer des licences.
   Puis supprimer `%TEMP%\faux.key`.
6. **Ta vraie licence**, pour finir.
   **À voir** : l'écran disparaît, on passe à la connexion.

---

## C. Ce qui ne doit PAS être refusé

Le risque symétrique, et le plus coûteux commercialement.

1. Coller ta licence **avec des espaces avant et après** (une sélection à la
   souris en attrape presque toujours).
   **À voir** : acceptée. Le code fait `Trim`.
2. Coller ta licence **avec un retour à la ligne** collé au bout.
   **À voir** : acceptée.
3. Après activation, **redémarrer la machine** (pas seulement l'application).
   **À voir** : toujours activée. Le port du serveur change à chaque
   lancement — si la licence avait vécu dans `localStorage`, elle serait
   perdue ici. C'est l'essai qui prouve le stockage DPAPI.

---

## D. L'empreinte du poste — la série qui a déjà attrapé un défaut

1. Noter l'Installation ID dans Settings → Licence.
2. Fermer, relancer, relire.
   **À voir** : **exactement le même**. Un seul caractère de différence, et
   toutes les licences de cette machine tomberaient au prochain lancement.
3. Relancer **cinq fois de suite**, en laissant la machine chargée (ouvrir
   quelques applications) pour varier les temps de démarrage.
   **À voir** : le même à chaque fois. C'est le défaut corrigé le 2026-09-05 :
   l'empreinte dépendait de l'initialisation de COM par WebView2, donc de la
   vitesse de démarrage.
4. **Démarrage à froid** : redémarrer Windows, lancer l'application en premier.
   **À voir** : le même.

---

## E. La portée de l'activation

1. **Autre compte Windows** sur la même machine : ouvrir une session
   différente, lancer l'application.
   **À voir** : l'écran d'activation **réapparaît**, avec le **même**
   Installation ID. Comportement voulu : la licence est rangée par utilisateur
   (DPAPI), l'empreinte est celle de la machine. Ta licence y sera acceptée.
2. **Copier l'exe dans un autre dossier** et le lancer.
   **À voir** : toujours activée. La licence ne vit pas à côté de l'exe.
3. **La mise à jour** — le cas qu'on vivra réellement. Remplacer l'exe d'une
   installation existante par une nouvelle version, lancer.
   **À voir** : toujours activée. **C'est l'essai le plus utile de la série** :
   si une mise à jour désactivait, il faudrait réémettre une licence à chaque
   livraison, et on ne s'en apercevrait qu'au premier client mécontent.

---

## Résultat de la première campagne — 2026-09-05

`A` `B` `C` `D` `E2` `E3` **passés**. Rien à corriger : la campagne n'a rien
trouvé, ce qui n'était pas acquis — la séance qui l'a précédée avait déjà sorti
trois défauts (empreinte dépendante de l'ordre de démarrage, message d'erreur en
cyan au lieu de rouge, licences flottantes acceptées).

**`E1` (autre compte Windows) n'a pas été joué** — faute d'un second compte sous
la main. Ce que le code dit qu'il donnerait : écran d'activation de retour, même
Installation ID, licence acceptée telle quelle. À éprouver le jour où un client
le signale, ou avant de vendre à quelqu'un qui a plusieurs sessions.

Deux observations de la campagne, gardées parce qu'elles se reproduiront :

- **`C3` a été plus probant que prévu.** Le port avait été changé à la main entre
  les deux lancements (8766 → 51812), donc l'origine du navigateur a réellement
  changé — exactement ce que l'essai veut prouver, mais pour de bon.
- **Un port éphémère dans le journal sans ligne de repli n'est pas un défaut** :
  c'est `port=0` ou un `config.txt` absent. Le repli, lui, écrit toujours
  *« Port N unavailable »* avant de se déplacer.

---

## F. La deuxieme couche, la premiere sautee — 2026-09-16

Ne rien rapiecer : **ignorer l'ecran completement** et interroger l'API en
direct, comme quelqu'un qui aurait saute la 1re couche. Meme requete, licence
active puis retiree.

**Preparation** : `config.txt` a cote de l'exe avec `port=8799`,
`require_token=false`, `require_process_check=false`. Les deux derniers sont
indispensables — sinon le jeton ou le controle de processus repondent 404
AVANT la 2e couche, et l'essai ne prouve rien. **A supprimer ensuite.**

**Deux pieges rencontres, qui fausseraient le resultat :**

- **`config.txt` est lu depuis le dossier courant.** Lancer l'exe d'ailleurs le
  prive de sa config : jeton et controle actifs, 404 partout, faux positif.
  Lancer avec le dossier de l'exe comme dossier de travail.
- **La 2e couche retient un « oui » pour la vie du processus.** Fermer la
  fenetre ne quitte pas (elle part dans la zone de notification) : relance =
  reveil de l'ancien processus, qui repond encore `pong`. Quitter par le menu
  de l'icone, verifier qu'aucune instance ne tourne, puis relancer.

**Resultat** :

| Requete | Licence active | Licence retiree |
|---|---|---|
| `GET /ping` | 200 `pong` | **404** |
| `GET /entries`, `/settings`, `/folders` | — | **404** |
| `POST /register` | — | **404** — impossible de se creer un compte |
| `GET /index.html` | 200 | **200** — l'ecran d'activation reste servi |
| `GET /nexiste-pas` | 404 JSON | 404 JSON |

**Observation** : le refus de la 2e couche n'a pas un corps vide — Indy remplace
un `ContentText` vide par sa page `404 Not Found`. Il se distingue donc d'une
route inexistante (`{"error":"Not found"}`), ce qui **revele quelles routes
existent**. Sans consequence en production (jeton et controle de processus
actifs), mais contraire au principe du verrouillage.

---

## F bis. Meme essai, depuis l'application — 2026-09-17

L'essai F interrogeait l'API a la main. Celui-ci passe par l'application, avec
un **exe d'essai** compile avec `LICENCE_TEST_SKIP_SCREEN` : la 1re couche
repond toujours « licencie », comme si elle avait ete rapiecee. La 2e couche,
independante, verifie la vraie licence. (Construction : voir CLAUDE.md,
section de la deuxieme couche. Jamais livre.)

1. Lancer l'exe d'essai, licence active : pas d'ecran d'activation, *Register*
   d'un compte de test reussit.
2. *Settings → Licence* → **Deactivate (debug)**, puis **Quit** par l'icone.
3. Relancer : toujours pas d'ecran d'activation (1re couche « rapiecee »).
4. Tenter d'entrer.

**Resultat** : toasts rouges **« Not found »**, impossible d'entrer. Le message
est le 404 generique, identique a celui d'une route inexistante — depuis le
correctif du meme jour. Qui aurait rapiece la 1re couche voit une application
qui ne marche pas, **sans indice qu'une verification de licence existe**.

**Apres l'essai** : reactiver la licence avec un exe **normal** — l'exe
d'essai n'affiche jamais l'ecran d'activation.

---

## Ce qu'aucun de ces essais ne prouve

À dire clairement, pour ne pas se croire protégé de ce qu'on ne l'est pas :

- **Rapiécer l'exe pour sauter la vérification reste possible.** C'est vrai de
  tout schéma hors ligne. La signature empêche de *fabriquer* des licences, pas
  de contourner le code qui les lit.
- **Il n'y a pas de révocation.** Une licence émise vaut pour toujours sur sa
  machine. La seule annulation possible est de régénérer la paire et de
  réémettre — ce qui casse toutes les autres.
- **Le brouillage des blocs embarqués n'est pas du chiffrement.** L'onglet
  *Memory* de Process Explorer, un débogueur ou la réponse HTTP rendent toujours
  le frontend en clair.

## Le défaut à reconnaître sans le provoquer

Si `$ObfSecret` (BuildAssets.ps1) et `AssetObfSecret` (PM.EmbeddedAssets.pas)
divergent, la magie `PMA1` tombe et le serveur **refuse de servir** :
`/index.html` en **404**, fenêtre vide. Ce n'est pas une panne de licence, c'est
un désaccord de build. Symptôme à ne pas confondre.