JWE/docs/audit-passe2.md

JWE — Audit post-exécution (passe 2) — Rapport de vérification

Date : 2026-07-16 · Référentiel : prompts/JWE-prompt-verification-agents.md · Méthode : fetch réel, jamais recall. Corpus : 41 lieux.

Tableau des vérifications

ID	Vérification	Méthode / Preuve	PASS/FAIL	Correctif appliqué
C1	QID valides + sitelink frwiki	node app/scripts/validate-lieux.mjs : 32 QID vérifiés par wbgetentities batch, sitelink + label concordants	PASS	—
C2	Les « null » sont de vrais null	Recherche list=search frwiki par titre exact pour les 9 nulls. 1 FAIL initial : « Savane des Pétrifications » avait un article (casse « pétrifications » manquée au 1er contrôle)	FAIL → PASS	Savane → QID réel Q3474455 (coords P625 14.4011, −60.8576, photo CC BY-SA 4.0 re-vérifiée) ; nouvelle lacune Martinique : Anse Grosse Roche (absence frwiki prouvée sur 4 variantes de titre, photo CC BY-SA 4.0 HTTP 200)
C3	Coordonnées < 500 m de la source	Comparaison P625 ↔ JSON pour les 32 lieux à QID (haversine dans le validateur) : 32/32 < 500 m	PASS	Seed Fort Delgrès déjà corrigé en passe 1 (Q3077840, 15.9886, −61.7231)
C4a	Noms de fichiers photo opaques	Avant : URL Commons en clair dans /api/round (spoiler devtools). Après : photo.url = /api/photo/<uuid> — grep `FilePath	.jpg` sur les réponses = 0	FAIL → PASS
C4b	EXIF strippés	sharp(buf).metadata() sur /api/photo/<id>?w=400 : exif: false, iptc: false, xmp: false	PASS	Ré-encodage WebP systématique via le proxy
C4c	Licences vérifiables	content/credits.md : 41 photos, page Commons + auteur + licence (CC-BY-SA/BY/CC0/DP uniquement)	PASS	—
C5	Photos des lieux « null »	Les 9 nulls ont une photo Commons libre documentée (source + licence dans credits.md) — le cas « rare » du référentiel est couvert ; à terme préférer photos OKI/Panoramax	PASS	Recommandation R4 pour les futurs lieux
A1	Score juste en Guyane	Avant : radius fixe (FAIL). Après : radius_eff = max(radius, sqrt(aire_commune_km2/π)), aire_commune_km2 injecté depuis geo.api.gouv.fr (41/41 lieux). Test réel : guess à 40 km d'un lieu de Saint-Laurent-du-Maroni → radiusEff 37,1 km, score 1699 (≈2 sans le fix)	FAIL → PASS	lieux.ts (rayonEffectifKm), réponse /api/guess enrichie de radiusEffKm, affichage discret au résultat. ⚠️ incident de revue : unités ha/1000 corrigées en ha/100 avant commit
A2	Pas de fuite de région	Caméra initiale globale (center [-58,0], zoom 3.6, GameMap.svelte) — aucun zoom région automatique ; devinette en deux temps : 4 boutons région (étape 1) → marqueur (étape 2) ; combinaison par la distance (mauvaise région ⇒ score ≈ 0). Documenté dans docs/architecture.md §7	PASS	—
A3	Chaîne Wikipedia exacte	wbgetentities(sitelinks) → REST summary ; cache mémoire 24 h + Cache-Control: max-age=86400 (était 3600) ; UA explicite ; fallback fr-only documenté. Cas intermédiaire tranché : 404 {"reason":"no-frwiki"} → variante Cas B « Pas encore d'article en français / Pa nyen an fransé » + lien fiche Wikidata	FAIL → PASS	wiki/[qid]/+server.ts, WikiFiche.svelte, clés lacuneFr.* FR+GCF ; bonus : redirections Wikidata résolues
A4	Strapi vs SvelteKit	ADR §1 : SvelteKit seul + JSON versionné + script de validation au commit (app/scripts/validate-lieux.mjs, ajouté)	PASS	Script de validation livré
A5	Hors scope respecté	Revue : pas de comptes, pas de leaderboard serveur, pas de multi ; scores côté client uniquement	PASS	—
B1	Endpoint sans fuite	15 tirages /api/round (passe 1) + re-test passe 2 : 0 occurrence coordonnees/commune/wikidata_id/FilePath	PASS	—
B2	Score côté serveur	Le client envoie {id, lat, lon, hintsUsed, timeMs?} ; le serveur calcule (formule A1) ; recalculs indépendants conformes (passe 1 et 2)	PASS	—
B3	Proxy Wikipedia	Cache 24 h + header 86400 (preuve curl %header{cache-control}) ; aucun texte stocké en base	PASS	—
B4	Zéro dépendance propriétaire	package.json : maplibre-gl + sharp (Apache-2.0, ajouté pour C4) ; aucune clé API ; pas de télémétrie	PASS	—
F1	Carte	Bounds + minZoom, aucune fuite région (A2), MapLibre lazy (chunk séparé, 0 occ. sur /), boutons zoom, clavier	PASS	—
F2	Cas A / Cas B distincts	Panneaux visuellement distincts, message lacune FR + créole, CTA contribution pré-rempli (passe 1, revérifié passe 2)	PASS	—
F3	Cas intermédiaire géré	404 no-frwiki → variante Cas B dédiée, pas d'écran vide ni d'erreur console (chemins compilés et testés)	PASS	Voir A3
F4	Contour de commune	Non intégré — optionnel (« si intégré »)	N/A	Recommandation R3
F5	Doctrine OKI	Une action primaire, Valider zone pouce, timer calme, micro-interactions créoles, style non-Google	PASS	—
F6	Perf 4G	Premier écran ≈ 43 KB gz ; photos WebP via proxy + srcset + lazy ; poids round hors tiles : 1 JSON (~1 KB) + 1 WebP 400–1200 px	PASS	—
Q1	Bloquants rejoués	C1, C2, A1, A2, B1, B2, F2 : preuves ci-dessus, exécutées sur node build (prod)	PASS	—
Q2	Partie complète	Rounds API + résultats Cas A/Cas B/lieu guyanais testés ; rendu visuel non capturé (pas de navigateur headless dispo)	PASS (partiel)	Recommandation R5
Q3	Checklist OKI	Intégralement passée en passe 1 (docs/audit-oki.md), points inchangés	PASS	—
Q4	Scope creep	Rien de plus que le prompt v2 (+ champs audit : aire_commune_km2, radiusEffKm, proxy photo — correctifs, pas features)	PASS	—
Q5	CWV 4G	Mesures indirectes (poids bundles, SSR, lazy) : LCP estimé < 2 s ; pas de Lighthouse dispo	PASS (estimé)	Recommandation R5

Recommandations (hors scope audit — pas implémentées)

#	Priorité	Problème / opportunité	Solution proposée	Effort	Fichiers
R1	important	ADR-001 v1 : le Défi est aléatoire par joueur, impossible de jouer « les mêmes 5 lieux » qu'un autre	Lien à seed /defi/<seed> (PRNG seedé serveur, anti-fuite, partage par image) — v2 PlaySocketJS seulement si gate de traction	M	routes/defi/[seed], server/lieux.ts
R2	important	ADR-002 : MapLibre (~800 KB) absent de l'accueil, mais l'accueil n'a pas encore de carte du tout	Carte SVG statique des 4 régions (topojson geo.api.gouv.fr + mapshaper ≤ 150 KB gz, composant from scratch, sans JS)	M	lib/map/, +page.svelte
R3	confort	Résultat : le joueur ne visualise pas les limites de la commune	Superposer le contour geo.api.gouv.fr (geometry=contour) sur la carte résultat	S	GameMap, /api/guess (code INSEE à stocker)
R4	confort	Les futurs lieux « null » dépendent de Commons (rare pour les lieux non documentés)	Prévoir photos OKI propres ou Panoramax dans le guide de contribution	S	docs/contribution.md
R5	confort	Pas de tests automatisés ni de vraies mesures Lighthouse	Vitest sur le scoring + CI légère ; Lighthouse sur le VPS de prod	M	app/tests/
R6	confort	Icônes PWA SVG seulement ; contraste corail 3,7:1	Générer PNG 192/512 à l'installation ; assombrir l'accent vers ≥ 4,5:1	S	static/, oki.css

Verdict passe 2 : CONFORME — 0 FAIL restant. 4 FAIL corrigés (C2, C4a, A1, A3), 1 script de validation pérenne livré.

---

Addendum (2026-07-17) — R1 et R2 implémentées

• R1 (ADR-001 v1) : livrée. Déterminisme prouvé (même seed → mêmes 5 lieux, même ordre, 2 processus), anti-fuite vérifiée (0 occurrence de champ sensible dans /api/defi/<seed>), image de partage inchangée (score uniquement). Voir docs/architecture.md §8.
• R2 (ADR-002) : livrée. regions-geo.json = 91,8 KB gz (budget 150 KB) ; SSR de / sans MapLibre ni JS requis (4 vrais <button> région bilingues) ; bilans défi passés en SVG ; composant from scratch ; attribution présente. V1–V5 PASS.
• Les autres recommandations (R3–R6) restent ouvertes.